Ein praktischer Leitfaden zum eigenen DSGVO – Löschkonzept

Die Abschnitte 1. bis 5. geben die Grundlagen und ab dem 6. Abschnitt geht der Leitfaden los. Also, Grundlagen erstmal verstehen oder zum Leitfaden springen?

1. Warum ist überhaupt ein Löschkonzepts nach der DSGVO für deutsche Unternehmen und Vereine notwendig?

Ein detailliertes und durchdachtes Löschkonzept ist nach der DSGVO nicht optional, sondern eine rechtliche Verpflichtung. Die Einhaltung der DSGVO, insbesondere der Artikel zur Löschung personenbezogener Daten, ist entscheidend, um hohe Bußgelder zu vermeiden. Es wurden bereits Bußgelder von bis zu 900.000 EUR im Einzelfall wegen der unterlassenen Löschung von Daten verhängt (vgl. Pressemitteilung des Landesbeauftragten für den Datenschutz Niedersachsen)

Ein effektives Löschkonzept dient jedoch nicht nur der Vermeidung von Sanktionen. Es stärkt auch das Vertrauen von Kunden und Mitarbeitern in den verantwortungsvollen Umgang mit ihren persönlichen Informationen. Im Kern der Löschpflicht steht das sogenannte „Recht auf Vergessenwerden“ (Art. 17 DSGVO), welches Einzelpersonen unter bestimmten Voraussetzungen das Recht einräumt, die Löschung ihrer personenbezogenen Daten zu verlangen.

2. Rechtliche Grundlagen der Löschpflicht in Deutschland gemäß DSGVO und BDSG

Artikel 17 der DSGVO verpflichtet Unternehmen, personenbezogene Daten unverzüglich zu löschen, wenn bestimmte Bedingungen erfüllt sind. Zu diesen Bedingungen gehört, dass die Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr erforderlich sind. Dies wird als Prinzip der Zweckbindung bezeichnet. Weiterhin besteht eine Löschpflicht, wenn die betroffene Person ihre Einwilligung zur Verarbeitung widerruft und keine andere Rechtsgrundlage für die Verarbeitung vorliegt. Auch wenn die Verarbeitung der Daten unrechtmäßig erfolgt ist, die betroffene Person Widerspruch gegen die Verarbeitung eingelegt hat und keine vorrangigen berechtigten Gründe für die Verarbeitung bestehen, oder wenn die Löschung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, müssen die Daten gelöscht werden. Besondere Regelungen gelten zudem für Daten von Kindern, die im Zusammenhang mit Online-Diensten erhoben wurden.

Ergänzend zu Artikel 17 DSGVO ist das Prinzip der Speicherbegrenzung gemäß Artikel 5 Absatz 1 Buchstabe e DSGVO von zentraler Bedeutung. Dieses besagt, dass personenbezogene Daten nur so lange aufbewahrt werden dürfen, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Die Dauer der Datenspeicherung ist somit direkt an den Zweck der Datenverarbeitung gekoppelt.

Allerdings sieht die DSGVO auch Ausnahmen von der Löschpflicht vor (Artikel 17 Absatz 3 DSGVO). Diese Ausnahmen greifen beispielsweise, wenn die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung (einschließlich gesetzlicher Aufbewahrungsfristen), oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Das deutsche Bundesdatenschutzgesetz (BDSG) enthält in § 35 ergänzende Regelungen. So kann in bestimmten Fällen, insbesondere bei nicht-automatisierter Datenverarbeitung (z.B. Papierakten), anstelle der Löschung eine Einschränkung der Verarbeitung treten, wenn die Löschung aufgrund der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich wäre und das Interesse der betroffenen Person an der Löschung als gering anzusehen ist.

Das Zusammenspiel zwischen dem Recht auf Löschung und den gesetzlichen Aufbewahrungspflichten stellt eine wesentliche Herausforderung bei der Erstellung eines Löschkonzepts dar. Während die DSGVO die Löschung fordert, existieren zahlreiche Gesetze, wie beispielsweise das Steuer- und Handelsrecht, die eine Aufbewahrung von Daten für bestimmte Zeiträume vorschreiben. Ein sorgfältig ausgearbeitetes Löschkonzept muss diese beiden Anforderungen in Einklang bringen.

