DSGVO Löschkonzept – das müssen sie beim Löschen beachten

Bereits nach bisherigem Datenschutzrecht besteht eine gesetzliche Verpflichtung für Unternehmen personenbezogene Daten zu löschen, wenn diese für die Zwecke für die sie ursprünglich erhoben oder verarbeitet wurden, nicht mehr erforderlich sind und zudem auch keine gesetzliche Aufbewahrungspflicht der Löschung entgegensteht. Die neue Datenschutz Grundverordnung 2018 (DSGVO) erweitert diese Löschpflichten nochmals erheblich. Bei Nichtbeachtung werden schliesslich hohe Bussgelder fällig.

Datenminimierung

Unternehmen müssen bei der Datenverarbeitung die Grundsätze der Datensparsamkeit und Datenvermeidung beachten. Weshalb die Erhebung, Speicherung und Verarbeitung der Daten unbedingt notwendiges Mindestmaß zu beschränken ist.

In Art. 5 der Datenschutz-Grundverordnung sind diese Grundsätze unter dem Begriff “Datenminimierung” festgeschrieben. Die Beschränkung gilt auch zusätzlich auch für die Speicherfristen der personenbezogenen Daten.

Personenbezogene Daten die im Rahmen von Backups gesichert werden, also vorrangig der Datenwiederherstellung bei Datenverlust dienen, müssen je nach Sicherungsgeneration trotzdem regelmäßig gelöscht werden. Hierfür sind somit individuelle Löschfristen festzulegen. Auch Archivdaten unterliegen der Löschverpflichtung und sind zudem abhängig von der Datenkategorie (z.B. Buchhaltungsdaten) unter Berücksichtigung der gesetzlichen Regelfristen zudem rechtzeitig zu löschen. Die Einhaltung der Löschfristen ist ab Mai 2018 übrigens eine nachweispflichtig.

Recht auf Löschung („Recht auf Vergessenwerden“)

Für Betroffene einer Datenverarbeitung wurde im Art. 17 der Datenschutz Grundverordnung 2018 erstmalig ein Recht auf Löschung der eigenen Daten festgeschrieben. Voraussetzung ist, das eine der folgenden Bedingungen vorliegt:

  • die Speicherung ist nicht mehr notwendig
  • der Betroffene hat seine Einwilligung zur Datenverarbeitung widerrufen
  • die Verarbeitung war unrechtmäßig
  • es besteht eine Rechtspflicht zum Löschen

Löschkonzept DSGVO-konform umsetzen und löschen

Um nicht gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1b DSGVO zu verstoßen, ist allen datenverarbeitenden Unternehmen dringend zu empfehlen, ein entsprechendes Löschkonzept aufzustellen.

Im Konzept sind abhängig von der Datenart somit auch entsprechende Löschklassen mit Löschfristen und Laufzeiten festzulegen. Hilfreich bei der Erstellung eines Löschkonzepts ist hierzu die Leitline DIN 66398. Sofern ein interner oder externer Datenschutzbeauftragter (DSB) bereits vorhanden ist, sollte dieser bei der Erstellung auf jeden Fall mitwirken.

Der systematische Umgang beim Löschen

Im Ideal sollte bei automatischer Verarbeitung von personenbezogenen Daten, diese Daten dann auch automatisch wieder gelöscht werden.

Die DIN 66398 definiert ein Modell zur Entwicklung und Etablierung eines Löschkonzepts. Die Norm beschreibt Vorgehensweisen, durch die Löschregeln festgelegt und nachhaltig eingehalten werden. Auch empfiehlt sie eine Struktur zur Dokumentation des Löschkonzepts.

Der Datenbestand des Unternehmens ist in verschiedene Datenarten aufzuteilen, und für jede Datenart ist zudem genau eine (!) Löschregel zu definieren. Diese Löschregel besteht aus zwei Angaben:

  • der Regellöschfrist und
  • einem Startzeitpunkt, ab dem die Regellöschfrist läuft.

Für die datenschutzrechtliche Zulässigkeit sind Datenarten durch die Anwendung von Löschregeln ‚rechtzeitig‘ zu löschen.