Löschkonzepte – wozu braucht man das eigentlich?

Was ist ein Löschkonzept?

Ein Löschkonzept bzw. eine Löschungsroutine soll sicherstellen, dass Daten und vor allem personenbezogene Daten nicht endlos lange im Unternehmen verweilen. Es hat natürlich auch den ganz praktischen Grund, dass man irgendwann eine unübersichtliche Menge an Daten hat, auf die nicht mehr zugegriffen wird.

Ist ein Löschkonzept gesetzlich vorgeschrieben?

Gesetzlich wurde schon im BDSG die Löschung als Recht des Betroffenen verankert. Hier wird darauf hingewiesen, dass personenbezogene Daten gelöscht werden,

  • wenn ihnen nicht eine gesetzliche, satzungsmäßige oder vertragliche Aufbewahrungsfrist gegenübersteht,
  • das schutzwürdige Interesse des Betroffenen beeinträchtigt wird oder
  • die Art der Speicherung in keinem Verhältnis zur Löschung steht.

In diesen Fällen können Daten nicht gelöscht, sondern dürfen gesperrt werden. Soviel zum Können. Wann müssen Daten gelöscht werden? Dies ist immer dann der Fall, wenn

  • die Speicherung der Daten unzulässig ist,
  • es sich um Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben, strafbare Handlungen oder Ordnungswidrigkeiten handelt und ihre Richtigkeit vom Unternehmen nicht bewiesen werden kann,
  • sie für eigene Zwecke verarbeitet werden, sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist, oder
  • sie geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden und eine Prüfung jeweils am Ende des vierten, soweit es sich um Daten über erledigte Sachverhalte handelt und der Betroffene der Löschung nicht widerspricht, am Ende des dritten Kalenderjahres beginnend mit dem Kalenderjahr, das der erstmaligen Speicherung folgt, ergibt, dass eine länger währende Speicherung nicht erforderlich ist.

Bevor ich jetzt anfange, dass alles auszuführen, schauen wir doch in die DSGVO.
Auch die Datenschutzgrundverordnung hat dieses Recht übernommen. Hier nennt es sich, das Recht auf Vergessenwerden.

Wann müssen Daten nach der DSGVO gelöscht werden?

Das Recht auf Vergessenwerden gibt der betroffenen Person die Möglichkeit gegenüber einem Unternehmen die Löschung der eigenen personenbezogenen Daten einzufordern. Löschen muss man, wenn

  • die Daten nicht mehr für den Zweck, für den sie erhoben wurden, benötigt werden,
  • die betroffene Person die Einwilligung, auf die sich die Verarbeitung stützt, wiederruft und es keine weitere Rechtsgrundlage für die Verarbeitung gibt,
  • die betroffene Person Widerspruch gegen die Verarbeitung eingelegt hat und keine vorrangigen berechtigten Gründe vorliegen,
  • die personenbezogenen Daten unrechtmäßig verarbeitet wurden,
  • die Löschung der personenbezogenen Daten ist zur Erfüllung von rechtlichen Verpflichtungen erforderlich,
  • die personenbezogenen Daten von Kindern wurden in Bezug auf Dienste der Informationsgesellschaft erhoben.

Um das etwas praxisnaher zu formulieren ein Beispiel:
Wenn ein Newsletter-Abonnent sich austrägt, dann müssen Sie seine Daten löschen. Eine Frage die offen bleibt ist, wann müssen Daten denn gelöscht werden, denn es gibt Aufbewahrungsfristen. Die Verarbeitungsübersicht gibt hier schon vor, wie lange Daten gespeichert werden. Nach Ablauf dieser Frist müssen die Daten gelöscht werden. Wenn es gesetzliche Regelungen zur Aufbewahrung gibt (Abgabenordnung), dann müssen Daten Ablauf dieser Fristen gelöscht werden.

Was muss bei der Löschung beachtet werden?

Als Auftragsverarbeiter ist es unumgänglich die Löschung von Daten zu dokumentieren, da es Bestandteil des Vertrages ist, der mit dem Auftraggeber geschlossen wird.
Wie welche Daten gelöscht werden, wird durch Schutzklassen bestimmt.

Schutzklasse 1: Hierunter fallen Daten wie Adressdatenbanken, Telefonlisten oder Listen. Diese können einfach gelöscht werden oder unbrauchbar gemacht werden.
Schutzklasse 2: Dies sind vertrauliche Daten wie Gesundheitsdaten oder Finanzinformationen. Hier ist es Pflicht ein professionelles Unternehmen für die Vernichtung der Daten zu beauftragen. Und Achtung! Dabei handelt es sich um Auftragsverarbeitung also ein Vertrag ist Pflicht.
Schutzklasse 3: Das sind besonders vertrauliche oder geheime Daten. Zum Beispiel Daten zu Forschungszwecken, Entwicklungsdokumente und Unternehmensgeheimnisse. Die Weitergabe dieser Daten hat erhebliche Konsequenzen für die Betroffenen. Auch hier ist es Pflicht ein professionelles Unternehmen (Auftragsverarbeiter) zu beauftragen. Es ist sogar geregelt, wie ein Datenträger zerstört werden muss.

Eigenlöschung von Datenträgern mit Daten der Schutzklasse 1

Es ist erlaubt, Datenträger selber zu löschen. Allerdings muss hier darauf geachtet werden, dass eine Wiederherstellung der Daten nicht mit einfachen Wiederherstellungswerkzeugen erfolgen kann. Konventionelle Festplatten können mehrfach überschrieben werden. Der BSI rät mindestens 7 mal zu überschreiben.
SSDs und Flash-Speicher (wie USB-Sticks oder SD-Karten) sind schon schwieriger zu löschen. Bei dieser Art von Speicher sollten die Datenerst verschlüsselt werden und dann mehrmals mit einem speziellen Programm überschrieben werden. Falls Datenfragmente nach dem Überschreiben vorhanden sind, können sie in der Regel nicht mehr lesbar gemacht werden.
Auch personenbezogene Daten auf Smartphones und Tablets sowie Druckern müssen gelöscht werden. Häufig werden diese Geräte einfach vergessen.

Sie brauchen zu diesem Thema Hilfe? Ich berate Sie gerne und erstelle auch ein Löschkonzept für Sie. Schreiben Sie mir einfach eine E-Mail