Löschkonzept

Löschkonzept nach DSGVO

Löschen, bevor es brennt

Kurz und Knapp:

Die DSGVO setzt in allen Bereichen auf Datensparsamkeit und informationelle Selbstbestimmung. Das bedeutet für Sie: Sie müssen personenbezogene Daten zu definierten Zeitpunkten löschen und hierfür auch ein Löschkonzept vorlegen können.

Leider gibt es kein universelles Muster für ein Löschkonzept, die Beschreibung muss immer der Realität im Unternehmen angepasst werden. Denn der Inhalt des Löschkonzepts hängt davon, ab, welche personenbezogenen Daten in Ihrem Unternehmen anfallen, in welcher Form sie vorliegen und welche Vorgaben für diese Daten in Ihrem Betrieb und teils auch in der betreffenden Abteilung gelten. Das Löschkonzept gehört zu den TOM (technisch-organisatorischen Maßnahmen) Ihres Datenschutz-Konzeptes. Wir stellen Ihnen hier vor, wie Sie zu einem passenden, individuellen Löschkonzept kommen.

Löschkonzept: Wann müssen Daten gelöscht werden?

Wir benötigen Ihre Zustimmung, um hier Videos anzuzeigen!

Wir benutzen YouTube als Drittanbietersoftware, um Ihnen an dieser Stelle Videos präsentieren zu können. Mit Klick auf "Akzeptieren" stimmen Sie der Datenverarbeitung durch YouTube zu.

Grundsätzlich gibt es drei verschiedene Fälle bzw. Zeitpunkte, zu denen Daten gelöscht werden (müssen):

Das Verlangen des Nutzers,
Das Erreichen und damit der Wegfall des Zwecks der Datenverarbeitung, für die die Einwilligung erteilt wurde (z. B. Kündigung einer Mitgliedschaft),
Der Ablauf von Aufbewahrungsfristen

Je nach Art der Daten hat die Aufbewahrungsfrist Vorrang. Sobald es sich um Daten handelt, die für behördliche Prüfzwecke für einen bestimmten Zeitraum aufbewahrt werden müssen, dürfen Sie diese nicht früher löschen, auch wenn der Nutzer dies verlangt. Auch wenn der Zweck dieser Datenverarbeitung, etwa eine einmalige Bestellung, erfüllt und damit weggefallen ist, muss beispielsweise die Rechnung dafür bis zum Ende der steuerlichen Aufbewahrungsfrist aufbewahrt werden. Die übrigen personenbezogenen Daten des Vorgangs hingegen (Adresse, Bankverbindung etc.) können früher, teils auch sofort gelöscht werden, sofern kein Prozess anhängig ist. Diese Aufteilung von Datensätzen wird auch „Speicherbegrenzung“ genannt und basiert auf Artikel 5 DSGVO. Auf dieser Basis können und sollen auch Teile von Datensätzen gelöscht werden – etwa abgeschlossene Vorgänge in bestehenden Kundendatensätzen oder schriftlichen Akten.

Ihr Löschkonzept muss daher klar definieren, welche Datenarten in Ihrem Unternehmen anfallen, wo diese liegen und wie bzw. wann sie gelöscht werden.

Das „Recht auf Vergessenwerden“ umsetzen – was tue ich, wenn Nutzer die Datenlöschung verlangen?

Die Nutzer Ihrer Dienstleistungen haben ein gesetzliches Recht darauf, von Ihnen zu erfahren, welche personenbezogenen Daten über sie in Ihrem Unternehmen vorliegen (Auskunftsrecht, Art. 15 DSGVO).

Verlangt ein Nutzer eine Datenauskunft, müssen Sie sämtliche personenbezogenen Daten zu dieser Person aus allen betrieblichen Systemen auslesen und zur Verfügung stellen. Anhand dieser Aufstellung, aber auch unabhängig davon können Ihnen die Nutzer die (weitere) Nutzung aller oder einiger ihrer personenbezogenen Daten untersagen (Widerruf der Einwilligung nach Artikel 17 Absatz 1b DSGVO oder Widerspruch nach Artikel 21 DSGVO). Die betroffenen Personen können Sie als Unternehmen auffordern, falsch erfasste personenbezogene Daten zu korrigieren oder zu löschen (Artikel 7 Absatz 3 DSGVO) – und zwar auch durch Sie vermittelte, auf sie bezogene persönliche Inhalte, etwa Einträge in Suchmaschinen, Bewertungsportalen oder Branchenverzeichnissen. Sollten Sie also Daten an Dritte zur Veröffentlichung weitergeleitet haben, müssen auch diese Dritten die entsprechenden Daten nachweislich korrigieren oder entfernen.

