Bei einem DSGVO konformen Löschkonzept geht es nicht ausschließlich um den Art. 17 DSGVO, in dem natürliche Personen das Recht haben, sich ihre personenbezogene Daten unter bestimmten Voraussetzungen löschen zu lassen. Vielmehr geht es um eine einheitliche Datenlöschungen nach allen bestehenden Rechtsgrundlagen. Ebenso geht es um die Überwachung und die Dokumentation der Löschung personenbezogener Daten, sowie die Überwachung und Dokumentation der Löschfristen.
Das BDSG-neu und auch die DSGVO machen Vorgaben zur Löschung von personenbezogener Daten, wenn diese entweder nicht mehr benötigt werden, ihren Verwendungszweck erfüllt haben oder der/die Betroffene die Löschung dieser personenbezogener Daten fordert. Um hier alles korrekt zu erfüllen, muss ein umfassendes Löschkonzept erstellt werden. In einem solchen Löschkonzept wird genau geregelt, wer wann welche Daten (Kundendaten, Mitarbeiterdaten etc.) zu löschen hat. Jedes Unternehmen muss hierzu Verantwortliche benennen. Der Datenschutzbeauftragte hat hier eine beratende und nicht ausführende Funktion. Er sollte den Verantwortlichen helfen und überwachen, dass sie ihre Kontrollfunktion richtig erfüllen. Weiterhin sollte im Löschkonzept stehen, wo die Daten abgespeichert werden (in welchen Anwendungen, Backups, Tabellen etc.) und wie die Löschung der Daten zu erfolgen hat.
Was sich allerdings in der Theorie recht einfach anhört, ist in der Praxis sehr schwer umsetzbar. Unternehmen verarbeiten viele Datensätze in unterschiedlichen System und/oder Plattformen. Ebenso werden regelmäßig Sicherungen und Back-Ups gemacht. Weiterhin wird es schwierig, wenn einzelne Datensätze in unterschiedlichen Anwendungen benötigt werden. Das sind nur einige Beispiele, auf die bei der Löschung eines Datensatzes geachtet werden muss.
Jetzt gibt es aber nicht nur die Pflicht für ein Unternehmen, einen Datensatz zu löschen, sondern auch nach Art. 32 Absatz 1 b DSGVO die Pflicht personenbezogene Daten zu sichern. Eine selektive Daten Löschung ist in solchen Fällen (wenn überhaupt) nur schwer möglich. Hier hilft nur, ein sinnvoll durchdachtes Löschkonzept zu erstellen und zu etablieren. Je detaillierter das Dokument erstellt wird, umso mehr Funktionen kann es erfüllen (Nachweis für Behörden, Information des Betroffenen, Benennt des Verantwortlichen, Auflistung der Speicherort(e) etc.).
Ein fundiert erstelltes Löschkonzept kann die technischen und organisatorischen Schwierigkeiten bei der Löschung einzelner Datensätze nicht lösen. Es hilft aber jedem Beteiligten, sich einen Überblick zu verschaffen und so die Prozesse besser zu optimieren und anpassen zu können.
Ein Nichtvorhandensein eines solch vollständigen Löschkonzeptes, kann hohe Bußgelder nach sich ziehen.
