Menü
Daten sollen sich in Ihrem Unternehmen nur eine begrenzte Zeit aufhalten. Sobald die Daten nicht mehr benötigt werden und gesetzliche Aufbewahrungsfristen abgelaufen sind, müssen sie Ihr Unternehmen wieder verlassen, indem sie gelöscht werden. Damit Sie den Überblick behalten und wissen, wann die Zeit gekommen ist, die Daten zu löschen, erstellen Sie am besten ein Löschkonzept. Im Löschkonzept legen Sie die Kriterien für die Löschung der bei Ihnen verarbeiteten Daten fest. Ordnen Sie den einzelnen Datenkategorien Fristen zu, organisieren Sie die Überwachung des Löschvorgangs und legen Sie die einzusetzende Löschtechnik fest. Ergänzend beschreiben Sie, wie mit Löschanfragen von Betroffenen umzugehen ist.
Grundlegende Informationen zum Aufbewahren und Löschen von Daten finden Sie im Basiswissen.
Das Löschkonzept dient dazu, die Einhaltung der Aufbewahrungs- und Löschfristen zu organisieren und sicherzustellen. Es ermöglicht Ihren Beschäftigten, die Fristen zu ermitteln, zu notieren und zu überwachen. Der Begriff „Löschkonzept“ ist nicht vorgeschrieben, Sie können es auch gern anders bezeichnen, z. B. Löschrichtlinie.
Wie immer gilt es zunächst, die Verantwortlichkeiten zu klären und eine oder mehrere Personen zu bestimmen und im Konzept festzuhalten, die für das Thema „Löschen“ mitsamt der Aktualisierung des Löschkonzepts zuständig sind.
Zu jeder Datenkategorie (z. B. Buchhaltung-, Vertrags-, Kundendaten) gilt es dann die einschlägigen gesetzlichen Löschfristen und Löscharten zu ermitteln und aufzuführen.
Im Falle einer Aufbewahrung der Daten ist es hilfreich, auch den Aufbewahrungsort festzulegen.
Es ist ebenfalls sinnvoll zu bestimmen, wie die Durchführung von Löschmaßnahmen zu dokumentieren ist.
Der Umgang mit Löschanfragen von Betroffenen ist zu organisieren und festzulegen.
Die Angaben zu Datenkategorien und diesbezüglichen Fristen sollten im Löschkonzept so klar und eindeutig wie möglich aufgeführt sein. Damit sind Ihre Beschäftigten gut gewappnet, um die Maßnahmen erfolgreich umzusetzen und Fehler zu vermeiden. Falls in der Anweisung an die Beschäftigten unbestimmte Formulierungen wie „nach Ablauf der gesetzlichen Aufbewahrungsfrist“ oder „sofern keine längere Aufbewahrungsfrist einschlägig ist“ enthalten sind, eröffnet dies Spielraum für Fehldeutungen, die zu Datenschutzverletzungen führen können.
Die nachfolgend dargestellten Schritte helfen Ihnen, ein passendes Löschkonzept zu erstellen.
Zunächst sollten Sie sich Gedanken machen,
WER verantwortlich ist
Für jede Datenkategorie sind die betreffenden Löschfristen zu bestimmen. Auch wenn der Zweck erfüllt ist und die Daten daher zu löschen wären, müssen Sie im Wirtschaftsleben i. d. R. vielfältige gesetzliche Aufbewahrungsfristen beachten. Die Aufbewahrungsfristen bestimmen daher regelmäßig den Zeitpunkt, ab dem die Löschung erfolgen kann.
Hier helfen zunächst beispielhafte Zusammenstellungen von Aufbewahrungsfristen. Des Weiteren können Sie Informationen bei Ihren Beratungen (Steuerberatung, Wirtschaftsprüfung, Rechtsanwalt etc.) und zuständigen Kammern (IHK, Handwerkskammer u. ä.) und Berufsorganisationen einholen. Wir haben für Sie gängige Aufbewahrungsfristen in einer Liste zusammengestellt, die Sie unter Arbeitshilfen abrufen können.
Die sich aus den ermittelten Speicher- bzw. Aufbewahrungsfristen ergebenden Löschfristen notieren Sie
In der Praxis werden Daten nicht nur strukturiert in Datenbanken eingepflegt, sondern auch eigenverantwortlich von Beschäftigten im IT-System in Ordnerstrukturen gespeichert sowie kopiert und an andere Beschäftigte oder Dritte weitergegeben, die wiederum selbst die Daten abspeichern. Um Wildwuchs vorzubeugen und stets zu wissen, wo die Daten gespeichert sind, sind Vorgaben an die Beschäftigten zum Umgang mit der Datenspeicherung zu empfehlen. Erstellen Sie hierzu eine passende Richtlinie und verpflichten Sie somit Ihre Beschäftigten zu einem einheitlichen Umgang mit den Daten (siehe Schritt 06 – Klare Regeln).
Die Anweisungen im Löschkonzept verfassen Sie möglichst klar und eindeutig. Insbesondere die Löschfristen zu den betreffenden Datenkategorien sollten für alle damit betrauten Beschäftigten verständlich und klar sein. Erläuterungen zur Ermittlung von Beginn und Ende der Fristen unterstützen den Verantwortlichen. Stellen Sie das Löschkonzept denjenigen Beschäftigten vor, die die Löschregeln berücksichtigen müssen, so dass diese damit erfolgreich arbeiten können.
Haben Sie einmal das Löschkonzept erstellt, ist die Hauptarbeit hierzu erledigt. Das Löschkonzept darf jedoch nicht zum Papiertiger werden und in Vergessenheit geraten. Das erstellte Konzept sollte regelmäßig (mindestens einmal jährlich) überprüft und wenn notwendig aktualisiert werden. Außerhalb des regelmäßigen Turnus ist eine Anpassung nötig, wenn sich die Verarbeitungsprozesse und die betreffenden Datenkategorien ändern oder Ihre IT-Landschaft ein Update erhält oder auf Grund von Gesetzesänderungen die Aufbewahrungsfristen angepasst werden müssen. Behalten Sie daher das Löschkonzept stets im Auge.
Die Löschung und Vernichtung von Daten kann auf unterschiedliche Weise erfolgen. Die Art der Löschung bzw. Vernichtung ist in erster Linie vom Speichermedium abhängig.
Weitere Informationen zum Thema der Umsetzung des Löschens bieten z. B.:
