Löschkonzept – gar nicht so schwer oder?
Die Datenschutzgrundverordnung sieht das Vorhandenseins eines Löschkonzepts vor, dieser Umstand dürfte mittlerweile weithin bekannt sein. Jedes Unternehmen sollte sich daher Gedanken machen, wie ein solches sinnvoll umgesetzt wird. Ein Löschkonzept ergibt sich aus mehreren Grundsätzen der DSGVO, jeder das “Recht auf Vergessenwerden” und auf Löschung. Zudem müssen sie Aspekte Datenminimierung und Speicherbegrenzung beachtet werden, man kommt als Unternehmen nicht um ein Löschkonzept herum.
Klingt wie immer erstmal nach einer Menge Arbeit und einigermaßen undurchsichtig, ist es aber nicht.
Vorarbeit zum Erstellen des Löschkonzepts
1. Feststellen, wo personenbezogene Daten gespeichert werden
Grundsätzlich gilt hier – je besser meine Organisation beim Speichern von Daten ist, desto leichter wird es mit dem Löschkonzept. Aber wir wollen hier nicht den Zeigefinger schwingen, sondern das Ganze schematisch aufzeigen.
Beispielsweise könnten die Speicherorte folgende sein:
- Daten über die Beschäftigten und Bewerber
Orte: z.B. Personalverwaltungssystem, Personalakten, ggf. BEM-Akten, Benutzerkonten (z.B. E-Mail-Konto, Active Directory) - Daten über die Kunden und Interessenten
Orte: z.B. CMS-Datenbank (Kontaktformulardaten), CRM- oder ERP-System, Newsletter-Verwaltung, ggf. zentrales Outlook-Adresssbuch, Online-Shop, Visitenkarten, Buchhaltung - Daten über Lieferanten, Dienstleister und vergleichbare
Orte: z.B. ERP-System, zentrales Outlook-Adressbuch, Buchhaltungssoftware
2. Festlegen, wann die Daten der verschiedenen Datenkategorien gelöscht
Nachdem die Speicherort geklärt sind, müssen die Löschfristen festgelegt werden. Natürlich sind gesetzliche Aufbewahrungsfristen zu wahren. In manchen Fällen kann man auch ein berechtigtes Interesse geltend machen, um eine Aufbewahrungsfrist zu rechtfertigen. Zum Beispiel sollte man Daten abgelehnter Bewerber nicht gleich löschen, sondern die Frist zur Klage nach dem AGG abwarten. Hier gilt, sechs Monate nach Bekanntgabe der Absage sind im berechtigten Interesse zur Verteidigung ok. Nachfolgend skizzieren wir ein Löschkonzept für den Bereich Personal, natürlich muss ein Unternehmen für jeden datenschutzrechtlich relevanten Bereich Löschfristen definieren und dokumentieren.
Löschkonzept Personalbereich
Vernichtung von Personalunterlagen
Die Vorbereitung zur Vernichtung personenbezogener Daten aus Beschäftigungsverhältnissen (Personalakten in Papier oder elektronisch / BEM-Akten) wird ausschließlich von Mitarbeitern der Personalabteilung vorgenommen, um die Vertraulichkeit zu gewährleisten. Die Vernichtung erfolgt je nach Volumen durch die Abteilung selbst mit einem geeigneten Shredder oder durch einen zertifizierten Entsorger im Rahmen einer Auftragsverarbeitung.
Personalakten Papierform und elektronisch:
Löschung 10 Jahre nach Ausscheiden (insofern ein Mitarbeiter eine betriebliche Altersvorsorge in Anspruch nimmt, beträgt die Aufbewahrungsfrist für diese Unterlagen 30 Jahre)
Umgang mit Bewerbungsunterlagen Papierform oder elektronisch:
Unterlagen abgelehnter Bewerber werden nach 6 Monaten gelöscht. Das E-Mail Postfach, in welches Bewerbungen eingehen, wird nicht der Archivierung zugeführt. Intern werden keine Bewerber-E-Mails weitergeleitet, um die Löschung sicherstellen zu können. Elektronische Bewerbungsunterlagen werden den betreffenden Abteilungsleitern auf einem Laufwerk mit Read-Only-Rechten zur Ansicht freigegeben, können aber nicht von diesem kopiert werden. Bewerbungsunterlagen in Papierform dürfen nicht kopiert werden und werden den betreffenden Abteilungsleitern zur Entscheidungsfindung bereitgestellt, anschließend müssen die Unterlagen wieder der Personalabteilung zurückgegeben werden. Unterlagen von Bewerbern, die eingestellt werden, werden Teil der Personalakte.