3. Die Bedeutung eines Löschkonzepts für die DSGVO-Compliance

Ein gut strukturiertes Löschkonzept ist ein fundamentaler Baustein für die Einhaltung der DSGVO und demonstriert das Engagement eines Unternehmens oder Vereins für den Datenschutz und die Rechenschaftspflicht gemäß Artikel 5 Absatz 2 DSGVO. Es hilft, Datenschutzrisiken zu minimieren, verhindert die unnötige Speicherung von Daten und sorgt dafür, dass Informationen rechtzeitig gelöscht werden – insbesondere bei Anfragen betroffener Personen.

Klare Regeln und Aufbewahrungsfristen erleichtern den Umgang mit Daten und unterstützen wichtige DSGVO-Grundsätze wie Datenminimierung und Zweckbindung. Mitarbeitende wissen genau, wann und wie Daten gelöscht werden müssen, was Fehler vermeidet und den Datenschutz stärkt.

Ein durchdachtes Löschkonzept spart Zeit und Ressourcen, da Daten systematisch entfernt werden, statt auf einzelne Anfragen reagieren zu müssen. Es optimiert die Datenverwaltung und dient als Nachweis für die Einhaltung der DSGVO gegenüber Behörden.

4. Kernbestandteile eines DSGVO-konformen Löschkonzepts

Ein DSGVO-konformes Löschkonzept umfasst mehrere wesentliche Komponenten, die sicherstellen, dass personenbezogene Daten gesetzeskonform gelöscht werden.

• Zunächst ist eine Dateninventur unerlässlich. Hierbei werden alle Arten von personenbezogenen Daten erfasst, die im Unternehmen verarbeitet werden (z.B. Kundendaten, Mitarbeiterdaten, Lieferantendaten etc.). Diese Inventur ist oft eng mit dem Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO verbunden.
• Als Nächstes müssen die Verarbeitungszwecke für jede Datenkategorie klar definiert werden (Prinzip der Zweckbindung).
• Ebenso wichtig ist die Dokumentation der Speicherorte jeder Datenkategorie (Datenbanken, Server, Cloud-Speicher, physische Dateien, Backups, Archive). Es muss sichergestellt werden, dass die Löschung alle Speicherorte umfasst, einschließlich Backups und Archiven.
• Ein zentraler Bestandteil sind die Aufbewahrungs- und Löschfristen. Für jede Datenkategorie müssen spezifische Aufbewahrungsfristen festgelegt werden, die auf gesetzlichen Verpflichtungen (z.B. Steuerrecht, Handelsrecht), dem Verarbeitungszweck und berechtigten Interessen basieren. Der Zeitpunkt, ab dem die Löschfrist berechnet wird (z.B. Ende eines Vertrags, Abschluss eines Vorgangs), muss ebenfalls definiert werden.
• Die Löschverfahren müssen detailliert beschrieben werden, einschließlich der Methoden zur sicheren Datenlöschung (z.B. Überschreiben, Schreddern, Anonymisierung) und der Berücksichtigung verschiedener Datenträger (digital und physisch).
• Die Verantwortlichkeiten für die Implementierung und Überwachung des Löschkonzepts müssen klar zugewiesen werden (z.B. bestimmte Abteilungen oder Mitarbeiter). Es sollte auch eine verantwortliche Person für Löschanträge benannt werden.
• Schließlich ist die Dokumentation aller Datenlöschprozesse unerlässlich, einschließlich Zeitpunkt und Art der Löschung (Löschprotokolle).

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist nicht nur eine separate Anforderung, sondern ein grundlegendes Element für die Erstellung eines effektiven Löschkonzepts. Das Verzeichnis von Verarbeitungstätigkeiten bietet einen umfassenden Überblick über die Datenverarbeitungstätigkeiten, einschließlich Datenkategorien, Verarbeitungszwecke und Speicherorte, die wesentliche Informationen für die Festlegung von Aufbewahrungs- und Löschregeln im Löschkonzept darstellen.

