Aufbewahrungsfristen und Löschfristen gemäß DSGVO

Personenbezogene Daten dürfen nur so lange gespeichert und verarbeitet werden, wie sie für den jeweils definierten Zweck benötigt werden. Wenn der Zweck nicht (mehr) besteht, müssen sie gelöscht werden, sofern dieser Löschung keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Eine unbegrenzte Aufbewahrung ist nicht zulässig.

Zur Verarbeitung personenbezogener Daten gemäß DSGVO gehört auch die Löschung/Vernichtung nicht mehr benötigter Informationen. Diese haben, wie das Erheben, Speichern oder Verändern auf sichere Art und Weise zu erfolgen.

Nach Ablauf der Löschfrist bis zur Durchführung der Löschung sollten nicht mehr als 6, maximal jedoch 12 Monate vergehen (Beispiele: Wirtschaftsprüfer sind am Jahresanfang da; in der Aktenvernichtung ist gerade in den ersten Monaten eines neuen Jahres viel zu tun – externe Kunden haben Vorrang). Spätestens am Ende eines jeden Jahres wird eine „Dateninventur“ durchgeführt und zur Löschung anstehende Daten gelöscht/vernichtet.

Im folgenden Artikel beschäftigen wir uns mit dem Thema DSGVO-konforme Löschfristen und Aufbewahrungsfristen, worauf bei der Löschung geachtet werden muss und welche Fristen für unterschiedliche Datenarten gelten.

• Im Steuerrecht gibt es eine Aufbewahrungsfrist von 10 Jahren für Unterlagen, die im Zusammenhang mit der Steuerpflicht stehen. Dazu gehören beispielsweise Belege für Ausgaben und Einnahmen, Rechnungen und Quittungen.
• Im Handelsrecht gibt es ebenfalls spezifische Aufbewahrungsfristen für Unterlagen, die im Zusammenhang mit dem Geschäftsbetrieb stehen. Dazu gehören beispielsweise Buchungsbelege, Lieferscheine und Rechnungen. Die Aufbewahrungsfristen können hier je nach Art der Unterlage unterschiedlich sein und reichen von 2 Jahren bis zu 10 Jahren.
• Im Arbeitsrecht gibt es spezifische Löschfristen für personenbezogene Daten von Arbeitnehmern. Dazu gehören Angaben zu Ausbildung und Qualifikation, Gehaltsabrechnungen oder Krankmeldungen. Die Aufbewahrungsfristen können hier je nach Art der Daten unterschiedlich sein und reichen von 2 Jahren bis zu 6 Jahren.
• Im Sozialrecht gibt es ebenfalls spezifische Löschfristen für personenbezogene Daten, die im Zusammenhang mit Sozialleistungen stehen. Dazu gehören beispielsweise Angaben zu Einkommen und Vermögen, Anträge auf Sozialleistungen oder Bescheide über die Gewährung von Leistungen. Die Aufbewahrungsfristen können hier je nach Art der Daten unterschiedlich sein und reichen von 2 Jahren bis zu 10 Jahren.

Es ist wichtig zu beachten, dass diese Beispiele nur einen kleinen Ausschnitt der DSGVO-konformen Löschfristen und Aufbewahrungsfristen darstellen und dass es immer auf den konkreten Einzelfall ankommt.

Um sicherzustellen, dass personenbezogene Daten datenschutzkonform gelöscht bzw. vernichtet werden, gibt es einige wichtige Aspekte zu beachten:

• Zunächst muss sichergestellt werden, dass die Löschung oder Vernichtung der Daten den geltenden Datenschutzvorschriften entspricht. Dies kann beispielsweise bedeuten, dass die Daten erst nach Ablauf von Aufbewahrungsfristen gelöscht werden dürfen oder dass bestimmte Voraussetzungen (z.B. Widerruf der Einwilligung) erfüllt sein müssen.
• Die Löschung oder Vernichtung der Daten sollte auf eine Weise erfolgen, die sicherstellt, dass die Daten nicht mehr lesbar oder verwendbar sind. Dies kann beispielsweise durch das Überschreiben von Daten auf Datenträgern oder durch die physische Zerstörung von Papierdokumenten erfolgen.
• Es empfiehlt sich, eine Protokollierung der Löschung oder Vernichtung der Daten anzufertigen, um nachweisen zu können, dass die Daten datenschutzkonform gelöscht wurden. Die Protokollierung sollte Angaben zum Zeitpunkt der Löschung, den gelöschten Daten und den Maßnahmen, die zur Löschung ergriffen wurden, enthalten.
• Die Löschung oder Vernichtung der Daten sollte von einer qualifizierten Person durchgeführt werden, die über die erforderlichen Kenntnisse und Fähigkeiten verfügt, um sicherzustellen, dass die Daten sicher und datenschutzkonform gelöscht werden.

