In der DSGVO fin­den sich an eini­gen Stel­len Ver­pflich­tun­gen zur Löschung per­so­nen­be­zo­ge­ner Daten. Dar­un­ter bei­spiels­wei­se das Recht auf Löschung in Art. 17 DSGVO oder der Grund­satz der Spei­cher­be­gren­zung in Art. 5 Abs. 1 lit. e DSGVO. Jedoch fällt es vie­le Unter­neh­men schwer, einen Über­blick dar­über zu bewah­ren, wel­che der von ihnen ver­ar­bei­te­ten Daten wann gelöscht wer­den müs­sen. In die­sem Punkt kann ein gut gepfleg­tes Lösch­kon­zept Abhil­fe ver­schaf­fen, denn es kann ver­läss­li­che Infor­ma­tio­nen dar­über lie­fern, wel­che Daten wann zu löschen sind, wo die­se gespei­chert wer­den, wer Zugriff auf die jewei­li­gen Daten hat und ob Aus­nah­men von der Lösch­pflicht bestehen.

Die Schwie­rig­keit hier­bei liegt aller­dings dar­in, dass die DSGVO kei­ne aus­drück­li­che Pflicht zum Füh­ren eines Lösch­kon­zepts kennt und kei­ne Vor­ga­ben dazu macht, WIE der Lösch­vor­gang gestal­tet wer­den muss. Daher gibt es kei­ne gesetz­li­chen Vor­ga­ben über Inhalt, Struk­tur und Umfang eines Lösch­kon­zepts. Vor die­sem Hin­ter­grund erscheint es sinn­voll, sich mit der Fra­ge zu beschäf­ti­gen, was bei der Erstel­lung eines prak­ti­ka­blen Lösch­kon­zepts zu berück­sich­ti­gen ist.

Die Zusam­men­ar­beit mit allen daten­ver­ar­bei­ten­den Abtei­lun­gen wäh­rend der Erstel­lung ist Vor­aus­set­zung für eine erfolg­rei­che prak­ti­sche Umset­zung des Lösch­kon­zepts. – Marei­ke Jockers

Was muss bei der Erstel­lung des Lösch­kon­zepts beach­tet werden?

Die Umset­zung der gesetz­li­chen Lösch­pflicht stellt für Unter­neh­men meist eine kom­ple­xe Auf­ga­be dar. Oft ist nicht bekannt, wo die jewei­li­gen Daten gespei­chert wer­den, ob Kopien exis­tie­ren, wann Lösch­fris­ten ablau­fen oder wer die Löschung vor­nimmt. Umso erfor­der­li­cher ist es, den Mit­ar­bei­ten­den ein struk­tu­rier­tes Kon­zept mit prak­ti­schen Anwei­sun­gen zur Ver­fü­gung zu stellen.

Bei der Erstel­lung soll­ten meh­re­re Punk­te berück­sich­tigt werden:

1. Die DIN 66398 und der LfDI BW geben Hilfestellung

Die DIN 66398 ist die „Leit­li­nie zur Ent­wick­lung eines Lösch­kon­zepts mit Ablei­tung von Lösch­fris­ten für per­so­nen­be­zo­ge­ne Daten“. Sie ent­hält kei­ne ver­bind­li­chen Vor­ga­ben, son­dern ledig­lich Emp­feh­lun­gen für die Doku­men­ta­ti­ons­struk­tur des Lösch­kon­zepts sowie für das Vor­ge­hen bei des­sen Ent­wick­lung. Die Leit­li­nie schlägt unter ande­rem vor, für jede Daten­ka­te­go­rie eige­ne Lösch­re­geln fest­zu­le­gen. Eine Lösch­re­gel ergibt sich aus der Regel­lösch­frist und dem Zeit­punkt, ab dem die Frist zu lau­fen beginnt. Die Lösch­re­geln müs­sen vom Ver­ant­wort­li­chen selbst erar­bei­tet werden.

Wei­te­re Inspi­ra­ti­on für den Auf­bau eines Lösch­kon­zepts bie­tet der Lan­des­be­auf­trag­te für Daten­schutz und Infor­ma­ti­ons­tech­no­lo­gie Baden-Württemberg in sei­ner kom­bi­nier­ten Excel-Liste aus VVT und Lösch­kon­zept (Hier geht’s zum direk­ten Down­load der Excel-Tabelle). Auch hier gilt: Die Lösch­re­geln müs­sen vom Ver­ant­wort­li­chen selbst erar­bei­tet werden.

2. Daten­flüs­se erfassen

Um das Lösch­kon­zept mög­lichst pra­xis­taug­lich und effi­zi­ent zu gestal­ten, soll­ten alle Daten­flüs­se inner­halb des Unter­neh­mens erfasst wer­den. Es soll­te fest­ge­hal­ten wer­den, wo wel­che Daten ver­ar­bei­tet und gespei­chert wer­den, wel­chen Zwe­cken die Ver­ar­bei­tung dient und wel­che Per­so­nen oder Abtei­lun­gen die Daten benötigen.

