In der DSGVO finden sich an einigen Stellen Verpflichtungen zur Löschung personenbezogener Daten. Darunter beispielsweise das Recht auf Löschung in Art. 17 DSGVO oder der Grundsatz der Speicherbegrenzung in Art. 5 Abs. 1 lit. e DSGVO. Jedoch fällt es viele Unternehmen schwer, einen Überblick darüber zu bewahren, welche der von ihnen verarbeiteten Daten wann gelöscht werden müssen. In diesem Punkt kann ein gut gepflegtes Löschkonzept Abhilfe verschaffen, denn es kann verlässliche Informationen darüber liefern, welche Daten wann zu löschen sind, wo diese gespeichert werden, wer Zugriff auf die jeweiligen Daten hat und ob Ausnahmen von der Löschpflicht bestehen.
Die Schwierigkeit hierbei liegt allerdings darin, dass die DSGVO keine ausdrückliche Pflicht zum Führen eines Löschkonzepts kennt und keine Vorgaben dazu macht, WIE der Löschvorgang gestaltet werden muss. Daher gibt es keine gesetzlichen Vorgaben über Inhalt, Struktur und Umfang eines Löschkonzepts. Vor diesem Hintergrund erscheint es sinnvoll, sich mit der Frage zu beschäftigen, was bei der Erstellung eines praktikablen Löschkonzepts zu berücksichtigen ist.
Die Zusammenarbeit mit allen datenverarbeitenden Abteilungen während der Erstellung ist Voraussetzung für eine erfolgreiche praktische Umsetzung des Löschkonzepts. – Mareike Jockers
Was muss bei der Erstellung des Löschkonzepts beachtet werden?
Die Umsetzung der gesetzlichen Löschpflicht stellt für Unternehmen meist eine komplexe Aufgabe dar. Oft ist nicht bekannt, wo die jeweiligen Daten gespeichert werden, ob Kopien existieren, wann Löschfristen ablaufen oder wer die Löschung vornimmt. Umso erforderlicher ist es, den Mitarbeitenden ein strukturiertes Konzept mit praktischen Anweisungen zur Verfügung zu stellen.
Bei der Erstellung sollten mehrere Punkte berücksichtigt werden:
1. Die DIN 66398 und der LfDI BW geben Hilfestellung
Die DIN 66398 ist die „Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten“. Sie enthält keine verbindlichen Vorgaben, sondern lediglich Empfehlungen für die Dokumentationsstruktur des Löschkonzepts sowie für das Vorgehen bei dessen Entwicklung. Die Leitlinie schlägt unter anderem vor, für jede Datenkategorie eigene Löschregeln festzulegen. Eine Löschregel ergibt sich aus der Regellöschfrist und dem Zeitpunkt, ab dem die Frist zu laufen beginnt. Die Löschregeln müssen vom Verantwortlichen selbst erarbeitet werden.
Weitere Inspiration für den Aufbau eines Löschkonzepts bietet der Landesbeauftragte für Datenschutz und Informationstechnologie Baden-Württemberg in seiner kombinierten Excel-Liste aus VVT und Löschkonzept (Hier geht’s zum direkten Download der Excel-Tabelle). Auch hier gilt: Die Löschregeln müssen vom Verantwortlichen selbst erarbeitet werden.
2. Datenflüsse erfassen
Um das Löschkonzept möglichst praxistauglich und effizient zu gestalten, sollten alle Datenflüsse innerhalb des Unternehmens erfasst werden. Es sollte festgehalten werden, wo welche Daten verarbeitet und gespeichert werden, welchen Zwecken die Verarbeitung dient und welche Personen oder Abteilungen die Daten benötigen.
3. VVT als Grundlage
Das Verzeichnis für Verarbeitungstätigkeiten liefert die relevanten Daten für das Löschkonzept und dient somit als Grundlage. Neben den Datenflüssen und Löschfristen enthält es auch die Datenkategorien sowie die Kategorien von Empfängern. Ein gut gepflegtes VVT kann einem die Erstellung eines Löschkonzepts also wesentlich erleichtern. Es ist darum sinnvoll, das VVT regelmäßig zu überprüfen und aktuell zu halten.
