Datenaufbewahrung und sichere Datenentsorgung

Organisationen erstellen und speichern täglich große Mengen an Informationen. Kundendaten, Personalakten, Verträge, Finanzdokumente, E-Mails, Systemprotokolle, Projektunterlagen und operative Daten können in Geschäftsanwendungen, auf Cloud-Plattformen, gemeinsam genutzten Laufwerken, in physischen Archiven, auf Endgeräten von Beschäftigten und in Sicherungssystemen gespeichert sein.

Einige dieser Informationen müssen aufbewahrt werden, um gesetzliche, regulatorische, vertragliche oder betriebliche Anforderungen zu erfüllen. Andere Daten erfüllen möglicherweise keinen gültigen Geschäftszweck mehr. Werden Informationen unbegrenzt aufbewahrt, steigen die Speicherkosten und die Komplexität der Informationsverwaltung. Gleichzeitig entstehen vermeidbare Risiken für die Informationssicherheit, den Datenschutz und die Compliance.

Datenaufbewahrung und sichere Datenentsorgung helfen Ihnen dabei, zu entscheiden, welche Informationen aufbewahrt werden sollten, wie lange sie benötigt werden und wie sie sicher gelöscht oder vernichtet werden können, sobald kein berechtigter Aufbewahrungsgrund mehr besteht. Bei CA unterstützen wir Organisationen bei der Einrichtung praxisnaher Aufbewahrungsprozesse, die Informationen während ihres gesamten Lebenszyklus schützen und einheitliche Entscheidungen über Systeme, Abteilungen und Standorte hinweg ermöglichen.

Warum das wichtig ist

Informationen länger als notwendig aufzubewahren, kann zunächst sicherer erscheinen, als sie zu löschen. In der Praxis führt eine übermäßige Aufbewahrung jedoch häufig zu zusätzlichen Risiken.
Alte Datensätze können unrichtige, duplizierte oder sensible Informationen enthalten. Daten ehemaliger Beschäftigter können weiterhin in archivierten Systemen vorhanden sein. Kundendaten bleiben möglicherweise lange nach dem Ende des ursprünglichen Verarbeitungszwecks zugänglich. Dokumente können an mehreren Orten gespeichert sein, wodurch sich nur schwer feststellen lässt, welche Version aktuell ist oder ob tatsächlich alle Kopien entfernt wurden.
Gleichzeitig kann eine zu frühe Löschung von Informationen rechtliche, regulatorische, vertragliche oder betriebliche Probleme verursachen. Wichtige Nachweise könnten verloren gehen, Geschäftsunterlagen nicht mehr verfügbar sein und die Organisation wäre möglicherweise nicht in der Lage, angemessen auf ein Audit, einen Rechtsstreit, eine Untersuchung oder eine Kundenanfrage zu reagieren.
Eine wirksame Datenaufbewahrung und sichere Datenentsorgung helfen Ihnen dabei:

🎯

Gesetzliche und regulatorische Verpflichtungen zu erfüllen

Bewahren Sie Geschäftsunterlagen für die Zeiträume auf, die durch geltende Gesetze, Vorschriften, Verträge und Branchenstandards vorgeschrieben sind.

📊

Unnötige Datenrisiken zu reduzieren

Entfernen Sie Informationen, für deren Aufbewahrung kein gültiger geschäftlicher, rechtlicher oder regulatorischer Grund mehr besteht.

🛡️

Das Informationsmanagement zu verbessern

Legen Sie klare Regeln dafür fest, wie lange unterschiedliche Informationskategorien aufbewahrt werden und wer für ihre Verwaltung verantwortlich ist.

🤝

Audits und Untersuchungen zu unterstützen

Stellen Sie sicher, dass relevante Unterlagen während des erforderlichen Zeitraums vollständig, verfügbar und zugänglich bleiben.

💡

Speicher- und Betriebskosten zu kontrollieren

Reduzieren Sie die Menge veralteter, duplizierter und unnötiger Informationen in Systemen und an physischen Speicherorten.

🔒

Informationen sicher zu entsorgen

Stellen Sie sicher, dass sensible Informationen nach ihrer genehmigten Entsorgung nicht rekonstruiert, wiederhergestellt oder abgerufen werden können.

