Löschkonzept für kleine Unternehmen – was muss geregelt werden?
Welche Daten dürfen wann gelöscht werden? Ein praxisnaher Überblick zum Löschkonzept nach DSGVO für kleine und mittlere Unternehmen.
Löschkonzept nach DSGVO: Was müssen kleine Unternehmen regeln?
Viele Unternehmen speichern Daten vorsorglich dauerhaft: alte Bewerbungen, frühere Kundenanfragen, E-Mail-Postfächer ausgeschiedener Beschäftigter oder längst abgeschlossene Projekte. Häufig fehlt eine klare Entscheidung, wann welche Daten gelöscht werden.
Ein Löschkonzept schafft Struktur.
Warum ist ein Löschkonzept erforderlich?
Die DSGVO enthält den Grundsatz der Speicherbegrenzung. Personenbezogene Daten sollen grundsätzlich nur so lange gespeichert werden, wie es für die jeweiligen Zwecke erforderlich ist. Zudem sieht Artikel 17 DSGVO unter bestimmten Voraussetzungen ein Recht auf Löschung vor.
Das bedeutet nicht, dass sämtliche Daten möglichst schnell gelöscht werden müssen. Gesetzliche Aufbewahrungspflichten, laufende Vertragsverhältnisse oder die Abwehr und Durchsetzung von Ansprüchen können eine weitere Speicherung rechtfertigen.
Die eigentliche Aufgabe lautet daher: Welche Daten werden aus welchem Grund wie lange benötigt?
Was ist ein Löschkonzept?
Ein Löschkonzept ist eine strukturierte Übersicht über Datenarten, Speicherorte, Löschfristen und Verantwortlichkeiten.
In fünf Schritten zum Löschkonzept
1. Datenbestände erfassen
Zunächst sollte geklärt werden, wo personenbezogene Daten gespeichert werden:
- E-Mail-Postfächer;
- Cloud-Speicher;
- lokale Laufwerke;
- Papierakten;
- Fachsoftware;
- CRM-Systeme;
- Buchhaltung;
- Backups;
- mobile Geräte.
2. Datenkategorien bilden
Nicht jedes einzelne Dokument benötigt eine eigene Regel. Sinnvoll sind Gruppen wie Kundendaten, Interessentenanfragen, Bewerberdaten, Beschäftigtendaten oder Lieferantendaten.
3. Zweck und Rechtsgrundlage zuordnen
Warum wird die jeweilige Information gespeichert? Ohne klaren Zweck lässt sich keine sachgerechte Löschfrist bestimmen.
4. Aufbewahrungspflichten und Ansprüche prüfen
Löschung und Aufbewahrung müssen miteinander in Einklang gebracht werden. Manche Unterlagen dürfen nicht vorzeitig gelöscht werden. Andere Daten sollten nach Ablauf ihres Zwecks nicht dauerhaft aufbewahrt werden.
5. Zuständigkeit und Routine festlegen
Ein Löschkonzept funktioniert nur, wenn feststeht:
- Wer prüft die Fristen?
- In welchem Rhythmus erfolgt die Prüfung?
- Wie werden Löschungen dokumentiert?
- Wie werden Backups berücksichtigt?
- Was geschieht mit Papierunterlagen?
Häufiger Fehler: Alles aufbewahren „für alle Fälle“
Eine unbegrenzte Speicherung ist kein Sicherheitsgewinn. Sie erhöht den Verwaltungsaufwand und kann zusätzliche Risiken schaffen. Wer Daten nicht mehr benötigt, sollte prüfen, ob sie gelöscht oder zumindest strukturiert aus dem aktiven Bestand entfernt werden müssen.
Fazit
Ein Löschkonzept muss nicht kompliziert sein. Entscheidend ist, dass Datenbestände bekannt sind, Fristen nachvollziehbar festgelegt werden und eine regelmäßige Prüfung tatsächlich stattfindet.
Sie möchten ein praxistaugliches Löschkonzept erstellen?
DeinRechtsanwalt.com unterstützt kleine und mittlere Unternehmen dabei, aus abstrakten Datenschutzpflichten umsetzbare Abläufe zu entwickeln.
Über den Autor
Rechtsanwalt Christoph Kehr berät Unternehmen praxisnah und digital. Zu seinen Tätigkeitsfeldern zählen insbesondere das außergerichtliche Forderungsmanagement und die datenschutzrechtliche Beratung kleiner und mittlerer Unternehmen.
Hinweis: Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine rechtliche Beratung im Einzelfall. Die rechtliche Bewertung kann insbesondere von den vertraglichen Vereinbarungen und den konkreten Umständen abhängen.