4. Zusammenarbeit als Schlüssel zum Erfolg
Zur Erfassung der Datenflüsse sowie zur Erarbeitung des Löschkonzepts sollten alle Beteiligte frühzeitig eingebunden werden. Die Zusammenarbeit mit allen datenverarbeitenden Abteilungen während der Erstellung, ist Voraussetzung für eine erfolgreiche praktische Umsetzung des Konzepts.
Die DSGVO legt dem Datenschutzbeauftragten die Pflicht auf, den Verantwortlichen hinsichtlich dessen datenschutzrechtlicher Verpflichtungen zu beraten sowie die Einhaltung dieser Verpflichtungen im Unternehmen zu überwachen. Außerdem verfügt der Datenschutzbeauftragte über das erforderliche Know-how auf dem Gebiet der Datenschutzpraxis, weshalb es für ein praxistaugliches Löschkonzept unerlässlich ist, ihn im gesamten Erstellungsprozess einzubeziehen.
Zusätzlich bedarf es Experten aus den jeweiligen Spezialgebieten, wie dem Steuerrecht, die ihr Fachwissen einbringen, um insbesondere die gesetzlichen Aufbewahrungsfristen zu überprüfen.
5. Ausnahmen der Löschpflicht prüfen
Art. 17 Abs. 3 DSGVO enthält Ausnahmen, bei denen die Löschverpflichtung nicht greift. Insbesondere gesetzliche Aufbewahrungsfristen, bspw. aus dem Steuer- oder Sozialrecht, können dazu führen, dass personenbezogene Daten weiterhin gespeichert werden dürfen. Auch im öffentlichen Interesse liegende Archivzwecke, Forschungszwecke oder statistische Zwecke können Ausnahmen von der Löschpflicht darstellen. Folglich sollten für jede Datenkategorie die Ausnahmen genau überprüft werden.
6. Verantwortlichkeiten festlegen, Löschkonzept implementieren und Prüfturnus festlegen
Damit keine Missverständnisse entstehen und die Löschung auch tatsächlich stattfindet, sollten Verantwortlichkeiten festgelegt werden. Im Idealfall werden die Daten von der Person gelöscht, welche diese verarbeitet hat.
Ist das Löschkonzept fertiggestellt, gilt es, dieses in die IT-Struktur sowie in die Betriebsabläufe zu implementieren. Das Löschverfahren sollte dem aktuellen Stand der Technik entsprechen und die erforderlichen technischen und organisatorischen Maßnahmen berücksichtigen.
Mit der Implementierung ist die Arbeit nicht getan. Das Konzept sollte in regelmäßigen Abständen auf Anwendbarkeit und Optimierung überprüft und ggf. an neue Gegebenheiten angepasst werden. Auch hierfür bietet es sich an, einen Verantwortlichen zu bestimmen.
Fazit
Aufgrund der fehlenden Vorgaben in der DSGVO und der komplexen Strukturen, welche die Verarbeitung personenbezogener Daten mit sich bringt, bedarf die Erstellung eines praktikablen Löschkonzepts sorgfältiger Vorbereitung, Struktur, Zusammenarbeit und Ausdauer. Im eigenen Interesse des Verantwortlichen sollte dieser den Datenschutzbeauftragten sowie alle beteiligten Abteilungen bei der Erstellung einbeziehen. Die Mühe für die Erarbeitung eines effizienten Löschkonzepts lohnt sich, denn es erleichtert nicht nur die Erfüllung der Löschpflichten, sondern dient zugleich auch der Erfüllung von datenschutzrechtlichen Dokumentations- und Rechenschaftspflichten.
Was Sie noch interessieren könnte:
Die Haftung von Verantwortlichen, Gemeinsam Verantwortlichen und Auftragsverarbeitern
Die Funktion als Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter ist für Unternehmen vor allem in Haftungssituationen rund um den Datenschutz […]
Die Erstellung eines Löschkonzepts – das gilt es zu beachten!
In der DSGVO finden sich an einigen Stellen Verpflichtungen zur Löschung personenbezogener Daten. Darunter beispielsweise das Recht auf Löschung in […]
Künstliche Intelligenz und Datenschutz – woran Verantwortliche im Unternehmen denken sollten
Laut dem statistischen Bundesamt nutzen Unternehmen Künstliche Intelligenz (KI) am häufigsten zur Spracherkennung, gefolgt von der Automatisierung von Arbeitsabläufen oder […]
Autorin des Artikels: