Kurz erklärt: Ein Löschkonzept legt für jede Datenart fest, wann und wie sie gelöscht wird: Welche Aufbewahrungsfrist gilt, wann sie beginnt, wer löscht, in welchen Systemen und wie die Löschung nachgewiesen wird.
Was bedeutet Löschkonzept?
Die DSGVO verlangt mit dem Grundsatz der Speicherbegrenzung, dass Daten nur so lange gespeichert werden, wie es der Zweck erfordert. Gleichzeitig verlangen Handels-, Steuer- und Berufsrecht die Aufbewahrung bestimmter Unterlagen über Jahre. Das Löschkonzept bringt beides zusammen: Es ordnet jeder Datenart eine Löschklasse mit Frist und Auslöser zu und benennt die Umsetzung in den Systemen.
Die DIN 66398 beschreibt eine bewährte Methode zur Erstellung von Löschkonzepten; sie ist nicht verpflichtend, aber bei Aufsichtsbehörden anerkannt.
Rechtsgrundlage
- Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung)
- Art. 17 DSGVO (Recht auf Löschung)
- Art. 30 Abs. 1 lit. f DSGVO (Löschfristen im Verzeichnis)
- § 147 AO und § 257 HGB (Aufbewahrungsfristen)
In der Praxis
Die meisten Betriebe löschen nicht, weil niemand zuständig ist und Speicher nichts kostet. Ein Löschkonzept beginnt mit den fünf größten Datentöpfen: Kunden, Beschäftigte, Bewerber, E-Mail-Postfächer und Backups. Für jede Gruppe werden Frist, Auslöser und Verantwortlicher festgelegt und einmal im Jahr ein Löschlauf durchgeführt und protokolliert.
Häufige Fragen
Fragen zu Löschkonzept
Wie lange dürfen Bewerbungen gespeichert bleiben?
Nach einer Absage üblicherweise bis zu sechs Monate, um Ansprüche nach dem AGG abwehren zu können. Danach sind sie zu löschen, es sei denn, der Bewerber willigt in die Aufnahme in einen Talentpool ein.
Gilt das Löschkonzept auch für E-Mails?
Ja. Postfächer sind der größte unstrukturierte Datenbestand; Regeln für Archivierung und Löschung ehemaliger Beschäftigter gehören ins Konzept.
Verwandte Begriffe
Das gehört dazu
Ratgeber