Kleine und mittlere Unternehmen müssen besonders darauf achten, alle Speicherorte zu dokumentieren, da Daten oft über verschiedene Systeme und sogar private Geräte verstreut sein können. Im Gegensatz zu größeren Unternehmen mit zentralisierten Systemen verlassen sich KMUs möglicherweise stärker auf dezentrale Datenspeicherungen (z.B. lokale Festplatten, Tabellenkalkulationen, private E-Mail-Konten). Daher ist eine gründliche Bestandsaufnahme aller potenziellen Speicherorte entscheidend, um eine vollständige Datenlöschung zu gewährleisten.

Die Definition klarer Startzeitpunkte für Löschfristen ist unerlässlich, um Unklarheiten zu vermeiden und eine konsistente Anwendung des Löschkonzepts sicherzustellen. Ohne einen klar definierten Startzeitpunkt (z.B. Ende des Vertrags, Datum der letzten Rechnung) kann es schwierig sein, den Beginn einer Löschfrist zu bestimmen, was zu Inkonsistenzen in der Datenaufbewahrung und potenziellen Verstößen führen kann.

5. Herausforderungen bei der Implementierung eines Löschkonzepts, insbesondere in kleinen und mittleren Unternehmen (KMU)

Eine der größten technischen Herausforderungen besteht darin, Daten selektiv aus Backup- und Archivsystemen zu löschen. Es ist oft schwierig sicherzustellen, dass Daten vollständig und unwiderruflich aus allen Systemen entfernt werden. Der Konflikt zwischen der DSGVO-Anforderung zur Datenlöschung und der Notwendigkeit von Datensicherungen für Sicherheitszwecke stellt für viele Unternehmen eine erhebliche technische Hürde dar. Während Backups für die Datensicherheit unerlässlich sind (Art. 32 DSGVO), können sie die selektive Datenlöschung erschweren und erfordern eine sorgfältige Planung und möglicherweise spezialisierte Lösungen.

Die Komplexität der rechtlichen Anforderungen, insbesondere die Navigation durch verschiedene Aufbewahrungsfristen und Ausnahmen von der Löschpflicht, kann eine weitere Herausforderung darstellen, insbesondere für Unternehmen ohne juristisches Fachwissen. Die wahrgenommene Komplexität der Datenschutzgesetze kann in KMUs zu Untätigkeit oder zur unvollständigen Implementierung von Löschkonzepten führen. Die Bereitstellung eines umfassenden, aber verständlichen Leitfadens mit praktischen Schritten ist daher entscheidend, um diese Barriere zu überwinden.

Ressourcenbeschränkungen in kleinen Unternehmen (Zeit, Budget, Personal) können die Umsetzung umfassender Datenschutzmaßnahmen, wie die Implementierung eines detaillierten Löschkonzepts, erschweren. Dies erfordert oft eine Priorisierung und Fokussierung auf die wichtigsten Datenverarbeitungstätigkeiten bei der Implementierung eines Löschkonzepts. Angesichts der Einschränkungen müssen KMUs möglicherweise einen schrittweisen Ansatz verfolgen und mit den Datenkategorien beginnen, die das höchste Risiko bergen oder den strengsten gesetzlichen Anforderungen unterliegen.

Ein Mangel an Bewusstsein für die Bedeutung eines Löschkonzepts oder die potenziellen Folgen der Nichteinhaltung kann ebenfalls eine Hürde darstellen. Ältere IT-Systeme (Legacy Systems) verfügen möglicherweise nicht über die Funktionen, die für eine effiziente Datenlöschung erforderlich sind. Schließlich kann die Tatsache, dass Daten über verschiedene Systeme verstreut sind, die konsistente Nachverfolgung und Löschung erschweren.

