Richtlinie zur Datenaufbewahrung und -entsorgung

Die Richtlinie zur Datenaufbewahrung und -entsorgung (P14) legt umfassende Anforderungen für die Aufbewahrung und sichere Entsorgung aller Organisationsdaten über ihren gesamten Lebenszyklus fest, um Compliance sicherzustellen, Risiken zu reduzieren und die operative Wirksamkeit zu unterstützen. Diese Richtlinie gilt organisationsweit und erstreckt sich auf jedes physische und digitale Informations-Asset, das vom Unternehmen besessen, verarbeitet oder aufbewahrt wird, einschließlich solcher, die von Drittparteien, Tochtergesellschaften und Auslagerungspartnern verwaltet werden. Abgedeckte Assets reichen von digitalen Dateien, Datenbanken, E-Mails und Datensicherungssystemen bis hin zu Papierunterlagen und außer Betrieb genommenen Geräten. Der Hauptzweck der P14-Richtlinie besteht darin, strenge Kontrollen dafür zu definieren, wie lange Daten auf Basis rechtlicher, regulatorischer und operativer Anforderungen aufbewahrt werden, und ihre dauerhafte, sichere Löschung sicherzustellen, sobald sie nicht mehr erforderlich sind. Durch die Durchsetzung klarer Aufbewahrungspläne und strenger Entsorgungsverfahren unterstützt die Richtlinie die Anforderungen von ISO/IEC 27001:2022, ermöglicht eine nachvollziehbare Aufzeichnungsverwaltung und schützt Vertraulichkeit, Integrität und Verfügbarkeit von Daten. Wichtig ist, dass die Richtlinie der Organisation hilft, unnötige Datenansammlungen zu verhindern, die zu Datenschutzverstößen, Ineffizienzen oder erhöhtem Geschäftsrisiko führen könnten. Rollen und Verantwortlichkeiten sind in der Richtlinie klar abgegrenzt: Die Geschäftsleitung genehmigt und überwacht die Einhaltung; der CISO verantwortet, definiert und überwacht die Umsetzung der Richtlinie; der Datenschutzbeauftragte (DPO) berät zum Datenschutz und validiert den Umgang mit personenbezogenen Daten; und Information Owners stellen sicher, dass Zeitpläne begründet und autorisiert sind. IT-Teams sind für die Umsetzung technischer Maßnahmen verantwortlich, während alle Mitarbeiter und Auftragnehmer sowie relevante Drittparteien verpflichtet sind, Aufbewahrungs- und Entsorgungsanweisungen zu befolgen. Ausgelagerte Dienstleistungen, Lieferanten und Cloud-Anbieter müssen vertragliche Sicherheitsklauseln einhalten und auf Anfrage Auditnachweise zur Entsorgung bereitstellen. Governance-Anforderungen schreiben die Erstellung und Pflege eines Master Data Retention Schedule (MDRS) vor, der mindestens jährlich überprüft wird, sowie die Genehmigung von Entsorgungsmethoden und Zertifikaten für alle abgelaufenen Daten. Die Richtlinie setzt klassifizierungsgetriebene Aufbewahrungsfristen durch, die an Geschäftsanforderungen und Rechtsgrundlagen gekoppelt sind, und untersagt ausdrücklich eine unbefristete, verwaiste oder nicht genehmigte Datenaufbewahrung. Spezielle Regelungen adressieren die Aufbewahrung von Backups und Archiven, stellen die Ausrichtung an Notfallwiederherstellungszielen sicher und unterstützen die Datenlöschung auf Anfrage gemäß DSGVO oder anderen Datenschutzgesetzen. Entsorgungskontrollen werden gemäß NIST SP 800-88 oder gleichwertigen Normen durchgesetzt und schreiben irreversible und dokumentierte Vernichtungsmethoden sowohl für digitale als auch für Papiermedien vor. Legal Hold und Löschsperre setzen normale Löschzeitpläne im Fall von Gerichtsverfahren oder Untersuchungen außer Kraft, und alle Ausnahmen von der geplanten Aufbewahrung erfordern eine Risikobeurteilung und die Freigabe durch das Management. Aktivitäten zu Durchsetzung und Einhaltung umfassen regelmäßige Audits, Compliance-Prüfungen, Vorfallsmeldungen und Disziplinarmaßnahmen nach Bedarf. Die Richtlinie fordert außerdem fortlaufende Schulungen zur Sensibilisierung für Informationssicherheit und verweist bei jeder Datenschutzverletzung oder jedem Entsorgungsvorfall auf die Incident-Response-Richtlinie (P30). Durch die regelmäßige Überprüfung und Aktualisierung der Richtlinie sowie die Synchronisierung verknüpfter Dokumente wie Zugriffskontrollrichtlinie und Asset-Management-Richtlinien stellt die Organisation einen belastbaren, effizienten und regulatorisch ausgerichteten Ansatz für die Governance des Datenlebenszyklus sicher.