Löschkonzept nach den Richtlinien der DSGVO

Als Unternehmen, das personenbezogene Daten verarbeitet, ist auch die Löschung eben dieser Informationen mit datenschutzrechtlichen Regelungen verbunden. Aus Art. 17 Abs. 1 DSGVO geht hervor, wann der Verantwortliche die personenbezogenen Daten des Betroffenen löschen muss. Das gilt unabhängig davon, ob der Betroffene eine Datenlöschung einfordert oder nicht. Obgleich die Erstellung eines Löschkonzepts nicht ausdrücklich in der DSGVO geregelt wird, ergibt sich dies aus der Pflicht zur Löschung personenbezogener Daten. Für Sie als Unternehmen ist ein Löschkonzept daher notwendig, um Aufbewahrungs- und Löschfristen einzutragen und eine fristgerechte Löschung einzuhalten. Dabei gilt grundsätzlich, dass aus einem Löschkonzept ersichtlich sein muss, wann personenbezogene Daten zu löschen sind und wie dies intern geregelt ist.

Inhaltsverzeichnis

Wann müssen Unternehmen personenbezogene Daten löschen?

Die am 25. Mai 2018 in Kraft getretene DSGVO statuiert den sogenannten Zweckbindungsgrundsatz. Demnach dürfen Unternehmen grundsätzlich nur diejenigen personenbezogenen Daten verarbeiten oder speichern, die der Erfüllung eines konkreten Zwecks dienen. Sobald dieser Zweck erfüllt ist und die Datenspeicherung daher nicht mehr notwendig ist, muss eine Löschung der personenbezogenen Daten erfolgen. Neben der Löschung bei Zweckerfüllung, sind in der Datenschutzgrundverordnung noch weitere Fälle geregelt, in denen Unternehmen die gesammelten Daten löschen müssen. Zu diesen zählen:

  • Widerruf der Einwilligung zur Datenverarbeitung
  • Fehlende Rechtsgrundlage zur Datenverarbeitung
  • Betroffene Person hat Widerspruch gegen Datenverarbeitung eingelegt
  • Einforderung der Löschung durch Betroffene
  • Unrechtmäßige Datenverarbeitung
  • Löschung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung ist nach Unionsrecht oder Recht des Mitgliedstaats erforderlich
  • Erhebung personenbezogenen Daten erfolgte in Bezug auf angebotene Dienste einer Informationsgesellschaft gem. Art. 8 Abs. 1 DSGVO

Im Gegensatz dazu regelt der Art. 17 Abs. 3 DSGVO Ausnahmefälle, die mit einem Löschverbot bzw. einer Legitimierung einer nicht sofortigen Löschung einhergehen.

Wichtig:

Sollte ein Betroffener tatsächlich von seinem Recht Gebrauch machen und eine Löschung seiner personenbezogenen Daten verlangen, ist die Abweichung der vorher festgelegten Löschfrist unter Umständen notwendig.

Ausnahmen der Löschpflicht aufgrund der Aufbewahrungspflicht

Trotz der Verpflichtung, personenbezogene Daten zu löschen, legt die Datenschutzgrundverordnung konkrete Fälle fest, in denen eine Löschung verboten bzw. erst verzögert vorzunehmen ist. Es greift in diesen Fällen die sogenannte Aufbewahrungspflicht.

Ein Löschverbot liegt laut Art 17 Abs. 3 DSGVO dann vor, wenn:

  • öffentliche Interessen im Bereich der öffentlichen Gesundheit vorliegen.
  • im öffentlichen Interesse liegende Archivzwecke vorliegen.
  • wissenschaftliche oder historische Forschungszwecke gegeben sind.
  • die Daten für statistische Zwecke verwendet werden.
  • die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen notwendig sind.

Die Beispiele zeigen, dass eine genaue Abgrenzung der Lösch- und Aufbewahrungspflichten vorgenommen werden muss, um die rechtlichen Anforderungen zu erfüllen. Um individuell zu klären, ob personenbezogene Daten gelöscht oder über längere Zeit aufbewahrt werden müssen, ist die Absprache mit einem Datenschutzexperten empfehlenswert.

Welche Inhalte muss ein Löschkonzept umfassen?

Für das Löschkonzept gibt es keine gesetzlich vorgeschriebene Form oder Inhalte, dennoch ist das Festhalten einiger Informationen sehr empfehlenswert, um den Löschprozess zu erleichtern. In jedem Fall sollten Sie dabei folgende Punkte beachten:

  • Datenarten, die im Unternehmen erhoben werden – Empfehlung: Unterscheiden Sie die verschiedenen Datenkategorien.
  • Löschfristen, die eingehalten werden müssen – Empfehlung: Erstellen Sie konkrete Löschregeln, da z. B. Mitarbeiter- und Kundendaten einer unterschiedlichen Behandlung bedürfen.
  • Ermittlung der Aufbewahrungsfristen für Datenkategorien – Anschließend berechnen Sie den Beginn und Ablauf der Aufbewahrungsfristen.
  • Unterscheidung der Unternehmensabteilungen, in denen personenbezogene Daten gesammelt werden – Grund: Die Art der gesammelten Daten unterscheidet sich z. B. in der Personalabteilung, im Vertrieb oder der Logistik und es gelten andere Regelungen.
  • Identifikation aller Systeme, mit denen die Datenverarbeitung erfolgt.
  • Klärung von möglicher Datenweitergabe an Auftragsverarbeiter – Grund: Diese müssen ebenso eine Datenlöschung bei Zweckerfüllung vornehmen.
  • Bestimmung eines Beauftragten und eines Stellvertreters, die die Löschungen vornimmt.
  • Dokumentation alles Vorgänge – Grund: Damit kommen Sie gleichzeitige der Rechenschafts- und Dokumentationspflichten nach, die in der DSGVO geregelt ist.

