Löschkonzept als Teil des Managementsystems nach ISO 27701

Ein Löschkonzept belegt, dass personenbezogene Daten, die erhoben wurden, auch wieder gelöscht werden. Dieser Beitrag zeigt, wie sich die Löschpflichten der DSGVO und die Anforderungen der ISO 27701 zu einem prüffähigen Löschkonzept verbinden lassen, das gegenüber Aufsichtsbehörden Bestand hat.

Was ist ein Löschkonzept und warum genügt eine Löschregel nicht?

Ein Löschkonzept ist der dokumentierte Fahrplan, wie eine Organisation ihre Pflichten zur Löschung personenbezogener Daten erfüllt. Es beschreibt nicht einzelne technische Löschbefehle, sondern die Ablauforganisation dahinter: welches Datum in welchem System nach welcher Frist entfernt wird, wann das Vorliegen der Löschvoraussetzungen geprüft wird und welche Abteilung federführend zuständig ist. Kernstück ist in der Praxis eine Löschmatrix, die diese Angaben je Verarbeitungstätigkeit zusammenführt.

Der Anwendungsbereich reicht weiter, als häufig angenommen. Erfasst werden müssen strukturierte Daten in IT-Systemen einschließlich temporärer Dateien und Logdaten, unstrukturierte Daten auf Laufwerken und in Postfächern sowie Daten in stofflicher Form, deren Vernichtung über Datentonnen und zertifizierte Dienstleister läuft. Ebenso gehört die Rollenabgrenzung dazu: Für Daten, die im Auftrag eines Kunden verarbeitet werden, richten sich die Löschpflichten nach dem Auftragsverarbeitungsvertrag und den Weisungen des Verantwortlichen.

Welche Anforderungen stellt die DSGVO an die Löschung personenbezogener Daten?

Die DSGVO nennt kein Löschkonzept, verlangt es aber im Ergebnis. Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO erlaubt eine Speicherung von personenbezogenen Daten nur so lange, wie sie für den verfolgten Zweck erforderlich ist. Mit dem Zweckfortfall entsteht die Löschpflicht, sofern keine gesetzliche oder vertragliche Aufbewahrungspflicht entgegensteht. Besteht ein solcher Konflikt, tritt an die Stelle der Löschung zunächst die Einschränkung der Verarbeitung nach Art. 18 DSGVO. Nach Fristablauf ist das personenbezogene Datum unverzüglich zu löschen.

Hinzu kommt das reaktive Löschen auf Antrag nach Art. 17 DSGVO eines Betroffenen.

Fehlt eine automatisierte Löschprotokollierung, lässt sich die Lücke des Löschnachweises durch wiederkehrende Löschkontrollen und stichprobenartige Prüfungen schließen. Die Entscheidung dafür sollte samt Begründung und Turnus im Konzept festgehalten werden, weil sie selbst Teil des Nachweises ist.

Welche Vorgaben macht die ISO 27701 zur Löschung?

Die ISO 27701 übersetzt dieselbe Sachfrage in die Sprache eines Managementsystems. Ihr Anhang A enthält mehrere Controls, die unmittelbar auf ein Löschkonzept zielen: definierte Minimierungsziele, die Anonymisierung oder Löschung von personenbezogenen Daten am Ende der Verarbeitung, den Umgang mit temporären Dateien, die Aufbewahrung sowie die Entsorgung, für die dokumentierte Richtlinien, Verfahren oder Mechanismen gefordert werden. Außerdem verlangt die Norm Mechanismen, mit denen Betroffene ihre Rechte auf Zugriff, Berichtigung und Löschung der personenbezogenen Daten geltend machen können, und zwar innerhalb festgelegter Reaktionszeiten.

Bemerkenswert ist der Blick auf die Aufbewahrung. Die Norm formuliert:

„Die Organisation darf personenbezogene Daten nicht länger aufbewahren, als es für die Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist.“

Zugleich erwartet sie, bei widersprüchlichen rechtlichen und geschäftlichen Anforderungen eine risikobasierte Entscheidung zu treffen und diese bei der jeweiligen Frist zu dokumentieren. Ergänzend sollen Systeme von Beginn an so entwickelt werden, dass Löschanforderungen überhaupt erfüllbar sind. Über die Managementsystemlogik treten Überwachung und Messung, interne Audits, Korrekturmaßnahmen und die Lenkung dokumentierter Informationen hinzu, zu der auch Aufbewahrung und Entsorgung der Dokumente selbst gehören.

