Löschkonzept nach DSGVO

Je nach Art der Daten hat die Aufbewahrungsfrist Vorrang. Sobald es sich um Daten handelt, die für behördliche Prüfzwecke für einen bestimmten Zeitraum aufbewahrt werden müssen, dürfen Sie diese nicht früher löschen, auch wenn der Nutzer dies verlangt. Auch wenn der Zweck dieser Datenverarbeitung, etwa eine einmalige Bestellung, erfüllt und damit weggefallen ist, muss beispielsweise die Rechnung dafür bis zum Ende der steuerlichen Aufbewahrungsfrist aufbewahrt werden. Die übrigen personenbezogenen Daten des Vorgangs hingegen (Adresse, Bankverbindung etc.) können früher, teils auch sofort gelöscht werden, sofern kein Prozess anhängig ist. Diese Aufteilung von Datensätzen wird auch „Speicherbegrenzung“ genannt und basiert auf Artikel 5 DSGVO. Auf dieser Basis können und sollen auch Teile von Datensätzen gelöscht werden – etwa abgeschlossene Vorgänge in bestehenden Kundendatensätzen oder schriftlichen Akten.

Ihr Löschkonzept muss daher klar definieren, welche Datenarten in Ihrem Unternehmen anfallen, wo diese liegen und wie bzw. wann sie gelöscht werden.

Recht auf Vergessenwerden – was tue ich, wenn ein Betroffener die Löschung seiner Daten verlangt?

Die Nutzer Ihrer Dienstleistungen haben ein gesetzliches Recht darauf, von Ihnen zu erfahren, welche personenbezogenen Daten über sie in Ihrem Unternehmen vorliegen (Auskunftsrecht, Art. 15 DSGVO).

Verlangt ein Nutzer eine Datenauskunft, müssen Sie sämtliche personenbezogenen Daten zu dieser Person aus allen betrieblichen Systemen auslesen und zur Verfügung stellen. Anhand dieser Aufstellung, aber auch unabhängig davon können Ihnen die Nutzer die (weitere) Nutzung aller oder einiger ihrer personenbezogenen Daten untersagen (Widerruf der Einwilligung nach Artikel 17 Absatz 1b DSGVO oder Widerspruch nach Artikel 21 DSGVO). Die betroffenen Personen können Sie als Unternehmen auffordern, falsch erfasste personenbezogene Daten zu korrigieren oder zu löschen (Artikel 7 Absatz 3 DSGVO) – und zwar auch durch Sie vermittelte, auf sie bezogene persönliche Inhalte, etwa Einträge in Suchmaschinen, Bewertungsportalen oder Branchenverzeichnissen. Sollten Sie also Daten an Dritte zur Veröffentlichung weitergeleitet haben, müssen auch diese Dritten die entsprechenden Daten nachweislich korrigieren oder entfernen.

Wichtig: Diese Vorgaben gelten auch rückwirkend für Datenbestände, die vor dem Inkrafttreten der DSGVO erfasst oder zusammengestellt wurden.

§ 35 BDSG über die Berichtigung, Löschung und Sperrung von Daten besagt in Absatz 2 Satz 2:

„Personenbezogene Daten sind zu löschen, wenn

1. ihre Speicherung unzulässig ist,
2. es sich um Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben, strafbare Handlungen oder Ordnungswidrigkeiten handelt und ihre Richtigkeit von der verantwortlichen Stelle nicht bewiesen werden kann,
3. sie für eigene Zwecke verarbeitet werden, sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist, oder
4. sie geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden und eine Prüfung jeweils am Ende des vierten, soweit es sich um Daten über erledigte Sachverhalte handelt und der Betroffene der Löschung nicht widerspricht, am Ende des dritten Kalenderjahres beginnend mit dem Kalenderjahr, das der erstmaligen Speicherung folgt, ergibt, dass eine längerwährende Speicherung nicht erforderlich ist.“

Artikel 17 DSGVO gibt vor, dass personenbezogene Daten unverzüglich zu löschen sind, wenn

1. der oder die Betroffene dies verlangt bzw. die Einwilligung in die Datenverarbeitung widerruft,
2. der Zweck, zu dem die Daten erhoben wurden, entfallen ist und
3. dem keine Aufbewahrungspflichten entgegenstehen.

Außerdem sind personenbezogene Daten bei einer unrechtmäßigen Erhebung/Verarbeitung (etwa Datenerhebung bei Kindern ohne Elterneinwilligung) oder einer rechtlichen Verpflichtung nach Unionsrecht unverzüglich zu löschen.

Unverzüglich bedeutet in diesem Fall, dass der gesamte Löschungsprozess einschließlich Dokumentation und Bestätigung an die betroffene Person nicht länger als einen Monat dauern darf. Sie als Datenverarbeiter müssen also dem Antrag bzw. Widerruf unverzüglich nachkommen, alle Kopien und Sicherungskopien der entsprechenden Daten löschen und dem Antragsteller unverzüglich eine Löschungsbestätigung zur Verfügung stellen.