Unser Ansatz

Wir entwickeln Aufbewahrungs- und Entsorgungsprozesse auf Grundlage der Informationen, über die Ihre Organisation verfügt, der jeweiligen Verwendungszwecke sowie der unterstützenden Systeme und Geschäftsprozesse.
Unser Ziel besteht nicht lediglich darin, einen Aufbewahrungsplan zu erstellen. Wir helfen Ihnen, ein praxisnahes Betriebsmodell zu etablieren, das Richtlinienanforderungen mit klaren Verantwortlichkeiten, technischen Kontrollen, den Aufgaben der Beschäftigten und nachvollziehbaren Nachweisen über die ordnungsgemäße Entsorgung verbindet.

Ihre Informationsumgebung verstehen

Zu Beginn identifizieren wir die wichtigsten Kategorien von Informationen, die von Ihrer Organisation erstellt, empfangen, verarbeitet und gespeichert werden.
Dazu können personenbezogene Daten, Personalakten, Kundeninformationen, Finanzdokumente, Verträge, Korrespondenz, technische Unterlagen, Systemprotokolle, Sicherheitsinformationen, geistiges Eigentum und betriebliche Dokumentationen gehören.
Wir betrachten die verschiedenen Speicherorte dieser Informationen. Dazu zählen Geschäftsanwendungen, Datenbanken, Cloud-Plattformen, Tools für die Zusammenarbeit, E-Mail-Systeme, Endgeräte von Beschäftigten, gemeinsam genutzte Ordner, physische Archive, Sicherungsumgebungen und externe Dienstleister.
Darüber hinaus untersuchen wir, wie die Informationen die Geschäftsaktivitäten unterstützen. Warum werden sie erhoben? Wer nutzt sie? Werden sie für gesetzliche, regulatorische, vertragliche oder betriebliche Zwecke benötigt? Sind dieselben Informationen an mehreren Speicherorten oder in unterschiedlichen Formaten vorhanden?
Dadurch entsteht ein klareres Bild der Informationslandschaft Ihrer Organisation. Gleichzeitig lassen sich Bereiche identifizieren, in denen Aufbewahrungspraktiken uneinheitlich sind oder nicht ausreichend verstanden werden.

Aufbewahrungsanforderungen festlegen

Wir helfen Ihnen zu bestimmen, wie lange die unterschiedlichen Informationskategorien aufbewahrt werden sollten.
Aufbewahrungsfristen können durch gesetzliche Vorschriften, regulatorische Erwartungen, vertragliche Verpflichtungen, Verjährungsfristen, Anforderungen im Zusammenhang mit Rechtsstreitigkeiten, branchenübliche Praktiken und berechtigte betriebliche Bedürfnisse beeinflusst werden.
Wenn für dieselben Informationen mehrere Anforderungen gelten, unterstützen wir Sie dabei, eine angemessene und nachvollziehbar begründete Aufbewahrungsfrist festzulegen. Dabei berücksichtigen wir sowohl die Risiken einer zu langen Aufbewahrung als auch die möglichen Folgen einer vorzeitigen Löschung.
Jede Aufbewahrungsregel sollte eindeutig festlegen:
- welche Informationskategorie von der Regel erfasst wird
- zu welchem Zweck die Informationen aufbewahrt werden
- welches Ereignis den Beginn der Aufbewahrungsfrist auslöst
- wie lange die erforderliche Aufbewahrungsfrist dauert
- in welchem System oder an welchem Ort sich die Informationen befinden
- welcher Geschäftsbereich oder Informationsverantwortliche zuständig ist
- welche Entsorgungsmethode genehmigt wurde
- welche Ausnahmen, Überprüfungsanforderungen oder rechtlichen Aufbewahrungssperren gelten
Das Ergebnis ist ein praxisnaher Aufbewahrungsplan, der von Geschäfts-, Technologie-, Compliance-, Datenschutz-, Rechts- und Records-Management-Teams verstanden und angewendet werden kann.

