Die am 25. Mai 2018 in Kraft getretene DSGVO statuiert den sogenannten Zweckbindungsgrundsatz. Demnach dürfen Unternehmen grundsätzlich nur diejenigen personenbezogenen Daten verarbeiten oder speichern, die der Erfüllung eines konkreten Zwecks dienen. Sobald dieser Zweck erfüllt ist und die Datenspeicherung daher nicht mehr notwendig ist, muss eine Löschung der personenbezogenen Daten erfolgen. Neben der Löschung bei Zweckerfüllung, sind in der Datenschutzgrundverordnung noch weitere Fälle geregelt, in denen Unternehmen die gesammelten Daten löschen müssen. Zu diesen zählen:
Im Gegensatz dazu regelt der Art. 17 Abs. 3 DSGVO Ausnahmefälle, die mit einem Löschverbot bzw. einer Legitimierung einer nicht sofortigen Löschung einhergehen.
Sollte ein Betroffener tatsächlich von seinem Recht Gebrauch machen und eine Löschung seiner personenbezogenen Daten verlangen, ist die Abweichung der vorher festgelegten Löschfrist unter Umständen notwendig.
Trotz der Verpflichtung, personenbezogene Daten zu löschen, legt die Datenschutzgrundverordnung konkrete Fälle fest, in denen eine Löschung verboten bzw. erst verzögert vorzunehmen ist. Es greift in diesen Fällen die sogenannte Aufbewahrungspflicht.
Ein Löschverbot liegt laut Art 17 Abs. 3 DSGVO dann vor, wenn:
Die Beispiele zeigen, dass eine genaue Abgrenzung der Lösch- und Aufbewahrungspflichten vorgenommen werden muss, um die rechtlichen Anforderungen zu erfüllen. Um individuell zu klären, ob personenbezogene Daten gelöscht oder über längere Zeit aufbewahrt werden müssen, ist die Absprache mit einem Datenschutzexperten empfehlenswert.
Für das Löschkonzept gibt es keine gesetzlich vorgeschriebene Form oder Inhalte, dennoch ist das Festhalten einiger Informationen sehr empfehlenswert, um den Löschprozess zu erleichtern. In jedem Fall sollten Sie dabei folgende Punkte beachten:
Sollten Sie sich bei der konkreten Umsetzung allerdings noch unsicher sein oder Fragen haben, dann kontaktieren Sie uns gerne. Unsere Datenschutzexperten beraten Sie gerne und erklären Ihnen alles, was Sie als Unternehmen berücksichtigen müssen, um die Anforderungen des Löschkonzepts zu erfüllen.
Immer dann, wenn keine gesetzliche Löschfrist gegeben ist, ist die Einführung einer Standard-Löschfrist zu empfehlen.
Da sich die Festlegung eines konkreten Löschdatums pro Datensatz sehr zeitaufwendig und umständlich gestaltet, ist eine einfachere Lösung für die praktische Umsetzung gefragt. Die Grundlage eines erfolgreichen Löschkonzepts basiert daher auf der Kategorienbildung mit standardisierten Abläufen.
Um ein reibungsloses Verfahren zu ermöglichen, sollte eine Festlegung des Zeitraums erfolgen, nach dessen Ablauf eine Datenlöschung erfolgen muss. Dieser wird als Löschfrist betitelt. Eine Löschfrist kann sich dabei aus dem Gesetz ergeben, wenn für bestimmte Datenarten eine Regelung vorliegt.
All diejenigen Daten, die für die gleiche Zweckerfüllung gesammelt und verarbeitet werden, gelten als gleiche Datenart. Wenn Datenarten den gleichen Startzeitpunkt besitzen, ergibt sich daraus auch automatisch die damit verbundene Frist. Alle Datenarten mit gleichem Startzeitpunkt und identischer Löschfrist lassen sich dadurch zu Löschklassen zusammenfassen. Nach der Festlegung der Löschklassen wird diesen jeweils eine definierte Löschregel zugeordnet.
Wenn Sie eine Löschung vorgenommen haben, reicht dies allein allerdings nicht aus. Um bei Bedarf einen Nachweis vorlegen zu können, dass eine Löschung erfolgt ist, müssen Sie die Löschung dokumentieren. Empfehlenswert ist dafür die Anfertigung eines Löschprotokolls.
Melden Sie sich gerne bei mir. Gemeinsam besprechen wir Ihre Fragen und Anforderungen und finden eine Lösung für den Datenschutz in Ihrem Unternehmen.
In einem Löschkonzept wird geregelt, wann welche Person welche personenbezogenen Daten (bspw. zu Mitarbeitern oder Kunden) löschen muss, wo die Daten überhaupt abgespeichert sind und wie die Löschung vollzogen werden muss. Schließlich sollen die Daten von Personen nur so lange behalten werden, wie es für den Verarbeitungszweck notwendig ist. Je nach Datenform gibt es unterschiedliche Aufbewahrungsfristen.
Es gibt einige Ausnahmen, in denen Daten nicht gelöscht werden müssen. Eine Pflicht zur Löschung besteht u. a. dann nicht, wenn personenbezogene Daten weiterhin erforderlich sind. Dies kann im Fall freier Meinungsäußerungen eintreten oder es müssen rechtliche Verpflichtungen erfüllt werden, die einer besonderen Verarbeitung unterliegen. Bei einem besonderen, öffentlichen Interesse sowie für statistische Archivzwecke kann eine Aufbewahrung ebenfalls gerechtfertigt sein. In bestimmten Fällen können zudem Rechtsansprüche geltend gemacht werden.
Wurden Daten früher beispielsweise in DVDs oder CDs gespeichert, so war es gängig diese zu schreddern. Heutzutage werden Datensätze hauptsächlich digital, z. B. auf Computern oder in der Cloud, gespeichert. Hier müssen die Datensätze entweder automatisch durch spezielle Programme oder manuell gelöscht werden. Wichtig ist dabei, dass auch automatisch erstellte Kopien durch Backup– oder Sicherheitsmechanismen ebenfalls gelöscht werden. Alternativ können Daten auch anonymisiert werden, wenn sie keiner Person mehr zugeordnet werden können, aber für statistische Zwecke nutzbar sind.
Friedrich-Engels-Allee 200
42285 Wuppertal
Telefon: 0202 9479 4940
E-Mail: kontakt@datenzeit.de
Katernberger Str. 107
45327 Essen
Telefon: 0201 6950 6020
E-Mail: kontakt@datenzeit.de
