Löschkonzept verstehen: Fristen, Auslöser und Nachweise
Der Beitrag führt in das Löschkonzept als Pflichtbaustein der DSGVO-Dokumentation ein. Er definiert die Begriffe so, dass kleine Betriebe Löschregeln aus ihren tatsächlichen Verfahren ableiten können.
Ein Löschkonzept ist keine Liste mit willkürlichen Jahreszahlen. Es verbindet die Datenbestände eines Betriebs mit ihren Verarbeitungszwecken, gesetzlichen Pflichten und technischen Speicherorten. Belastbar ist es erst dann, wenn eine außenstehende Person nachvollziehen kann, warum bestimmte Daten noch vorhanden sind, wann sich das ändert und wer die Regel tatsächlich umsetzt.
Gerade bei kleinen Verantwortlichen liegen Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeiterübersicht und Löschregeln oft in getrennten Word-Dateien. Ändert sich eine Praxissoftware, kommt ein Cloud Dienst hinzu oder endet ein Dienstleistervertrag, entstehen schnell Widersprüche. Ein gepflegtes Verzeichnis nach Artikel 30 DSGVO für kleine Betriebe ist deshalb der sinnvolle Ausgangspunkt für nachvollziehbare Löschregeln.
Ein Löschkonzept setzt den Grundsatz der Speicherbegrenzung um
Artikel 5 Absatz 1 Buchstabe e der Datenschutz Grundverordnung, DSGVO, verlangt, dass personenbezogene Daten nur so lange in einer Form gespeichert werden, die die Identifizierung betroffener Personen ermöglicht, wie es für die Zwecke erforderlich ist, für die sie verarbeitet werden. Dieser Grundsatz heißt Speicherbegrenzung. Er betrifft nicht nur elektronische Datenbanken, sondern auch Akten, E Mails, Listen und Sicherungskopien.
Das Löschkonzept übersetzt diesen Grundsatz in betriebliche Regeln. Es beantwortet für jede relevante Verarbeitung: Welcher Zweck rechtfertigt die Speicherung? Welcher Umstand beendet den Zweck? Gibt es eine Rechtsvorschrift, die eine weitere Aufbewahrung verlangt? Welche Handlung folgt nach Ablauf der zulässigen Speicherzeit?
Erforderlichkeit ist keine allgemeine Vorratshaltung
Die bloße Möglichkeit, Daten später noch gebrauchen zu können, genügt nicht als Speicherechtfertigung. Ein Betrieb sollte den konkreten Bedarf benennen können, etwa die Durchführung eines Behandlungsverhältnisses, die Bearbeitung eines Auftrags, die Abwehr oder Durchsetzung von Ansprüchen oder die Erfüllung handels und steuerrechtlicher Pflichten.
Die Prüfung ist wiederkehrend vorzunehmen. Ein einmal erstelltes Löschkonzept bleibt nicht richtig, wenn sich Zwecke, Rechtsgrundlagen, eingesetzte Software oder Dienstleister ändern. Für die Dokumentation gehört die Löschregel daher in einen nachvollziehbaren Zusammenhang mit dem jeweiligen Verarbeitungsvorgang.
Löschfrist, Löschtermin und Löschereignis sind verschiedene Begriffe
Eine Löschfrist ist der Zeitraum, nach dessen Ablauf eine Prüfung oder Löschung vorgesehen ist. Sie kann an einen Beginn anknüpfen, etwa an das Ende eines Vertrags oder an den Abschluss eines Vorgangs. Die Frist beschreibt noch nicht zwingend den Kalendertag, an dem ein Datensatz bearbeitet wird.
Der Löschtermin ist das konkrete Datum oder der konkret festgelegte Ausführungszeitpunkt. Ein System kann beispielsweise anhand eines hinterlegten Datums eine Löschliste erzeugen, die eine zuständige Person prüft und abarbeitet. Der Termin macht die Regel operativ kontrollierbar.
