Löschkonzept erstellen: Wann Daten gelöscht werden müssen

Speicherplatz ist billig, deshalb bewahren viele Unternehmen Daten einfach auf. Kundendaten aus dem Jahr 2010, Bewerbungen von vor drei Jahren, alte E-Mail-Postfächer ausgeschiedener Mitarbeiter: In fast jedem Betrieb finden sich Datenbestände, die längst hätten gelöscht werden müssen. Die DSGVO verlangt jedoch, dass personenbezogene Daten nur so lange gespeichert werden, wie es für die Zwecke erforderlich ist (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Ein Löschkonzept hilft, diesen Grundsatz systematisch umzusetzen.

Warum ein Löschkonzept?

Ein Löschkonzept beschreibt, welche Daten wann und wie gelöscht werden. Es ist nicht ausdrücklich im Gesetz genannt, ergibt sich aber aus der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO), aus dem Recht auf Löschung (Art. 17 DSGVO) und aus der Pflicht, im Verzeichnis von Verarbeitungstätigkeiten Löschfristen anzugeben. Weniger Daten bedeuten zudem weniger Risiko: Bei einer Datenpanne oder einem Auskunftsersuchen ist der Aufwand umso geringer, je schlanker die Datenbestände sind.

Schritt 1: Datenkategorien bilden

Ausgangspunkt ist Ihr Verzeichnis von Verarbeitungstätigkeiten. Fassen Sie Daten zu Kategorien mit gleicher Speicherdauer zusammen, etwa: Bewerbungsunterlagen, Personalakten, Rechnungen und Buchungsbelege, Geschäftsbriefe, Angebote ohne Auftrag, Newsletter-Abonnenten, Videoaufzeichnungen, Protokolldaten der Website.

Schritt 2: Fristen bestimmen

Für jede Kategorie ist zu klären, wie lange sie benötigt wird. Maßgeblich sind vor allem gesetzliche Aufbewahrungspflichten. Nach § 147 AO und § 257 HGB sind etwa Buchungsbelege und Handelsbücher zehn Jahre, empfangene und abgesandte Handels- und Geschäftsbriefe sechs Jahre aufzubewahren. Hinzu kommen Verjährungsfristen für mögliche Ansprüche, die eine längere Speicherung rechtfertigen können, wenn sie konkret begründet sind. Achten Sie auch auf den Fristbeginn, häufig der Schluss des Kalenderjahres, in dem das Dokument entstanden ist.

Schritt 3: Zuständigkeiten und Routinen

Legen Sie fest, wer für die Löschung welcher Daten verantwortlich ist und wann sie erfolgt, zum Beispiel einmal jährlich im ersten Quartal. Wo möglich, sollten Löschungen automatisiert werden. Viele Programme bieten Funktionen zur automatischen Löschung oder Archivierung. Wo Daten nach Ablauf der Frist nicht sofort gelöscht werden können, etwa wegen laufender Aufbewahrungspflichten für einzelne Bestandteile, ist eine Sperrung bzw. Einschränkung der Verarbeitung vorzusehen.

Schritt 4: Wie wird gelöscht?

Löschen bedeutet, dass die Daten nicht mehr oder nur mit unverhältnismäßigem Aufwand wiederhergestellt werden können. Das bloße Verschieben in den Papierkorb genügt nicht. Für Papierakten bietet sich eine zertifizierte Aktenvernichtung an. Der Dienstleister ist dann in der Regel Auftragsverarbeiter, mit dem ein Vertrag nach Art. 28 DSGVO zu schließen ist. Auch Backups müssen berücksichtigt werden: Hier genügt es in der Regel, wenn sie nach einem festgelegten Zyklus überschrieben werden und gelöschte Daten bei einer Wiederherstellung nicht reaktiviert werden.

Schritt 5: Dokumentieren

Halten Sie das Konzept schriftlich fest und protokollieren Sie die durchgeführten Löschläufe. So können Sie gegenüber Aufsichtsbehörden und Betroffenen belegen, dass Sie den Grundsatz der Speicherbegrenzung umsetzen.

In vielen kleinen Unternehmen genügt eine Tabelle mit Datenkategorie, Frist, Fristbeginn, Verantwortlichem und Löschmethode, sofern sie mit einem festen jährlichen Löschtermin auch gelebt wird. Bei der Einführung und bei Fragen zu Aufbewahrungsfristen unterstützen wir Sie: Nachricht senden oder Termin online buchen.