Vorgehensweise bei der Erstellung eines Löschkonzeptes

Wenn es keine sicheren Prozesse und Verfahrensweisen für das Löschen von Informationen und Datenträgern gibt oder diese nicht korrekt angewendet werden, ist nicht sichergestellt, dass vertrauliche Informationen sicher gelöscht werden. Damit ist nicht absehbar, wo diese Informationen verbleiben und ob diese für Dritte zugänglich sind.

Jede Institution muss daher das Löschen von Informationen im Rahmen eines Löschkonzeptes regeln. Dabei müssen die Fachverantwortlichen für jedes Fachverfahren bzw. Geschäftsprozess regeln, welche Informationen unter welchen Voraussetzungen gelöscht und entsorgt werden müssen.

Bei der Erstellung eines Löschkonzeptes muss zunächst festgestellt werden,

• welche personenbezogenen Daten in der Institution zu welchem Zweck verarbeitet werden,
• welche Abteilung die jeweiligen Daten benötigt und
• wo sich diese Daten befinden.

Im Idealfall können diese Informationen dem Verzeichnis der Verarbeitungstätigkeiten entnommen werden, wobei dieses natürlich auf dem aktuellen Stand sein muss.

Anschließend ist zu klären, wie lange welche Daten benötigt werden, wann sie gelöscht werden können bzw. wie lange sie aufgrund gesetzlicher Aufbewahrungspflichten verfügbar sein müssen. Hieraus ergibt sich die Aufbewahrungsfrist.

Das Löschkonzept muss präzise Regelungen für die Löschung personenbezogener Daten enthalten. Die Vorgaben müssen insbesondere beinhalten:

• welche Löschregeln für welche Datenbestände gelten,
• wie aus den Löschregeln die Datenlöschung in Prozessen erreicht wird (z. B. manuell, automatisiert),
• Mindestanforderung an die Dokumentation der Löschregeln, Umsetzungsvorgaben und durchgeführte Löschmaßnahmen,
• Verantwortlichkeiten für die entstehenden Aufgaben der Umsetzung, Überprüfung und Fortschreibung (inklusive Fehlerbehandlung und möglicher Sonderfälle).

So ist revisionsfähig festzulegen, wer für die Prüfung, Anordnung und Durchführung von Löschungen tätig werden muss. Dies kann von besonderer Bedeutung sein, wenn sich das Löschen personenbezogener Daten auch auf einen bestimmten Personenkreis bzw. bestimmte Rollen bezieht. Dazu müssen diese Personen natürlich entsprechend sensibilisiert und die Löschung sollte nur von entsprechend qualifizierten Personen durchgeführt werden, die über die erforderlichen Kenntnisse und Fähigkeiten verfügen, um sicherzustellen, dass die Daten sicher und datenschutzkonform gelöscht werden. Außerdem sollte das Löschkonzept konkrete Arbeitsanweisungen enthalten, die sich an betroffene Mitarbeiter richten.

Die Pflicht zur Löschung betrifft nicht nur den aktiven Datenbestand, sondern grundsätzlich auch personenbezogene Daten in Sicherungskopien und temporären Dateien. Daher sind auch diese Punkte im Löschkonzept aufzunehmen. Das bedeutet jedoch nicht, dass in jeder Kopie und jedem Backup Daten zum gleichen Zeitpunkt wie im Originaldatenbestand gelöscht werden müssen, da das Löschen von Daten in Sicherungskopien in der Regel mit einem wesentlich höheren Zeitbedarf als das Löschen im aktiven Datenbestand verbunden ist. Falls der Zeitbedarf für ein unverzügliches und integritätssicherndes Löschen so hoch ist, dass der Zeitpunkt dieser Löschung mit einem planmäßigen Überschreiben oder der Vernichtung eines Datenträgers als Ganzem zusammenfallen würde, kann die Löschung in diesem Zuge erfolgen. Diese Vorgehensweise ist im Löschkonzept aufzunehmen.

Außerdem müssen in dem Konzept technische und/oder organisatorische Maßnahmen festzulegen, die eine sichere Löschung von personenbezogenen Daten und/oder Vernichtung von Datenträgern gewährleisten.

Jede Datenlöschung sollte dokumentiert werden. Dabei sollten die Angaben zum Zeitpunkt der Löschung, den gelöschten Daten und den Maßnahmen, die zur Löschung ergriffen wurden, festgehalten werden. Diese Protokollierung darf aber nicht dazu führen, dass die eigentlich gelöschten Daten beispielsweise in einer Dokumentation bzw. einem Löschprotokoll weiter existieren. Es sollte lediglich nachvollziehbar sein, was wann wie gelöscht wurde.

Zudem müssen in dem Löschkonzept Fristen für die Löschung oder regelmäßige Überprüfung hinsichtlich der Notwendigkeit einer weiteren Datenspeicherung und sowie den Startzeitpunkten, ab denen die Frist zu laufen beginnt, vorgesehen werden. Diese müssen dokumentiert und nach den Vorgaben der DSGVO in das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO aufgenommen werden.

Ausgangspunkt für die Fristenfestlegungen sind, soweit einschlägig vorhanden, die gesetzlich vorgegebenen Speicherfristen.