Dokumentation von manuellen Löschläufen. Praxistipps mit vielen Beispielen.

1. Warum muss die Löschung von personenbezogenen Daten protokolliert werden?

In der DSGVO wird nicht direkt gefordert, dass Löschläufe dokumentiert werden. Die DSGVO gibt aber die sogenannte Rechenschaftspflicht vor. Diese besagt, dass der Verantwortliche nachweisen muss, dass er die Grundsätze der Verarbeitung von personenbezogenen Daten einhält. Und zu den Grundsätzen der Verarbeitung gehört auch die Löschung von personenbezogenen Daten: Der Verantwortliche muss die »Speicherbegrenzung« umsetzen. Daraus ergibt sich, dass er zeigen können muss, dass er regelmäßig löscht. Wie kann er dies zeigen? In dem er die Löschungen dokumentiert.

Die Durchführung einer Löschmaßnahme bezeichnen wir als (manuellen) Löschlauf. Die Nachweise dazu werden daher in der Dokumentation zu manuellen Löschläufen oder hier im Weiteren auch kurz »Dokumentation« geführt.

2. Welche Inhalte sollte die Dokumentation manueller Löschläufe enthalten?

Die Antwort auf diese Frage ergibt sich, wenn die Zwecke geklärt sind, die die Dokumentation erfüllen soll: Im Rahmen des manuellen Löschlaufes soll nachvollziehbar sein, ob die dafür verantwortliche Person den Löschlauf durchgeführt hat. Wenn beim Löschen Fehler gemacht wurden, will man den- oder diejenige ansprechen können, z.B. um besser zu qualifizieren. Für interne Audits und bei Prüfungen durch die Aufsichtsbehörde soll deutlich werden, dass die Löschung regelmäßig durchgeführt und die Löschregel eingehalten wurde. Da Löschläufe immer auf einem bestimmten Datenbestand ausgeführt werden, muss auch der Datenbestand erkennbar sein.

Um diese Ziele zu erfüllen, sollten in der Dokumentation folgende Informationen enthalten sein:

• der Datenbestand, in dem gelöscht wurde.
  Der Datenbestand, auf den sich eine Löschmaßnahme bezieht, ist z.B. in einem Anwendungssystem gespeichert oder in Dateien in einem Verzeichnis im Dateisystem abgelegt. Aus der Angabe zum »Datenbestand« sollte sich immer – zumindest implizit – erschließen, worauf der Löschlauf ausgeführt wurde.
• das Datum des Löschlaufs
• der/die Löschende, und ggf. weitere Beteiligte, wenn dies nach der Löschmaßnahme gefordert ist.

In der Dokumentation sollen keine personenbezogenen Informationen aus den gelöschten Daten enthalten sein:

Mit einem solchen Eintrag wäre immer noch nachvollziehbar, welche Kandidaten sich beworben hatten. Für diese Verarbeitung wäre dies allerdings nur zulässig, wenn es noch einen zulässigen Zweck gäbe – was nicht der Fall ist, wenn die Löschregel richtig bestimmt ist.

Personenbezogene Daten des Löschenden sollen aber durchaus enthalten sein, denn sonst kann nicht nachvollzogen werden, wer den Löschlauf durchgeführt hat. Für sehr sensible Daten, im Fall von komplizierten Löschmaßnahmen oder wenn sichergestellt werden soll, dass bei der Löschung keine Fehler unterlaufen, könnte auch ein Vier-Augen-Prinzip vorgesehen werden. Dann würden beide an der Löschung beteiligten Mitarbeiter den Eintrag in der Dokumentation gegenzeichnen.

3. Wie lange sollte die Dokumentation aufbewahrt werden

In der Dokumentation zu manuellen Löschläufen sind personenbezogene Daten der Löschenden enthalten. Daher dürfen auch diese Protokolle nur so lange gespeichert werden, wie sie für den vorgesehenen Zweck (Rechenschaftspflicht) benötigt werden. Bleibt man in der Systematik der DIN 66398, würde dazu eine Datenart im Regelkatalog definiert.

Gesetzliche Aufbewahrungsfristen für die Dokumentation des manuellen Löschlaufs sind uns keine bekannt. Ein fehlender Löschlauf könnte von der Aufsichtsbehörde aber als Ordnungswidrigkeit bewertet und geahndet werden. Will man eine solche Rüge ausschließen, müsste man Löschläufe bis zur Verjährung der Ordnungswidrigkeit nachweisen. Die längste Verjährungsfrist des § 31 des Gesetzes über Ordnungswidrigkeiten beträgt 3 Jahre.

4. Wie werden die manuellen Löschläufe dokumentiert?

Hier kommt es darauf an, welche Dokumentationsmittel Sie nutzen können oder wollen. Halten Sie den bürokratischen Aufwand niedrig, wichtig ist primär die Nachvollziehbarkeit. Folgende Kriterien können eine Rolle spielen:

• Nachweissicherheit: Genügt es, dass der Verantwortliche für den Löschlauf einen einfachen Eintrag macht oder muss sichergestellt werden, dass das Datum des Eintrags und alle weiteren Angaben unverfälscht aufbewahrt werden? Ist die Dokumentation ohne Probleme verfügbar, auch wenn beispielsweise ein Mitarbeiter krank oder ausgeschieden ist?
• Integration in Abläufe: Über welche Mittel wird die Erinnerung an Löschläufe gesteuert und soll dort auch direkt die Ausführung dokumentiert werden?
• Abdeckung der Löschläufe und Eskalation: Wie soll in der Organisationseinheit anhand der Dokumentation feststellen werden, ob alle Löschläufe einer Periode ausgeführt wurden und an wen werden die nicht ausgeführten Löschläufe eskaliert?
• Löschen der Dokumentation zu Löschläufen: Wenn die Dokumentation zu Löschläufen personenbezogen ist und beispielsweise nach der obigen Löschregel gelöscht werden soll: Können die löschfälligen Einträge leicht separiert und gelöscht werden?

Im Folgenden skizzieren wir drei Möglichkeiten:

Variante Papier-Liste:

Die Löschläufe werden in einer Liste aufgeführt. Die Ausführenden tragen das Datum des Löschlaufs ein und unterschreiben.

Diese Vorgehensweise könnte sich für ein kleines Unternehmen mit wenigen Beständen an personenbezogenen Daten eignen. Die Variante hat eine hohe Nachweissicherheit.

Variante elektronische Liste:

In einer elektronischen Liste werden alle Datenbestände mit den jeweiligen Löschvorgängen für ein Jahr eingetragen. Wenn im laufenden Jahr neue Datenbestände identifiziert werden, kann die Liste einfach ergänzt werden. Für das Folgejahr wird eine neue, leere Liste erzeugt.

Die Nachweissicherheit dieser Variante ist vergleichsweise niedrig. Allerdings bietet sie eine einfache, gemeinsame Dokumentationsmöglichkeit, wenn mehrere Mitarbeiter unterschiedliche Datenbestände löschen, aber an einer Stelle dokumentieren sollen. Die Variante kann sich beispielsweise für die Dokumentation in einem Team oder einer Abteilung eignen.

Variante Datenbank:

In einer Datenbank werden alle Datenbestände geführt, die der Regellöschung unterliegen. Dazu ist jeweils die Löschperiode und die E-Mail-Adresse des Löschverantwortlichen hinterlegt. Dadurch wird eine zentrale Erinnerungsfunktion und Dokumentation möglich.