Löschfristenkonzept

Das Löschfristenkonzept ist die strukturierte, dokumentierte Festlegung von Aufbewahrungs- und Löschfristen je Datenart und Verarbeitungszweck. Es übersetzt den Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO in konkrete Regeln: Für jede Kategorie personenbezogener Daten wird bestimmt, auf welcher Rechtsgrundlage sie verarbeitet wird, wie lange sie benötigt wird und wann sie zu löschen oder zu anonymisieren ist. Damit wird die Löschpflicht aus einer abstrakten Vorgabe zu einem nachvollziehbaren, prüfbaren Prozess.Inhaltlich verknüpft ein gutes Löschfristenkonzept jede Datenart mit dem Beginn der Frist (etwa Vertragsende, letzter Geschäftskontakt oder Ablauf eines Kalenderjahres), der Fristdauer und dem auslösenden Ereignis. Es muss gesetzliche Aufbewahrungspflichten berücksichtigen, insbesondere die handels- und steuerrechtlichen Fristen nach § 257 HGB und § 147 AO (sechs bis zehn Jahre), und diese gegen die datenschutzrechtliche Löschpflicht abwägen. Liegt eine Aufbewahrungspflicht vor, werden die Daten in der Regel gesperrt beziehungsweise in der Verarbeitung eingeschränkt und erst nach Fristablauf endgültig gelöscht.Das Löschfristenkonzept ist Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und sollte mit dem Verzeichnis von Verarbeitungstätigkeiten verzahnt sein, das nach Art. 30 Abs. 1 lit. f DSGVO ohnehin die vorgesehenen Löschfristen ausweisen soll. In der Praxis wird es durch ein Löschkonzept ergänzt, das die organisatorischen und technischen Maßnahmen zur tatsächlichen Umsetzung der Löschung beschreibt. Die DIN 66398 bietet hierfür ein anerkanntes Vorgehensmodell, das Datenarten zu Löschklassen mit einheitlichen Regelfristen bündelt.