Es ist wichtig, dass personenbezogene Daten datenschutzkonform gelöscht bzw. vernichtet werden, um die Privatsphäre der betroffenen Personen zu schützen und sicherzustellen, dass diese nicht missbräuchlich verwendet werden. Eine datenschutzkonforme Löschung bzw. Vernichtung ist daher ein wichtiger Bestandteil eines datenschutzkonformen Umgangs mit personenbezogenen Daten und sollte entsprechend sorgfältig geplant und durchgeführt werden.

Ein paar Beispiele aus der Praxis

• Bei der Entsorgung von Dokumenten ist zu gewährleisten, dass keine Vermischung von Dokumenten mit personenbezogenen Daten mit normalem Altpapier erfolgt.
• Um eine datenschutzkonforme Vernichtung der Unterlagen sicherzustellen, kann ein geeigneter Schredder nach DIN-Norm 66399 eingesetzt werden. Bei größeren Mengen kann ein Entsorgungsunternehmen beauftragt werden, welches sorgfältig auszuwählen ist. 
• Bei Löschung elektronischer Datenbestände sind besondere technische Maßnahmen für die Löschung zu treffen. Informationen auf Datenträgern müssen vor einer Weitergabe (bspw. an einen Reparatur-Dienstleister) oder Aussonderung so gelöscht werden, dass eine Rekonstruktion der Informationen mit hoher Wahrscheinlichkeit ausgeschlossen werden kann. Es ist zu beachten, dass die auf den digitalen Speichermedien gespeicherten Daten grundsätzlich durch die alleinige Nutzung der durch das Betriebssystem bereitgestellten Löschfunktion wieder herstellbar sind. Zur sicheren Löschung sind diese durch physikalische Maßnahmen (mechanische oder thermische Zerstörung, magnetische Durchflutung des Datenträgers) oder mehrmaliges Überschreiben unkenntlich zu machen. 
• Optische Datenträger (bspw. CD-ROM, DVD) sind einer datenschutzkonformen physikalischen Vernichtung zuzuführen, da eine Überschreibung des Datenbestandes nicht möglich ist.
• Anstatt einer tatsächlichen Löschung ist auch eine Anonymisierung möglich, wenn sichergestellt ist, dass keinerlei Personenbezug nach der Anonymisierung möglich ist.

In Deutschland gibt es verschiedene gesetzliche Aufbewahrungsfristen für die Daten von ausgeschiedenen Arbeitnehmern, die sich je nach Art der Daten und der jeweiligen Rechtsgrundlage unterscheiden. Hier sind die wichtigsten Fristen, die zu beachten sind:

1. Lohn- und Gehaltsabrechnungen, Buchhaltungsunterlagen

Diese Daten fallen unter steuer- und handelsrechtliche Aufbewahrungspflichten gemäß § 257 HGB und § 147 AO.

• Aufbewahrungsfrist: 10 Jahre
• Beispiele: Lohn- und Gehaltsabrechnungen, Buchungen, Jahresabschlüsse, Lohnsteuerunterlagen.

2. Lohnsteuerunterlagen

Nach § 41 EStG (Einkommensteuergesetz) müssen Arbeitgeber die Lohnsteuerunterlagen von Arbeitnehmern aufbewahren.

• Aufbewahrungsfrist: 6 Jahre
• Beispiele: Lohnsteuerkarten, Lohnsteuerbescheinigungen.

3. Sozialversicherungsunterlagen

Unterlagen, die die Sozialversicherung betreffen, unterliegen spezifischen Aufbewahrungsfristen nach dem Sozialgesetzbuch (SGB).

• Aufbewahrungsfrist: 5 Jahre
• Beispiele: Meldungen zur Sozialversicherung, Beitragsabrechnungen, Rentenversicherungsnachweise.

4. Bewerbungsunterlagen von abgelehnten Bewerbern

Nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) sollten abgelehnte Bewerbungsunterlagen nur so lange aufbewahrt werden, wie eine Klage nach dem AGG möglich ist.