Das Löschereignis ist der auslösende Umstand. Typische Ereignisse sind Vertragsende, Abschluss einer Anfrage, Widerruf einer Einwilligung, Wegfall einer Rechtsgrundlage oder der Ablauf einer gesetzlichen Aufbewahrungspflicht. Erst wenn das Ereignis eindeutig bestimmt ist, lässt sich eine Frist verlässlich berechnen.
Regeln müssen maschinenlesbar oder prüfbar sein
Die Formulierung „bei Bedarf löschen“ ist keine belastbare Löschregel. Sie lässt offen, wer den Bedarf beurteilt, wann geprüft wird und was mit Ausnahmen geschieht. Besser ist eine Regel mit Zweck, Ereignis, Frist, Handlung, Zuständigkeit und Prüfrhythmus.
| Bestandteil | Prüffrage | Beispielhafte Dokumentation |
|---|---|---|
| Zweck | Wofür werden die Daten benötigt? | Bearbeitung eines Kundenauftrags |
| Ereignis | Wodurch endet der Zweck? | Auftrag abgeschlossen und keine offene Bearbeitung |
| Frist | Wie lange besteht ein zulässiger Speichergrund? | Bis zum Ende der einschlägigen Aufbewahrung oder Anspruchsprüfung |
| Maßnahme | Was geschieht anschließend? | Löschen, vernichten oder im Einzelfall Verarbeitung einschränken |
Die Löschregel beginnt mit dem Zweck der Verarbeitung
Eine brauchbare Regel wird nicht zuerst aus einer Fristentabelle übernommen. Sie beginnt mit der konkreten Verarbeitung. Im Verzeichnis von Verarbeitungstätigkeiten sollten Zweck, Kategorien betroffener Personen und Datenkategorien, Rechtsgrundlage, Empfänger sowie gegebenenfalls Übermittlungen bereits beschrieben sein. Daraus ergibt sich, welche Daten überhaupt einer gemeinsamen Löschregel folgen können.
Danach ist der tatsächliche Ablauf zu prüfen. Eine Zahnarztpraxis kann etwa dieselben Patientendaten in der Praxisverwaltungssoftware, in eingescannten Unterlagen, im E Mail Postfach und bei einem Dienstleister verarbeiten. Eine Steuerkanzlei kann Unterlagen im Fachverfahren, in der Dokumentenablage und in einem Mandantenportal vorhalten. Gleiche Datenkategorien bedeuten nicht automatisch gleiche Speicherzwecke oder identische Löschmöglichkeiten.
Von der Verarbeitung zur dokumentierten Regel
Für jede Regel sollten Verantwortliche mindestens folgende Punkte festhalten:
- die Bezeichnung der Verarbeitung und den konkreten Zweck,
- die betroffenen Datenkategorien und Personengruppen,
- die Rechtsgrundlage und mögliche gesetzliche Aufbewahrungspflichten,
- das auslösende Ereignis, die Frist und den vorgesehenen Löschtermin,
- alle Speicherorte einschließlich Papierunterlagen und Dienstleister,
- die zuständige Rolle für Prüfung, Freigabe und Durchführung.
Diese Informationen müssen mit dem Verzeichnis übereinstimmen. Wird etwa ein neuer Cloud Anbieter eingesetzt, sind nicht nur der Auftragsverarbeitervertrag und die technischen und organisatorischen Maßnahmen zu prüfen. Auch die Löschregel muss den neuen Speicherort, dessen Löschfunktionen und den Umgang mit Sicherungskopien erfassen. Wie diese Änderungen in der Dokumentation zusammengeführt werden, zeigt der Beitrag Neuen Auftragsverarbeiter im Verzeichnis richtig nachziehen.
Gesetzliche Aufbewahrungspflichten können einer Löschung entgegenstehen
Die DSGVO verlangt keine Löschung, soweit eine Rechtsvorschrift die weitere Verarbeitung verlangt. Artikel 17 Absatz 3 Buchstabe b DSGVO nennt als Ausnahme vom Recht auf Löschung die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Europäischen Union oder der Mitgliedstaaten erfordert. Das betrifft beispielsweise einschlägige handels und steuerrechtliche Aufbewahrungspflichten.