Wo liegen die Synergien beider Regelwerke?

Beide Regelwerke beschreiben die gleichen Anforderungen, verlangen aber unterschiedliche Nachweisformen. Das Datenschutzrecht fordert die Pflicht und deren Rechenschaft, die ISO-Norm fordert einen Prozess mit belegter Wirksamkeit. Wer die Löschmatrix konsequent aus dem Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ableitet, bedient beide Seiten mit einem Datenbestand, denn Zwecke, Datenarten, Personengruppen, Systeme und Empfänger sind dort bereits erfasst.

Praktisch entsteht die Synergie an drei Stellen. Erstens zählt die jährliche Prüfung des Löschkonzepts gleichzeitig als Wirksamkeitsprüfung und als Input für interne Audits und Managementbewertung. Zweitens dient ein einheitliches Kontrollprotokoll über durchgeführte Löschungen und Sperrungen sowohl als Nachweis gegenüber der Aufsichtsbehörde als auch als Auditnachweis. Drittens greifen Informationssicherheit und Datenschutz bei Datenträgervernichtung, Protokollierung und Berechtigungen auf dieselben Maßnahmen zu.

Ein Nebeneffekt wird dabei oft unterschätzt: Mit dem Blick auf das Löschen werden Geschäftsprozesse präzisiert, überflüssige Bestände abgebaut und Systeme konsolidiert.

Wie gelingt die Umsetzung des Löschkonzepts im Unternehmen?

Bewährt hat sich ein schrittweises Vorgehen:

1. Verarbeitungstätigkeiten dokumentieren und je Vorgang Personengruppen sowie Datenarten wie Stammdaten, Kommunikationsdaten oder Nutzungsdaten aus IT-Applikationen clustern.
2. Speicherfrist, Fristbeginn und Prüfzeitpunkt je Datenart festlegen und auf die gesetzlichen Fristen beziehen, die in einer gesonderten Übersicht gepflegt werden.
3. Eine federführende Abteilung benennen und vermerken, ob automatisiert oder manuell gelöscht wird.
4. Unstrukturierte Daten getrennt behandeln, etwa über eine Vorlage, die jeder Fachbereich für seine Laufwerke und Postfächer ausfüllt.
5. Einen festen Aufräumtag im Jahr ansetzen, angekündigt mit Termineinladung und konkreter Aufgabenliste.
6. Die Kontrolle der Löschungen und Sperrungen in einem Protokoll dokumentieren, das Verarbeitungsvorgang, Zeitraum, Art der Maßnahme, Anlass und die Prüfung durch die Datenschutzbeauftragte erfasst.
7. Konzept, Fristenübersicht und Matrix mindestens jährlich prüfen und Änderungen an die Fachbereiche kommunizieren.

Zwei Punkte entscheiden über die Akzeptanz im Betrieb. Die Mitarbeitenden müssen erkennen, dass die Löschung rechtlich und normativ verpflichtend ist, und sie brauchen konkrete Vorgaben statt allgemeiner Appelle, etwa eine benannte Altersgrenze für E-Mails samt Ausnahmen für längere Aufbewahrungsfristen.

Sonderfälle wie die Anonymisierung anstelle der Löschung oder die bewusste Ausnahme von Beständen zur Beweisführung sind zu dokumentieren, damit sie bei späteren Löschdurchläufen nicht übersehen werden.

DSGVO und ISO 27701 als Einheit

Ein Löschkonzept ist kein Dokument zum Abheften, sondern der Punkt, an dem Datenschutzrecht, Informationssicherheit und Betriebsrealität zusammenlaufen. Die ISO 27701 liefert die Struktur und den Prüfrhythmus, die DSGVO den inhaltlichen Maßstab. Wer beides in einem Satz von Dokumenten führt, verringert Doppelarbeit und kann darlegen, wie Löschung organisiert, kontrolliert und weiterentwickelt wird.