Löschfristen

Verantwortliche müssen personenbezogene Daten löschen, wenn sie für die Zwecke, für die sie erhoben oder verarbeitet wurden, nicht mehr notwendig sind.

Damit entscheidet primär der Zweck einer Datenverarbeitung über die zulässige Dauer der Speicherung der verarbeiteten Daten. Dieser so genannte Zweckbindungsgrundsatz ist eines der wesentlichen Prinzipien der DSGVO. Unternehmen dürfen personenbezogene Daten nur für vorher festgelegte, eindeutige und legitime Zwecke erheben. Zudem dürfen Sie diese Daten nicht in einer mit den ursprünglichen Zwecken nicht zu vereinbarenden Weise weiterverarbeiten (Art. 5 Abs. 1 lit. b DSGVO). Spätestens, wenn personenbezogene Daten für die Zwecke nicht mehr erforderlich sind, für die sie verarbeitet werden, muss das Unternehmen diese Daten löschen.

Darüberhinaus macht die DSGVO aber keine konkreten Vorgaben, wie lange personenbezogene Daten aufzubewahren sind bzw. wann sie gelöscht werden müssen. Es obliegt dem Verantwortlichen, auf Grundlage der Zwecke für die Verarbeitung zu bestimmen, wie lange er die Daten aufbewahren will bzw. bei Vorhandensein gesetzlicher Aufbewahrungspflichten aufbewahren muss. Die Datenschutzstelle stellt Ihnen hier eine Liste mit den gängigsten Lösch- und Aufbewahrungspflichten zur Verfügung. 

Datenverarbeitende Stellen sehen sich in der praktischen Umsetzung der Löschpflicht vor allem mit der praktischen Herausforderung konfrontiert, einzelne Datensätze aus ihren Backup-Systemen herauszufiltern und zu löschen. Diese Datensicherungssysteme sind auf die Sicherung vollständiger Inhalte von Speichermedien oder sonstigen Datenverarbeitungen ausgerichtet und nicht auf selektives Löschen einzelner Datensätze.

Datenschutzkonforme Löschkonzepte sind somit ein wesentliches Element eines effektiven Datenschutz-Management-Systems.