Löschkonzept: Wann und wie werden die Daten gelöscht? (Schritt 4)

Die Speicherung von Daten ist nur so lange erlaubt, wie es für den zuvor festgelegten legitimen Zweck unbedingt erforderlich und angemessen ist.

Das bedeutet im Umkehrschluss: Ist diese Zweckmäßigkeit nicht mehr gegeben, müssen Sie die personenbezogenen Daten löschen.

Definieren Sie daher im ersten Feld, welche Unterlagen / Datenkategorien Sie wie lange aufbewahren müssen. Nutzen Sie dazu die in den Ressourcen hinterlegten Aufbewahrungsfristen oder ergänzen Sie Ihre eigenen Unternehmensrichtlinien. Dabei können Sie die Datenart mit der Aufbewahrungsdauer und einer Rechtsgrundlage definieren.

Löschpraxis: Beschreiben Sie hier ausführlich, wie die Daten gelöscht werden. Was ist das auslösende Ereignis der Löschung?  Wie wird der Ablauf der Aufbewahrungsfristen überprüft? Wer ist für die Löschung verantwortlich? (Geben Sie bitte keine Namen, sondern Abteilungen oder Funktionsträger an.)

Ausnahme von Löschung: Neben den gesetzlichen Aufbewahrungsfristen, kann es weitere Ausnahmen geben, aufgrund derer Sie die Daten nicht löschen können. Wählen Sie im Dropdown die Ausnahmen nach Art. 17. Absatz 3 DSGVO aus. 

Beispiel: Angenommen, eine Person hat einer medizinischen Forschungsstudie zugestimmt und ihre persönlichen Gesundheitsdaten für die Dauer der Studie bereitgestellt. Nach Abschluss der Studie bittet die Person den Forschungsleiter oder die verantwortliche Institution, ihre Daten zu löschen, da sie nicht mehr für den Zweck der Studie benötigt werden. In diesem Fall könnte eine Ausnahme vom Recht auf Löschung gemäß Artikel 17 Absatz 3 lit. d DSGVO (Archivierung, Forschung oder Statistik im öffentlichen Interesse) vorliegen, wenn die Daten bereits anonymisiert oder pseudonymisiert wurden und somit keine direkte Identifizierung der betroffenen Person mehr möglich ist. Die Daten könnten möglicherweise für die wissenschaftliche Forschung oder statistische Analysen von Bedeutung sein, auch wenn sie nicht mehr zur Identifizierung der betroffenen Person verwendet werden können. Daher könnte die verantwortliche Institution entscheiden, die Daten für ihre Forschungszwecke aufzubewahren, selbst wenn die betroffene Person die Löschung ihrer personenbezogenen Daten beantragt hat.