Lücken und unnötige Datenaufbewahrung identifizieren

Wir prüfen, ob die bestehenden Aufbewahrungspraktiken den genehmigten Anforderungen entsprechen.
Dies kann die Überprüfung von Systemkonfigurationen, Speicherorten, Archivierungsprozessen, Sicherungsverfahren, physischen Unterlagen, Lieferantenplattformen und den Arbeitsweisen der Beschäftigten umfassen.
Wir suchen insbesondere nach Informationen, die:
- ohne einen klaren Zweck aufbewahrt werden
- über den genehmigten Zeitraum hinaus gespeichert sind
- an mehreren Speicherorten dupliziert wurden
- in inaktiven oder veralteten Systemen gespeichert sind
- für mehr Personen als notwendig zugänglich sind
- nur schwer gefunden oder gelöscht werden können
- von Lieferanten ohne ausreichende Kontrolle gespeichert werden
- widersprüchlichen Aufbewahrungsanforderungen unterliegen
- von bestehenden Entsorgungsprozessen nicht erfasst werden

Die Ergebnisse werden anhand der Sensibilität der Informationen, des Umfangs des Problems, der geltenden Verpflichtungen und der möglichen Auswirkungen auf die Organisation und betroffene Personen priorisiert.

Sichere Entsorgungsmethoden festlegen

Das Löschen einer Datei oder die Entsorgung eines physischen Dokuments bedeutet nicht immer, dass die darin enthaltenen Informationen dauerhaft entfernt wurden.
Daten können möglicherweise aus gelöschten Ordnern, Archiven, Sicherungssystemen, Speichermedien, Anwendungsdatenbanken oder den Umgebungen von Dienstleistern wiederhergestellt werden. Auch physische Dokumente und Datenträger können zu einem Sicherheitsrisiko werden, wenn sie ohne angemessene Kontrollen entsorgt werden.
Wir helfen Ihnen, sichere Entsorgungsmethoden festzulegen, die der Sensibilität, dem Format, dem Speicherort und der verwendeten Speichertechnologie entsprechen.
Dazu können folgende Methoden gehören:
- dauerhafte Löschung aus Anwendungen und Speicherplattformen
- sicheres Löschen von Geräten und Wechseldatenträgern
- genehmigte Vernichtung physischer Dokumente
- Vernichtung oder sichere Bereinigung ausgemusterter Geräte
- kontrollierte Löschung aus Cloud-Diensten
- Entfernung archivierter und duplizierter Informationen
- Löschung oder Anonymisierung personenbezogener Daten
- Bestätigung der Entsorgung durch externe Dienstleister
- Dokumentation abgeschlossener Entsorgungsmaßnahmen

Die Entsorgungsmethode sollte der Sensibilität der Informationen angemessen sein und eine unbefugte Wiederherstellung oder Rekonstruktion verhindern.

Rechtliche Aufbewahrungssperren und genehmigte Ausnahmen verwalten

Informationen, die normalerweise gelöscht würden, müssen möglicherweise aufgrund eines Rechtsstreits, einer Untersuchung, eines Audits, einer regulatorischen Anfrage oder einer anderen formellen Anforderung weiterhin aufbewahrt werden.
Wir helfen Ihnen, einen klaren Prozess für rechtliche Aufbewahrungssperren, sogenannte Legal Holds, und andere genehmigte Ausnahmen einzurichten. Dadurch wird sichergestellt, dass relevante Informationen nicht im Rahmen routinemäßiger Löschvorgänge entfernt werden.
Der Prozess sollte festlegen, wer eine Aufbewahrungssperre genehmigen darf, welche Unterlagen davon betroffen sind, wie Beschäftigte und Systemverantwortliche informiert werden und wie die Sperre an den relevanten Speicherorten umgesetzt wird.
Darüber hinaus sollte der Prozess regelmäßige Überprüfungen umfassen. Informationen sollten nicht unbegrenzt einer rechtlichen Aufbewahrungssperre unterliegen, wenn der zugrunde liegende Grund nicht mehr besteht.
Nach Aufhebung der Sperre sollten die Informationen wieder dem regulären Aufbewahrungs- und Entsorgungsprozess unterliegen, sofern keine andere gültige Anforderung ihre weitere Aufbewahrung rechtfertigt.

