Löschkonzept

Daten aufzubewahren ist einfach, sie rechtzeitig loszuwerden nicht. Ein Löschkonzept legt fest, wann welche Daten verschwinden müssen – und wo eine gesetzliche Aufbewahrungspflicht dem entgegensteht. Wir erstellen es und bilden Ihre Fristen darin ab.

Pauschalpakete ansehen

Was ein Löschkonzept regelt

Es ist ein Regelwerk für den gesamten Lebenszyklus der Daten – von der ersten Erfassung bis zur endgültigen Vernichtung. Für jede Datenkategorie hält es fest, wann sie zu löschen ist und wer das veranlasst.

Zwei Vorschriften begründen die Pflicht. Die Speicherbegrenzung nach Art. 5 DSGVO untersagt es, Daten länger vorzuhalten, als der Zweck es erfordert. Und Art. 17 DSGVO verschafft der betroffenen Person einen Löschungsanspruch, den sie vor Gericht durchsetzen kann.

Ein Löschkonzept ist damit keine Kür. Sie müssen Löschregeln festlegen und deren Einhaltung nachweisbar dokumentieren – unabhängig von Größe und Branche, also auch als Verein, Freiberufler oder gemeinnützige Organisation.

Als Strukturvorgabe hat sich die DIN 66398 etabliert, die mit Löschklassen arbeitet: Datenkategorien mit gleicher Frist und gleichem Auslöser werden zusammengefasst, statt jeden Einzelfall gesondert zu regeln.

Drei Auslöser der Löschpflicht

Verlangen der betroffenen Person. Macht jemand sein Recht auf Löschung nach Art. 17 DSGVO geltend, müssen Sie binnen eines Monats reagieren. Vorrang hat allein eine Aufbewahrungspflicht, die sich aus einem Gesetz ergibt.

Wegfall des Zwecks. Entfällt der Grund, aus dem die Daten erhoben wurden, dürfen sie nicht länger gespeichert bleiben. Das klassische Beispiel: Mit dem Abschluss eines Bewerbungsverfahrens endet der Zweck für die Bewerberdaten.

Ablauf einer Frist. Läuft eine gesetzliche oder interne Frist aus, setzt die Löschpflicht automatisch ein – vorausgesetzt, keine andere Rechtsgrundlage rechtfertigt die weitere Speicherung.

Was Löschen technisch bedeutet

Hier liegt ein verbreiteter Irrtum. Löschen heißt: Daten dauerhaft und nicht wiederherstellbar unkenntlich machen.

Eine Datei in den Papierkorb zu verschieben genügt dafür nicht. Auch nach dem Leeren des Papierkorbs bleibt der Inhalt physisch auf dem Datenträger, bis er überschrieben wird – und ist bis dahin mit einfachen Mitteln wiederherstellbar. Dasselbe gilt für Backups, Archivsysteme und Kopien in Cloud-Diensten, die bei Löschvorgängen regelmäßig übersehen werden.

Welche Verfahren dafür geeignet sind, gehört zu den technischen und organisatorischen Maßnahmen.

Aufbewahrungsfristen und ihr Verhältnis zur Löschpflicht

Nicht alles darf gelöscht werden, was gelöscht werden könnte. Steuer- und handelsrechtliche Vorschriften – vor allem § 147 Abgabenordnung und § 257 HGB – verpflichten Sie, bestimmte Unterlagen über festgelegte Zeiträume aufzubewahren.

Aufbewahrungsfristen und ihr Verhältnis zur Löschpflicht
Unterlagen	Wie lange	Woraus folgt das
Handels- und Geschäftsbriefe	sechs Jahre	§ 257 HGB

In Ihrem Konzept muss zu jeder Datenkategorie stehen, welche Aufbewahrungspflicht auf sie zutrifft. Der Konflikt löst sich nicht dadurch auf, dass eine Seite gewinnt: Während der Aufbewahrungsfrist bleiben die Daten erhalten, ihre Verwendung wird aber auf den Zweck der Aufbewahrung beschränkt. Erst mit Fristablauf greift die Löschpflicht.

Die Zuordnung setzt voraus, dass Sie wissen, welche Daten Sie überhaupt führen. Grundlage ist deshalb Ihr Verzeichnis von Verarbeitungstätigkeiten; die Fristen und ihre Überwachung laufen anschließend über das Datenschutzmanagementsystem.

Am deutlichsten wird der Konflikt beim E-Mail-Verkehr: Handels- und Geschäftsbriefe sind aufzubewahren, das Postfach ist dafür aber der falsche Ort – dort löscht irgendwann jemand. Eine E-Mail-Archivierung trennt die Aufbewahrung vom täglichen Arbeiten und macht beide Seiten nachweisbar.

Kontakt

Sie haben Fristen im Kopf, aber nicht im System? Genau dort setzen wir an.