• Aufbewahrungsfrist: 6 Monate nach Abschluss des Bewerbungsverfahrens
• Grund: Potenzieller Anspruch auf Entschädigungsklagen nach dem AGG.

5. Daten für die betriebliche Altersvorsorge

Daten zur betrieblichen Altersversorgung müssen aufbewahrt werden, solange der Versorgungsanspruch besteht, da diese auch nach dem Ausscheiden noch relevant sein können.

• Aufbewahrungsfrist: Bis zum Erlöschen des Versorgungsanspruchs, z.B. bis zum Renteneintritt.

6. Arbeitsverträge, Abmahnungen, Kündigungen, Zeugnisse

Für persönliche Dokumente des Arbeitsverhältnisses gibt es keine explizit festgelegte Frist. Eine Löschung sollte jedoch spätestens nach Ablauf der Verjährungsfrist von Ansprüchen (z.B. nach dem Arbeitsrecht) erfolgen.

• Empfohlene Aufbewahrungsfrist: 3 Jahre (nach § 195 BGB für die Verjährung von Ansprüchen).

7. Unfallmeldungen nach dem Arbeitsunfall

Unfallmeldungen müssen in der Regel länger aufbewahrt werden, um Ansprüche der Berufsgenossenschaft oder des Arbeitnehmers geltend machen zu können.

• Aufbewahrungsfrist: 5 Jahre nach § 110 SGB VII.

8. Sonstige Personalakten

Sonstige personenbezogene Daten sollten nach dem Grundsatz der Datenminimierung und Zweckbindung gelöscht werden, sobald sie nicht mehr erforderlich sind.

• Empfohlene Aufbewahrungsfrist: Individuell, aber spätestens 3 Jahre nach Ende des Arbeitsverhältnisses.

Wird die Vernichtung bzw. Löschung von Daten durch einen Dienstleister erledigt, liegt eine Auftragsverarbeitung vor.  Auch wenn der Dienstleister den Auftrag zur Vernichtung bzw. Löschung der Daten übernimmt, verbleibt die Verantwortung für den Schutz der betroffenen personenbezogenen Daten weiterhin im Verantwortungsbereich des eigenen Unternehmens. Es wird daher empfohlen, mit dem Dienstleister einen Vertrag zur Auftragsverarbeitung abzuschließen und die Einhaltung der technisch-organisatorischen Maßnahmen regelmäßig zu überprüfen.

Wenn ein externer Dienstleister mit der Löschung oder Vernichtung von personenbezogenen Daten beauftragt wird, gibt es einige wichtige Aspekte zu beachten:

1. Vor der Beauftragung des Dienstleisters sollte sichergestellt werden, dass dieser über die erforderlichen Kenntnisse und Fähigkeiten verfügt, um die Daten datenschutzkonform zu löschen oder zu vernichten.
2. Es empfiehlt sich, einen schriftlichen Vertrag mit dem Dienstleister abzuschließen, der die Modalitäten der Löschung oder Vernichtung festlegt. Dieser Vertrag sollte beispielsweise Angaben zu den zu löschenden oder zu vernichtenden Daten, den Maßnahmen, die zur Löschung oder Vernichtung ergriffen werden, und den Verantwortlichkeiten des Dienstleisters enthalten.
3. Der Dienstleister sollte darüber hinaus verpflichtet werden, eine Protokollierung der Löschung oder Vernichtung der Daten anzufertigen und diese dem Auftraggeber zur Verfügung zu stellen. Die Protokollierung sollte Angaben zum Zeitpunkt der Löschung oder Vernichtung, den gelöschten oder vernichteten Daten und den Maßnahmen, die zur Löschung oder Vernichtung ergriffen wurden, enthalten.
4. Der Dienstleister sollte auch verpflichtet werden, die personenbezogenen Daten auf sicheren Transportwegen an den Ort der Löschung oder Vernichtung zu übermitteln und dafür Sorge zu tragen, dass die Daten während des Transports gegen Missbrauch geschützt sind.

Es ist wichtig, dass bei der Beauftragung eines externen Dienstleisters für die Löschung oder Vernichtung von personenbezogenen Daten entsprechende Vorkehrungen getroffen werden, um sicherzustellen, dass die Daten datenschutzkonform behandelt werden und nicht missbräuchlich verwendet werden.

