Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Löschkonzept

  • Datenschutz-Jahrescheck für KMU: 12 Punkte vor dem Jahresende

    Datenschutz ist kein Projekt, das einmal abgeschlossen wird, sondern eine Daueraufgabe. Das Jahresende ist ein guter Zeitpunkt, um Bilanz zu ziehen: Was hat sich im Unternehmen verändert, welche neuen Tools sind hinzugekommen, welche rechtlichen Entwicklungen müssen berücksichtigt werden? Unser 12-Punkte-Check hilft kleinen und mittleren Unternehmen, ihren Datenschutz mit überschaubarem Aufwand auf Stand zu bringen.

    Organisation und Dokumentation

    1. Ist das Verzeichnis von Verarbeitungstätigkeiten aktuell, mit neuen Prozessen, neuer Software und ohne weggefallene Verfahren? Unsere Anleitung hilft.
    2. Hat sich die Mitarbeiterzahl verändert, und ist die Benennung des Datenschutzbeauftragten noch korrekt gemeldet?
    3. Gibt es für jeden neuen Dienstleister mit Datenzugriff einen Auftragsverarbeitungsvertrag, und sind Unterauftragnehmer und Drittlandübermittlungen geprüft?
    4. Ist der Löschlauf erledigt? Bewerberdaten, alte Angebote, Daten ausgeschiedener Beschäftigter und Bestände mit abgelaufenen Aufbewahrungsfristen werden gemäß Löschkonzept bereinigt.

    Website und Marketing

    1. Welche Cookies und Drittdienste lädt die Website? Stimmen Cookie-Banner und Datenschutzerklärung noch mit der Realität überein? Seit Mai 2024 heißt das TTDSG übrigens TDDDG; veraltete Verweise sollten angepasst werden.
    2. Sind Einwilligungen für Newsletter und Werbung dokumentiert, und werden Abmeldungen und Widersprüche zuverlässig umgesetzt?
    3. Haben Kontaktformulare nur die nötigen Pflichtfelder, und kommen Antworten auf Online-Bewertungen ohne Kundendaten aus?

    IT-Sicherheit

    1. Sind Updates, Zwei-Faktor-Authentifizierung, Berechtigungen, Offline-Backups und ein getesteter Wiederherstellungsprozess auf Stand? Hinweise in unserem Beitrag zu TOMs nach Art. 32 DSGVO.
    2. Ist der Notfallplan aktuell, mit Telefonliste, Meldewegen für Datenpannen und, falls einschlägig, den NIS2-Meldepflichten?

    Beschäftigte und KI

    1. Haben alle Beschäftigten eine aktuelle Datenschutzschulung erhalten, und ist die KI-Kompetenz nach Art. 4 AI Act abgedeckt?
    2. Welche KI-Tools werden genutzt, und sind Inventar und Richtlinie aktuell? Seit August 2026 gelten die Transparenzpflichten der KI-Verordnung; die Hochrisiko-Pflichten für Anhang-III-Systeme folgen nach dem KI-Omnibus ab Dezember 2027 (siehe unseren Beitrag zum KI-Omnibus).
    3. Wie viele Auskunfts- und Löschanfragen gab es, wurden die Fristen eingehalten, und wo hakte es?

    Ergebnisse festhalten

    Dokumentieren Sie den Jahrescheck kurz: Datum, geprüfte Punkte, festgestellte Lücken, verantwortliche Personen und Fristen für die Umsetzung. Das erfüllt nicht nur die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, sondern verbessert auch Ihre Position, falls es einmal zu einer Datenpanne, einer Beschwerde oder einer Abmahnung kommt.

    In kleinen Unternehmen ist ein solcher Check oft an einem halben Tag erledigt. Wenn Sie ihn gemeinsam mit uns durchgehen möchten, schreiben Sie uns oder buchen Sie einen Termin.

  • Offboarding und Datenschutz: Checkliste beim Ausscheiden

    Wenn Beschäftigte das Unternehmen verlassen, stehen meist organisatorische Fragen im Vordergrund: Übergabe, Resturlaub, Arbeitszeugnis. Datenschutzrechtlich ist das Ausscheiden aber ebenso bedeutsam. Zugänge müssen gesperrt, Postfächer geregelt, Fotos entfernt und Daten nach Fristen gelöscht werden. Wer hier strukturiert vorgeht, verhindert Sicherheitslücken und Konflikte, etwa ein Auskunftsersuchen im Kündigungsstreit.