3. VVT als Grundlage

Das Ver­zeich­nis für Ver­ar­bei­tungs­tä­tig­kei­ten lie­fert die rele­van­ten Daten für das Lösch­kon­zept und dient somit als Grund­la­ge. Neben den Daten­flüs­sen und Lösch­fris­ten ent­hält es auch die Daten­ka­te­go­rien sowie die Kate­go­rien von Emp­fän­gern. Ein gut gepfleg­tes VVT kann einem die Erstel­lung eines Lösch­kon­zepts also wesent­lich erleich­tern. Es ist dar­um sinn­voll, das VVT regel­mä­ßig zu über­prü­fen und aktu­ell zu halten.

4. Zusam­men­ar­beit als Schlüs­sel zum Erfolg

Zur Erfas­sung der Daten­flüs­se sowie zur Erar­bei­tung des Lösch­kon­zepts soll­ten alle Betei­lig­te früh­zei­tig ein­ge­bun­den wer­den. Die Zusam­men­ar­beit mit allen daten­ver­ar­bei­ten­den Abtei­lun­gen wäh­rend der Erstel­lung, ist Vor­aus­set­zung für eine erfolg­rei­che prak­ti­sche Umset­zung des Konzepts.

Die DSGVO legt dem Daten­schutz­be­auf­trag­ten die Pflicht auf, den Ver­ant­wort­li­chen hin­sicht­lich des­sen daten­schutz­recht­li­cher Ver­pflich­tun­gen zu bera­ten sowie die Ein­hal­tung die­ser Ver­pflich­tun­gen im Unter­neh­men zu über­wa­chen. Außer­dem ver­fügt der Daten­schutz­be­auf­trag­te über das erfor­der­li­che Know-how auf dem Gebiet der Daten­schutz­pra­xis, wes­halb es für ein pra­xis­taug­li­ches Lösch­kon­zept uner­läss­lich ist, ihn im gesam­ten Erstel­lungs­pro­zess einzubeziehen.

Zusätz­lich bedarf es Exper­ten aus den jewei­li­gen Spe­zi­al­ge­bie­ten, wie dem Steu­er­recht, die ihr Fach­wis­sen ein­brin­gen, um ins­be­son­de­re die gesetz­li­chen Auf­be­wah­rungs­fris­ten zu überprüfen.

5. Aus­nah­men der Lösch­pflicht prüfen

Art. 17 Abs. 3 DSGVO ent­hält Aus­nah­men, bei denen die Lösch­ver­pflich­tung nicht greift. Ins­be­son­de­re gesetz­li­che Auf­be­wah­rungs­fris­ten, bspw. aus dem Steuer- oder Sozi­al­recht, kön­nen dazu füh­ren, dass per­so­nen­be­zo­ge­ne Daten wei­ter­hin gespei­chert wer­den dür­fen. Auch im öffent­li­chen Inter­es­se lie­gen­de Archiv­zwe­cke, For­schungs­zwe­cke oder sta­tis­ti­sche Zwe­cke kön­nen Aus­nah­men von der Lösch­pflicht dar­stel­len. Folg­lich soll­ten für jede Daten­ka­te­go­rie die Aus­nah­men genau über­prüft werden.

6. Ver­ant­wort­lich­kei­ten fest­le­gen, Lösch­kon­zept imple­men­tie­ren und Prüf­tur­nus festlegen

Damit kei­ne Miss­ver­ständ­nis­se ent­ste­hen und die Löschung auch tat­säch­lich statt­fin­det, soll­ten Ver­ant­wort­lich­kei­ten fest­ge­legt wer­den. Im Ide­al­fall wer­den die Daten von der Per­son gelöscht, wel­che die­se ver­ar­bei­tet hat.

Ist das Lösch­kon­zept fer­tig­ge­stellt, gilt es, die­ses in die IT-Struktur sowie in die Betriebs­ab­läu­fe zu imple­men­tie­ren. Das Lösch­ver­fah­ren soll­te dem aktu­el­len Stand der Tech­nik ent­spre­chen und die erfor­der­li­chen tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men berücksichtigen.

Mit der Imple­men­tie­rung ist die Arbeit nicht getan. Das Kon­zept soll­te in regel­mä­ßi­gen Abstän­den auf Anwend­bar­keit und Opti­mie­rung über­prüft und ggf. an neue Gege­ben­hei­ten ange­passt wer­den. Auch hier­für bie­tet es sich an, einen Ver­ant­wort­li­chen zu bestimmen.

Fazit

Auf­grund der feh­len­den Vor­ga­ben in der DSGVO und der kom­ple­xen Struk­tu­ren, wel­che die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten mit sich bringt, bedarf die Erstel­lung eines prak­ti­ka­blen Lösch­kon­zepts sorg­fäl­ti­ger Vor­be­rei­tung, Struk­tur, Zusam­men­ar­beit und Aus­dau­er. Im eige­nen Inter­es­se des Ver­ant­wort­li­chen soll­te die­ser den Daten­schutz­be­auf­trag­ten sowie alle betei­lig­ten Abtei­lun­gen bei der Erstel­lung ein­be­zie­hen. Die Mühe für die Erar­bei­tung eines effi­zi­en­ten Lösch­kon­zepts lohnt sich, denn es erleich­tert nicht nur die Erfül­lung der Lösch­pflich­ten, son­dern dient zugleich auch der Erfül­lung von daten­schutz­recht­li­chen Dokumentations- und Rechenschaftspflichten.

Was Sie noch interessieren könnte:

Autorin des Artikels:

Mareike Jockers

Praktikantin im Datenschutz