Löschkonzept nach den Richtlinien der DSGVO

Die am 25. Mai 2018 in Kraft getretenen DSGVO statuiert den sogenannten Zweckbindungsgrundsatz. Demnach dürfen Unternehmen grundsätzlich nur diejenigen personenbezogenen Daten verarbeiten oder speichern, die der Erfüllung eines konkreten Zwecks dienen. Sobald dieser Zweck erfüllt ist und die Datenspeicherung daher nicht mehr notwendig ist, muss eine Löschung der personenbezogenen Daten erfolgen. Neben der Löschung bei Zweckerfüllung, sind in der Datenschutzgrundverordnung noch weitere Fälle geregelt, in denen Unternehmen die gesammelten Daten löschen müssen. Zu diesen zählen:

• Widerruf der Einwilligung zur Datenverarbeitung
• Fehlende Rechtsgrundlage zur Datenverarbeitung
• Betroffene Person hat Widerspruch gegen Datenverarbeitung eingelegt
• Einforderung der Löschung durch Betroffene
• Unrechtmäßige Datenverarbeitung
• Löschung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung ist nach Unionsrecht oder Recht des Mitgliedstaats erforderlich
• Erhebung personenbezogenen Daten erfolgte in Bezug auf angebotene Dienste einer Informationsgesellschaft gem. Art. 8 Abs. 1

Sollte ein Betroffener tatsächlich von seinem Recht Gebrauch machen und eine Löschung seiner personenbezogenen Daten verlangen, ist die Abweichung der vorher festgelegten Löschfrist unter Umständen notwendig.

Im Gegensatz dazu regelt der Art. 17 Abs. 3 DSGVO Ausnahmefälle, die mit einem Löschverbot bzw. einer Legitimierung einer nicht sofortigen Löschung einhergehen.

Trotz der Verpflichtung, personenbezogene Daten zu löschen, legt die Datenschutzgrundverordnung konkrete Fälle fest, in denen eine Löschung verboten bzw. erst verzögert vorzunehmen ist. Es greift in diesen Fällen die sogenannte Aufbewahrungspflicht.

Ein Löschverbot liegt laut Art 17 Abs. 3 DSGVO dann vor, wenn:

• öffentliche Interessen im Bereich der öffentlichen Gesundheit vorliegen.
• im öffentlichen Interesse liegende Archivzwecke vorliegen.
• wissenschaftliche oder historische Forschungszwecke gegeben sind.
• die Daten für statistische Zwecke verwendet werden.
• die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen notwendig sind.

Die Beispiele zeigen, dass eine genaue Abgrenzung der Lösch- und Aufbewahrungspflichten vorgenommen werden muss, um die rechtlichen Anforderungen zu erfüllen. Um individuell zu klären, ob personenbezogene Daten gelöscht oder über längere Zeit aufbewahrt werden müssen, ist die Absprache mit einem Datenschutzexperten empfehlenswert.

Für das Löschkonzept gibt es keine gesetzlich vorgeschriebene Form oder Inhalte, dennoch ist das Festhalten einiger Informationen sehr empfehlenswert, um den Löschprozess zu erleichtern. In jedem Fall sollten Sie dabei folgende Punkte beachten:

• Datenarten, die im Unternehmen erhoben werden – Empfehlung: Unterscheiden Sie die verschiedenen Datenkategorien.
• Löschfristen, die eingehalten werden müssen – Empfehlung: Erstellen Sie konkrete Löschregeln, da z. B. Mitarbeiter- und Kundendaten einer unterschiedlichen Behandlung bedürfen.
• Ermittlung der Aufbewahrungsfristen für Datenkategorien – Anschließend berechnen Sie den Beginn und Ablauf der Aufbewahrungsfristen.
• Unterscheidung der Unternehmensabteilungen, in denen personenbezogene Daten gesammelt werden – Grund: Die Art der gesammelten Daten unterscheidet sich z. B. in der Personalabteilung, im Vertrieb oder der Logistik und es gelten andere Regelungen.
• Identifikation aller Systeme, mit denen die Datenverarbeitung erfolgt.
• Klärung von möglicher Datenweitergabe an Auftragsverarbeiter – Grund: Diese müssen ebenso eine Datenlöschung bei Zweckerfüllung vornehmen.
• Bestimmung eines Beauftragten und eines Stellvertreters, die die Löschungen vornimmt.
• Dokumentation alles Vorgänge – Grund: Damit kommen Sie gleichzeitige der Rechenschafts- und Dokumentationspflichten nach, die in der DSGVO geregelt ist.

Sollten Sie sich bei der konkreten Umsetzung allerdings noch unsicher sein oder Fragen haben, dann kontaktieren Sie uns gerne. Unsere Datenschutzexperten beraten Sie gerne und erklären Ihnen alles, was Sie als Unternehmen berücksichtigen müssen, um die Anforderungen des Löschkonzepts zu erfüllen.

Da sich die Festlegung eines konkreten Löschdatums pro Datensatz sehr zeitaufwendig und umständlich gestaltet, ist eine einfachere Lösung für die praktische Umsetzung gefragt.
Die Grundlage eines erfolgreichen Löschkonzepts basiert daher auf der Kategorienbildung mit standardisierten Abläufen.

Um ein reibungsloses Verfahren zu ermöglichen, sollte eine Festlegung des Zeitraums erfolgen, nach dessen Ablauf eine Datenlöschung erfolgen muss. Dieser wird als Löschfrist betitelt. Eine Löschfrist kann sich dabei aus dem Gesetz ergeben, wenn für bestimmte Datenarten eine Regelung vorliegt. Immer dann, wenn keine gesetzliche Löschfrist gegeben ist, ist die Einführung einer Standard-Löschfrist zu empfehlen.

All diejenigen Daten, die für die gleiche Zweckerfüllung gesammelt und verarbeitet werden, gelten als gleiche Datenart. Wenn Datenarten den gleichen Startzeitpunkt besitzen, ergibt sich daraus auch automatisch die damit verbundene Frist. Alle Datenarten mit gleichem Startzeitpunkt und identischer Löschfrist lassen sich dadurch zu Löschklassen zusammenfassen. Nach der Festlegung der Löschklassen wird diesen jeweils eine definierte Löschregel zugeordnet.

Wenn Sie eine Löschung vorgenommen haben, reicht dies allein allerdings nicht aus. Um bei Bedarf einen Nachweis vorlegen zu können, dass eine Löschung erfolgt ist, müssen Sie die Löschung dokumentieren. Empfehlenswert ist dafür die Anfertigung eines Löschprotokolls.