{"id":2340,"date":"2024-03-18T15:02:23","date_gmt":"2024-03-18T14:02:23","guid":{"rendered":"https:\/\/www.mammut-aktenvernichtung.de\/bl\/?p=2340"},"modified":"2025-09-15T13:45:18","modified_gmt":"2025-09-15T11:45:18","slug":"loeschkonzept-bestandteil-der-dsgvo-compliance","status":"publish","type":"post","link":"https:\/\/www.mammut-aktenvernichtung.de\/bl\/datenschutz\/loeschkonzept-bestandteil-der-dsgvo-compliance\/","title":{"rendered":"Das L\u00f6schkonzept als Bestandteil der DSGVO-Compliance \u2013 Teil 1 Allgemeines"},"content":{"rendered":"\n

Notwendigkeit und Sanktionsfolgen<\/strong><\/p>\n\n\n\n

Schon unter Geltung des Bundesdatenschutzgesetzes (BDSG<\/a>) bedurfte es klarer Verfahrensregeln, wann und wie personenbezogene Daten nach jeweiliger Kategorie zu l\u00f6schen sind. Die Sanktionsm\u00f6glichkeiten \u00fcber Bu\u00dfgelder der zust\u00e4ndigen Datenschutzbeh\u00f6rden waren jedoch vor Inkrafttreten der DSGVO<\/a> noch \u00fcberschaubar und nicht Kerngegenstand von Kontrollen bei datenschutzrechtlichen Au\u00dfenpr\u00fcfungen. <\/p>\n\n\n\n

Somit waren sie auch leichter in eine risikobasierte Kosten-\/ Nutzen-Abw\u00e4gung \u201eeinzupreisen\u201c. Es konnte in aller Regel zun\u00e4chst beh\u00f6rdlicherseits eine Beanstandung und Aufforderung zur \u201eNachbesserung\u201c binnen einer in der Regel gro\u00dfz\u00fcgig bemessenen Frist abgewartet werden, bevor tats\u00e4chlich Bu\u00dfgelder aufgerufen wurden.<\/p>\n\n\n\n

Mit Inkrafttreten der DSGVO im Mai 2018 \u00e4nderte sich das:
Die L\u00f6schpflichten<\/strong> ergeben sich nun direkt aus dem EU-weiten Regelungsrahmen der dortigen Artt. 5 und 17 DSGVO, sowie ferner aus der nationalen Umsetzungsvorschrift des BDSG in den dortigen \u00a7\u00a7 35, 41 und 43; au\u00dferdem (exemplarisch) aus dem Gesetz zum Schutz von Gesch\u00e4ftsgeheimnissen (\u00a7\u00a7 2, 7), dem Handelsgesetzbuch<\/a> (insb. \u00a7\u00a7 238, 239, 257), der Abgabenordnung<\/a> (insb. \u00a7\u00a7 146, 146a, 147a) und weiteren Fachgesetzen.<\/p>\n\n\n\n

Dort ist sinngem\u00e4\u00df geregelt, dass personenbezogene Daten nach Schutzbed\u00fcrftigkeit<\/strong> zu klassifizieren und sodann nach bestimmten Kriterien und Zeitr\u00e4umen zu l\u00f6schen sind, und unter welchen Umst\u00e4nden ausnahmsweise die L\u00f6schung auszusetzen ist, also das \u201eOb\u201c der L\u00f6schung.<\/p>\n\n\n\n

\u00dcber das \u201eWie\u201c verhalten sich die Gesetze selbst nicht, es wird, insoweit im Ergebnis technikoffen auf den Stand der Technik, wie er v.a. in den einschl\u00e4gigen DIN-Vorschriften abgebildet ist, Bezug genommen. <\/p>\n\n\n\n

Als relevante Standards sind hier zu nennen, die DIN 66398 (Leitlinie zur Entwicklung eines L\u00f6schkonzepts mit Ableitung von L\u00f6schfristen f\u00fcr personenbezogene Daten), ISO 21964 bzw. der wortgleichen DIN 66399<\/a> (Sicherheitsstufen bei der Akten- und Datentr\u00e4gervernichtung), IDPPS280 (Grunds\u00e4tze ordnungsgem\u00e4\u00dfer Pr\u00fcfung von Compliance-Managementsystemen), IDWRS FAIT3 (Grunds\u00e4tze ordnungsgem\u00e4\u00dfer Buchf\u00fchrung beim Einsatz elektronischer Archivierungsverfahren) etc.<\/p>\n\n\n\n

Im Grundsatz aber gilt:<\/strong><\/p>\n\n\n\n

Daten mit Personenbezug, die verarbeitet werden (k\u00f6nnen), obwohl eine Rechtsgrundlage hierf\u00fcr nicht vorliegt, sind unverz\u00fcglich zu l\u00f6schen. Die L\u00f6schfristen und -Prozesse sind im Verzeichnis der Verarbeitungst\u00e4tigkeiten (VVT) als Einzelverarbeitungst\u00e4tigkeit zu erstellen und fortlaufend zu aktualisieren.<\/p>\n\n\n\n

Liegt keine Rechtsgrundlage vor, oder ist sie entfallen, sind die betroffenen Daten zwingend zu l\u00f6schen (Art. 17 DS-GVO). Die L\u00f6schpflicht ist auch gegeben:<\/p>\n\n\n\n