Lohnabrechnungsrelevante Unterlagen:
Alle Unterlagen, die hinsichtlich der Lohnabrechnung relevant sind, werden nach 10 Jahren gelöscht.
Benutzerkonten in EVD Systemen:
Benutzerkonten werden von der IT gelöscht, spätestens 3 Monate nach Ausscheidens des Mitarbeiters gelöscht.
E-Mails von und an Mitarbeiter:
E-Mails können steuerrechtlich und handelsrechtlich relevante Informationen enthalten und werden nach 10 Jahren der Löschung zugeführt. Ausgenommen ist das E-Mail Postfach, in dem Bewerbungen eingehen. Dieses wird nicht der Archivierung zugeführt, damit die Löschfristen für Bewerbungsunterlagen abgelehnter Bewerber eingehalten werden können.
Andere Bereiche
Andere Bereiche sind, wie eingangs erwähnt, Kunden- und Interessentendaten oder Daten von Lieferanten und vergleichbaren Gruppen. Natürlich zielt die DSGVO und das BDSG nur auf natürlich Personen ab. Firmendaten jursitischer Personen sind nicht im datenschutzrechtlichen Sinne relevant.
Noch ein paar Beispiele, die vielleicht weiter helfen:
Vernichtung von handels- und steuerrechtlich relevanten Unterlagen
Die handels- und steuerrechtliche Unterscheidung nach 6 und 10 Jahren, welches die gängigen Aufbewahrungsfristen sind, wird nicht vorgenommen, in den betreffenden Verfahren finden sich jedoch Verweise auf die Rechtsgrundlagen für die unterschiedlichen Aufbewahrungsfristen. Grundsätzlich werden derartige Unterlagen nach 10 Jahren gelöscht. Darunter fallen auch Daten, wie Lohnabrechnungen im Personalbereich.
Insofern eine natürlich Person die Löschung seiner Daten fordert, jedoch gesetzliche Aufbewahrungsfristen handelsrechtlicher oder steuerrechtlicher Natur gegen eine vollständige Löschung sprechen, werden die Daten unter Einschränkung der Verarbeitung bis zum Ablauf dieser Fristen weiter gespeichert.
Einwilligungen werden grundsätzlich für bis zu 3 Jahre nach eingegangenem Widerruf aufbewahrt (berechtigtes Interesse), um im Streitfall eine Beweisführung ermöglich zu können.
Kundenkonten Online-Shop
Insofern ein Kundenkonto im Online-Shop existiert, wird dieses gelöscht, wenn
a) der Kunde seine Einwilligung widerruft oder uns zur Löschung auffordert.
b) der Kunde sich für 5 Jahre nicht mehr im Shop angemeldet hat. In diesem Fall erhält der Kunde ein Nachricht, dass sein Konto gelöscht wird, insofern er sich nicht innerhalb von sechs Wochen anmeldet. Meldet der Kunde sich an, läuft die Frist von vorne.
Newsletter-System (Kunden und Interessenten)
Newsletterabonnenten werden spätestens zwei Wochen nach Widerruf gelöscht.
Interessentendaten
Daten von Interessenten, die im Zuge der Anbahnung eines Rechtsgeschäfts erhoben wurden, werden für mindestens 3 Jahre gespeichert. Insofern ein Rechtsgeschäft abgeschlossen wird, führen wir den Interessent dem Kundenstatus zu. Kommt kein Rechtsgeschäft zustande, werden die Interessentendaten aus dem CRM-System und der zentralen Adressveraltung gelöscht. Ausschließlich Geschäftsbriefe (beispielsweise Angebote) als handelsrechtlich relevante Unterlagen werden bis zum Ablauf von 10 Jahren aufbewahrt.
Unterstützung benötigt?
Sprechen Sie uns an, wir unterbreiten Ihnen gerne ein Angebot zur Unterstützung. Unsere Kontaktdaten finden Sie auf dieser Homepage im Bereich Kontakt, wir freuen uns auf Ihre Nachricht.