Wichtig: Diese Vorgaben gelten auch rückwirkend für Datenbestände, die vor dem Inkrafttreten der DSGVO erfasst oder zusammengestellt wurden.

§ 35 BDSG über die Berichtigung, Löschung und Sperrung von Daten besagt in Absatz 2 Satz 2:

„Personenbezogene Daten sind zu löschen, wenn

ihre Speicherung unzulässig ist,
es sich um Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben, strafbare Handlungen oder Ordnungswidrigkeiten handelt und ihre Richtigkeit von der verantwortlichen Stelle nicht bewiesen werden kann,
sie für eigene Zwecke verarbeitet werden, sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist, oder
sie geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden und eine Prüfung jeweils am Ende des vierten, soweit es sich um Daten über erledigte Sachverhalte handelt und der Betroffene der Löschung nicht widerspricht, am Ende des dritten Kalenderjahres beginnend mit dem Kalenderjahr, das der erstmaligen Speicherung folgt, ergibt, dass eine längerwährende Speicherung nicht erforderlich ist.“

Artikel 17 DSGVO gibt vor, dass personenbezogene Daten unverzüglich zu löschen sind, wenn

der oder die Betroffene dies verlangt bzw. die Einwilligung in die Datenverarbeitung widerruft,
der Zweck, zu dem die Daten erhoben wurden, entfallen ist und
dem keine Aufbewahrungspflichten entgegenstehen.

Außerdem sind personenbezogene Daten bei einer unrechtmäßigen Erhebung/Verarbeitung (etwa Datenerhebung bei Kindern ohne Elterneinwilligung) oder einer rechtlichen Verpflichtung nach Unionsrecht unverzüglich zu löschen.

Unverzüglich bedeutet in diesem Fall, dass der gesamte Löschprozess samt Dokumentation und Bestätigung an die betroffene Person maximal einen Monat dauern darf. Sie als Datenverarbeiter haben diesem Verlangen bzw. Widerruf also umgehend nachzukommen, sämtliche Kopien und Backups der entsprechenden Daten löschen und dem Antragsteller unverzüglich eine Löschbestätigung zur Verfügung zu stellen.

Müssen einige oder alle Daten noch aufbewahrt werden, z.B. zu steuerlichen Zwecken, müssen Sie die konkreten noch nicht gelöschten Inhalte und die Grundlage sowie die Dauer der weiteren Speicherung in Ihrem Antwortschreiben benennen und dabei auf die Möglichkeit zur Beschwerde bei einer Aufsichtsbehörde und auf einen gerichtlichen Rechtsbehelf hinweisen. Zudem müssen Sie bei einer Änderung des Verarbeitungszwecks – dazu gehört die reine Erfüllung der Aufbewahrungspflicht bei einem ansonsten abgeschlossenen Vorgang, z. B. Bewerbungsunterlagen abgelehnter Bewerber für den AGG-Nachweis – die personenbezogenen Daten für die weitere Verarbeitung sperren (Artikel 18 DSGVO/§ 35 BDSG Absatz 3), so dass nur noch sehr wenige Personen Zugriff auf diese „reinen Archivdaten“ haben und die betreffende Person z.B. keine Werbung, Newsletter o.Ä. erhält. Die entsprechende Abwägung, ob und zu welchem Zweck die Daten weiter gespeichert bleiben sollen und wie lange, muss dokumentiert werden. Die Herausforderung besteht jedoch oft eher darin, selektiv Datensätze oder auch Teile davon sicher zu löschen.

Mit dem Löschkonzept, das zwar nicht gesetzlich, aber durch die DIN-Leitlinie 66398 definiert ist, vermeiden Sie, dass über jeden Datensatz eine Einzelfallentscheidung getroffen werden muss, und kommen gleichzeitig der Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO nach. Wichtig ist, die Beschreibungen ständig aktuell zu halten – manche datenverarbeitenden Tools sind vielleicht nicht mehr im Einsatz oder wurden durch andere ersetzt, die andere Datenströme hervorrufen. Hierfür ist die Zuarbeit der Datenschutzbeauftragten dringend zu empfehlen.

Wie lösche ich Daten und Datenträger DSGVO-konform?

Daten wirklich dauerhaft und unwiederbringlich zu löschen ist gar nicht so einfach. Der Löschprozess muss in Ihrem Konzept daher detailliert dargestellt werden. Es genügt jedenfalls nicht, ausgedruckte Bestellungen wegzuwerfen oder die Dokumente in den elektronischen Papierkorb zu verschieben. Nach rechtlicher Definition müssen gelöschte Daten dauerhaft und irreversibel unkenntlich gemacht werden. Beschreiben Sie daher, wie mit welchen Formen der Datenhaltung umzugehen ist, so dass die personenbezogenen Daten unwiderruflich gelöscht werden sollen (sog. Umsetzungsvorgaben). Hier einige Beispiele, wo personenbezogene Daten zu löschen oder zu vernichten sein könnten:

Papiergebundene Datenhaltung (-> angemessene Vernichtung nach Schutzklassen und Sicherheitsstufen nach DIN 66399 „Vernichtung von Datenträgern“ oder über ein Aktenvernichtungsunternehmen mit Auftragsverarbeitungsvertrag (AVV)),
Daten in lokalen physischen Backup-Systemen, z. B. auf CD oder Festplatten (-> Hardwareentsorgung nach DIN 66399 „Vernichtung von Datenträgern“),
Daten in lokalem Softwaresystem (-> sofortige unwiderrufliche Vernichtung),
Daten in einer externen Cloud (-> sofortige unwiderrufliche Vernichtung nach AVV mit Anbieter),
Daten in Smartphones von Vertriebsmitarbeitenden (-> sofortige unwiderrufliche Löschung)

Je nachdem, welche Datenhaltungen in Ihrem Haus zum Einsatz kommen, müssen Sie alle im Löschkonzept aufführen und die Löschvorgaben definieren. Verfolgen Sie die Datenströme in Ihrem Haus und insbesondere die Ablageorte von Datenkopien, Datenauszügen oder Backups, die ebenfalls gelöscht oder teilgelöscht werden müssen. Die selektive, aber unwiderrufbare Löschung einzelner Datensätze oder Datenfeld-Inhalte ist in vielen Datenmanagement-Systemen nach wie vor ein Problem. Lassen Sie sich zum Einsatz professioneller Datenlöschprogramme beraten, der Standard ist aktuell die mehrfache automatische Überschreibung zu löschender Daten mit Datenmüll.

Wichtig: Überlassen Sie die Datenlöschung oder Datenträgervernichtung einem Dritten, müssen Sie mit ihm einen Auftragsverarbeitungsvertrag (AVV) schließen und diese dokumentieren (Artikel 30 DSGVO).

Welche Aufbewahrungsfristen muss ich im Löschkonzept beachten?

Je nach Dokumententyp (Inhalt) sind bestimmte Dokumente in physischer oder elektronischer Form über einen bestimmten Zeitraum für Prüfungen zur Verfügung zu halten. Es gibt Prüfungen nach HGB, steuerliche und Betriebsprüfungen (Sozial- und Rentenversicherung), die teils unterschiedliche Aufbewahrungsfristen vorsehen. Die Aufbewahrungsfrist beginnt am 1.1. des Jahres, nachdem der datierte Datensatz/das Dokument entstanden ist. Je nach Branche können weitere Aufbewahrungsfristen, etwa für Patientendaten, oder Vorgaben branchenspezifischer Gesetze wie GwG und WpHG relevant werden. Bei offenen Rechtsstreitigkeiten dürfen Daten nicht gelöscht werden, bis die Streitigkeiten beigelegt sind – auch wenn dadurch die gesetzliche Aufbewahrungsfrist überschritten wird.

Hinweis: Der Datenschutzbeauftragte sollte sich die Informationen, welche Aufbewahrungsfristen für Daten vorliegen, von der jeweiligen Abteilung oder Experten zuarbeiten lassen, er hat hierbei keine Entscheidungsbefugnis. In Einzelfällen, etwa bei offenen Rechtsstreitigkeiten, kann die Aufbewahrung länger sein als gesetzlich vorgegeben, weil ein berechtigtes Interesse an einer Speicherung bis zur Klärung des Sachverhalts besteht.