    1. Zugänge und Geräte

    • Benutzerkonten, VPN- und Cloud-Zugänge zum letzten Arbeitstag sperren,
    • Passwörter für gemeinsam genutzte Konten ändern,
    • Zwei-Faktor-Apps und Token zurückfordern bzw. deaktivieren,
    • Laptop, Smartphone, USB-Sticks und Schlüssel zurücknehmen und dokumentieren,
    • Daten auf zurückgegebenen Geräten sichern oder sicher löschen,
    • Zugriffe auf Kundenportale, Social-Media-Konten und Dienstleisterportale entziehen.

    2. Das E-Mail-Postfach

    Ob und wie der Arbeitgeber auf das Postfach zugreifen darf, hängt maßgeblich davon ab, ob die private Nutzung erlaubt war; Einzelheiten in unserem Beitrag „Private E-Mail-Nutzung am Arbeitsplatz“. Bewährt hat sich: eine Abwesenheitsnachricht mit neuem Ansprechpartner für eine Übergangszeit, Weiterleitung nur dienstlicher Nachrichten in Absprache, und anschließend Deaktivierung und Löschung des Postfachs nach einer festgelegten Frist. Geschäftsbriefe, die aufbewahrt werden müssen, sind vorab zu archivieren.

    3. Website, Social Media und Printmaterial

    Fotos, Namen und Kontaktdaten ausgeschiedener Beschäftigter sollten zeitnah von Team-Seiten, Signaturen, Broschüren und Social-Media-Kanälen entfernt werden. Wurde die Einwilligung in die Veröffentlichung widerrufen, ist das ohnehin Pflicht; siehe „Mitarbeiterfotos auf der Website“.

    4. Personalakte und Fristen

    Die Personalakte darf nach dem Ausscheiden nicht pauschal unbegrenzt aufbewahrt werden. Für die einzelnen Bestandteile gelten unterschiedliche Fristen. Zu beachten ist, dass der Gesetzgeber die Aufbewahrungsfrist für Buchungsbelege zum 1. Januar 2025 von zehn auf acht Jahre verkürzt hat. Einen Überblick über die Behandlung der Personalakte bietet unser Beitrag „Personalakte und Datenschutz“. Legen Sie die Fristen in Ihrem Löschkonzept fest und richten Sie eine Wiedervorlage ein.

    5. Daten im Kopf und auf privaten Geräten

    Ausscheidende Beschäftigte sollten daran erinnert werden, dass die Verpflichtung zur Vertraulichkeit fortgilt. Wurden dienstliche Daten auf privaten Geräten gespeichert oder dienstliche Chats über private Messenger geführt, ist deren Löschung zu verlangen und zu dokumentieren. Werden Kundendaten mitgenommen, kann dies eine Datenpanne sein, die nach Art. 33 DSGVO zu bewerten ist.

    6. Auskunftsersuchen vorbereiten

    Gerade bei konfliktbehafteten Trennungen verlangen Beschäftigte häufig Auskunft nach Art. 15 DSGVO. Wer seine Daten geordnet hat, kann die Monatsfrist leichter einhalten. Hinweise zur Beantwortung enthält unser Leitfaden „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“.

    Die Kurz-Checkliste

    1. Zugänge sperren, Geräte zurücknehmen.
    2. Postfach-Regelung umsetzen.
    3. Fotos und Kontaktdaten aus öffentlichen Kanälen entfernen.
    4. Löschfristen für Personalakte vormerken.
    5. Vertraulichkeitspflicht in Erinnerung rufen, Löschung privater Kopien dokumentieren.
    6. Ansprechpartner für Auskunftsersuchen festlegen.

    Am besten arbeiten Personalabteilung und IT eine gemeinsame, standardisierte Checkliste ab. Wir helfen beim Aufsetzen des Offboarding-Prozesses und ebenso, wenn bereits ein Auskunftsersuchen eines ehemaligen Mitarbeiters vorliegt. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • EuGH Deutsche Wohnen: Bußgeld gegen Unternehmen nur bei Verschulden

    Wie Unternehmen für Datenschutzverstöße ihrer Beschäftigten haften und ob ein Bußgeld ein Verschulden voraussetzt, hat der Gerichtshof der Europäischen Union am 5. Dezember 2023 in der Rechtssache C-807/21 (Deutsche Wohnen) entschieden, gemeinsam mit einem litauischen Verfahren (C-683/21). Das Urteil hat erhebliche Bedeutung für die Bußgeldpraxis der deutschen Aufsichtsbehörden.

