Löschkonzept für kleine Unternehmen

Die Landesbeauftragte für den Datenschutz Sachsen-Anhalt hat einen Leitfaden veröffentlicht, mit dem kleine Unternehmen ein Löschkonzept nach der DS-GVO aufbauen können (Stand: September 2026). Auf 17 Seiten führt er Schritt für Schritt von der Bestandsaufnahme bis zur Bearbeitung von Löschanfragen.

Vom VVT zum Löschregelkatalog

Der Leitfaden knüpft an die Speicherbegrenzung (Art. 5 Abs. 1 lit. e DS-GVO) und das Recht auf Löschung (Art. 17 DS-GVO) an. Ausgangspunkt ist das Verzeichnis von Verarbeitungstätigkeiten. Darauf folgt eine Übersicht aller Systeme und Speicherorte. Neben Datenbanken und Backups nennt der Leitfaden ausdrücklich E-Mail-Postfächer, Excel-Listen, Testdatenbanken, Messenger, mobile Geräte, Cloudspeicher, Papierakten und die „Schatten-IT“. Kern des Konzepts ist ein Löschregelkatalog. Er legt für jede Datenkategorie fest: Zweck und Rechtsgrundlage, Aufbewahrungs- und Löschfrist, Speicherort, Zuständigkeit und die Art des Nachweises. Gelten mehrere Aufbewahrungsregeln, ist die längste maßgeblich. Ist die Frist abgelaufen, muss unverzüglich gelöscht werden. Eine kurze organisatorische Nachfrist, etwa für Löschläufe, hält die Behörde für vertretbar, wenn sie begründet ist.

Papierkorb reicht nicht, Backups brauchen eine Sperrliste

Bei der Umsetzung stellt der Leitfaden klar: Dateien in den Papierkorb zu verschieben, ist keine Löschung. Für die Aktenvernichtung empfiehlt er mindestens Sicherheitsstufe P-3 nach DIN 66399, für Personal- oder Gesundheitsdaten P-4. Backups sollen regelmäßig überschrieben und nur zur Wiederherstellung genutzt werden. Wer ein System aus einem Backup wiederherstellt, muss mit einer „Sperrliste“ dafür sorgen, dass bereits gelöschte Daten nicht wieder auftauchen. Jede Löschung ist zu protokollieren, ohne dabei die personenbezogenen Daten selbst zu dokumentieren.

Löschanfragen in acht Schritten

Für Anträge Betroffener beschreibt der Leitfaden acht Schritte: erfassen, Zuständigkeit festlegen, Identität prüfen, Anspruch prüfen, gegebenenfalls ablehnen und sperren, löschen und bestätigen, dokumentieren und andere Empfänger informieren (Art. 19 DS-GVO). Die Frist beträgt grundsätzlich einen Monat (Art. 12 Abs. 3 DS-GVO).

Praxishinweis

Der Leitfaden richtet sich an Kleinunternehmen, eignet sich aber auch für Datenschutzbeauftragte als Checkliste. Gerade die Hinweise zu Backups, Schatten-IT und zur jährlichen Überprüfung des Konzepts sollten auch in größeren Organisationen geprüft werden. Vorlagen, unter anderem zum VVT und zu Löschfristen, sind im Leitfaden verlinkt.

(Foto: TensorSpark – stock.adobe.com)