Aufbewahrungskontrollen implementieren

Ein Aufbewahrungsplan schafft nur dann einen tatsächlichen Mehrwert, wenn seine Anforderungen in den alltäglichen Systemen und Prozessen umgesetzt werden.
Wir helfen Ihnen dabei, Aufbewahrungsregeln in konkrete Kontrollen zu übertragen. Je nach Umgebung können dazu automatisierte Löschvorgänge, Einstellungen für das Lebenszyklusmanagement, Archivierungsregeln, Erinnerungen für Beschäftigte, Genehmigungsworkflows, Zugriffsbeschränkungen oder manuelle Überprüfungsverfahren gehören.
Darüber hinaus unterstützen wir die Integration von Aufbewahrungsanforderungen in folgende Bereiche:
- Systementwicklung und Beschaffung
- Datenklassifizierung
- Datenschutz- und Informationssicherheitsprüfungen
- Onboarding und Offboarding von Beschäftigten
- Vertrags- und Lieferantenmanagement
- Records Management
- Reaktion auf Sicherheitsvorfälle
- Gestaltung von Geschäftsprozessen
- Cloud-Migration und Außerbetriebnahme von Systemen
Wenn automatisierte Löschvorgänge eingeführt werden, empfehlen wir, die entsprechenden Kontrollen vor der vollständigen Implementierung zu testen. Dadurch lässt sich bestätigen, dass die richtigen Informationen zum richtigen Zeitpunkt gelöscht werden und rechtliche Aufbewahrungssperren, genehmigte Ausnahmen sowie weiterhin benötigte Unterlagen nicht unbeabsichtigt betroffen sind.

Verantwortlichkeiten von Lieferanten und Cloud-Dienstleistern steuern

Externe Dienstleister können Informationen im Auftrag Ihrer Organisation speichern oder verarbeiten. Dadurch entfällt jedoch nicht die Verantwortung Ihrer Organisation dafür, dass diese Informationen ordnungsgemäß aufbewahrt und entsorgt werden.
Wir prüfen, ob Lieferantenverträge klare Regelungen zu Aufbewahrungsfristen, Löschanforderungen, Sicherungskopien, Unterauftragnehmern, Datenrückgabe, Vertragsbeendigung und Nachweisen über die sichere Datenentsorgung enthalten.
Außerdem betrachten wir, ob die Organisation bereits während der Vertragsbeziehung eine Löschung verlangen kann, wie schnell der Dienstleister darauf reagieren muss und ob die Löschung aktive Systeme, Archive und Sicherungskopien umfasst.
Bei Beendigung einer Dienstleistung sollte die Organisation genau wissen, welche Informationen zurückgegeben werden, welche Daten gelöscht werden, wie lange dieser Prozess dauert und welche Nachweise der Dienstleister anschließend bereitstellt.

Überwachen, überprüfen und verbessern

Aufbewahrungsanforderungen und Informationsumgebungen verändern sich im Laufe der Zeit. Neue Vorschriften können eingeführt, Geschäftsprozesse weiterentwickelt, Systeme ersetzt und neue Informationskategorien geschaffen werden.
Wir helfen Ihnen dabei, klare Verantwortlichkeiten, Überprüfungsintervalle, Berichtsverfahren, Kontrolltests und Prozesse für den Umgang mit Ausnahmen einzurichten.
Die Überwachung kann folgende Bereiche umfassen:
- Datensätze, deren Aufbewahrungsfrist abgelaufen ist
- abgeschlossene und überfällige Entsorgungsmaßnahmen
- Informationen, die rechtlichen Aufbewahrungssperren unterliegen
- Systeme, die die erforderlichen Aufbewahrungskontrollen nicht unterstützen
- Einhaltung der Löschanforderungen durch Lieferanten
- Richtlinienausnahmen und ungelöste Probleme
- Umfang veralteter oder duplizierter Informationen
- Nachweise über die abgeschlossene sichere Entsorgung

Regelmäßige Überprüfungen tragen dazu bei, dass die Aufbewahrungsregeln weiterhin korrekt sind, die Entsorgungskontrollen wirksam funktionieren und die Verantwortlichkeiten innerhalb der gesamten Organisation verstanden werden.

