Wie konkret muss die Speicherdauer im Rahmen einer Auskunft nach Art 15 DSGVO beauskunftet werden? - Das BVwG hat die Frage beantwortet

Die DSGVO gewährt in Art 15 Abs 1 lit d DSGVO (Auskunftsrecht) betroffenen Personen das Recht, Informationen über die geplante Speicherdauer ihrer personenbezogenen Daten zu erhalten. Falls eine konkrete Dauer nicht angegeben werden kann, müssen zumindest die Kriterien für deren Festlegung mitgeteilt werden.

Nun hat der VwGH in einem Verfahren dazu eine Konkretisierung vorgenommen:

Der Verantwortliche informierte die betroffene Person am 28.07.2023, dass die Daten bis zum Ende der Geschäftsbeziehung sowie gemäß gesetzlicher Aufbewahrungspflichten oder bis zur Verjährung möglicher Rechtsansprüche gespeichert würden.

Die Datenschutzbehörde kritisierte diese Auskunft als unzureichend, da allgemeine Verweise auf gesetzliche Pflichten oder mögliche Rechtsansprüche ohne konkrete Rechtsgrundlagen den Anforderungen des Art. 15 Abs. 1 lit. d DSGVO nicht genügen. Betroffene sollten in die Lage versetzt werden, die Speicherdauer selbst einschätzen zu können.

Im Rahmen des Verfahrens nannte der Verantwortliche konkrete Rechtsgrundlagen (§ 132 BAO und § 1486 ABGB) für die Speicherdauer.  Aus den Angaben ergibt sich daher (über die bestehende Geschäftsbeziehung hinaus) die Dauer der Speicherung der personenbezogenen Daten der betroffenen Person bzw. die Kriterien für die Festlegung dieser Dauer. Diese Präzisierung erfüllt nun die Anforderungen des Art. 15 Abs. 1 lit. d DSGVO.

Fazit:

Es reicht nicht, dass der Verantwortliche generell auf "gesetzliche Aufbewahrungspflichten" oder "Verjährung" verweist, aber es ist ausreichend, wenn auf die konkrete gesetzliche Bestimmung hingewiesen wird. Dann kann die betroffene Person zB über das Rechtsinformationssystem des Bundes (RIS) die konkrete Rechtsgrundlage finden, und so die Speicherdauer selbst einschätzen. 

Eine Hilfe für die Verantwortlichen ist eine (nicht vollständige) Übersicht der Wirtschaftskammer Österreich: 

EU-Datenschutz-Grundverordnung (DSGVO): Speicher-, Verjährungs- und Aufbewahrungs­fristen - WKO

EXKURS Informationspflicht iSd Art 13 oder Art 14 DSGVO.

Bitte beachten Sie auch, dass gem Art 13 Abs 2 lit a DSGVO sowie Art 14 Abs 2 lit a DSGVO auch für die Erfüllung der Informationspflicht gefordert ist, dass "die Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung der Dauer" anzugeben ist. Die Bestimmung ist wortgleich, sodass davon auszugehen ist, dass auch im Rahmen dieser Verpflichtung die allgemeine Angabe nicht ausreichend ist, sondern zumindest ein Verweis auf die jeweiligen gesetzlichen Bestimmungen erfolgen muss.