Gemäß der Datenschutz-Grundverordnung (DSGVO) haben Betroffene (d.h. Personen, deren personenbezogene Daten verarbeitet werden) das Recht auf Löschung ihrer personenbezogenen Daten (auch "Recht auf Vergessenwerden" genannt). Dieses Recht kommt jedoch nur dann zum Tragen, wenn bestimmte Voraussetzungen erfüllt sind.

Zu diesen Voraussetzungen gehören beispielsweise:

• Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
• Der Betroffene widerruft seine Einwilligung, auf die die Verarbeitung gestützt war, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
• Der Betroffene legt Widerspruch gegen die Verarbeitung ein und es gibt keine vorrangigen berechtigten Gründe für die Verarbeitung.
• Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

Es gibt jedoch auch Ausnahmen vom Recht auf Löschung. Beispielsweise müssen personenbezogene Daten möglicherweise weiterhin verarbeitet werden, wenn dies zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. In solchen Fällen kommt das Recht auf Löschung nicht zum Tragen.

Es ist wichtig, dass Betroffene ihre Rechte kennen und auch geltend machen können, um sicherzustellen, dass ihre personenbezogenen Daten angemessen verarbeitet werden. Betroffene können beispielsweise bei der für die Verarbeitung ihrer Daten verantwortlichen Stelle (z.B. einem Unternehmen oder einer Behörde) eine Löschung ihrer Daten verlangen. Es empfiehlt sich, in solchen Fällen die Hilfe eines Datenschutzbeauftragten oder einer anderen qualifizierten Person in Anspruch zu nehmen, um sicherzustellen, dass das Recht auf Löschung korrekt geltend gemacht wird.

Eine Protokollierung einer datenschutzkonformen Löschung ist wichtig, um nachzuweisen, dass die Verarbeitung personenbezogener Daten den geltenden Datenschutzvorschriften entspricht. Eine Protokollierung hilft zudem dabei, eventuelle Fehler bei der Löschung zu erkennen und zu korrigieren.

Eine Protokollierung kann beispielsweise enthalten:

• Angaben zum Zeitpunkt der Löschung
• Angaben zu den personenbezogenen Daten, die gelöscht wurden (z.B. Art der Daten, Umfang, betroffene Personen)
• Angaben zu den Gründen für die Löschung (z.B. Widerruf der Einwilligung, Ablauf der Aufbewahrungsfrist)
• Angaben zu den Maßnahmen, die zur Löschung ergriffen wurden (z.B. Löschung auf Datenträger, Löschung von Sicherungskopien)
• Eine Protokollierung ist insbesondere dann wichtig, wenn es um die Löschung sensibler personenbezogener Daten (z.B. Gesundheitsdaten, politische Meinungen) geht. In solchen Fällen ist es besonders wichtig, sicherzustellen, dass die Daten datenschutzkonform gelöscht werden, um die Privatsphäre der betroffenen Personen zu schützen.

Es ist auch wichtig zu beachten, dass die Protokollierung der Löschung gemäß den geltenden Datenschutzvorschriften erfolgen muss. Dies bedeutet, dass die Protokollierung auf eine datenschutzkonforme Weise erstellt und aufbewahrt werden muss und dass nur diejenigen Personen Zugang zu der Protokollierung haben dürfen, die diese zu ihren jeweiligen Aufgaben benötigen.

Ein Datenschutz-Löschkonzept ist ein Dokument, das beschreibt, wie ein Unternehmen oder eine Organisation die Anforderungen der Datenschutz-Grundverordnung (DSGVO) in Bezug auf das Löschen von personenbezogenen Daten erfüllt. Ein Datenschutz-Löschkonzept enthält in der Regel Informationen darüber, wann und auf welche Weise personenbezogene Daten gelöscht werden, wie das Löschen von Daten überwacht wird und wie sichergestellt wird, dass Daten, die aufgrund von gesetzlichen oder vertraglichen Anforderungen aufbewahrt werden müssen, sicher aufbewahrt werden. Das Löschkonzept sollte auch festlegen, wie das Unternehmen oder die Organisation auf Anfragen von Personen reagiert, die ihre Rechte auf Löschung oder Einschränkung der Verarbeitung ihrer personenbezogenen Daten geltend machen. Es ist wichtig zu beachten, dass das Datenschutz-Löschkonzept nicht nur für Unternehmen und Organisationen innerhalb der EU gilt, sondern auch für Unternehmen und Organisationen außerhalb der EU, die personenbezogene Daten von EU-Bürgern verarbeiten. Daher ist es wichtig, dass Unternehmen und Organisationen, die personenbezogene Daten verarbeiten, ein DSGVO-Löschkonzept haben, um sicherzustellen, dass sie den Anforderungen der DSGVO entsprechen.