Für Geschäftsunterlagen kommen insbesondere Paragraf 257 Handelsgesetzbuch und Paragraf 147 Abgabenordnung in Betracht. Welche Unterlage unter welche Pflicht fällt, hängt vom Inhalt, der Rolle des Betriebs und dem Einzelfall ab. Berufsrechtliche Dokumentationspflichten, etwa im Gesundheitsbereich, können zusätzlich gelten und unterscheiden sich teilweise nach Bundesland, Berufsrecht und konkreter Unterlage.
Aufbewahren ist zweckgebundenes Weiterverarbeiten
Nach Ablauf des ursprünglichen Vertrags, Behandlungs oder Auftragszwecks darf eine Unterlage nicht beliebig weiter genutzt werden, nur weil sie aufbewahrt werden muss. Die zulässige Verarbeitung richtet sich dann nach der Aufbewahrungspflicht. Das Löschkonzept sollte deshalb kenntlich machen, dass der ursprüngliche Zweck beendet ist und welcher rechtliche Grund die weitere Speicherung trägt.
Eine pauschale Regel für alle Dokumente eines Mandanten, Patienten oder Kunden ist riskant. Rechnungen, Korrespondenz, Behandlungsdokumentation und Bewerbungsunterlagen können unterschiedlichen Zwecken und Pflichten unterliegen. Die Regel muss diese Unterschiede abbilden, ohne Datenarten künstlich zu vermischen.
Sperrung ist keine pauschale Alternative zur Löschung
Im Alltag wird „sperren“ oft als Ersatz für „löschen“ verwendet. Datenschutzrechtlich ist genauer zu unterscheiden. Artikel 18 DSGVO regelt die Einschränkung der Verarbeitung in bestimmten Fällen, etwa wenn die Richtigkeit der Daten bestritten wird, die Verarbeitung unrechtmäßig ist und die betroffene Person statt Löschung eine Einschränkung verlangt, oder Daten für Rechtsansprüche noch benötigt werden.
Eine Einschränkung bedeutet nicht, dass Daten lediglich in einem alten Ordner liegen bleiben. Nach Artikel 18 Absatz 2 DSGVO dürfen eingeschränkte Daten grundsätzlich nur mit Einwilligung, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, zum Schutz der Rechte anderer Personen oder aus wichtigen Gründen eines öffentlichen Interesses verarbeitet werden.
Technische Begrenzung konkret festlegen
Wer eine Einschränkung dokumentiert, muss die praktische Wirkung beschreiben. Dazu können entzogene Schreibrechte, ein gesonderter Status im Fachverfahren, reduzierte Zugriffsgruppen, eine Ausblendung aus Arbeitslisten und ein Hinweis für berechtigte Mitarbeitende gehören. Welche Maßnahme genügt, hängt vom System und vom Einzelfall ab.
Für abgelaufene Datenbestände ist Sperrung keine allgemeine Reserveoption. Besteht weder ein Zweck noch eine Rechtsgrundlage oder Aufbewahrungspflicht, ist die Löschung oder bei Papier die datenschutzgerechte Vernichtung die passende Maßnahme. Eine Einschränkung braucht selbst einen dokumentierten Anlass und einen späteren Prüftermin.
Löschregeln müssen alle Speicherorte erfassen
Die beste Regel für eine Fachanwendung ist unvollständig, wenn dieselben Daten parallel an anderen Stellen liegen. Deshalb sollte die Bestandsaufnahme nicht bei der zentralen Software enden. Für jeden Verarbeitungsvorgang ist zu klären, ob personenbezogene Daten zusätzlich in Dateien, E Mails, Papierakten, mobilen Geräten, Exporten oder Portalen vorkommen.