    Der Hintergrund

    Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hatte gegen die Deutsche Wohnen SE ein Bußgeld von rund 14,5 Millionen Euro verhängt, weil personenbezogene Daten von Mieterinnen und Mietern länger als erforderlich gespeichert worden waren. Das Landgericht Berlin stellte das Verfahren ein: Nach deutschem Ordnungswidrigkeitenrecht (§ 30 OWiG) könne ein Bußgeld gegen ein Unternehmen nur verhängt werden, wenn einer konkreten Leitungsperson ein Verstoß nachgewiesen werde. Das Kammergericht legte die Frage dem EuGH vor.

    Die Kernaussagen

    1. Ein Bußgeld kann unmittelbar gegen ein Unternehmen als Verantwortlichen verhängt werden. Es ist nicht erforderlich, den Verstoß zuvor einer identifizierten natürlichen Person, etwa einem Vorstandsmitglied, zuzurechnen. Die einschränkende deutsche Regelung ist insoweit mit der DSGVO nicht vereinbar. Unternehmen haften dabei für Verstöße ihrer Leitungspersonen, aber auch für Verstöße anderer Personen, die im Rahmen ihrer unternehmerischen Tätigkeit und in ihrem Namen handeln.
    2. Eine verschuldensunabhängige Haftung gibt es nicht. Ein Bußgeld darf nur verhängt werden, wenn der Verantwortliche den Verstoß vorsätzlich oder fahrlässig begangen hat. Dafür genügt es, dass er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, unabhängig davon, ob ihm bewusst war, gegen die DSGVO zu verstoßen.
    3. Gehört der Adressat zu einem Konzern, ist für die Bemessung des Bußgeldes der Unternehmensbegriff des europäischen Wettbewerbsrechts maßgeblich, also gegebenenfalls der Umsatz der gesamten wirtschaftlichen Einheit.

    Das Kammergericht muss nun auf dieser Grundlage über das Bußgeld gegen die Deutsche Wohnen entscheiden.

    Einordnung

    Das Urteil bestätigt im Ergebnis die Linie, die das Landgericht Bonn bereits im Verfahren gegen 1&1 vertreten hatte; wir berichteten im Beitrag „LG Bonn senkt DSGVO-Bußgeld gegen 1&1“. Für die Aufsichtsbehörden wird die Verhängung von Bußgeldern einfacher, weil sie keine konkrete Leitungsperson ermitteln müssen. Zugleich müssen sie aber ein Verschulden des Unternehmens darlegen. Eine reine Gefährdungshaftung scheidet aus.

    Was Unternehmen daraus ableiten sollten

    • Unternehmen haften für Verstöße, die im Rahmen ihrer Tätigkeit begangen werden. Klare Prozesse, Schulungen und Kontrollen sind deshalb unverzichtbar.
    • Der Fall zeigt, dass schon die zu lange Speicherung von Daten zu Millionenbußgeldern führen kann. Ein funktionierendes Löschkonzept gehört zur Basis-Compliance.
    • Wer nachweisen kann, dass er angemessene Vorkehrungen getroffen hat, verbessert seine Position bei der Frage des Verschuldens und der Bußgeldhöhe.
    • Tochtergesellschaften müssen damit rechnen, dass Bußgelder am Konzernumsatz bemessen werden.

    Die Haftung ist damit unmittelbar, aber nicht verschuldensunabhängig, und eine nachweisbar gute Datenschutzorganisation gewinnt weiter an Gewicht. In Bußgeldverfahren verteidigen wir Unternehmen und prüfen dabei insbesondere die Verschuldensfrage. Kontaktieren Sie uns oder buchen Sie kurzfristig einen Termin.

  • Personalakte und Datenschutz: Inhalt, Zugriff, Aufbewahrung

    Die Personalakte begleitet jedes Arbeitsverhältnis von der Einstellung bis lange nach dem Ausscheiden. In Papierform wie digital enthält sie eine Vielzahl sensibler Daten, von Gehaltsangaben über Krankmeldungen bis zu Abmahnungen. Arbeitgeber müssen deshalb genau regeln, was hineingehört, wer Zugriff hat und wann Unterlagen vernichtet werden.