Sollten Sie sich bei der konkreten Umsetzung allerdings noch unsicher sein oder Fragen haben, dann kontaktieren Sie uns gerne. Unsere Datenschutzexperten beraten Sie gerne und erklären Ihnen alles, was Sie als Unternehmen berücksichtigen müssen, um die Anforderungen des Löschkonzepts zu erfüllen.

Wichtig:

Immer dann, wenn keine gesetzliche Löschfrist gegeben ist, ist die Einführung einer Standard-Löschfrist zu empfehlen.

Bedeutung von Löschklassen, Löschfristen und Löschregeln

Da sich die Festlegung eines konkreten Löschdatums pro Datensatz sehr zeitaufwendig und umständlich gestaltet, ist eine einfachere Lösung für die praktische Umsetzung gefragt. Die Grundlage eines erfolgreichen Löschkonzepts basiert daher auf der Kategorienbildung mit standardisierten Abläufen.

Um ein reibungsloses Verfahren zu ermöglichen, sollte eine Festlegung des Zeitraums erfolgen, nach dessen Ablauf eine Datenlöschung erfolgen muss. Dieser wird als Löschfrist betitelt. Eine Löschfrist kann sich dabei aus dem Gesetz ergeben, wenn für bestimmte Datenarten eine Regelung vorliegt.

All diejenigen Daten, die für die gleiche Zweckerfüllung gesammelt und verarbeitet werden, gelten als gleiche Datenart. Wenn Datenarten den gleichen Startzeitpunkt besitzen, ergibt sich daraus auch automatisch die damit verbundene Frist. Alle Datenarten mit gleichem Startzeitpunkt und identischer Löschfrist lassen sich dadurch zu Löschklassen zusammenfassen. Nach der Festlegung der Löschklassen wird diesen jeweils eine definierte Löschregel zugeordnet.

Wenn Sie eine Löschung vorgenommen haben, reicht dies allein allerdings nicht aus. Um bei Bedarf einen Nachweis vorlegen zu können, dass eine Löschung erfolgt ist, müssen Sie die Löschung dokumentieren. Empfehlenswert ist dafür die Anfertigung eines Löschprotokolls.

Haben Sie noch Fragen zum Löschkonzept?

Johannes Schwiegk, Volljurist

Melden Sie sich gerne bei mir. Gemeinsam besprechen wir Ihre Fragen und Anforderungen und finden eine Lösung für den Datenschutz in Ihrem Unternehmen.

Häufig gestellte Fragen zum Löschkonzept

In einem Löschkonzept wird geregelt, wann welche Person welche personenbezogenen Daten (bspw. zu Mitarbeitern oder Kunden) löschen muss, wo die Daten überhaupt abgespeichert sind und wie die Löschung vollzogen werden muss. Schließlich sollen die Daten von Personen nur so lange behalten werden, wie es für den Verarbeitungszweck notwendig ist. Je nach Datenform gibt es unterschiedliche Aufbewahrungsfristen.

Es gibt einige Ausnahmen, in denen Daten nicht gelöscht werden müssen. Eine Pflicht zur Löschung besteht u. a. dann nicht, wenn personenbezogene Daten weiterhin erforderlich sind. Dies kann im Fall freier Meinungsäußerungen eintreten oder es müssen rechtliche Verpflichtungen erfüllt werden, die einer besonderen Verarbeitung unterliegen. Bei einem besonderen, öffentlichen Interesse sowie für statistische Archivzwecke kann eine Aufbewahrung ebenfalls gerechtfertigt sein. In bestimmten Fällen können zudem Rechtsansprüche geltend gemacht werden.

Wurden Daten früher beispielsweise in DVDs oder CDs gespeichert, so war es gängig diese zu schreddern. Heutzutage werden Datensätze hauptsächlich digital, z. B. auf Computern oder in der Cloud, gespeichert. Hier müssen die Datensätze entweder automatisch durch spezielle Programme oder manuell gelöscht werden. Wichtig ist dabei, dass auch automatisch erstellte Kopien durch Backup– oder Sicherheitsmechanismen ebenfalls gelöscht werden. Alternativ können Daten auch anonymisiert werden, wenn sie keiner Person mehr zugeordnet werden können, aber für statistische Zwecke nutzbar sind.

Standort Wuppertal

Friedrich-Engels-Allee 200
42285 Wuppertal
Telefon: 0202 9479 4940
E-Mail: kontakt@datenzeit.de

Standort Essen

Katernberger Str. 107
45327 Essen
Telefon: 0201 6950 6020
E-Mail: kontakt@datenzeit.de