Warum braucht es einen Löschnachweis?
Nach der DSGVO muss ein Unternehmen nicht nur die Grundsätze einhalten, sondern das auch nachweisen können (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). Das DSG kennt keine gleichlautende Bestimmung. Spätestens bei einer Prüfung durch Revision oder Aufsicht, bei einer Beschwerde oder nach einem Löschbegehren zählt aber auch in der Schweiz, was sich belegen lässt.
Was gehört in ein Löschprotokoll?
Ein aussagekräftiges Protokoll beantwortet, was, wann, wo, warum und auf wessen Veranlassung geschehen ist:
- Löschlauf oder Auftrag mit Kennung und Zeitpunkt.
- Grundlage: abgelaufene Frist oder Löschbegehren.
- Die betroffenen Systeme.
- Das Ergebnis je System: gelöscht, anonymisiert, archiviert – oder nicht gelöscht, mit Grund.
- Die Anzahl der betroffenen Datensätze.
- Freigaben und Eingriffe mit Person, Rolle und Zeitpunkt.
- Ausnahmen wie Löschsperren und Einwände.
Was gehört nicht hinein?
Die gelöschten Inhalte selbst – sonst wäre das Protokoll eine Kopie dessen, was gelöscht werden sollte. Und nicht mehr Personendaten als nötig: Wo ein Nachweis für eine bestimmte Person gebraucht wird, genügt meist eine interne Kennung statt des Namens. Der Zugriff auf das Protokoll bleibt eng begrenzt.
Warum eine Tabelle nicht genügt
Eine Tabelle oder ein Ticket zeigt den Auftrag, nicht die Wirkung. Sie wird von Hand geführt, ist oft unvollständig und lässt sich nachträglich ändern. Vor allem fehlt die Rückmeldung der Systeme: Ob die Daten tatsächlich gelöscht wurden, steht darin nicht.
Belastbare Nachweise entstehen automatisch aus den Rückmeldungen der Systeme, die gelöscht haben, und werden zentral und geschützt abgelegt.
Wie lange wird ein Löschnachweis aufbewahrt?
Eine gesetzliche Frist gibt es dafür nicht. Massgebend ist der Zweck: Der Nachweis wird so lange gebraucht, wie Prüfungen, Beschwerden oder Ansprüche zu erwarten sind. Diese Frist gehört ins Löschkonzept – und danach wird auch der Nachweis gelöscht.