Demnach betrachtet sich der Lebenszyklus von personenbezogenen Daten aus 3 Blickwinkeln, n\u00e4mlich<\/p>\n\n\n\n
- \n
- dem Blick auf die Produktivphase,<\/li>\n\n\n\n
- dem auf die Phase der Sperrung und Rechteeinschr\u00e4nkung (nach Ablauf der Produktivphase) und<\/li>\n\n\n\n
- schlussendlich auf die eigentliche L\u00f6schphase.<\/li>\n<\/ol>\n\n\n\n
Das L\u00f6schkonzept ist keine statische Abbildung, sondern ein konstant fortlaufender eigenst\u00e4ndiger Prozess, entlang sich wandelnder betrieblicher (Gesch\u00e4fts- und sonstiger) Prozesse und neuer gesetzlicher Regelungen. So ergeben sich bspw. im Bereich der Aufbewahrungsfristen h\u00e4ufig Ver\u00e4nderungen, die umgesetzt werden m\u00fcssen.<\/p>\n\n\n\n
Die technische Umsetzung der fristbezogenen L\u00f6schung von entsprechend ihrer Sensibilit\u00e4t klassifizierten Daten sollte unbedingt schon zum Zeitpunkt deren Erhebung erfolgen und systemisch in den verarbeiteten Systemen hinterlegt werden. <\/p>\n\n\n\n
Es wird empfohlen, automatische L\u00f6schroutinen einzuf\u00fchren, wobei vorherige Hinweis- und Warnfunktionen gew\u00e4hrleisten sollten, dass die Automatik der L\u00f6schroutine einem \u201e4-Augen-Prinzip\u201c aus technischer und menschlicher \u00dcberwachung unterworfen ist. <\/p>\n\n\n\n
Die Konfigurationsm\u00f6glichkeiten und Einrichtungsparameter f\u00fcr automatische L\u00f6schroutinen sollten in eine gesonderte Anlage zum L\u00f6schkonzept aufgenommen werden.<\/p>\n\n\n\n
Die Grunds\u00e4tze des \u201eDatenschutzes durch Technik<\/em>\u201c aus Art. 25 DSGVO<\/a> f\u00fchren ebenfalls zu dem Erfordernis, schon bei der Anschaffung und Inbetriebnahme von IT-Systemen durch entsprechende Konfigurationsm\u00f6glichkeiten sicherstellen zu k\u00f6nnen, dass die personenbezogenen Daten auf Anforderung wieder vollst\u00e4ndig aus dem System herausgel\u00f6scht werden k\u00f6nnen und dar\u00fcber in rechtssicherer Weise Nachweis gef\u00fchrt werden kann. <\/p>\n\n\n\n
Auch die jeweiligen Nachweism\u00f6glichkeiten sollten in einer gesonderten Anlage zum L\u00f6schkonzept genommen werden, bspw. die L\u00f6schprotokolle der IT-Systeme, die Vernichtungsprotokolle von Dienstleistern in Bezug auf Datentr\u00e4ger etc.<\/p>\n\n\n\n
Der L\u00f6schungsnachweis erfolgt gem. Art. 5 Abs. 2 DSGVO<\/a> und hat Auswirkungen auf die rechtliche Beweislast, weil der Verantwortliche darlegen und nachweisen k\u00f6nnen muss, dass und wie er eine L\u00f6schung bzw. Datentr\u00e4gervernichtung vollzogen hat. Aus Sicht der Aufsichtsbeh\u00f6rden ist die Schonfrist f\u00fcr \u00fcber die Jahre mitgeschleppte Vers\u00e4umnisse sp\u00e4testens seit dem Jahr 2020 ABGELAUFEN.<\/p>\n\n\n\n
L\u00f6schkonzepte stehen im Visier von Stichprobenkontrollen und gro\u00dfangelegten Au\u00dfenpr\u00fcfungen. Sie sind auch h\u00e4ufig Gegenstand von Meldungen nach dem deutschen Hinweisgeberschutzgesetz, wenn Mitarbeiter feststellen, dass \u00fcber sie gespeicherte Daten noch \u00fcber viele Jahre unter Versto\u00df gegen DSGVO-Prinzipien vorr\u00e4tig gehalten werden.<\/p>\n\n\n\n
Wenn ein L\u00f6schversto\u00df auf Umsetzungsebene<\/strong> geschieht, bietet sich den Aufsichtsbeh\u00f6rden die M\u00f6glichkeit zur Verh\u00e4ngung von empfindlichen Bu\u00dfgeldern.
Fehlt dazuhin ein L\u00f6schkonzept per se<\/strong>, und ist dieses nicht \u201elediglich\u201c unvollst\u00e4ndig umgesetzt, h\u00e4lt also der Verantwortliche \u00fcber Jahre einen Datenbestand, f\u00fcr dessen Aufbewahrung ein rechtfertigender Grund nicht (mehr) vorliegt, kommt eine weitere, sanktionssteigernde Komponente bei der Bu\u00dfgeldbemessung hinzu. <\/p>\n\n\n\nDenn bereits das Fehlen eines L\u00f6schkonzeptes<\/strong> \u2013 unabh\u00e4ngig davon, ob tats\u00e4chlich \u00fcber gesetzlich zul\u00e4ssige Zeitr\u00e4ume hinaus personenbezogene Daten gespeichert oder sonst verarbeitet worden sind, was weitere sanktionierbare Verst\u00f6\u00dfe ausl\u00f6st \u2013 stellt an sich schon einen DSGVO-Bu\u00dfgeldtatbestand dar.<\/strong><\/p>\n\n\n\n
Diese Tatbest\u00e4nde werden inzwischen auch massiv verfolgt:
Die soweit bisher bekannt gewordenen h\u00f6heren “L\u00f6schpflicht-Bu\u00dfgelder” liegen bei 148 TEUR (D\u00e4nemark), 394 TEUR (Norwegen), 195 TEUR (Deutschland) und 14,5 Mio. EUR (Deutschland), wobei die letztgenannte Rekordsumme angefochten wurde<\/a>; man geht von einem l\u00e4ngeren Verfahren aus.<\/p>\n\n\n\n\n\u00dcber den Autor:<\/h4>\n\n\n\n
Dr. Jens B\u00fccking ist Rechtsanwalt und Fachanwalt f\u00fcr IT-Recht. Er ist Mitbegr\u00fcnder und Senior Partner der internationalen Kanzlei e|<\/sub>s|<\/sub>b, Lehrbeauftragter, VOI Certified Expert \u201eRisk Management and Compliance\u201c und Datenschutzbeauftragter und renommierter Autor diverser Fachpublikationen zum IT- und IP-Recht.<\/p>\n\n\n\n
Herr Dr. B\u00fccking fungiert zudem als Gesch\u00e4ftsf\u00fchrer der e|<\/sub>s|<\/sub>b data gmbh. Die e|<\/sub>s|<\/sub>b data gmbh bietet eine umfassende Beratung und Unterst\u00fctzung bei der Umsetzung der Datenschutzgrundverordnung (DSGVO) sowie anderer Datenschutzbestimmungen.<\/p>\n\n\n
![\"\"](\"https:\/\/www.mammut-aktenvernichtung.de\/bl\/wp-content\/uploads\/2024\/03\/dr-jens-buecking-1.jpg\" "\\"dr-jens-buecking-1\\"")
<\/figure>\n\n<\/div><\/div>\n\n