Löschkonzept

Ausführliche Erklärung

Die DSGVO verpflichtet Verantwortliche, personenbezogene Daten zu löschen, sobald der Zweck der Verarbeitung entfällt. Dieser Grundsatz der Speicherbegrenzung folgt aus Art. 5 Abs. 1 lit. e DSGVO, das Recht der betroffenen Person auf Löschung aus Art. 17 DSGVO. Gleichzeitig bestehen gesetzliche Aufbewahrungspflichten: § 132 BAO verlangt für Bücher, Aufzeichnungen und Belege sieben Jahre ab Schluss des Kalenderjahres, handelsrechtlich gilt dieselbe Frist nach § 212 UGB; für Unterlagen zu Grundstücken verlängert § 18 Abs. 10 UStG 1994 die Frist auf 22 Jahre. Ein Löschkonzept löst dieses Spannungsfeld auf, indem es für jede Datenkategorie dokumentiert, wie lange sie aufbewahrt werden muss und wann sie zu löschen ist. Ein Dokument mit dem Namen „Löschkonzept“ schreibt die DSGVO nicht ausdrücklich vor – verlangt wird nach Art. 5 Abs. 2 und Art. 24 DSGVO aber der Nachweis, dass Löschpflichten tatsächlich und nachvollziehbar umgesetzt werden (Rechenschaftspflicht).

Der Aufbau beginnt mit einer Bestandsaufnahme aller verarbeiteten personenbezogenen Daten, typischerweise auf Basis des Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 DSGVO. Für jede Datenkategorie werden Verarbeitungszweck, Rechtsgrundlage, anwendbare Aufbewahrungsfrist, daraus abgeleitete Löschfrist, der Auslöser für den Fristbeginn und die zuständige Stelle festgehalten (siehe auch Datenlöschfristen). In Österreich häufig gebraucht: Lohn- und Buchhaltungsunterlagen sieben Jahre, Bewerbungsunterlagen abgelehnter Personen sechs Monate – das ist die Frist zur Geltendmachung von Ansprüchen wegen Diskriminierung bei der Begründung des Arbeitsverhältnisses nach § 15 Abs. 1 GlBG; die Datenschutzbehörde hat in einem Verfahren einen weiteren Monat für die Zustellung einer allfälligen Klage zugerechnet, weshalb in der Praxis auch sieben Monate vertreten werden.

Ein praxistaugliches Löschkonzept regelt neben den Fristen die technische Umsetzung: welche Systeme betroffen sind, wie automatisierte Löschroutinen in CRM-, ERP- und HR-Systemen konfiguriert werden, wie Löschvorgänge protokolliert werden (Löschnachweis) und wie mit Sicherungskopien umzugehen ist. Für Backups ist § 4 Abs. 2 DSG der maßgebliche Hebel: Kann eine Löschung aus wirtschaftlichen oder technischen Gründen nur zu bestimmten Zeitpunkten erfolgen, ist die Verarbeitung bis dahin einzuschränken – die Daten dürfen also bis zum nächsten Löschzyklus im Sicherungsbestand verbleiben, sie dürfen aber nicht mehr verwendet werden (Wirkung des Art. 18 Abs. 2 DSGVO). Mehrere Sekundärquellen zitieren hier fälschlich „§ 4 Abs. 4 DSG“; dieser Absatz regelt die Einwilligung von Kindern. Genauso wichtig ist die organisatorische Einbettung: klare Verantwortlichkeiten und ein definiertes Verfahren für Löschanträge nach Art. 17 DSGVO.

Die Löschung selbst kann durch physisches Löschen, Unkenntlichmachung oder Anonymisierung erfolgen. Die österreichische Datenschutzbehörde hat im Bescheid DSB-D123.270/0009-DSB/2018 vom 5. Dezember 2018 festgehalten, dass Art. 4 Z 2 DSGVO „Löschen“ und „Vernichten“ als unterschiedliche Verarbeitungsformen nennt und der Verantwortliche die Methode wählen darf, solange weder er selbst noch Dritte den Personenbezug ohne unverhältnismäßigen Aufwand wiederherstellen können. Solange eine gesetzliche Aufbewahrungspflicht besteht, ist ein Löschungsanspruch nach Art. 17 Abs. 3 lit. b DSGVO ausgeschlossen; mit Ablauf der Frist wird aus der Aufbewahrungspflicht eine zwingende Löschpflicht. Ein fehlendes oder nur auf dem Papier bestehendes Konzept fällt spätestens bei einem Löschantrag oder einer Prüfung auf – die Datenschutzbehörde (DSB) kann Verstöße mit Geldstrafen im Rahmen des Art. 83 Abs. 5 DSGVO ahnden.