Müssen einige oder alle Daten noch aufbewahrt werden, z.B. für steuerliche Zwecke, müssen Sie in Ihrem Antwortschreiben die konkreten, noch nicht gelöschten Inhalte sowie die Grundlage und die Dauer der weiteren Speicherung nennen und auf die Möglichkeit einer Beschwerde bei einer Aufsichtsbehörde und eines gerichtlichen Rechtsbehelfs hinweisen. Darüber hinaus müssen Sie bei einer Änderung des Verarbeitungszwecks – dazu gehört auch die bloße Erfüllung der Aufbewahrungspflicht für einen ansonsten abgeschlossenen Vorgang, z.B. Bewerbungsunterlagen abgelehnter Bewerber für den AGG-Nachweis – die personenbezogenen Daten für die weitere Verarbeitung sperren (Art. 18 DSGVO/§ 35 BDSG Abs. 3), so dass nur noch sehr wenige Personen Zugriff auf diese „reinen Archivdaten“ haben und die betroffene Person z.B. keine Werbung, Newsletter o.ä. mehr erhält. Die entsprechende Abwägung, ob und zu welchem Zweck die Daten weiterhin gespeichert werden sollen und wie lange, muss dokumentiert werden. Häufig besteht die Herausforderung jedoch eher darin, Datensätze oder Teile davon selektiv und sicher zu löschen.

Mit dem Löschkonzept, das zwar nicht gesetzlich, aber in der DIN-Richtlinie 66398 definiert ist, vermeiden Sie, dass für jeden Datensatz eine Einzelfallentscheidung getroffen werden muss und erfüllen gleichzeitig die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Wichtig ist, die Beschreibungen stets aktuell zu halten – einige Datenverarbeitungstools können nicht mehr im Einsatz sein oder durch andere ersetzt worden sein, die andere Datenflüsse erzeugen. Hierfür wird die Mitarbeit der Datenschutzbeauftragten dringend empfohlen.

Wie lösche ich Daten und Datenträger DSGVO-konform?

Daten wirklich dauerhaft und unwiederbringlich zu löschen ist gar nicht so einfach. Der Löschprozess muss in Ihrem Konzept daher detailliert dargestellt werden. Es genügt jedenfalls nicht, ausgedruckte Bestellungen wegzuwerfen oder die Dokumente in den elektronischen Papierkorb zu verschieben. Nach rechtlicher Definition müssen gelöschte Daten dauerhaft und irreversibel unkenntlich gemacht werden. Beschreiben Sie daher, wie mit welchen Formen der Datenhaltung umzugehen ist, so dass die personenbezogenen Daten unwiderruflich gelöscht werden sollen (sog. Umsetzungsvorgaben). Hier einige Beispiele, wo personenbezogene Daten zu löschen oder zu vernichten sein könnten:

1. Papiergebundene Datenhaltung (-> angemessene Vernichtung nach Schutzklassen und Sicherheitsstufen nach DIN 66399 „Vernichtung von Datenträgern“ oder über ein Aktenvernichtungsunternehmen mit Auftragsverarbeitungsvertrag (AVV)),
2. Daten in lokalen physischen Backup-Systemen, z. B. auf CD oder Festplatten (-> Hardwareentsorgung nach DIN 66399 „Vernichtung von Datenträgern“),
3. Daten in lokalem Softwaresystem (-> sofortige unwiderrufliche Vernichtung),
4. Daten in einer externen Cloud (-> sofortige unwiderrufliche Vernichtung nach AVV mit Anbieter),
5. Daten in Smartphones von Vertriebsmitarbeitenden (-> sofortige unwiderrufliche Löschung)

Je nachdem, welche Datenhaltungen in Ihrem Haus zum Einsatz kommen, müssen Sie alle im Löschkonzept aufführen und die Löschvorgaben definieren. Verfolgen Sie die Datenströme in Ihrem Haus und insbesondere die Ablageorte von Datenkopien, Datenauszügen oder Backups, die ebenfalls gelöscht oder teilgelöscht werden müssen. Die selektive, aber unwiderrufbare Löschung einzelner Datensätze oder Datenfeld-Inhalte ist in vielen Datenmanagement-Systemen nach wie vor ein Problem. Lassen Sie sich zum Einsatz professioneller Datenlöschprogramme beraten, der Standard ist aktuell die mehrfache automatische Überschreibung zu löschender Daten mit Datenmüll.

Wichtig: Überlassen Sie die Datenlöschung oder Datenträgervernichtung einem Dritten, müssen Sie mit ihm einen Auftragsverarbeitungsvertrag (AVV) schließen und diese dokumentieren (Artikel 30 DSGVO).