DSGVO: Personenbezogene Daten in PACS (Überblick)

Disclaimer

• PACS kann und darf keine rechtliche Beratung zu DSGVO-Maßnahmen geben.

• Die in Ihrer PACS Datenbank gespeicherten Daten liegen in Ihrem eigenen Verantwortungsbereich.

• Somit liegt die Verantwortung für eine DSGVO-konforme Datenhaltung und die Umsetzung eines DSGVO-konformen Löschkonzepts nicht bei der Firma PACS Software GmbH & Co. KG, sondern beim jeweiligen PACS Kunden.

• Die auf dieser Seite zusammengestellten Informationen dienen lediglich als Hilfestellung, damit Sie in Zusammenarbeit mit Ihrem Datenschutzbeauftragten ein entsprechendes Lösch-Konzept ausarbeiten können. Die Zusammenstellung erhebt keinerlei Anspruch auf Vollständigkeit und wir garantieren nicht für die Korrektheit der hier genannten Informationen.

PACS und personenbezogene Daten

• Der primäre Fokus von PACS als Projektcontrolling- bzw. Projektabrechnungs-Software beruht auf betriebswirtschaftlichen Themen.

• Da diese bei Projektdienstleistern vor allem auf Mitarbeiter-Leistungen beruhen, werden die Personendaten relevant.

• In PACS werden alle Kunden-, Mitarbeiter- und Projekt-Daten zeitraumübergreifend miteinander verknüpft und liefern damit ein Gesamtbild für Ihr Unternehmen.

• Im Rahmen dieser Gesamtbetrachtung gibt es daher Maßnahmen, die eine DSGVO-konforme Datenhaltung ermöglichen und insbesondere der Anforderungen der Datenminimierung entsprechen.

Kurzüberblick über rechtliche Anforderungen

• Gem. Art. 5 DSGVO sind personenbezogene Daten zu vernichten, wenn die Grundlage für die Verarbeitung nicht mehr gegeben ist.

• Grundsätzlich gilt eine Aufbewahrungspflicht von 3 Jahren (Verjährungsfrist nach § 195 BGB).

• Für Daten, die im Rahmen von ausstehenden Steuer- oder SV-Prüfungen relevant sein können, gelten Aufbewahrungsfristen von i.d.R. 10 Jahre.

• Daten ausgeschiedener Mitarbeiter sind nach Ablauf der Verjährungsfrist zu löschen, wenn dem keine gesetzlichen Grundlagen entgegenstehen.

• Arbeitszeitnachweise und krankheitsbedingte Abwesenheitszeiten sind i.d.R. drei Jahre aufzubewahren, so dass die Einhaltung von Arbeitszeitregelungen nachgewiesen werden kann und Ansprüche ausgeschiedener Mitarbeiter verjährt sind (bspw. auf die Auszahlung von Urlaub und Überstunden, vgl. § 195 BGB). Die Frist endet gem. § 199 BGB mit dem Ende des Jahres, in dem der Anspruch entstanden ist.

Löschen von Datensätzen in PACS

• Das pauschale endgültige Löschen einzelner Kontakte ist aufgrund der notwendigen Datenintegrität derzeit nicht möglich. Um einen Mitarbeiter-Kontakt endgültig löschen zu können, müssten alle datenbanktechnisch verknüpften Datensätze dieses Kontaktes vorab gelöscht werden. Dies betrifft insbesondere alle unter seinem Namen erfasste Zeiten und Kosten (auf Projekte, als Ist-/Plan-Werte), alle namensbezogenen Leistungs- und Kostensätze (aktive & inaktive), alle Provisionen, alle Zielvorgaben und zahlreiche weitere Verknüpfungen.

• Diese vorab zu löschenden Datensätze können wiederum nur gelöscht werden, solange kein Sperrgrund vorliegt.

• Mögliche Sperrgründe:

  • Terminsperre/Monatsabschluss

  • Zeiten/Kosten sind freigegeben (bspw. Urlaubstage)

  • Zeiten/Kosten sind weiterfakturiert

  • Projekt ist beendet

  • Mitarbeiter hat die Firma verlassen (Lizenztyp „Ausgeschiedener MA“)

• Wenn Datensätze dennoch gelöscht würden, dann würde sich das Gesamtbild ändern. Im laufenden Betrieb ist die Auswertung aktueller Daten grundsätzlich gewünscht, damit auch alle Daten aussagekräftig sind. Jedoch wird das massenhafte Löschen von Daten ehemaliger Mitarbeiter aus o.g. Gründen dazu führen, dass Daten und Strukturen in PACS Berichten nicht mehr vollständig und damit hinsichtlich der Summen oder sonstigen Anzeigen nicht mehr korrekt sind und abweichende Ergebnisse im Vergleich zum ursprünglichen Datenbestand liefern. Je nach Löschkonzept kann es daher dazu führen, dass betroffene Berichte, Formulare oder Exportvorlagen keine validen Ergebnisse mehr liefern werden. Beispiele für betroffene Berichte/Formulare: Rechnungsformulare, Tätigkeitsnachweise zu Rechnungen, Arbeitszeitnachweise, Urlaubskonten, Deckungsbeitragsberechnungen, Kapazitätsbetrachtungen und/oder Plan-/Ist-Vergleiche.