6. Hier endlich der angekündigte Praxisleitfaden: Schrittweise Erstellung eines Löschkonzepts für KMUs

Die Erstellung eines effektiven Löschkonzepts erfordert einen systematischen Ansatz. Die Erstellung eines Löschkonzepts sollte schrittweise erfolgen und relevante Abteilungen einbinden, um Genauigkeit und Praxistauglichkeit sicherzustellen.

Ein Löschkonzept muss praxisnah und umsetzbar sein. Regelmäßige Schulungen helfen, Mitarbeiter für die Bedeutung der Datenlöschung zu sensibilisieren und eine konsequente Umsetzung sicherzustellen.

Nur wenn das Konzept gelebt wird, trägt es zur DSGVO-Konformität bei.

Die folgenden Schritte bieten eine praktische Anleitung für kleine und mittlere Unternehmen:

Schritt 1: Dateninventur und -mapping

Führen Sie eine gründliche Bestandsaufnahme aller im Unternehmen verarbeiteten personenbezogenen Daten durch. Identifizieren Sie Datenkategorien (z. B. Kundendaten, Mitarbeiterdaten, Daten von Website-Besuchern), Verarbeitungszwecke und Speicherorte. Erstellen Sie eine Datenübersicht oder ein Verzeichnis der Verarbeitungstätigkeiten (VVT). Warum? Nur wer weiß, welche Daten wo gespeichert sind, kann sie sinnvoll verwalten und sicher löschen.

Schritt 2: Aufbewahrungsfristen definieren

Bestimmen Sie für jede Datenkategorie die geltenden gesetzlichen Aufbewahrungsfristen (siehe Steuergesetze, Handelsgesetzbuch etc.). Wenn keine spezifische gesetzliche Frist existiert, legen Sie eine Aufbewahrungsfrist basierend auf dem Verarbeitungszweck und berechtigten Interessen fest und stellen Sie sicher, dass diese nicht länger als notwendig ist (Prinzip der Zweckbindung). Geben Sie den Starttermin für die Aufbewahrungsfrist an (z. B. Ende des Vertrags, letzte Interaktion). Warum? Weil Daten kein Wein sind – sie werden nicht besser, je länger man sie lagert!

Schritt 3: Löschregeln festlegen

Definieren Sie klare Regeln, wann und wie jede Datenkategorie nach Ablauf der Aufbewahrungsfrist gelöscht werden soll. Erwägen Sie, wo möglich, eine automatisierte Löschung. Dokumentieren Sie alle Ausnahmen von den Standardlöschregeln (z. B. laufende Rechtsstreitigkeiten). Warum? Klare Regeln verhindern Unsicherheiten und gewährleisten, dass Daten zum richtigen Zeitpunkt gelöscht werden.

Schritt 4: Löschverfahren implementieren

Entwickeln Sie praktische Verfahren zur Durchführung der Datenlöschung unter Berücksichtigung verschiedener Datenformate (digital und physisch) und Speicherorte. Stellen Sie sicher, dass sichere Löschmethoden verwendet werden (z. B. Überschreiben, Schreddern). Berücksichtigen Sie Daten in Backup-Systemen. Warum? Weil Daten nur wirklich weg sind, wenn sie nicht als Zombie im Backup wieder auftauchen!

Schritt 5: Verantwortlichkeiten zuweisen

Weisen Sie klare Rollen und Verantwortlichkeiten für die Implementierung und Überwachung des Löschkonzepts zu. Bestimmen Sie einen Ansprechpartner für Löschanträge. Warum? Ohne klare Zuständigkeiten bleibt die Umsetzung oft liegen – und niemand fühlt sich verantwortlich.

Schritt 6: Löschkonzept und -verfahren dokumentieren

Dokumentieren Sie das gesamte Löschkonzept, einschließlich Datenkategorien, Aufbewahrungsfristen, Löschregeln, -verfahren und Verantwortlichkeiten. Führen Sie Löschprotokolle, in denen Zeitpunkt und Art der Datenlöschung festgehalten werden. Warum? Weil „Vertrauen ist gut, aber Dokumentation ist DSGVO-konform!“

Schritt 7: Regelmäßige Überprüfung und Aktualisierung

Legen Sie einen Zeitplan für die regelmäßige Überprüfung und Aktualisierung des Löschkonzepts fest, um Änderungen in den Datenverarbeitungstätigkeiten, rechtlichen Anforderungen und Geschäftsbedürfnissen Rechnung zu tragen. Warum? Ein veraltetes Löschkonzept hilft genauso wenig wie ein Stadtplan von 1985 für die heutige Verkehrslage.

