Ratgeber · Datenschutz
Datensicherung nach DSGVO: Was Sie beachten müssen
Kurz gesagt: Die DSGVO verlangt Datensicherung sogar – Art. 32 fordert die Fähigkeit, personenbezogene Daten nach einem Zwischenfall rasch wiederherzustellen. Zugleich sind Sicherungen selbst personenbezogene Daten: Sie müssen geschützt, an einem geeigneten Ort gespeichert, vertraglich geregelt und nach festen Fristen gelöscht werden.
Was Art. 32 DSGVO verlangt
Art. 32 verpflichtet Verantwortliche zu technischen und organisatorischen Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Für die Datensicherung sind vier Punkte des Absatzes 1 maßgeblich:
| Vorgabe | Bedeutung für Backups |
|---|---|
| lit. a – Verschlüsselung | Sicherungen verschlüsseln, am besten bevor sie das gesicherte System verlassen |
| lit. b – Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit | Kopien an mehreren Orten, Schutz vor Manipulation, Zugriff nur für Befugte |
| lit. c – rasche Wiederherstellung | Wiederherstellung muss möglich und in angemessener Zeit machbar sein |
| lit. d – regelmäßige Überprüfung | Wirksamkeit der Maßnahmen prüfen – für Backups: Wiederherstellung testen |
Wo die Sicherungen liegen dürfen
Die DSGVO verbietet keine Cloud und keinen Dienstleister. Sie verlangt aber, dass Übermittlungen in Länder außerhalb der EU und des EWR besonders abgesichert sind (Kapitel V). Am einfachsten ist ein Speicherort in Deutschland oder der EU bei einem Anbieter, der europäischem Recht unterliegt. Liegen die Sicherungen verschlüsselt vor und bleibt der Schlüssel beim Unternehmen, kann auch ein Speicheranbieter nichts über die Inhalte erfahren.
Auftragsverarbeitung
Betreibt ein Dienstleister die Datensicherung oder speichert er die Sicherungen, ist er in der Regel Auftragsverarbeiter nach Art. 28 DSGVO. Dann braucht es einen Vertrag zur Auftragsverarbeitung (AVV), der Gegenstand, Dauer, Art der Daten, die technischen und organisatorischen Maßnahmen und den Umgang mit Unterauftragnehmern regelt.
Löschen und Speicherbegrenzung
Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e) dürfen Daten nicht länger gespeichert werden als nötig. Für Sicherungen heißt das: feste Aufbewahrungsfristen festlegen und Sicherungen danach automatisch löschen. Einzelne Datensätze aus einer Sicherung herauszulöschen, ist technisch meist nicht sinnvoll und würde die Sicherung beschädigen. In der Praxis verbreitet ist deshalb:
- Sicherungen laufen mit ihrer Aufbewahrungsfrist vollständig aus;
- bis dahin sind sie gegen Zugriff geschützt und werden nicht für andere Zwecke verwendet;
- wird eine Sicherung zurückgespielt, werden zuvor gelöschte Daten erneut gelöscht – dafür wird festgehalten, welche Löschungen nachzuholen sind.
Die genaue Ausgestaltung gehört in das Lösch- und Datensicherungskonzept und sollte mit dem Datenschutzbeauftragten abgestimmt werden.
Dokumentieren
Nach der Rechenschaftspflicht (Art. 5 Abs. 2) muss ein Unternehmen nachweisen können, dass es die Grundsätze einhält. Für die Datensicherung bedeutet das ein schriftliches Konzept, ein Protokoll der Sicherungen und Löschungen und dokumentierte Wiederherstellungstests.
Wie AegisGrid dabei hilft
AegisGrid verschlüsselt mit AES-256-GCM oder ChaCha20-Poly1305 auf dem gesicherten System; der Schlüssel bleibt bei Ihnen. Wo die Sicherungen liegen, bestimmen Sie – im eigenen Haus, an einem zweiten Standort oder im AegisGrid Cloud-Speicher in zertifizierten Rechenzentren in Deutschland. Für Cloud-Speicher und Managed Backup schließt die MSD Computersysteme GmbH einen AVV nach Art. 28 DSGVO. Aufbewahrungsfristen gelten je Sicherung und Ziel, abgelaufene Sicherungen räumt der Backup-Server automatisch auf, und jede Löschung steht im signierten Nachweis-Protokoll.
Dieser Artikel ist eine allgemeine Einführung und keine Rechtsberatung. Stimmen Sie Ihr Konzept mit Ihrem Datenschutzbeauftragten ab.
Häufige Fragen zu DSGVO und Backup
Muss ich auf Löschanfragen auch die Sicherungen ändern?
In der Praxis werden Sicherungen meist nicht einzeln bearbeitet, sondern laufen mit ihrer Aufbewahrungsfrist aus. Bis dahin sind sie geschützt und werden nicht anderweitig genutzt; wird eine Sicherung zurückgespielt, werden die Löschungen nachgeholt. Die Ausgestaltung sollten Sie mit Ihrem Datenschutzbeauftragten festlegen.
Darf ich Sicherungen in der Cloud speichern?
Ja, mit einem Vertrag zur Auftragsverarbeitung und geeigneten Garantien für den Speicherort. Am einfachsten ist ein Anbieter mit Rechenzentren in Deutschland oder der EU, und mit Verschlüsselung vor der Übertragung bleiben die Inhalte auch für ihn unlesbar.
Wie lange sollte ich Sicherungen aufbewahren?
So lange, wie Sie sie für die Wiederherstellung brauchen, und nicht länger. Üblich sind tägliche Stände für einige Wochen und Monats- oder Jahresstände für längere Zeit. Gesetzliche Aufbewahrungspflichten etwa für Buchhaltungsunterlagen erfüllt man besser mit einer Archivierung als mit Sicherungen.
Datensicherung datenschutzgerecht aufstellen
Wir beraten Sie zu Speicherort, Fristen und Vertrag zur Auftragsverarbeitung.