Löschkonzept

Leistungen

Löschen mit System

Auch die regelmäßige Löschung von Daten ist Teil des Datenschutzes. Dementsprechend besteht für Unternehmen eine gesetzliche Pflicht, personenbezogene Daten zu löschen, wenn diese für die Zwecke, für die sie ursprünglich erhoben oder verarbeitet wurden, nicht mehr erforderlich sind und keine gesetzliche Aufbewahrungspflicht der Löschung entgegensteht. Bei Nichtbeachtung der Pflicht zur Löschung drohen im schlimmsten Fall sogar Sanktionen der Datenschutzaufsichtsbehörden.

Allerdings erfordert die Implementierung eines DS-GVO konformen Löschkonzepts genaue Kenntnis der Datenflüsse im Unternehmen und ggfs. eine zusätzliche Bestandsaufnahme der Daten. Dies kann sich insbesondere bei komplexen Unternehmensstrukturen schnell zu einem größeren Projekt ausweiten.

Form und Inhalt eines Löschkonzepts

Besteht bereits ein Verzeichnis der Verarbeitungstätigkeiten,  kann es als Grundlage für die Erstellung des Löschkonzepts herangezogen werden. Hilfreich bei der Erstellung eines Löschkonzepts ist außerdem die Leitlinie DIN 66398.

Grundsätzlich bestehen jedoch bezüglich Form und Inhalt eines Löschkonzepts keine gesetzlichen Vorgaben.

Die Praxis hat allerdings gezeigt, dass folgende Inhalte für eine gute Anwendbarkeit hilfreich sind:

• Verantwortlichkeiten: z. B. Fachbereichsleitung und die mit der Löschung beauftragte Person
• Benennung betroffener Datenklassen / Datenarten: z. B. Bewerbungsunterlagen oder Kundenstammdaten
• Datenflüsse: z. B. Weitergabe an Auftragsverarbeiter
• Benennung der Speicherorte: z. B. Anwendungen, Systeme und Archive
• Löschfristen für die jeweiligen Daten: z. B. 10 Jahre gem. § 147 AO
• Startzeitpunkt der Löschfrist: z. B. Ablauf des Geschäftsjahres
• technische Beschreibung des Löschvorgangs: z. B. Vernichtung von Papierakten mit P4-Aktenvernichter
• Dokumentation: z. B. Löschprotokoll
• Kontrolle der Löschung: z. B. jährliche Stichprobenkontrolle