7. Spezifische Aspekte der Datenlöschung in verschiedenen Unternehmensbereichen

Die Aufbewahrungsfristen für verschiedene Datenkategorien variieren erheblich je nach rechtlichen und geschäftlichen Anforderungen, was einen maßgeschneiderten Ansatz innerhalb des Löschkonzepts erforderlich macht.

Kundendaten: Typische Aufbewahrungsfristen für Kundendaten richten sich nach steuerrechtlichen Vorgaben für Rechnungen (z.B. 10 Jahre). Löschanträge von Kunden müssen sorgfältig geprüft und, sofern keine zwingenden Aufbewahrungsfristen entgegenstehen, zeitnah umgesetzt werden. Für Marketingdaten, wie z.B. Newsletter-Abonnentenlisten, gilt, dass die Daten in der Regel nach der Abmeldung des Kunden unverzüglich zu löschen sind.

Mitarbeiterdaten: Die Aufbewahrungsfristen für Personalakten sind vielfältig. Steuerrechtlich relevante Dokumente wie Gehaltsabrechnungen und Lohnsteuerunterlagen müssen in der Regel 6 Jahre aufbewahrt werden. Bewerbungsunterlagen abgelehnter Bewerber sollten in der Regel spätestens 6 Monate nach Abschluss des Bewerbungsverfahrens gelöscht werden. Daten ehemaliger Mitarbeiter sind nach Beendigung des Arbeitsverhältnisses zu löschen, wobei gesetzliche Verpflichtungen, wie z.B. potenzielle Ansprüche, berücksichtigt werden müssen.

Lieferanten- und Partnerdaten: Bei Daten von Geschäftspartnern sind die Aufbewahrungsfristen oft durch vertragliche Vereinbarungen und gesetzliche Anforderungen bestimmt. Diese sollten im Löschkonzept entsprechend berücksichtigt werden.

Website- und Online-Dienste-Daten: Die Löschung von Daten von Website-Besuchern (z.B. Protokolle, Cookies) erfolgt gemäß den Datenschutzbestimmungen und gesetzlichen Verpflichtungen. Die Aufbewahrungsdauer sollte dabei auf das notwendige Minimum begrenzt sein.

Die Beendigung einer Geschäftsbeziehung (z.B. Kunde verlässt das Unternehmen, Mitarbeiter kündigt) löst grundsätzlich die Pflicht zur Löschung personenbezogener Daten aus, wobei Ausnahmen aufgrund gesetzlicher Aufbewahrungsfristen sorgfältig geprüft werden müssen.

Während der Zweck der Verarbeitung mit dem Ende der Beziehung möglicherweise entfällt, erfordern gesetzliche Verpflichtungen oft eine weitere Speicherung für einen bestimmten Zeitraum.

Für KMUs ist es entscheidend, klare Richtlinien für den Umgang mit Initiativbewerbungen und Bewerberdaten festzulegen, um unnötige Speicherung und potenzielle DSGVO-Verstöße zu vermeiden. Diese Daten sollten in der Regel nach Abschluss des Bewerbungsprozesses gelöscht werden, es sei denn, es liegt eine Einwilligung zur längeren Speicherung vor.

Hier eine Liste der typischen Aufbewahungs- und damit auch Löschfristen für verschiedene Datenkategorien:

8. Technische und organisatorische Maßnahmen zur Umsetzung des Löschkonzepts

Die erfolgreiche Umsetzung eines Löschkonzepts erfordert sowohl technische als auch organisatorische Maßnahmen.

