Löschen nach EU Datenschutz-Grundverordnung

Eine wichtige Vorgabe im Datenschutzrecht ist das Löschen von personenbezogenen Daten, wenn ihre Verarbeitung nicht mehr erforderlich ist. Diese Regel schützt die Betroffenen vor unzulässiger Verwendung ihrer Daten, wenn die zulässigen Prozesse beendet sind. Ab Ende Mai 2018 erhält die EU Datenschutz-Grundverordnung (EU-DSGVO) Rechtskraft. Sie fordert (wie zuvor das BDSG) das Löschen personenbezogener Daten.

Die Forderung nach allgemeinen Löschregeln und deren Umsetzung ergibt sich aus Artikel 5: Sie ergeben sich insbesondere aus den Prinzipen Zweckbindung, Datenminimierung, und Speicherbegrenzung. Außerdem besteht Anspruch auf Löschung in den Betroffenenrechten nach Artikel 17 "Recht auf Vergessenwerden" bei Vorliegen bestimmter Bedingungen. Nach Art. 18 kann auch die Aussetzung von der Löschung beantragt werden.

Insofern können sich vielleicht die Löschregeln für einzelne Datenarten ändern, weil sich durch die EU-DSGVO Veränderungen für die Rechtsgrundlage der Verarbeitung oder die Abwägung der Zulässigkeit ergeben. Die Aufgabe Löschen bleibt aber für den Verantwortlichen bestehen. Die Pflichten, die Maßnahmen zum Löschen zu dokumentieren, werden in der EU-DSGVO gegenüber dem BDSG präzisiert.

Verstöße gegen die Pflichten aus der EU-DSGVO können von den Aufsichtsbehörden geahndet werden, beispielsweise

  • bei Verstößen gegen die Vorgaben von Artikel 5 oder 17 mit Geldbußen bis zum Maximum aus € 20.000.000 oder 4% des weltweiten Jahresumsatzes oder
  • bei Verstößen gegen die Vorgaben von Artikel 25 oder 30 mit Geldbußen bis zum Maximum aus € 10.000.000 oder 2% des weltweiten Jahresumsatzes.

Auch diese sekundären Motivationen können nahelegen, ein Löschkonzept für die Organisation zu etablierten.

Ein Löschkonzept nach DIN 66398 kann wesentlich dazu beitragen, die Lösch- und Nachweispflichten nach EU-DSGVO erfüllen. Es gibt bislang keine Anzeichen, dass die in der Norm vorgeschlagene Vorgehensweise in Wiederspruch zu Forderungen der EU-DSGVO steht. Die Anforderungen der EU-DSGVO werden in der Rubrik Bezüge detaillierter vorgestellt.

Hilfestellung der DIN 66398

In der Praxis gibt es allerdings häufig Umsetzungsdefizite der rechtlichen Löschvorgabe - und damit Verstöße gegen Rechtsvorgaben. Damit verbunden sind zusätzliche Risiken, z.B. dass bei einem Vorfall personenbezogene Daten preisgegeben werden, die eigentlich schon hätten gelöscht werden müssen.

Die Leitlinie Löschkonzept gibt praktische Anleitungen für viele Problemstellungen in einem Löschprojekt. Sie erleichtert es insbesondere, Löschregeln festzulegen. Dies  ist die zentrale Voraussetzung, um ein durchgängiges Löschkonzept in einer Organisation zu etablieren: Ohne Löschregeln können keine Löschmechanismen  implementiert werden.

Jede verantwortliche Stelle muss allerdings prüfen, welche Rechtsvorschriften für sie einschlägig sind und ihr Löschkonzept und ihre Löschregeln daran ausrichten. Die Norm kann deshalb keine konkreten Löschregeln vorschlagen. Sie kann auch keine Rechtsberatung bieten. (Diese Webseite im übrigen auch nicht.)

Vorsprung für Löschprojekte

Die Leitlinie Löschkonzept verschafft den Organisationen, die sie anwenden, große Vorteile: Wesentliche konzeptionelle Voraussetzungen für ein Löschprojekt, die sonst erst erarbeitet werden müssen, stehen zum Projektbeginn fertig zur Verfügung. Erfahrungen müssen nicht teuer gewonnen, sondern können schnell genutzt werden.

Noch mehr Motivation durch den Nutzen ...

Die Vorgehensweise der Leitlinie wurde zunächst entwickelt, um die datenschutzrechtlichen Vorgaben erfüllen zu können. Im Verlauf der Umsetzung zeigten sich aber weitere positive Effekte. Die Hinweise in der Rubrik Nutzen motivieren daher ebenfalls, ein Löschkonzept in einer Organisation zu etablieren.