Hier ein nicht abschließender Auszug aus den möglicherweise zu beachtenden Aufbewahrungsfristen:

10 Jahre lang sind beispielsweise folgende Dokumente aufzubewahren (§ 147 Abs. 3 AO i. V. m. § 147 Abs. 1 Nr. 1, 4, 4a AO:

Bücher und Aufzeichnungen
Inventare
Jahresabschlüsse (Bilanz und GuV)
Lageberichte
Eröffnungsbilanz mit allen zum Verständnis erforderlichen Arbeitsanweisungen und Organisationsunterlagen
Buchungsbelege und Rechnungen (z. B. Bewirtungsbelege, Reisekostenabrechnungen, Lieferscheine, Quittungen)
Spendenbescheinigungen
Bankunterlagen und Kontoauszüge
Fahrtenbücher
Steuererklärungen und Umsatzsteuervoranmeldungen
Die meisten Unterlagen, die Arbeitsverhältnisse und/oder Lohnabrechnungen betreffen
Jahreslohnnachweise für Berufsgenossenschaften
Mutterschaftsgeldunterlagen

6 Jahre lang müssen Sie beispielsweise aufbewahren:

Angebote
Auftragsbestätigungen
Buchführungsprogramm
Mahnungen
Versicherungspolicen
Verträge
An-, Ab- und Ummeldungen der Krankenkassen
Mietunterlagen, Mietverträge (nach Vertragsende)
Patente und Patentunterlagen, nach Ablauf des Patents

Es gibt noch viele weitere Aufbewahrungsfristen, teils auch sachlich definierte. So müssen Sie z.B. Baugenehmigungen für die gesamte Lebensdauer des Bauwerks aufbewahren, Patientenunterlagen in Krankenhäusern sind 30 Jahre lang aufzubewahren. Hilfreich ist, die gängigsten Grundlagen für die Aufbewahrung und Löschung allen Mitarbeitern der betreffenden Abteilung zu Verfügung zu stellen, damit sie bei Nachfragen sprachfähig sind.

Über die Dauer der Datenspeicherung müssen Sie die betroffene Person bereits bei der Erhebung der personenbezogenen Daten informieren (Artikel 13 Absatz 2 DSGVO). Daher ist die Beschäftigung mit Aufbewahrungsfristen ohnehin sinnvoll, wenn personenbezogene Daten verarbeitet und gespeichert werden sollen.

Nach Ablauf der Aufbewahrungs- und Zweckbindungsfristen müssen Sie die personenbezogenen Daten dann unverzüglich vernichten (lassen) – und zwar ohne dass die betroffenen Personen tätig werden müssen. Hierfür könnten Sie eine Löschroutine verwenden, also automatisierte Löschprozesse nach Ende der Aufbewahrungsfristen. Achten Sie penibel darauf, dass die vorgeschriebenen Fristen eingehalten und die Daten nicht zu früh gelöscht werden, aber nach Fristablauf möglichst sofort! Die Löschprotokolle sind übrigens selbst auch 3 Jahre lang aufzubewahren.

Zum eigenen Löschlkonzept ‒ Schritt für Schritt

So kommen Sie zu einem praxisnahen, individuellen Löschkonzept:

Legen Sie einen Verantwortlichen und einen Stellvertreter für das Löschkonzept und die Durchführung der darin beschriebenen Prozesse fest. Einzelne Aufgaben können auch delegiert werden, benennen Sie dann die einzelnen Zuständigkeiten und die Berichts- und Überwachungswege. Bei Mitarbeiterdaten ist der Betriebsrat zu informieren oder auch zu beteiligen.
Stellen Sie fest, welche Datenarten es in Ihrem Unternehmen gibt – das könnten Sie beispielsweise anhand des Verzeichnisses der Verarbeitungstätigkeiten ermitteln. Gleiche Datenarten können Sie für das Löschkonzept in Gruppen (Mitarbeiterstammdaten, Kundenstammdaten, Geschäftspartnerdaten, Bewerberdaten, Buchungsbelege etc.) zusammenfassen. Bestimmte Daten gehören beispielsweise zu den besonders schützenswerten personenbezogenen Daten und müssen daher gesondert entsorgt/gelöscht werden, sie bilden eines eigene Datenart.
Ermitteln Sie dann den aktuellen Weg der Datenströme in Ihrem Internehmen und auch nach extern – wo werden personenbezogene Daten verarbeitet, wo (teil-)dupliziert, wo gespeichert? Welche Dienstleister müssen informiert werden, wenn Löschanforderungen eintreffen?
Unterscheiden Sie nach Unternehmensbereichen – Mitarbeiterdatensätze im HR-Bereich sehen anders aus als Kundendatensätze im Servicebereich, es besteht z.B. unterschiedlicher Bedarf an Ansteuerbarkeit einzelner Felder.
Ermitteln Sie zunächst die Datengruppen, für die bestimmte AufbewahrungsfristenB. nach HGB, AO, SV- oder Steuerrecht gelten, diese sind für Sie bindend.
Legen Sie für die übrigen Daten die Löschfristen Auf diese Daten ist auch die sofortige Löschung nach Verlangen des Nutzers bzw. nach Wegfall der Erhebungsgrundlage anzuwenden. Entwickeln Sie eine Kennzeichnung von daten, die trotz Ablaufs der Aufbewahrungsfristen weiter aufbewahrt werden müssen, etwa wegen ausstehender Reklamations- oder Gerichtsverfahren.
Beschreiben Sie nun die Löschregeln pro Datenart und Daten(-gruppe). Geben Sie dabei an, welche Objekte (Dateien, Datensätze, Dokumente ö.Ä.) aus welcher Datenart wie lange aufzubewahren und wann auf welche technische Art und Weise und durch wen zu löschen sind. Hier empfiehlt sich eine Löschvorgehensbeschreibung in zwei Schritten:
1. Nutzerverlangen (z. B. sofortige manuelle Löschung)
2. Ablauf des Erhebungszwecks (z. B. automatisiertes Vorgehen)
Legen Sie die technischen Abläufe der Datenlöschung in einer Löschanweisung in Form konkreter Umsetzungsregeln fest. Dabei müssen die personenbezogenen Daten aus allen relevanten IT-Systemen, Datenbanken und Anwendungen unwiderruflich gelöscht werden. Beschreiben Sie das Vorgehen bei der zentralen und ggf. auch der dezentralen Datenhaltung, greifen Sie hierbei auf die Mithilfe und Informationen aus Ihrer IT-Abteilung zurück. Entwickeln und dokumentieren Sie auch ein Rollen- und Rechtesystem, wer welche personenbezogenen Daten löschen darf.
Beschreiben Sie das Protokollierungsverfahren. Sie müssen die Löschvorgänge in geeigneter Form dokumentieren.
Im Löschkonzept müssen auch alle eingebundenen externen Dienstleister bei der Verarbeitung und Löschung personenbezogener Daten benannt und mit ihrem Auftragsverarbeitungsvertrag (AVV) aufgeführt werden, die personenbezogene Daten für Ihr Unternehmen verarbeiten oder vernichten. Natürlich müssen auch die externen Dienstleister Ihrem Löschkonzept folgen. Geben Sie ihnen die vorzunehmenden Löschprozesse vor und prüfen Sie die Einhaltung der Löschprozesse bei Ihren Dienstleistern. Lassen Sie sich zudem die Löschprotokolle zu allen für Ihr Unternehmen durchgeführten Löschvorgängen übermitteln, Sie müssen sie gegenüber der betroffenen Person nachweisen können.
Überprüfen Sie das gesamte Löschkonzept regelmäßig – z. B. jährlich – und überarbeiten Sie die Beschreibung aufgrund der realen Löschprozesse.

Damit das Löschkonzept auch in der täglichen Arbeit anwendbar ist, sollte jede betroffene Abteilung einen Auszug daraus erhalten, der die für sie (z. B: Finanzbuchhaltung, HR) vorgegebenen Löschanweisungen enthält.

Ext. Datenschutzbeauftragter für verschiedene Branchen

Jede Branche hat ihre eigenen spezifischen Datenschutzherausforderungen. Bei Cortina Consult bringen wir unsere Expertise ein, um Unternehmen in diesen Herausforderungen zu unterstützen. Wir helfen dabei, datenschutzkonform zu agieren, Risiken zu minimieren und das Vertrauen von Kunden und Partnern zu stärken. Mit uns wird Datenschutz nicht nur zur Pflicht, sondern auch zum Wettbewerbsvorteil.

Wie kann ich Daten dokumentiert und datenschutzkonform löschen?

