Die Landesbeauftragte für den Datenschutz Sachsen-Anhalt hat einen Leitfaden zur Umsetzung von Löschkonzepten nach der DSGVO für kleine Unternehmen veröffentlicht. Der Leitfaden soll diese Unternehmen bei der praktischen Umsetzung von datenschutzrechtlichen Löschpflichten unterstützen.
Dabei minimiert ein funktionierendes Löschkonzept nicht nur Risiken und daraus resultierende Sanktionen sondern fördert gleichzeitig auch transparentere Abläufe bei der Verarbeitung von Daten.
Löschpflichten nach der DSGVO
Die Grundlage der Löschpflicht ist der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Nach diesem dürfen personenbezogene Daten nur für die Dauer gespeichert werden, die für die jeweiligen Verarbeitungszwecke erforderlich ist. Außerdem ist in Art. 17 DSGVO das Recht auf Löschung geregelt.
Sobald der ursprüngliche Verarbeitungszweck nicht mehr vorliegt, muss folglich geprüft werden, ob die personenbezogenen Daten zu löschen sind oder etwa weitere Gründe für eine weitergehende Aufbewahrung vorliegen. Dabei können vor allem gesetzliche oder vertragliche Pflichten zur Aufbewahrung bestehen, die einer Löschpflicht entgegenstehen können.
Für eine datenschutzkonforme Löschung müssen der Verarbeitungszweck, Speicherorte und Aufbewahrungsfristen somit sorgfältig erfasst und nachvollzogen werden. Aus diesen Daten lässt sich sodann ein strukturiertes Löschkonzept entwickeln.
Verarbeitungsverzeichnis und Löschregelkatalog
Der Aufsichtsbehörde zufolge sollen Unternehmen bei der Gestaltung eines Löschkonzeptes zunächst ein Verzeichnis für ihre Verarbeitungstätigkeiten anfertigen. Darin sollen sie dokumentieren, welche personenbezogene Daten zu welchem Zweck verarbeitet werden.
Außerdem sind alle Systeme und Speicherorte der Daten in einer Übersicht zusammenzutragen. Aufzunehmen sind dabei sowohl zentrale Datenbanken als auch E-Mail-Postfächer, Cloudspeicher, mobile Endgeräte, Backups und Datenbeistände bei Auftragsverarbeitern. Zudem sollen Unternehmen unbedingt einen Löschregelkatalog aufstellen, der für jede Datenkategorie den Verarbeitungszweck, die Rechtsgrundlage, Aufbewahrungs- und Löschfristen sowie Speicherorte, Zuständigkeiten und die dokumentierte Löschung der Daten festhält. In dem Leitfaden ist ein beispielhafter Löschregelkatalog enthalten, an dem Unternehmen sich unterstützend orientieren können.
Die Behörde betont insbesondere, dass Löschfristen stets anhand des jeweiligen Einzelfalls geprüft werden müssen. Standardisierte Löschfristen können lediglich der Orientierung dienen.
Technische Umsetzung des Löschkonzeptes
Die Landesdatenschutzbeauftragte empfiehlt in ihrem Leitfaden, Löschvorgänge nachvollziehbar zu dokumentieren und dafür Löschprotokolle oder automatisierte Systemprotokolle zu nutzen. Um die Löschung der personenbezogenen Daten tatsächlich zu gewährleisten, sollten die Daten selbst nicht noch einmal in dem Protokoll gelistet werden.
Im Falle der Datensicherung durch Backups muss eine Löschung genauer betrachtet werden. Die Behörde rät in ihrem Leitfaden dazu, geregelte Überschreibungszyklen festzulegen. Außerdem sollen organisatorische Maßnahmen bedacht und getroffen werden, die die Wiederherstellung bereits gelöschter personenbezogener Daten verhindert. Dafür empfiehlt der Leitfaden auch ausdrücklich die Anfertigung von sogenannten Sperrlisten.
Zu beachten sind außerdem individuelle Löschanfragen im Rahmen des Rechts auf Löschung, welche nach Art. 12 Abs. 3 DSGVO unverzüglich und spätestens innerhalb eines Monats zu beantworten sind. Diese Frist kann unter den gesetzlichen Voraussetzungen auch um zwei Monate verlängert werden. Klare Verfahren für solche Anfragen verhelfen jedoch dabei, die Frist nicht aus den Augen zu verlieren.
Fazit
Der neue Leitfaden bietet gerade kleinen Unternehmen eine unterstützende Grundlage für die Einführung oder Organisation von datenschutzkonformen Löschprozessen. Neben der strukturierten Aufrechterhaltung empfiehlt die Landesbeauftragte außerdem, das Löschkonzept mindestens jährlich zu überprüfen und bei Bedarf anzupassen.
In dem Leitfaden verweist die Behörde außerdem auch auf weiterführende Informationen und Vorlagen, die Unternehmen für ihre Löschkonzepte nutzen können.
[DSB]
