Daten sind wichtig. Unternehmen leben von Daten und auch als Privatpersonen sind wir auf sie angewiesen. Daten sind ein Teil unseres Wissens und darum sammeln wir sie. Nur gibt es in Bezug auf das Sammeln personenbezogener Daten klare Regeln. Diese wurden beispielsweise in der DSGVO verewigt. Wir dürfen Daten entsprechend nur zweckgebunden erheben und benötigen oft (aber nicht immer) die Einwilligung der Person, der die Daten gehören. Auch die Verarbeitung muss diesen Regeln entsprechen. Wir dürfen Daten, die wir für einen Zweck erhoben haben, nicht x-beliebig für andere Zwecke weiterverarbeiten. Aber auch der Lebenszyklus von uns erhobener personenbezogener Daten ist klar regelt. Endet der Zweck der Datenerhebung, so müssen Daten gelöscht werden.
Das „Recht auf Löschen“ ist in der DSGVO Art. 17 festgelegt. Die Anforderung nach Löschregeln und deren Umsetzung ergibt sich aus des Weiteren DSGVO Art. 5. Dort werden die Prinzipien Zweckbindung, Datenminimierung, und Speicherbegrenzung definiert. Nach DSGVO Art. 18 kann auch die Aussetzung von der Löschung beantragt werden.
Zum anderen gibt es Aufbewahrungspflichten aus verschiedenen Gründen, die ebenfalls gesetzlich festgelegt sind (beispielsweise § 147 AO und § 257 HGB) und einer Löschung entgegenstehen. Insofern können sich die Löschregeln für einzelne Datenarten ändern, weil sich durch die EU-DSGVO und Anforderung der Verarbeitung von Daten aus anderen Gesetzen ein Zusammenspiel aus Bewahrungspflicht und Löschpflicht ergeben
Verstöße gegen die Pflichten aus der DSGVO können von den Aufsichtsbehörden geahndet werden, beispielsweise
- bei Verstößen gegen die Vorgaben von Artikel 5 oder 17 mit Geldbußen bis zum Maximum aus 20.000.000 € oder 4% des weltweiten Jahresumsatzes oder
- bei Verstößen gegen die Vorgaben von Artikel 25 oder 30 mit Geldbußen bis zum Maximum aus 10.000.000 € oder 2% des weltweiten Jahresumsatzes.
Zu einem gewissen Zeitpunkt müssen wir also wissen, welche Daten gelöscht werden müssen, und welche aufbewahrt werden müssen. Wir müssen wissen, wo sich diese Daten befinden, und wir müssen den Verarbeitungsgrund kennen. Dritten benötigen wir noch einen definierten Löschprozess mit Protokollierung, denn es reicht nicht, dass Daten gelöscht werden, man muss diese Löschung auch dokumentieren (und diese Dokumentation natürlich aufbewahren).
Löschung muss geregelt werden für alle personenbezogenen Daten, alle Daten die geschäftlichen Prozessen dienen, alle Daten mit Aufbewahrungsfristen. Löschung muss verhindert werden für alle Daten mit nicht abgelaufenen Aufbewahrungsfristen aus steuerlichen oder vertragstechnischen Gründen, alle Daten, die zum Schutz vor Klagen und zur Dokumentation von Verpflichtungen aufbewahrt werden müssen.
Die Lösung für all diese Fragen ist ein Löschkonzept. Ein Löschkonzept nach DIN 66398 soll wesentlich dazu beitragen, die Lösch- und Nachweispflichten nach der DSGVO zu erfüllen.
Das Ziel des Löschkonzepts ist die Identifizierung der Datenarten, die von der Löschpflicht betroffen sind, und eine Festlegung von Löschregeln und Verantwortlichkeiten je Datenart. Außerdem soll dieses Dokument die organisatorischen Abläufe der Löschverpflichtung darstellen und ermöglichen, manuelle wie automatische Umsetzungen der Löschungen gesetzeskonform durchzuführen und die Art und Weise der verpflichtenden Dokumentation festzulegen.
Das Löschkonzept beschreibt alle wesentlichen Informationen, Anforderungen und Prozesse und darüber hinaus die Verantwortlichkeiten. Allein Regeln zu haben reicht nämlich nicht, diese auch umzusetzen. Man benötigt Verantwortliche für die Löschung und Verantwortliche zur Überprüfung.
Vorgehen mit einem Plan
Das Löschkonzept befasst sich mit allen notwendigen Informationen, um der Löschpflicht der DSGVO nachkommen zu können. Wesentlicher erster Punkt ist die Aufnahme der Datenarten. Datenarten sind nicht etwa Dateiarten, sondern Informationssätze, die bestimmte Informationen für einen Zweck enthalten.
Verträge, Rechnungen, Personalakten usw. sind Datenarten. Dabei kommt es nicht darauf an, ob diese in einem Computersystem oder in einem Aktenordner abgelegt sind, denn die DSGVO befasst sich mit allen Verarbeitungsarten. Bei der Erhebung sind sinnvollerweise auch Informationen wie eingesetzte (Software-)Anwendungen, Speicherorte oder Aufbewahrungsrichtlinien zu berücksichtigen.
Im zweiten Schritt werden die Löschregeln definiert. Diese umfassen beispielsweise die Löschklassen, die Löschanweisungen, eine Löschmatrix, Ausnahmen und weitere erforderliche Maßnahmen.
Auch die Prozesse, organisatorische und technische Schritte und die Protokollierung sind Teil des Löschkonzepts, denn nur wenn klar definiert ist, wie gelöscht wird, kann die Löschung DSGVO-konform durchgeführt und protokolliert werden.
Auf Basis des Löschkonzepts lassen sich Retention-Labels einführen und Prozesse zur Automatisierung definieren. Workflows und Retention-Labels erleichtern die Löschvorgaben erheblich, sodass sie mit wenig Aufwand Kontrolle über Ihre Daten erhalten. Mit Genehmigungsworkflows zur Löschung (bzw. zum Datenerhalt) können Sie auch Sicherheitsinstanzen einbauen, dass stets nur Daten gelöscht werden, die nicht mehr erforderlich sind.
Unser Vorgehen
Wir beginnen mit einem Workshop, in dem wir die wichtigsten Aspekte eines Löschkonzept vorstellen und Fragen klären. Daraus heraus erfolgt die Aufnahme der Datenarten, -ablagen usw. Diese Erfassung wird durch alle Abteilungen des Unternehmens vorgenommen. Die konsolidierten Daten werden Teil des Löschkonzepts und sind die Grundlage für die nachfolgenden Schritte. In mehrere Folgemeetings werden die Löschklassen, Löschregeln und Anweisung definiert und im Löschkonzept festgehalten.
Aus dem Löschkonzept entstehen Anweisungen für Ihre Mitarbeiter und Onepager, um die Anwendung zu erleichtern und Ihren Mitarbeitern jederzeit die Möglichkeit zu geben, schnell und einfach nachzulesen, was und wie zu löschen ist.
Dem Löschkonzept nachgelagert kommen das Nutzungskonzept, das Back-up-Konzept und das Archivierungskonzept.
Haben Sie weitere Fragen zur Konzeption oder zur Implementierung? Die HOLAGIL freut sich darauf, Ihre Fragen beantworten zu dürfen und unterstützt Sie gerne dabei, mit den nächsten Schritten fortzufahren. Nehmen Sie jetzt Kontakt zu uns auf, um ab sofort zu finden statt zu suchen.
