Was erfordert die Kontrolle A.2.4.3?
Die Organisation muss in der Lage sein, personenbezogene Daten sicher zurückzugeben, zu übertragen oder zu vernichten. Sie muss dem Kunden außerdem ihre Richtlinien zugänglich machen.
Diese Steuerung befindet sich innerhalb der PII-Prozessorsteuerung Anhang (A.2) regelt, was mit personenbezogenen Daten nach Beendigung einer Verarbeitungsbeziehung geschieht. Bei Vertragsende muss der Auftragsverarbeiter die Daten an den Verantwortlichen zurückgeben, an einen anderen Auftragsverarbeiter übertragen oder sicher löschen können. Die Vorgehensweise des Auftragsverarbeiters bei Vertragsende muss transparent und für den Kunden einsehbar sein.
Was besagt der Umsetzungsleitfaden für Anhang B?
Anhang B (Abschnitt B.2.4.3) enthält folgende Hinweise:
- Mehrere Möglichkeiten Die Datenverarbeitung nach Vertragsende kann die Rückgabe personenbezogener Daten an den Kunden, deren Übermittlung an eine andere Organisation, deren Löschung, Anonymisierung oder Archivierung umfassen.
- Vollständige Löschung — Die Organisation muss gewährleisten, dass personenbezogene Daten (PII) überall gelöscht werden, einschließlich Backups, sobald sie für den ursprünglichen Zweck nicht mehr benötigt werden.
- Entsorgungsrichtlinie — Die Organisation muss eine Entsorgungsrichtlinie entwickeln und diese den Kunden zugänglich machen.
- Aufbewahrung nach Beendigung des Arbeitsverhältnisses Die Richtlinie zur Datenlöschung sollte die Aufbewahrungsfrist nach Vertragsende regeln und festlegen, wie lange Daten vor der endgültigen Löschung aufbewahrt werden.
- Web Link A.2.4.4: PII-Getriebesteuerung für damit zusammenhängende Anforderungen
Die Richtlinie betont die Vollständigkeit. Es reicht nicht aus, personenbezogene Daten aus Produktionssystemen zu löschen und Kopien in Backups zu belassen. Der Auftragsverarbeiter muss sicherstellen, dass alle Kopien der personenbezogenen Daten, einschließlich derer in Backup-Systemen, Notfallwiederherstellungsumgebungen und Archivspeichern, identifiziert und innerhalb der dokumentierten Aufbewahrungsfrist gelöscht werden.
Wie lässt sich das mit der DSGVO vereinbaren?
Steuerung A.2.4.3 ist folgenden Elementen zugeordnet Datenschutz Artikel:
- Artikel 28(3)(g) — Der Auftragsverarbeiter löscht oder gibt nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung der Dienstleistungserbringung an den Verantwortlichen zurück und löscht vorhandene Kopien, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats schreibt eine Aufbewahrung vor.
- Artikel 30(1)(f) — Eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen, einschließlich der Maßnahmen zur Datenentsorgung
Datenschutz Artikel 28 Absatz 3 Buchstabe g räumt dem Verantwortlichen das Recht ein, zwischen Löschung und Rückgabe der Daten zu wählen. Der Auftragsverarbeiter muss beide Optionen unterstützen. Eine Ausnahme besteht nur dann, wenn das Unionsrecht oder das Recht eines Mitgliedstaats die Aufbewahrung bestimmter Daten durch den Auftragsverarbeiter vorschreibt; in diesem Fall muss die Rechtsgrundlage für die Aufbewahrung dokumentiert werden.
Was hat sich gegenüber ISO 27701:2019 geändert?
Eine schrittweise Anleitung finden Sie unter Übergang von 2019 bis 2025.
In der Ausgabe von 2019 wurde diese Anforderung im Rahmen der übergeordneten Klauselstruktur behandelt. Die Ausgabe von 2025 enthält A.2.4.3 als eigenständige Kontrollmaßnahme mit Implementierungshinweisen in B.2.4.3, die sich speziell mit dem Löschen von Backups, der Transparenz der Richtlinien und den Aufbewahrungsfristen nach Vertragsbeendigung befassen. Besonders hervorzuheben ist die explizite Anforderung, die Entsorgungsrichtlinie den Kunden zugänglich zu machen. Siehe … Korrespondenztabelle im Anhang F für die vollständige Kartierung.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Welche Nachweise erwarten die Wirtschaftsprüfer?
Bei der Beurteilung der Einhaltung von A.2.4.3 achten die Prüfer typischerweise auf Folgendes:
- Dokumentierte Entsorgungsrichtlinie — Eine schriftliche Richtlinie, die die Rückgabe, Übermittlung und Vernichtung personenbezogener Daten regelt, einschließlich Methoden zur sicheren Löschung, Anonymisierung und Archivierung
- Kundenverfügbarkeit — Nachweis, dass die Entsorgungsrichtlinie den Kunden zugänglich gemacht wurde, sei es durch Vertragsanhänge, Kundenportale oder direkte Bereitstellung
- Verfahren nach Beendigung des Arbeitsverhältnisses — Dokumentierte Verfahren für den Umgang mit personenbezogenen Daten nach Vertragsbeendigung, einschließlich festgelegter Aufbewahrungsfristen und der Abfolge der Rückgabe-, Übertragungs- und Vernichtungsschritte
- Backup-Löschfunktion — Nachweis, dass die Organisation personenbezogene Daten aus Backup-Systemen, Notfallwiederherstellungsumgebungen und Archivspeichern identifizieren und löschen kann.
- Entsorgungsaufzeichnungen — Aufzeichnungen über frühere Aktivitäten zur Vernichtung personenbezogener Daten, einschließlich Vernichtungszertifikate, Bestätigungen der Datenrückgabe und Nachweise über die Löschung von Sicherungskopien
Welche Steuerungselemente gehören dazu?
| Kontrollieren | Beziehung |
|---|---|
| A.2.4.2 Temporäre Dateien | Die vorübergehende Vernichtung von Dateien ist Bestandteil der umfassenderen Pflicht zur Vernichtung personenbezogener Daten. |
| A.2.2.2 Kundenvereinbarung | Der Vertrag sollte die Verfahren für Datenrückgabe, -übertragung und -löschung festlegen. |
| A.2.3.2 Pflichten gegenüber PII-Auftraggebern | Datenübertragbarkeit und Löschungsrechte sind mit Entsorgungsmöglichkeiten verbunden. |
| A.2.2.6 Pflichten des Kunden | Entsorgungsrichtlinien sind Teil der den Kunden bereitgestellten Compliance-Informationen. |
| A.2.5.8 Beauftragung von Subunternehmern | Auch Subunternehmer müssen die Vorschriften zur Entsorgung personenbezogener Daten einhalten. |
Für wen gilt diese Regelung?
A.2.4.3 gilt ausschließlich für PII-ProzessorenAm Ende einer Auftragsverarbeitungsbeziehung benötigt der Verantwortliche die Gewissheit, dass seine Daten ordnungsgemäß behandelt wurden. Kann der Auftragsverarbeiter die Daten nicht zurückgeben oder sicher entsorgen, besteht für den Verantwortlichen ein fortwährendes Compliance-Risiko. Diese Kontrollmaßnahme stellt sicher, dass Auftragsverarbeiter sowohl über die erforderlichen Fähigkeiten als auch über dokumentierte Verfahren für die Datenverwaltung nach Vertragsende verfügen.
Einfacher Einstieg mit einer persönlichen Produktdemo
Einer unserer Onboarding-Spezialisten führt Sie durch unsere Plattform, damit Sie selbstbewusst loslegen können.
Warum sollten Sie sich ISMS.online für das Management der Entsorgung personenbezogener Daten?
ISMS.online bietet praktische Werkzeuge für die Verwaltung der Rückgabe, Übertragung und Löschung personenbezogener Daten:
- Richtlinienverwaltung — Erstellen und pflegen Sie Ihre Richtlinie zur Löschung personenbezogener Daten mithilfe von Versionskontrolle, Genehmigungsworkflows und automatisierten Prüfplänen, um sicherzustellen, dass sie stets aktuell ist.