    Was gehört in die Personalakte?

    Maßstab ist § 26 Abs. 1 BDSG: Erlaubt ist, was für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Typischer Inhalt sind Arbeitsvertrag und Änderungen, Bewerbungsunterlagen des eingestellten Bewerbers, Zeugnisse und Qualifikationsnachweise, Angaben für Lohnabrechnung und Sozialversicherung, Urlaubs- und Fehlzeiten, Abmahnungen, Beurteilungen und Zielvereinbarungen. Nicht hinein gehören private Informationen ohne Bezug zum Arbeitsverhältnis oder bloße Gerüchte.

    Gesundheitsdaten gesondert schützen

    Gesundheitsdaten sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Ärztliche Atteste, Unterlagen aus dem betrieblichen Eingliederungsmanagement oder Angaben zu einer Schwerbehinderung sollten getrennt von der allgemeinen Personalakte aufbewahrt werden, etwa in einem verschlossenen Umschlag oder einem gesondert berechtigten digitalen Bereich. Arbeitsunfähigkeitsbescheinigungen enthalten keine Diagnose, dürfen aber trotzdem nur so lange wie nötig gespeichert werden.

    Wer darf Einsicht nehmen?

    Zugriff dürfen nur Personen haben, die ihn für ihre Aufgaben benötigen, typischerweise die Personalabteilung und, soweit erforderlich, der direkte Vorgesetzte. Ein abgestuftes Berechtigungskonzept ist gerade bei digitalen Personalakten unverzichtbar. Beschäftigte selbst haben nach § 83 BetrVG das Recht, ihre Personalakte einzusehen, und können zusätzlich Auskunft nach Art. 15 DSGVO verlangen. Diesen Anspruch hat der BGH zuletzt weit ausgelegt; siehe unseren Beitrag zum Umfang des Auskunftsanspruchs.

    Digitale Personalakte

    Viele Unternehmen stellen auf digitale Personalakten um. Wichtig sind dabei: verschlüsselte Speicherung, feingranulare Rechte, Protokollierung von Zugriffen und eine automatisierte Löschfunktion. Bei Software-as-a-Service-Lösungen ist ein Auftragsverarbeitungsvertrag nötig. Besteht ein Betriebsrat, ist dieser bei der Einführung zu beteiligen.

    Aufbewahrung nach dem Ausscheiden

    Mit dem Ende des Arbeitsverhältnisses entfällt der Hauptzweck der Personalakte. Eine pauschale Aufbewahrung „für immer“ ist unzulässig. Stattdessen sind die einzelnen Bestandteile nach ihren jeweiligen Fristen zu behandeln:

    • Das Lohnkonto ist nach § 41 Abs. 1 EStG bis zum Ende des sechsten Kalenderjahres nach der letzten Eintragung aufzubewahren; lohnrelevante Buchungsbelege unterliegen den handels- und steuerrechtlichen Fristen.
    • Arbeitsvertrag und Zeugnisse dürfen aufbewahrt werden, solange Ansprüche aus dem Arbeitsverhältnis geltend gemacht werden können. Die Verjährungsfrist von drei Jahren ist in der Regel ein Anhaltspunkt.
    • Abmahnungen und Beurteilungen sind nach dem Ausscheiden regelmäßig nicht mehr erforderlich, sofern kein Rechtsstreit droht.
    • Gesundheitsdaten sind so früh wie möglich zu löschen, soweit keine besonderen Aufbewahrungspflichten bestehen.

    Halten Sie die Fristen in Ihrem Löschkonzept fest und legen Sie einen festen Termin für die Bereinigung der Akten ausgeschiedener Mitarbeitender fest.

    Eine schlanke, gut strukturierte Akte, auf die nur Berechtigte zugreifen, schützt die Beschäftigten und das Unternehmen gleichermaßen. Bei der Überprüfung Ihrer Personalaktenführung oder der Umstellung auf digitale Akten unterstützen wir Sie. Schreiben Sie uns oder buchen Sie einen Termin.

  • Bewerberdaten: Wie lange speichern, wann löschen?

    Bewerbungen enthalten eine Fülle personenbezogener Daten: Lebenslauf, Zeugnisse, Fotos, mitunter Angaben zu Gesundheit, Familienstand oder Religion. Für Arbeitgeber stellt sich deshalb regelmäßig die Frage, was mit den Unterlagen abgelehnter Bewerberinnen und Bewerber geschehen soll. Einfach aufbewahren „für alle Fälle“ ist keine gute Idee. Gleichzeitig wäre eine sofortige Löschung nach der Absage oft vorschnell.

