DSGVO-konformes Löschkonzept erstellen: Darauf müssen KMU achten

In 7 Schritten zum DSGVO-konformen Löschkonzept

1. Zuständigkeiten festlegen

Definiere, wer das Löschkonzept erstellt, umsetzt und kontrolliert. Benenne Verantwortliche und lege nachvollziehbare Stellvertretungen fest, damit Anfragen und Löschungen fristgerecht bearbeitet werden.​

2. Datenarten erfassen und systematisch auflisten

Führe eine Bestandsaufnahme durch:​

• Welche personenbezogenen Daten werden im Unternehmen verarbeitet?
• Wo – also in welchen Systemen, Cloud-Diensten, Listen oder Archiven – liegen diese Daten?
• Gliedere nach Kategorien wie Kundendaten, Mitarbeiterdaten, Bewerberdaten, Newsletterlisten, Backup-Ordner etc.​

3. Rechtsgrundlagen und Löschfristen bestimmen

Leg für jede Datenart fest:​

• Auf welcher Rechtsgrundlage erfolgt die Verarbeitung (z. B. Vertrag, Einwilligung, gesetzliche Pflicht)?
• Wie lange müssen oder dürfen die Daten aufbewahrt werden (z. B. handels- oder steuerrechtliche Fristen, interne Notwendigkeit)?
• Wann beginnt die Aufbewahrungsfrist und ab wann dürfen die Daten gelöscht werden?​

4. Konkrete Löschregeln erstellen

Leite aus den Fristen und Verwendungen klare Löschregeln ab, zum Beispiel:

• Wann genau ist was zu löschen?
• Welche Ereignisse lösen die Löschung aus (Ende des Vertragsverhältnisses, Ablauf einer Bewerbungsfrist usw.)?

Berücksichtige auch Backups und technische Protokolle. Gegebenenfalls gelten für verschiedene Datenarten unterschiedliche Regeln.​

5. Technische und organisatorische Umsetzung planen

Leg fest:

• In welchen Systemen wird wann automatisch gelöscht?
• Wo ist manuell zu löschen?
• Wie werden Papierunterlagen und Alt-Datenträger – zum Beispiel nach DIN 66399 – sicher vernichtet?
• Gibt es Prozesse für die Prüfung und Umsetzung von Betroffenenanfragen zur Löschung?​

6. Nachweisfähigkeit und Dokumentation sicherstellen

Führe ein Löschprotokoll, damit du belegen kannst:

• Welche Datenarten wurden wann und durch wen gelöscht?
• Welcher Auslöser führte zur Löschung (Routine, Betroffenenanfrage, Ablauf einer Frist)?
• Wie würden die Daten gelöscht oder vernichtet?

Diese Dokumentation ist wichtig für interne Prüfungen und Anfragen von Aufsichtsbehörden.​

7. Löschkonzept in den Alltag integrieren und regelmäßig überprüfen

• Schule dein Team regelmäßig zu Pflichten und Abläufen.
• Überprüfe und aktualisiere dein Löschkonzept mindestens einmal jährlich.
• Kontrolliere, ob die Regeln tatsächlich umgesetzt werden, und passe sie bei neuen Systemen oder Prozessen an.​