Recht auf Vergessenwerden: Diese Tools helfen

Was bedeutet das Recht auf Vergessenwerden?

Es klingt kompliziert: Das Recht auf Vergessenwerden gehört zu den Betroffenenrechten und impliziert Löschpflichten für das jeweilige Unternehmen, das Daten Betroffener vorhält. Einfach gesagt bedeutet es, dass Betroffene unter bestimmten Umständen das Löschen ihrer Daten verlangen können, die Unternehmen sind dann nach DSGVO zur Löschung verpflichtet.

Doch die Praxis macht Schwierigkeiten: Bei Umfragen zur Umsetzung der Datenschutz-Grundverordnung (DSGVO) findet sich die Löschung personenbezogener Daten fast immer unter den Problemen der Unternehmen. Ein wesentlicher Grund dafür: Das Recht auf Vergessenwerden fügt als Betroffenenrecht bestehenden Lösch-Problemen weitere hinzu. Denn die DSGVO fordert in Artikel 17:

„Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.“

Es reicht also nicht aus, im Unternehmen oder in der Behörde über geeignete Löschwerkzeuge zu verfügen, die die intern gespeicherten Daten fristgerecht und zuverlässig löschen. Wenn Kopien der Daten an anderen Orten, z.B. im Internet, vorhanden sind, müssen Maßnahmen ergriffen werden, um die Betreiber der Webseiten über die Löschungspflicht zu informieren.

Gibt es hilfreiche Tools für Datenlöschung und das Recht auf Vergessenwerden?

Geht es um die Umsetzung des Rechts auf Vergessenwerden im Unternehmen oder in der Behörde, stehen zunächst Verfahren und Werkzeuge im Mittelpunkt, die es ermöglichen, die Daten fristgerecht und sicher zu löschen. Sie müssen zudem die Datenempfänger über die Löschverpflichtung informieren.

Aber wie kann die betroffene Person die Löschung der Daten verlangen? Auch hier sind Verfahren und Werkzeuge mehr als hilfreich. Auf dem Markt gibt es neben den klassischen Löschwerkzeugen auch Tools und Erweiterungen für Lösungen, die sich der betroffenen Person annehmen. Folgend einige Beispiele.

Tool-Beispiel 1: Ping Identity

Der Anbieter für digitales Identitätsmanagement Ping Identity hat PingOne for Customers vorgestellt. Betroffene, z.B. Kundinnen und Kunden eines Online-Shops, der an die PingOne-Lösung angebunden ist, erhalten über ein Dashboard Kontrolle über ihre persönlichen Daten und Freigabeeinstellungen.

• Mithilfe der Self-Service-Funktionen bearbeiten die betroffenen Personen persönliche Informationen und entscheiden, ob ihre Daten erfasst werden oder nicht.
• Darüber hinaus kann ein Kunde seine eingesetzten Endgeräte regulieren, App-Zugriffe autorisieren, weitere Login- und Sicherheits-Optionen sowie seine Datenschutz-Einstellungen verwalten.
• Im Dashboard von PingOne abgebildet sind unter anderem das Recht, die Einwilligung jederzeit zu widerrufen, sowie das Recht, die eigenen Daten endgültig zu löschen.

Die Ping-Identity-Plattform unterstützt den UMA-2.0-Standard (User-Managed Access). Mit UMA bestimmen die betroffenen Personen, wer auf welche Weise und wie lange Zugang zu den personenbezogenen Daten erhält. Außerdem können sie festlegen, unter welchen Bedingungen dieser Zugang erfolgt. Voraussetzung ist jeweils, dass die Online-Dienste die PingOne-Lösung oder eine andere Lösung, die UMA 2.0 unterstützt, integrieren kann.

Tool-Beispiel 2: File Access Manager von SailPoint

Ein entscheidender Aspekt bei der Löschung ist, dass Unternehmen wirklich alle Kopien der betreffenden Daten finden und zuverlässig löschen. Das betrifft beispielsweise auch in Backups gespeicherte Kopien. Wenn nach einem Vorfall Daten aus dem Backup wiederhergestellt werden müssen, würden sonst auch die zu löschenden Daten wiederhergestellt. Deshalb sind Lösungen und Tools wichtig, die alle Speicherorte für Daten nach den zu löschenden Informationen durchsuchen.

Ein Beispiel für entsprechende Tools ist der File Access Manager von SailPoint. Er ermöglicht es dem Unternehmen, den Zugriff auf vertrauliche Daten zu kontrollieren, und bietet Transparenz darüber, welche Art von Daten das Unternehmen hat, wo sie sich befinden und wer darauf zugreifen kann.

Tool-Beispiel 3: Datensicherheitsplattform von Varonis

Ein anderes Beispiel sind Lösungen aus dem Bereich DSPM (Data Security Posture Management). Solche Tools bieten Transparenz darüber, wo sich sensible Daten befinden, wer Zugriff auf diese Daten hat, wie sie verwendet wurden und wie der Sicherheitsstatus der gespeicherten Daten oder Anwendungen ist. Mit solchen Plattformen oder Tools lassen sich zu löschende Daten auch in verschiedenen Clouds und as-a-Service-Lösungen suchen, nicht nur in der internen IT-Umgebung. Zu den DSPM-Lösungen zählt etwa die Datensicherheitsplattform von Varonis.

Inzwischen setzen DSPM-Lösungen auch Verfahren auf Basis von KI (Künstliche Intelligenz) ein, um sensible Daten aufzuspüren. Bei ihrem Einsatz gilt es zu prüfen, wie die jeweilige KI mit den Daten umgeht. Wenn die eigenen Daten nach dem Auffinden Teil der Trainingsdaten werden, die auch für das Training einer Lösung bei anderen Unternehmen eingesetzt werden, kann es zu ungewollt  einem möglichen Datenabfluss kommen. Die KI-Verfahren sollten deshalb nur so trainiert werden, dass keine zu schützenden Daten Dritten zugänglich werden könnten.

Oliver Schonschek