    Rechtsgrundlage im Bewerbungsverfahren

    Bewerberinnen und Bewerber gelten nach § 26 Abs. 8 BDSG als Beschäftigte. Ihre Daten dürfen verarbeitet werden, soweit dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist (§ 26 Abs. 1 BDSG). Erforderlich sind Angaben, die für die Beurteilung der Eignung relevant sind. Fragen nach Schwangerschaft, Religion oder Gewerkschaftszugehörigkeit sind im Regelfall unzulässig. Werden besondere Kategorien von Daten mitgeteilt, gelten die strengeren Voraussetzungen des § 26 Abs. 3 BDSG.

    Wie lange dürfen Unterlagen nach der Absage gespeichert werden?

    Nach Abschluss des Verfahrens entfällt der ursprüngliche Zweck. Arbeitgeber haben aber ein berechtigtes Interesse, sich gegen mögliche Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) verteidigen zu können. Ansprüche auf Entschädigung oder Schadensersatz müssen nach § 15 Abs. 4 AGG innerhalb von zwei Monaten nach Zugang der Ablehnung schriftlich geltend gemacht werden; für die anschließende Klage gilt eine Frist von drei Monaten (§ 61b ArbGG). Hinzu kommt eine angemessene Zeit für Zustellungen. In der Praxis hat sich daher eine Aufbewahrungsdauer von etwa sechs Monaten nach der Absage etabliert, die auch von Aufsichtsbehörden regelmäßig akzeptiert wird. Danach sind die Daten zu löschen, sofern kein Rechtsstreit anhängig ist.

    Talentpool: nur mit Einwilligung

    Möchten Sie interessante Kandidatinnen und Kandidaten für künftige Stellen vormerken, benötigen Sie dafür grundsätzlich eine Einwilligung. Diese sollte gesondert abgefragt werden und nicht versteckt in der Datenschutzerklärung stehen. Sie sollte eine konkrete Speicherdauer nennen und auf das jederzeitige Widerrufsrecht hinweisen. Ohne Einwilligung ist die Speicherung über die Sechs-Monats-Frist hinaus kaum zu rechtfertigen.

    Recherchen im Internet und in sozialen Netzwerken

    Dürfen Personalverantwortliche Bewerber „googeln“? Die Recherche in beruflich ausgerichteten Netzwerken ist eher vertretbar, weil diese gerade der beruflichen Selbstdarstellung dienen. Private Profile in sozialen Netzwerken sind dagegen in der Regel tabu. Werden Daten bei Dritten erhoben, ist zudem die Informationspflicht nach Art. 14 DSGVO zu beachten.

    Organisation im Bewerbermanagement

    • Informieren Sie Bewerber bei Eingang der Bewerbung über die Datenverarbeitung (Art. 13 DSGVO), etwa mit einer Eingangsbestätigung und einem Link auf Datenschutzhinweise.
    • Beschränken Sie den Zugriff auf die am Auswahlverfahren beteiligten Personen.
    • Nutzen Sie für Bewerbungen per E-Mail ein eigenes Postfach statt persönlicher Postfächer.
    • Wenn Sie ein Online-Bewerbermanagement einsetzen, schließen Sie mit dem Anbieter einen Auftragsverarbeitungsvertrag.
    • Nehmen Sie Bewerberdaten in Ihr Löschkonzept auf und automatisieren Sie die Löschung, wo möglich.

    Auskunftsansprüche von Bewerbern

    Auch abgelehnte Bewerber können Auskunft über die zu ihnen gespeicherten Daten verlangen, einschließlich Notizen aus Vorstellungsgesprächen. Wie solche Anfragen strukturiert beantwortet werden, zeigt unser Leitfaden zu Auskunftsersuchen. Formulieren Sie interne Notizen deshalb stets sachlich.

    Wenn Sie Ihren Bewerbungsprozess datenschutzrechtlich überprüfen lassen möchten, von der Eingangsbestätigung bis zur Löschroutine, sprechen Sie uns an. Zum Kontaktformular oder direkt einen Termin buchen.