Besondere Aufmerksamkeit verdienen Sicherungskopien. Eine sofortige Einzelentfernung aus jeder Sicherung ist technisch nicht stets möglich oder angemessen. Das Konzept muss dann aber die Sicherungsdauer, Zugriffsbeschränkungen, den Ausschluss einer Wiederherstellung zu normalen Arbeitszwecken und die Löschung im Rahmen der turnusmäßigen Überschreibung oder Aussonderung beschreiben. Bei einer Wiederherstellung darf ein bereits gelöschter Bestand nicht unkontrolliert erneut produktiv genutzt werden.
Auftragsverarbeiter in die Ausführung einbeziehen
Verarbeitet ein Auftragsverarbeiter Daten, bleibt der Verantwortliche für die Regel verantwortlich. Der Vertrag nach Artikel 28 DSGVO und die praktische Dienstleistersteuerung sollten daher regeln, wie Daten nach Weisung gelöscht oder zurückgegeben werden, wie Sicherungen behandelt werden und welcher Nachweis bereitgestellt wird. Die Liste der Auftragsverarbeiter darf nicht von den im Löschkonzept genannten Speicherorten abweichen.
Auch Papierakten brauchen eine umsetzbare Regel. Sie erfordert einen Aussonderungsprozess, eine verantwortliche Rolle und eine sichere Vernichtung. Ein Archivkarton ohne Fristenkennzeichnung ist kein Nachweis dafür, dass die Speicherbegrenzung beachtet wird.
Der Nachweis umfasst Regel, Ausführung und Abweichung
Artikel 5 Absatz 2 DSGVO verpflichtet den Verantwortlichen zur Rechenschaftspflicht. Für das Löschkonzept genügt es daher nicht, eine Regel aufzuschreiben. Der Betrieb muss auch zeigen können, dass die Regel ausgeführt, kontrolliert und bei Abweichungen nachvollziehbar behandelt wurde.
Ein Löschprotokoll Datenschutz muss nicht zwangsläufig jeden einzelnen technischen Löschvorgang mit personenbezogenen Inhalten wiedergeben. Es soll aber die Durchführung beweisbar machen. Sinnvoll sind die betroffene Regel oder Verarbeitung, der Zeitraum, der Auslöser, die ausführende oder prüfende Rolle, das Ergebnis und gegebenenfalls eine Referenz auf Systemprotokolle oder Vernichtungsnachweise.
Abweichungen sind dokumentationspflichtige Entscheidungen
Kann eine Löschung nicht zum vorgesehenen Termin erfolgen, braucht die Abweichung einen konkreten Grund. Das kann eine noch laufende Aufbewahrungspflicht, ein Rechtsstreit, eine technische Störung oder eine erforderliche Einzelfallprüfung sein. Zu dokumentieren sind der Ausnahmegrund, die entscheidende Rolle, die beschränkten Zugriffsmöglichkeiten und ein neuer Prüftermin.
Damit schließt sich der Kreis zum Verzeichnis und zu den technischen und organisatorischen Maßnahmen. Änderungen an Software, Speicherorten oder Dienstleistern müssen in allen drei Dokumentationsbereichen geprüft werden. Der Beitrag Word, Excel oder Software: Wege zum aktuellen Verzeichnis ordnet ein, warum die bloße Ablage einer Vorlage diese Pflege nicht ersetzt.
Ein belastbares Löschkonzept macht Speicherbegrenzung prüfbar: Es benennt Zweck, Auslöser, Frist, Speicherort, Maßnahme, Zuständigkeit und Nachweis. Der Autor dieses Beitrags empfiehlt, zunächst die tatsächlich genutzten Verfahren und Speicherorte abzugleichen, statt mit einer allgemeinen Fristentabelle zu beginnen.
Für Betriebe und externe Datenschutzbeauftragte, die Verzeichnis, technische und organisatorische Maßnahmen sowie Löschfristen in einem gepflegten Dokument zusammenführen möchten, bietet Verarbeitungsbuch für ein vorzeigbares Verzeichnis mit gepflegten Löschfristen eine strukturierte Grundlage. Für eine Vorführung oder frühen Zugang nutzen Sie bitte das Kontaktformular auf der Kontaktseite.