Was CA auszeichnet

💬

Geschäftsorientierte Datenaufbewahrung

Wir verknüpfen Aufbewahrungsfristen mit tatsächlichen gesetzlichen, regulatorischen, vertraglichen und betrieblichen Anforderungen, anstatt Informationen ohne klaren Zweck aufzubewahren.

🛡️

Praxisnahe Aufbewahrungspläne

Wir entwickeln Regeln, die Geschäfts- und Technologie-Teams verstehen, anwenden und langfristig aufrechterhalten können.

🤝

Berücksichtigung des gesamten Informationslebenszyklus

Unser Ansatz berücksichtigt, wie Informationen erstellt, verwendet, weitergegeben, gespeichert, archiviert, aufbewahrt und sicher entsorgt werden.

⚖️

Verbindung zwischen Richtlinien und Technologie

Wir helfen Ihnen dabei, Aufbewahrungsanforderungen in praktische Kontrollen für Systeme, Anwendungen, Cloud-Plattformen, physische Archive und Dienstleistungen externer Anbieter zu übertragen.

🔗

Angemessene Entsorgungsmethoden

Wir stimmen die Entsorgungsmethode auf die Sensibilität, das Format, den Speicherort und das mit den jeweiligen Informationen verbundene Risiko ab.

📋

Klare Verantwortlichkeiten und Nachweise

Wir helfen Ihnen festzulegen, wer für Aufbewahrungsentscheidungen, Entsorgungsmaßnahmen, Ausnahmen, rechtliche Aufbewahrungssperren und die Bestätigung der abgeschlossenen Maßnahmen verantwortlich ist.

⚙️

Unabhängige Beratung

Unsere Empfehlungen orientieren sich an Ihren Informationen, geschäftlichen Anforderungen, Ihrer Technologieumgebung und Ihrem Risikoprofil. Sie basieren nicht auf der Vermarktung eines bestimmten Produkts oder einer bestimmten Plattform.

Der geschäftliche Mehrwert

Datenaufbewahrung und sichere Datenentsorgung mit CA geben Ihrer Organisation mehr Kontrolle darüber, wie lange Informationen aufbewahrt werden und was mit ihnen geschieht, sobald sie nicht mehr benötigt werden.
Der Ansatz hilft dabei, die Menge unnötiger Daten zu reduzieren, die Auswirkungen von Cybervorfällen zu begrenzen, die Compliance zu verbessern und Speicherressourcen effizienter einzusetzen. Gleichzeitig entstehen nachvollziehbare Nachweise dafür, dass Informationen nach klar definierten und begründbaren Regeln aufbewahrt und entsorgt werden.
Ein strukturiertes Programm erleichtert die Reaktion auf Audits, Untersuchungen, Rechtsstreitigkeiten, regulatorische Anfragen, Betroffenenanfragen und Kundenbewertungen. Teams können erforderliche Unterlagen effizienter finden und nachvollziehbar erklären, warum bestimmte Informationen aufbewahrt oder gelöscht wurden.
Eine sichere Entsorgung reduziert außerdem Risiken im Zusammenhang mit veralteten Systemen, nicht mehr verwendeten Geräten, physischen Unterlagen, duplizierten Dateien und Informationen, die von ehemaligen Dienstleistern gespeichert werden. Anstatt veraltete Daten unkontrolliert anzusammeln, kann die Organisation sie im Rahmen eines kontrollierten und dokumentierten Prozesses entfernen.
Vor allem stärkt eine wirksame Aufbewahrung und Entsorgung das Vertrauen. Kunden, Beschäftigte, Geschäftspartner und Aufsichtsbehörden können darauf vertrauen, dass die Organisation Informationen nur so lange aufbewahrt, wie sie tatsächlich benötigt werden, und sie während ihres gesamten Lebenszyklus angemessen schützt.

Nächster Schritt

Informationen sollten aus einem klar definierten Grund aufbewahrt werden und nicht nur deshalb, weil sie eines Tages nützlich sein könnten.
Kontaktieren Sie CA für ein unverbindliches Erstgespräch. Wir helfen Ihnen, Ihre Aufbewahrungspflichten zu verstehen, unnötige Daten zu identifizieren und einen praxisnahen Prozess für die sichere Entsorgung von Informationen zu entwickeln, sobald diese nicht mehr benötigt werden.