  • Löschkonzept erstellen: Wann Daten gelöscht werden müssen

    Speicherplatz ist billig, deshalb bewahren viele Unternehmen Daten einfach auf. Kundendaten aus dem Jahr 2010, Bewerbungen von vor drei Jahren, alte E-Mail-Postfächer ausgeschiedener Mitarbeiter: In fast jedem Betrieb finden sich Datenbestände, die längst hätten gelöscht werden müssen. Die DSGVO verlangt jedoch, dass personenbezogene Daten nur so lange gespeichert werden, wie es für die Zwecke erforderlich ist (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Ein Löschkonzept hilft, diesen Grundsatz systematisch umzusetzen.

    Warum ein Löschkonzept?

    Ein Löschkonzept beschreibt, welche Daten wann und wie gelöscht werden. Es ist nicht ausdrücklich im Gesetz genannt, ergibt sich aber aus der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO), aus dem Recht auf Löschung (Art. 17 DSGVO) und aus der Pflicht, im Verzeichnis von Verarbeitungstätigkeiten Löschfristen anzugeben. Weniger Daten bedeuten zudem weniger Risiko: Bei einer Datenpanne oder einem Auskunftsersuchen ist der Aufwand umso geringer, je schlanker die Datenbestände sind.

    Schritt 1: Datenkategorien bilden

    Ausgangspunkt ist Ihr Verzeichnis von Verarbeitungstätigkeiten. Fassen Sie Daten zu Kategorien mit gleicher Speicherdauer zusammen, etwa: Bewerbungsunterlagen, Personalakten, Rechnungen und Buchungsbelege, Geschäftsbriefe, Angebote ohne Auftrag, Newsletter-Abonnenten, Videoaufzeichnungen, Protokolldaten der Website.

    Schritt 2: Fristen bestimmen

    Für jede Kategorie ist zu klären, wie lange sie benötigt wird. Maßgeblich sind vor allem gesetzliche Aufbewahrungspflichten. Nach § 147 AO und § 257 HGB sind etwa Buchungsbelege und Handelsbücher zehn Jahre, empfangene und abgesandte Handels- und Geschäftsbriefe sechs Jahre aufzubewahren. Hinzu kommen Verjährungsfristen für mögliche Ansprüche, die eine längere Speicherung rechtfertigen können, wenn sie konkret begründet sind. Achten Sie auch auf den Fristbeginn, häufig der Schluss des Kalenderjahres, in dem das Dokument entstanden ist.

    Schritt 3: Zuständigkeiten und Routinen

    Legen Sie fest, wer für die Löschung welcher Daten verantwortlich ist und wann sie erfolgt, zum Beispiel einmal jährlich im ersten Quartal. Wo möglich, sollten Löschungen automatisiert werden. Viele Programme bieten Funktionen zur automatischen Löschung oder Archivierung. Wo Daten nach Ablauf der Frist nicht sofort gelöscht werden können, etwa wegen laufender Aufbewahrungspflichten für einzelne Bestandteile, ist eine Sperrung bzw. Einschränkung der Verarbeitung vorzusehen.

    Schritt 4: Wie wird gelöscht?

    Löschen bedeutet, dass die Daten nicht mehr oder nur mit unverhältnismäßigem Aufwand wiederhergestellt werden können. Das bloße Verschieben in den Papierkorb genügt nicht. Für Papierakten bietet sich eine zertifizierte Aktenvernichtung an. Der Dienstleister ist dann in der Regel Auftragsverarbeiter, mit dem ein Vertrag nach Art. 28 DSGVO zu schließen ist. Auch Backups müssen berücksichtigt werden: Hier genügt es in der Regel, wenn sie nach einem festgelegten Zyklus überschrieben werden und gelöschte Daten bei einer Wiederherstellung nicht reaktiviert werden.

    Schritt 5: Dokumentieren

    Halten Sie das Konzept schriftlich fest und protokollieren Sie die durchgeführten Löschläufe. So können Sie gegenüber Aufsichtsbehörden und Betroffenen belegen, dass Sie den Grundsatz der Speicherbegrenzung umsetzen.

    In vielen kleinen Unternehmen genügt eine Tabelle mit Datenkategorie, Frist, Fristbeginn, Verantwortlichem und Löschmethode, sofern sie mit einem festen jährlichen Löschtermin auch gelebt wird. Bei der Einführung und bei Fragen zu Aufbewahrungsfristen unterstützen wir Sie: Nachricht senden oder Termin online buchen.