Löschkonzept nach DSGVO

Das Löschkonzept wird individuell angepasst und gemeinsam mit dem Kunden erstellt. Daher startet das Projekt gewöhnlich mit einem Kick-off, bei dem basierend auf den speziellen Gegebenheiten der genaue Umfang des Projekts erarbeitet wird. Zu ermittelnde Informationen sind hierbei u. a. die IT-Umgebung, eingesetzte Soft- und Hardware, Ermittlung der beteiligten Abteilungen und verantwortlichen Personen, Ermittlung etwaiger Dienstleister und eine Übersicht über die Verarbeitungszwecke. Diese Informationen fließen in ein seitens der Auftragnehmerin zu erstellendes erstes Rahmenkonzept, das dann Basis der weiteren Tätigkeit ist.

Je nach Größe des Unternehmens finden dann Informationsveranstaltungen statt, um alle definierten Personen über Umfang und Ablauf des Projekts zu schulen und die nächsten Projektschritte zu planen. Nachdem der Scope definiert ist, beginnen wir gemeinsam mit Ihnen die einzelnen relevanten Löschfristen zu ermitteln. Diese erfassen wir in einer Löschmatrix, aus der im Anschluss gemeinsam Löschroutinen entwickelt werden.

Letztlich münden die Ergebnisse der einzelnen Teilprojekte in ein fertiges Rahmenkonzept, das als finales Löschkonzept die Basis für eine weiterführende technisch orientierte Konzeption und Umsetzungsplanung dient. Außerdem bildet es alle erforderlichen Informationen und Handreichungen für die dauerhafte datenschutzkonforme Löschpraxis in Ihrem Unternehmen.

Die Erstellung eines Löschkonzepts erfolgt individuell nach den jeweiligen Gegebenheiten des Unternehmens, etwa der Branche, der Art der Daten, der Verarbeitungszwecke und der Struktur des Unternehmens. Dennoch gibt es wesentliche Eckpunkte, die bei der Erstellung des Löschkonzepts regelmäßig zu beachten sind:

• Klare Definition des Scopes und Festlegung eines Projektrahmens und der Verantwortlichkeiten
• Zusammenbringen der relevanten Abteilungen, Standorte
• Ermittlung der relevanten Verfahren und IT-Systeme auf den Inhalt personenbezogener Daten
• Identifikation der relevanten, unstrukturierten Daten und Operatoren (z. B. Exceltabellen)
• Clustering der personenbezogenen Daten nach einem einheitlichen fachlichen Zweck und Bildung von Datenkategorien und von Betroffenenzuständen
• Individuelle Ermittlung der jeweiligen zwingenden Aufbewahrungspflichten
• Definition von Löschregeln anhand gesetzlicher Vorgaben und individueller Gegebenheiten beim Auftraggeber
• Erstellung eines Regelwerks in einer Lösch- und Sperrmatrix
• Matching der Lösch- und Sperrmatrix mit dem Verzeichnis der Verarbeitungstätigkeiten, hinsichtlich der Systeme, Datenkategorien und Aufbewahrungsfristen
• Umsetzungsplanung der Ergebnisse
• Dokumentation sämtlicher Ergebnisse wie Lösch- und Sperrfristen und Ausnahmeregeln in einem begleitenden Fachkonzept

Ein funktionierendes Löschkonzept bringt das Know-how aus den verschiedenen Bereichen zusammen und dient der langfristigen Steuerung Ihrer Prozesse.

Die Herausforderung beim Löschkonzept ist gleichzeitig dessen größter Vorteil. Sie müssen verschiedene Bereiche und Abteilungen im Unternehmen und Standorte mit teilweise verschiedenen gesetzlichen Anforderungen und oftmals verschiedenen Interessen zusammenbringen und einheitliche Prozesse definieren. So besteht oftmals eine heterogene IT-Landschaft, in der die einzelnen Abteilungen verschiedene Systeme einsetzen und dann zusätzlich unterschiedliche Erwartungen an die Aufbewahrung von Daten haben. So können z. B. die Marketingabteilung, BI oder der Customer Support Daten eher länger aufbewahren wollen, während IT-Abteilung, Personalabteilung oder Betriebsrat eher zu knappen Fristen neigen. Bestehen mehrere Niederlassungen oder Standorte, national oder international, haben diese oftmals für sich unterschiedliche Vorgaben definiert und es besteht keine einheitliche Praxis, weder hinsichtlich der einzelnen Fristen noch hinsichtlich der genutzten Systeme.

Zudem kann es in Fällen, in denen noch keine gesetzlich vorgeschriebene Dokumentation der Verfahren vorhanden ist, dazu kommen, dass noch gar nicht klar ist, welche Verfahren und welche Daten überhaupt wie verarbeitet sind.

Doch hier liegen genau die Vorteile des Löschkonzepts. Es bringt die unterschiedlichen Bereiche zusammen und hilft Prozesse zu erkennen, zu verstehen und zu optimieren. Das ist wichtig, da das Wissen im Unternehmen oftmals heterogen und nicht einheitlich vorliegt. So entstehen Schwachstellen, die nicht nur eine datenschutzgerechte Praxis erschweren und zu erheblichen Bußgeldern führen können. Lücken in der Dokumentation machen Sie auch blind für technische und organisatorische Schwachstellen – gerade in Zeiten zunehmender Cyberangriffe ist dies ein klassisches Einfallstor für Kriminelle. Nur wenn Sie wissen, wie Ihre Organisation aufgestellt ist und welche Daten wie und wo verarbeitet werden, können Sie entsprechende Schutzmaßnahmen erstellen.

Sofern Ihr Unternehmen also hier noch Umsetzungsbedarf hat, kann die Erstellung eines Löschkonzepts zentrales Tool nicht nur des Datenschutzmanagements, sondern auch einer sicheren IT-Landschaft insgesamt sein.