Technische Maßnahmen umfassen die Implementierung automatisierter Löschroutinen, wo dies möglich ist. Der Einsatz sicherer Datenlöschsoftware oder -methoden (z.B. Überschreiben, Datenbereinigung) ist ebenso wichtig wie die Sicherstellung der Löschung in allen relevanten Systemen, einschließlich Backups und Archiven. Für physische Datenträger ist eine sichere Entsorgung (z.B. durch Schreddern) notwendig.

Organisatorische Maßnahmen beinhalten die Festlegung klarer Richtlinien und Verfahren für die Datenlöschung. Die Schulung der Mitarbeiter zu ihren Verantwortlichkeiten bei der Datenlöschung ist unerlässlich. Regelmäßige Audits und die Überwachung der Datenlöschprozesse sollten durchgeführt werden. Die Implementierung von Zugriffskontrollen zur Begrenzung der Datenaufbewahrung sowie die Definition von Workflows für die Bearbeitung von Löschanträgen betroffener Personen sind weitere wichtige Maßnahmen.

KMUs mit begrenzter IT-Infrastruktur sollten kostengünstige Lösungen prüfen oder die Datenvernichtung an spezialisierte Anbieter auslagern. Neben technischen Maßnahmen sind klare Richtlinien und Schulungen essenziell, besonders in kleinen Teams, in denen Mitarbeiter mehrere Aufgaben übernehmen. Regelmäßige Überprüfungen stellen sicher, dass das Löschkonzept aktuellen technischen, organisatorischen und rechtlichen Anforderungen entspricht.

9. Dokumentation und Nachweis der Datenlöschung

Eine sorgfältige Dokumentation der Datenlöschung ist unerlässlich, um die Einhaltung der DSGVO nachweisen zu können. Es sollten detaillierte Aufzeichnungen (Löschprotokolle) geführt werden, die festhalten, wann, welche, wie und von wem personenbezogene Daten gelöscht wurden. Das gesamte Löschkonzept, einschließlich Datenkategorien, Aufbewahrungsfristen, Löschregeln, -verfahren und Verantwortlichkeiten, muss umfassend dokumentiert sein.

Auch Löschanträge von betroffenen Personen und deren Bearbeitung, einschließlich Fristen und etwaiger Ablehnungsgründe, sind zu dokumentieren. Werden externe Dienstleister für die Datenvernichtung eingesetzt, sind die entsprechenden Verträge (Auftragsverarbeitungsvertrag – AVV) und Vernichtungszertifikate aufzubewahren.

Die Dokumentation muss auf Anfrage den Aufsichtsbehörden zur Verfügung gestellt werden können.

Für KMUs ist die Führung einfacher und leicht zugänglicher Löschprotokolle oft praktischer als die Implementierung komplexer, automatisierter Protokollierungssysteme. Der Fokus sollte auf Genauigkeit und Vollständigkeit und weniger auf Komplexität liegen. Eine ordnungsgemäße Dokumentation des Löschkonzepts und der Löschaktivitäten kann das Risiko von Bußgeldern und Reputationsschäden im Falle einer Datenpanne oder einer Beschwerde einer betroffenen Person erheblich mindern.

10. Muster/Vorlage für ein Löschkonzept nach DSGVO für kleine Unternehmen

Dieses Muster dient als Vorlage und muss an die spezifischen Bedürfnisse und Gegebenheiten Ihres Unternehmens angepasst werden.

Dieses Muster bietet einen strukturierten Rahmen, der an die spezifischen Gegebenheiten jedes Unternehmens angepasst werden muss. Es ist wichtig zu betonen, dass jede Firma einzigartige Datenverarbeitungstätigkeiten und rechtliche Verpflichtungen hat. Das Muster sollte daher als Ausgangspunkt dienen und mit den konkreten Informationen des jeweiligen Unternehmens gefüllt werden.

11. Fazit und Ausblick

Es ist wichtig zu betonen, dass der Datenschutz und somit auch das Löschkonzept keine einmaligen Projekte sind, sondern fortlaufende Prozesse, die regelmäßige Überprüfung und Anpassung erfordern. Gern auch mit uns als Ihrem externen Datenschutzbeauftragten an Ihrer Seite.