Daten zu sammeln ist einfach, sie rechtzeitig zu löschen nicht. Ohne Löschkonzept wachsen Datenbestände unbegrenzt, und mit ihnen das Risiko bei einer Datenpanne und der Aufwand bei jedem Auskunftsbegehren.
Rechtliche Grundlage
Das DSG verlangt, dass Personendaten vernichtet oder anonymisiert werden, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind (Art. 6 Abs. 4 DSG). Die DSGVO formuliert den Grundsatz der Speicherbegrenzung und ein Recht auf Löschung. Dem stehen gesetzliche Aufbewahrungspflichten gegenüber, in der Schweiz etwa die zehnjährige Aufbewahrung von Geschäftsbüchern und Buchungsbelegen nach Obligationenrecht oder die Aufbewahrungspflichten nach dem Geldwäschereigesetz.
Inhalt
Ein Löschkonzept ordnet jeder Datenkategorie einen Zweck, eine Aufbewahrungsfrist mit Rechtsgrundlage oder Begründung, einen Startzeitpunkt der Frist, die verantwortliche Stelle und die Art der Löschung oder Anonymisierung zu. Grundlage ist das Bearbeitungsverzeichnis, das die Kategorien bereits enthält.
Backups und Archive
Daten in Sicherungen lassen sich selten gezielt löschen. Üblich ist deshalb, dass Sicherungen nach einer festen Rotation überschrieben werden und wiederhergestellte Daten vor der Nutzung gegen die Löschliste geprüft werden. Diese Regel gehört ausdrücklich ins Konzept.
Umsetzung und Nachweis
Ein Löschkonzept wirkt erst, wenn es technisch umgesetzt ist: automatische Löschroutinen in den Systemen, regelmässige Löschläufe mit Protokoll und eine Prüfung, ob sie tatsächlich stattfinden. Bei neuen Systemen gehört die Löschung zu den Anforderungen, nicht zur späteren Nachrüstung, ganz im Sinne von Privacy by Design.