- Vertragsverfolgung — Verfolgen Sie die Entsorgungspflichten gemäß Kundenvertrag, einschließlich der Aufbewahrungsfristen nach Vertragsbeendigung und der vom Kunden gewählten Entsorgungsmethode.
- Entsorgungsablauf — Verwaltung der Datenentsorgung nach Vertragsende mithilfe strukturierter Workflows, die Produktionssysteme, Backups, Notfallwiederherstellung und Archivspeicher abdecken.
- Beweisführung — Entsorgungsbescheinigungen, Rücksendebestätigungen und Sicherungsnachweise der Löschung als strukturierte Prüfprotokolle aufbewahren.
- Compliance-Mapping — Verknüpfung der Entsorgungsverfahren mit Artikel 28 Absatz 3 Buchstabe g der DSGVO und den entsprechenden Kontrollen der ISO 27701, um einen umfassenden Ansatz aufzuzeigen
Häufig gestellte Fragen
Wie entsorgt man personenbezogene Daten in Backup-Systemen?
Die Löschung personenbezogener Daten aus Backups ist eine der größten Herausforderungen bei der Datenkontrolle. Zu den Optionen gehören: das natürliche Verfallsdatum von Backup-Bändern innerhalb eines definierten Zeitraums (die maximale Aufbewahrungsdauer ist zu dokumentieren); die Verwendung von Backup-Systemen, die das granulare Löschen einzelner Datensätze ermöglichen; die Verschlüsselung personenbezogener Daten mit kundenspezifischen Schlüsseln und die anschließende Vernichtung dieser Schlüssel nach Vertragsende; oder die Implementierung einer Backup-Ausschlussrichtlinie, die verhindert, dass personenbezogene Daten nach dem Auslösen des Löschkriteriums gesichert werden. Die gewählte Vorgehensweise sollte in der Löschrichtlinie dokumentiert und dem Kunden mitgeteilt werden.
Was, wenn rechtliche Bestimmungen die Entsorgung verhindern?
Artikel 28 Absatz 3 Buchstabe g DSGVO erlaubt es Auftragsverarbeitern, personenbezogene Daten nach Vertragsende aufzubewahren, wenn dies nach Unionsrecht oder dem Recht eines Mitgliedstaats erforderlich ist. Beispiele hierfür sind Steuerdaten, Finanztransaktionsdaten oder Daten, die einer Beweissicherung unterliegen. Sofern eine gesetzliche Aufbewahrungspflicht besteht, muss der Auftragsverarbeiter die konkrete Rechtsgrundlage, den Umfang der aufbewahrten Daten, die Aufbewahrungsdauer und die geltenden Zugriffsbeschränkungen dokumentieren. Der Kunde ist über jede gesetzlich vorgeschriebene Aufbewahrung zu informieren, die eine vollständige Löschung nach Vertragsende verhindert.
Sollte die Entsorgungsrichtlinie im Vertrag enthalten sein?
Ja. Die Richtlinie zur Datenlöschung sollte entweder als Vertragsanhang beigefügt oder im Datenverarbeitungsvertrag referenziert werden, wobei dem Kunden ein Mechanismus zum Zugriff auf die jeweils aktuelle Version zur Verfügung gestellt werden sollte. Dadurch wird sichergestellt, dass sich beide Parteien vor Beginn der Verarbeitung auf das Vorgehen bei der Datenlöschung geeinigt haben. Der Vertrag sollte außerdem das Wahlrecht des Kunden zwischen Rückgabe und Löschung, eine etwaige Aufbewahrungsfrist nach Vertragsende sowie das Format, in dem die Daten auf Anfrage zurückgegeben werden, festlegen.
Sie finden weitere Information in der Produktübersicht für Leitfaden zu den Anforderungen an Prüfungsnachweise für die prozessorspezifischen Nachweise, die Prüfer benötigen.
