Warum braucht ein Unternehmen ein Löschkonzept?
Personendaten dürfen nur so lange bearbeitet werden, wie es der Zweck erfordert. Die DSGVO verlangt zudem, die Einhaltung dieser Grundsätze nachweisen zu können (Art. 5 Abs. 2 DSGVO). Ohne Konzept bleibt offen, was wann zu löschen ist – und niemand kann es belegen.
Ein Löschkonzept zahlt sich auch ausserhalb der Rechtsabteilung aus: Weniger Daten bedeuten weniger Schaden bei einer Datenschutzverletzung, schnellere Auskünfte und geringere Speicher- und Migrationskosten.
Wie ist ein Löschkonzept aufgebaut?
Die Bausteine sind seit DIN 66398 bewährt und finden sich in ISO/IEC 27555 wieder:
| Baustein | Inhalt |
|---|---|
| Datenarten | Gruppen von Daten mit gleichem Zweck und gleicher Frist, etwa Vertragsdaten oder Bewerbungsunterlagen. |
| Löschfrist | Wie lange die Daten aufbewahrt werden, mit Begründung und Rechtsgrundlage. |
| Startzeitpunkt | Ab welchem Ereignis die Frist läuft, etwa ab Vertragsende oder ab Abschluss eines Falls. |
| Löschklassen | Kombinationen aus Frist und Startzeitpunkt; mehrere Datenarten teilen sich eine Klasse. |
| Ausnahmen | Wann Löschungen angehalten werden, etwa bei Rechtsstreit oder Untersuchung (Legal Hold). |
| Verantwortung | Wer Fristen festlegt, freigibt, umsetzt und kontrolliert. |
| Umsetzung je System | Wie in jedem System gelöscht, anonymisiert oder archiviert wird. |
Was ändert sich mit ISO/IEC 27555?
Die Methode bleibt: Datenarten, Löschklassen und Regellöschfristen, also die Standardfrist je Löschklasse. Neu ist der internationale Rahmen. ISO/IEC 27555 gehört zur Normenreihe ISO/IEC 27000 und lässt sich damit in bestehende Managementsysteme für Informationssicherheit und Datenschutz einordnen.
Wer bereits ein Löschkonzept nach DIN 66398 hat, muss nicht neu beginnen. Es lohnt sich, bei der nächsten Überprüfung die Begriffe und Verweise auf die neue Norm umzustellen.
Woran scheitern Löschkonzepte in der Praxis?
Selten an der Methode, meist an der Umsetzung:
- Das Konzept existiert als Dokument, aber die Systeme löschen nicht.
- Abhängigkeiten zwischen Anwendungen werden übersehen: Ein Kunde ist im einen System gelöscht und im anderen noch verknüpft.
- Niemand erhält eine Rückmeldung, ob tatsächlich gelöscht wurde.
- Fristen ändern sich, die Systeme werden nicht nachgezogen.
- Ausnahmen werden per E-Mail verwaltet und geraten in Vergessenheit.
Vom Konzept zur belegten Löschung
Wirksam wird ein Löschkonzept, wenn es mit den Systemen verbunden ist:
- 1Fristen mit Begründung und Rechtsgrundlage in einem Fristenverzeichnis führen und freigeben.
- 2Freigegebene Fristen und Löschsperren an eine zentrale Löschsteuerung übergeben.
- 3Die Anwendungen melden, welche Datensätze ihre Frist erreicht haben.
- 4Gelöscht wird in der richtigen Reihenfolge, mit Prüfungen und – wo nötig – Freigaben.
- 5Jede Anwendung meldet zurück, was sie gelöscht hat. Daraus entsteht der Nachweis.