Ein Datenschutz-Löschkonzept bietet viele Vorteile, sowohl für das Unternehmen oder die Organisation als auch für die betroffenen Personen. Hier sind einige der wichtigsten Vorteile eines Datenschutz-Löschkonzepts:

1. Einhaltung gesetzlicher Anforderungen: Ein Datenschutz-Löschkonzept hilft Unternehmen und Organisationen, die Anforderungen der Datenschutz-Grundverordnung (DSGVO) und anderer geltender Datenschutzgesetze zu erfüllen, indem es beschreibt, wie personenbezogene Daten gelöscht werden.
2. Schutz der Privatsphäre: Ein Datenschutz-Löschkonzept hilft, sicherzustellen, dass personenbezogene Daten, die nicht mehr benötigt werden, sicher und vollständig gelöscht werden, um die Privatsphäre der betroffenen Personen zu schützen.
3. Vermeidung von Datenschutzverletzungen: Das Löschen von personenbezogenen Daten, die nicht mehr benötigt werden, hilft, Datenschutzverletzungen zu vermeiden, die durch den Missbrauch von Daten verursacht werden können.
4. Verbesserte Transparenz: Ein Datenschutz-Löschkonzept gibt den betroffenen Personen Klarheit darüber, wie ihre personenbezogenen Daten verarbeitet werden und wann sie gelöscht werden. Dies kann dazu beitragen, das Vertrauen der betroffenen Personen in das Unternehmen oder die Organisation zu stärken.
5. Effektiveres Datenmanagement: Ein Datenschutz-Löschkonzept hilft Unternehmen und Organisationen, ihre Daten effektiv zu verwalten, indem es festlegt, wann personenbezogene Daten gelöscht werden sollten. Das Löschen von Daten, die nicht mehr benötigt werden, kann auch dazu beitragen, den Platzbedarf von Datenspeichern zu reduzieren und die Kosten für das Datenmanagement zu senken.

Um ein Datenschutz-Löschkonzept zu erstellen, gibt es einige Schritte, die man beachten sollte:

1. Bestimmen Sie den Zweck der Datenverarbeitung: Zunächst müssen Sie festlegen, wofür die personenbezogenen Daten verarbeitet werden und ob diese Verarbeitung gesetzlich oder vertraglich erforderlich ist. Dies hilft Ihnen dabei, festzulegen, wann die Daten gelöscht werden sollten und welche Art von Daten aufbewahrt werden müssen.
2. Identifizieren Sie die betroffenen Personen: Sie müssen feststellen, welche Personen von der Datenverarbeitung betroffen sind und welche Daten von ihnen verarbeitet werden.
3. Festlegen von Löschkriterien: Legen Sie fest, wann personenbezogene Daten gelöscht werden sollten. Dies kann sich auf den Zweck der Verarbeitung, die geltenden gesetzlichen Anforderungen oder andere Faktoren beziehen.
4. Entwickeln von Verfahren zum Löschen von Daten: Entwickeln Sie Verfahren, um sicherzustellen, dass personenbezogene Daten, die für den vorgesehenen Zweck nicht mehr benötigt werden, sicher und vollständig gelöscht werden. Dies kann die Verwendung von Datenlöschsoftware oder anderen Tools umfassen.
5. Erstellen von Protokollen und Verfahren: Erstellen Sie Protokolle und Verfahren, um sicherzustellen, dass das Löschkonzept ordnungsgemäß umgesetzt wird und um das Löschen von Daten zu überwachen und zu dokumentieren.
6. Erstellen von Dokumentation und Aufzeichnungen: Erstellen Sie Aufzeichnungen und Dokumentationen, um zu zeigen, dass das Löschkonzept umgesetzt wurde und um im Falle von Audits oder Untersuchungen nachweisen zu können, dass das Unternehmen oder die Organisation den Anforderungen der Datenschutzgesetze entsprochen hat.

Es ist wichtig, dass das Datenschutz-Löschkonzept regelmäßig überprüft und aktualisiert wird, um sicherzustellen, dass es immer den geltenden gesetzlichen Anforderungen entspricht und dass die Verarbeitung von personenbezogenen Daten in Übereinstimmung mit dem Löschkonzept erfolgt.