Löschfristen festzulegen ist wichtig. Entscheidend ist jedoch, dass Daten nach Ablauf dieser Fristen tatsächlich gefunden und gelöscht werden – und jemand dafür verantwortlich ist.
Stellen Sie sich vor, Ihr Unternehmen wird Opfer eines Cyberangriffs. Daten werden entwendet und Sie müssen analysieren, welche Informationen betroffen sind. Schon diese Situation ist unangenehm genug. Noch unangenehmer wird es allerdings, wenn Sie feststellen müssen: Ein Teil der abgeflossenen Daten hätte längst gar nicht mehr vorhanden sein dürfen.
Spätestens gegenüber der Datenschutz-Aufsichtsbehörde stellt sich dann eine naheliegende Frage: Warum wurden diese Daten noch gespeichert?
Genau deshalb ist Löschen kein nebensächliches Datenschutzthema. Unternehmen müssen nicht nur festlegen, wie lange personenbezogene Daten benötigt oder aufgrund gesetzlicher Vorgaben aufbewahrt werden dürfen. Sie müssen anschließend auch sicherstellen, dass nicht mehr erforderliche Daten tatsächlich gelöscht werden.
Aufbewahren dürfen heißt nicht unbegrenzt speichern
In Unternehmen existieren zahlreiche gesetzliche Aufbewahrungspflichten. Rechnungen, Geschäftsunterlagen oder steuerrechtlich relevante Dokumente dürfen und müssen teilweise über viele Jahre gespeichert werden. Solche Verpflichtungen rechtfertigen jedoch keine unbegrenzte Speicherung sämtlicher personenbezogener Daten.
Ist der ursprüngliche Zweck einer Verarbeitung weggefallen und besteht keine andere Rechtsgrundlage oder Aufbewahrungspflicht mehr, greift der Grundsatz der Speicherbegrenzung aus der DSGVO. Personenbezogene Daten sollen also nicht vorsorglich für alle Zeiten im Unternehmen verbleiben.
Das klingt in der Theorie einfach. In der Praxis wird es deutlich schwieriger.
Denn Daten befinden sich heute selten nur an einer Stelle. Sie liegen möglicherweise im CRM-System, in einem ERP-System, in E-Mail-Postfächern, auf Dateiservern, in Cloud-Anwendungen, in Personalsoftware, auf lokalen Laufwerken oder in alten Projektordnern. Genau hier zeigt sich, ob ein Löschkonzept wirklich funktioniert oder lediglich dokumentiert wurde.
Die entscheidende Frage: Wer ist verantwortlich?
Ein häufiger Schwachpunkt liegt nicht bei der Definition von Löschfristen, sondern bei deren Umsetzung. Es ist zwar bekannt, dass bestimmte Daten beispielsweise nach drei, sechs oder zehn Jahren geprüft und gegebenenfalls gelöscht werden müssen. Gleichzeitig fühlt sich jedoch niemand konkret dafür zuständig.
Ein funktionierender Prozess braucht deshalb Verantwortlichkeiten. Es muss geklärt sein, wer prüft, ob Löschfristen erreicht wurden, wer eine Löschung technisch beziehungsweise organisatorisch ausführt und wer kontrolliert, ob die entsprechenden Prozesse tatsächlich funktionieren.
Automatisierte Löschroutinen können dabei erheblich unterstützen. Sie ersetzen jedoch nicht die organisatorische Verantwortung. Gerade bei historisch gewachsenen Ablagestrukturen oder verschiedenen eingesetzten Systemen bleiben häufig Datenbestände zurück, die von automatisierten Prozessen gar nicht erfasst werden.
Alte Daten erhöhen das Risiko
Daten, die nicht mehr vorhanden sind, können bei einem Cyberangriff auch nicht mehr gestohlen werden. Allein deshalb ist konsequentes Löschen ein wichtiger Bestandteil der Informationssicherheit.
Je größer der vorhandene Datenbestand ist, desto größer kann auch das Schadenspotenzial bei einem Sicherheitsvorfall werden. Das betrifft nicht nur Kunden- und Beschäftigtendaten. Auch alte Bewerbungen, frühere Ansprechpartner, ehemalige Nutzerkonten oder längst abgeschlossene Projekte können personenbezogene Informationen enthalten.
Ein Löschprozess reduziert deshalb nicht nur datenschutzrechtliche Risiken. Er reduziert gleichzeitig die Menge der Daten, die bei einem erfolgreichen Angriff überhaupt betroffen sein kann.
Ohne Datenstruktur wird Löschen schwierig
Löschen funktioniert allerdings nur dann zuverlässig, wenn ein Unternehmen weiß, welche Daten wo vorhanden sind. Eine Datei namens „Alt_final_neu_2.xlsx“ irgendwo auf einem Netzlaufwerk wird wahrscheinlich von keinem automatischen Löschprozess erkannt.
Damit ist das Löschen eng mit einem zweiten Thema verbunden: einer sauberen Daten- und Ablagestruktur. Unternehmen sollten wissen, welche Datenbestände existieren, welchen Zweck sie erfüllen und wer für sie verantwortlich ist.
Ein gutes Datenschutzmanagement verbindet deshalb Aufbewahrungsfristen, Löschfristen, Ablagestrukturen und Verantwortlichkeiten miteinander.
Unser Praxistipp
Prüfen Sie nicht nur, ob Ihr Unternehmen ein Löschkonzept besitzt. Stellen Sie sich zusätzlich drei Fragen: Wer setzt es um? Wann wurde zuletzt tatsächlich gelöscht? Und können Sie nachvollziehen, ob die festgelegten Prozesse funktionieren?
Wenn die Antwort auf eine dieser Fragen unklar ist, lohnt sich ein genauerer Blick. Denn spätestens nach einem Datenschutzvorfall sollte nicht erst festgestellt werden, dass längst überfällige Daten immer noch vorhanden waren. Wir unterstützen Sie – gerne.