Читать книгу Festschrift für Jürgen Taeger - Группа авторов - Страница 143

Art. 16 Abs. 7 Unterabs. 9 der MiFID II und in der Folge § 83 Abs. 8 Satz 1 WpHG verlangen eine Aufbewahrung aller Unterlagen über einen Zeitraum von fünf Jahren. Dabei handelt es sich um eine Höchstfrist (vgl. § 83 Abs. 8 Satz 4 WpHG). Danach sind die Daten zu löschen oder zu vernichten (§ 83 Abs. 8 Satz 2 WpHG). Die BaFin kann diese Frist insbesondere zur Beweissicherung um zwei Jahre verlängern (§ 83 Abs. 8 Satz 4 WpHG).82 Da der vom WpHG vorgesehene Zeitraum von fünf Jahren kürzer ist als die absolute Verjährung nach § 199 Abs. 3 Satz 1 Nr. 1 BGB (10 Jahre), wird im Schrifttum in Richtung Gesetzgeber teilweise eine Verlängerung der Aufbewahrungspflicht vorgeschlagen.83

Dagegen sollen personenbezogene Daten gemäß der DSGVO grundsätzlich nur so lange gespeichert werden, wie dies unbedingt notwendig ist.84 Damit wird die Verarbeitung bzw. Speicherung auf das absolute Minimum beschränkt. Insofern besteht nach Art. 17 Abs. 1 lit. b DSGVO eine Löschpflicht, wenn die betroffene Person ihre Einwilligung widerruft bzw. wenn sie die Löschung begehrt, worin konkludent ein Widerruf der Einwilligung gesehen werden kann. Eine Pflicht zur Löschung besteht zudem, wenn die Daten für die Zwecke, zu denen sie erhoben wurden, nicht mehr notwendig sind (Art. 17 Abs. 1 lit. a DSGVO) bzw. sich die Löschpflicht aus der rechtlichen Verpflichtung ergibt (Art. 17 Abs. 1 lit. e DSGVO).

Allerdings spielt auch hier wieder die bereits angesprochene85 Rechtmäßigkeit des Umfangs der Datenverarbeitung eine Rolle. Denn ein Recht zur Löschung besteht nach Art. 17 Abs. 3 lit. b DSGVO dann nicht, wenn die weitere Verarbeitung bzw. Speicherung der Daten zur Erfüllung einer rechtlichen Verpflichtung, wie etwa § 83 Abs. 3 WpHG, erforderlich ist (vgl. Art. 6 Abs. 1 lit. c DSGVO).86 Damit ist das Verlangen einer Löschung in den vorliegenden Fällen dann unbeachtlich, wenn dem die gesetzlichen Aufbewahrungspflichten aus § 83 Abs. 8 WpHG entgegenstehen.

Problematisch wird das Zusammenspiel zwischen DSGVO und MiFID II aber dann, wenn mit einem Teil des Schrifttums die Pflicht zur Löschung der Aufzeichnung in bestimmten Konstellationen einschränkend auszulegen sein soll. Das soll etwa der Fall sein, wenn das Wertpapierdienstleistungsunternehmen in einem laufenden Zivilprozess mit dem Kunden die Aufzeichnung aus Beweisgründen benötigt.87