Bereits im 24. Tätigkeitsbericht des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit für die Jahre 2011 und 2012 wurde kritisiert, dass vielen Unternehmen klare Regelungen zur Löschung personenbezogener Daten fehlten. Der damalige Bundesdatenschutzbeauftragte Peter Schaar wies darauf hin, dass Unternehmen sich mit der Löschung digitaler Daten häufig schwertun und nicht mehr benötigte Daten zu lange aufbewahren.
Diese Beobachtung ist bis heute aktuell. Unter der Datenschutz-Grundverordnung ist die Pflicht zur Löschung personenbezogener Daten noch deutlicher geregelt. Art. 5 Abs. 1 lit. e DSGVO verpflichtet Verantwortliche zur Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist. Zudem konkretisiert Art. 17 DSGVO das Recht auf Löschung. Unternehmen müssen daher nicht erst auf einen Löschantrag reagieren, sondern ihre Datenbestände aktiv steuern.
Löschkonzept als Grundlage für Datenschutz-Compliance
Ein Löschkonzept legt fest, welche personenbezogenen Daten in welchen Systemen verarbeitet werden, wie lange sie aufbewahrt werden dürfen und wann sie gelöscht oder anonymisiert werden müssen. Es schafft klare Verantwortlichkeiten, dokumentierte Prozesse und nachvollziehbare Löschfristen.
Als anerkannte Orientierung dient dabei die DIN 66398. Sie beschreibt eine strukturierte Vorgehensweise zur Entwicklung eines Löschkonzepts und zur Ableitung von Löschfristen für personenbezogene Daten. Die Norm empfiehlt unter anderem, Datenarten zu identifizieren, Löschregeln zu definieren und Datenbestände sogenannten Löschklassen zuzuordnen.
Löschklassen helfen Unternehmen, die Komplexität unterschiedlicher Aufbewahrungs- und Löschpflichten zu reduzieren. Daten mit vergleichbaren rechtlichen, fachlichen oder technischen Anforderungen werden gebündelt und einheitlichen Löschregeln zugeordnet. Dadurch lassen sich Löschfristen konsistenter festlegen und technisch leichter umsetzen.
Warum Löschkonzepte für Unternehmen wichtig sind
Ein wirksames Löschkonzept bietet mehrere Vorteile. Es unterstützt Unternehmen dabei, gesetzliche Löschpflichten einzuhalten, Risiken aus übermäßiger Datenspeicherung zu reduzieren und Datenschutz-Compliance nachzuweisen. Gleichzeitig kann es helfen, Datenbestände zu bereinigen, Redundanzen abzubauen und IT-Kosten zu senken.
Besonders wichtig ist die Dokumentation. Nach Art. 5 Abs. 2 DSGVO müssen Verantwortliche nachweisen können, dass sie die Datenschutzgrundsätze einhalten. Dazu gehört auch, dass Löschfristen definiert, Löschprozesse beschrieben und Verantwortlichkeiten festgelegt sind.
Ein Löschkonzept sollte daher insbesondere folgende Punkte enthalten:
- Datenarten und Verarbeitungssysteme
- Rechtsgrundlagen und Zwecke der Verarbeitung
- gesetzliche Aufbewahrungsfristen
- Lösch- und Prüffristen
- Löschklassen und Löschregeln
- Verantwortlichkeiten
- technische Umsetzung der Löschung
- Umgang mit Backups und Archivsystemen
- Dokumentation von Löschläufen
- regelmäßige Überprüfung und Aktualisierung
Mit Löschkonzept Löschpflichten rechtssicher umsetzen
Die Pflicht zur Löschung personenbezogener Daten ist kein neues Thema, hat durch die DSGVO aber deutlich an praktischer Bedeutung gewonnen. Unternehmen dürfen personenbezogene Daten nicht unbegrenzt speichern, nur weil Speicherplatz günstig ist oder Daten möglicherweise später noch nützlich sein könnten.
Ein strukturiertes Löschkonzept nach DSGVO und DIN 66398 hilft dabei, Datenbestände kontrolliert zu verwalten, Löschpflichten rechtssicher umzusetzen und die Einhaltung der Datenschutzgrundsätze nachzuweisen. Für Datenschutzbeauftragte, IT-Verantwortliche und Compliance-Teams ist es damit ein zentrales Instrument eines wirksamen Datenschutzmanagementsystems.
German 
English 
Italian 
French