Der Löschvorgang personenbezogener Daten muss protokolliert werden, und zwar aufgeteilt nach automatisierter Routinelöschung und Löschung auf Verlangen einer betroffenen Person bzw. einer Aufsichtsbehörde (Artikel 58 Absatz 2 Buchstabe g DSGVO). In jedem Fall ist zu dokumentieren:

Datenstandort oder Prozess, aus dem gelöscht wurde, z. B. Kundenstamm-Datei
Daten-ID, z. B. Kundennummer, oder bei automatisierter Löschung Datenherkunft, z. B. „Lieferunterlagen vor 2011“
Datentypus, z. B. Kundenstammdatensatz
Datenart, z. B. Adressdaten
Zeitpunkt der Löschung (Datum, Uhrzeit)
Grundlage der Löschung (z. B. Auftragsverarbeitungsvertrag oder Weisung)
Der Grund für die Löschung (z. B. Widerruf der Verarbeitungserlaubnis)
Die die Löschung bzw. Sperrung veranlassende Stelle (z. B. Sie)
Auflistung aller Speicherorte, an denen die Daten zu löschen sind – ggf. auch bei Vertragspartnern

Bei einem Löschverlangen einer betroffenen Person muss zudem aufgenommen werden

Wer die Identität der betroffenen Person wie geprüft hat (z. B. betroffene Person, Legitimation durch gültige Ausweispapiere mit der Ausweisnummer XXX)
Das Löschverlangen und der Weg seines Eingangs (z. B. per E-Mail)
Die Beschreibung der zu löschenden Daten (z. B. Telefonnummer und Postanschrift),
Die begründete Einschätzung, ob das Löschverlangen berechtigt ist,
ggf. die Verweigerung der sofortigen Löschung (z. B. wegen Einhaltung von gesetzlichen Aufbewahrungsfristen) und die dokumentierte Information an die verlangende Person, wann diese Daten stattdessen gelöscht werden können und werden,
Zustellung des Antwortschreibens zur verlangten Löschung (Inhalt, Weg, Datum)

Der gesamte Prozess muss spätestens innerhalb eines Monats ab Eingang des Löschverlangens durchlaufen sein, d.h. nach einem Monat muss Ihr Antwortschreiben zum Löschverlangen beim Löschantragsteller eingegangen sein.

Bei der Löschung ganzer Datenträger (Papierakten, USB-Sticks, Festplatten, Server etc.) sollten Sie mit einem qualifizierten Datenvernichtungsunternehmen einen Auftragsverarbeitungsvertrag schließen. Lassen Sie die Vernichtung der Datenträger unter Angabe der Löschmethode in einem Löschprotokoll bestätigen.

Löschkonzept: Die Negativauskunft

Möglicherweise finden sich in Ihrem Unternehmen keine personenbezogenen Daten zu der Person, die einen Löschantrag gestellt hat. Diese könnten beispielsweise in einem automatisierten Prozess bereits früher gelöscht oder unumkehrbar anonymisiert worden sein oder schlicht nicht vorliegen. In diesem Fall sind Sie dazu verpflichtet, die betroffene Person ebenfalls innerhalb eines Monats über diesen Sachstand zu informieren.

Kein Löschkonzept? Was sind die Konsequenzen?

Die erste Erstellung eines Löschkonzeptes kann sehr aufwändig sein, wenn die bisherige Datenhaltung dezentral organisiert oder nicht klar definiert war. Der Aufwand lohnt sich aber, da die Strafen für Verstöße gegen die DSGVO gerade im Bereich der Datenspeicherung und -löschung sehr hoch ausfallen können (2 bzw. 4 Prozent des weltweiten Jahresumsatzes, mindestens aber 10 Mio. bzw. 20 Mio. Euro, siehe Artikel 83 Absatz 4 und 5 DSGVO). Entsprechend sollte das Löschkonzept auch jederzeit aktuell gehalten werden.

Jörg ter Beek

Datenschutzexperte & DSB

Sie benötigen unterstützung beim Thema Löschkonzept?

Als externer Datenschutzbeauftragter unterstützen wir Sie bei der Erstellug eines Löschkonzept unter Berücksichtigung gesetzlicher Vorgaben.

Löschkonzept erstellen und prüfen lassen

Cortina Consult hilft Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen.

Als Beratungsdienstleister und externer Datenschutzbeauftragter erstellen und prüfen für Löschkonzepte für Ihr Unternehmen.