Zum Hauptinhalt springen

Löschkonzept mit Löschklassen aufbauen (Teil 13 der Reihe DSGVO-Dokumentation)

Teil 13 der Video-Reihe "DSGVO-Dokumentation mit preeco": ein Löschkonzept anlegen, eine Löschklasse mit Startzeitpunkt und Fristen aus dem Verzeichnis bilden und weitere Löschklassen von der KI vorschlagen lassen, die Lea vor dem Anlegen prüft.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video legen Sie in preeco | datenschutz ein Löschkonzept an und ordnen Ihre Daten in Löschklassen. Wann löschen wir was? Die Fristen stehen im Verzeichnis. Gelöscht wird aber nach Datenart und System. Eine Löschklasse fasst Daten mit derselben Frist und demselben Startzeitpunkt zusammen. Die Löschregel legt fest, wer sie wann und wie löscht. Das Löschkonzept finden Sie im Menü unter Löschkonzept. Mit Neu legen Sie es an. Liegt schon ein Konzept als Dokument vor, laden Sie es hoch. Kaltenbach führt ein Löschkonzept für das ganze Unternehmen. Die Detailansicht hat zwei Abschnitte: Löschklassen und Löschregeln. Die erste Löschklasse legt Lea von Hand an, für die Bewerbungsunterlagen. Der Startzeitpunkt sagt, ab wann die Frist läuft. Hier ab dem Ende des Bewerbungsverfahrens. Zur Wahl stehen die Erhebung, das Ende des Vorgangs und das Ende der Beziehung zur betroffenen Person. Den Startzeitpunkt vergisst man leicht. Eine Frist ab Eingang der Bewerbung endet viel früher als dieselbe Frist ab der Absage. Dann die Verbindung zum Verzeichnis: Die Unterlagen gehören zum Bewerbermanagement. Mit der Datenübernahme kommen die Datenkategorien aus der Verarbeitungstätigkeit. Gespeichert sind die Unterlagen in der Personalwolke. Auch die Frist übernimmt Lea aus dem Verzeichnis, wo sie schon steht. Unter Normangaben halten Sie fest, worauf die Löschpflicht beruht und welche Ausnahmen es gibt. Die erste Löschklasse steht im Konzept. Öffnen Sie die Löschklasse, sehen Sie, was übernommen wurde: die Datenkategorien und die Regelfristen aus dem Bewerbermanagement. Für den Rest nimmt Lea die KI zu Hilfe. Die KI schlägt Löschklassen für alles vor, was noch in keiner Klasse steckt. Unter Umfang grenzt Lea die Auswahl auf vier Verarbeitungstätigkeiten ein. In die Hinweise schreibt sie, was die KI wissen sollte: Alle Rechnungen liegen im ERP und gehören in eine Klasse. Jeder Vorschlag hat einen Status. Anwendbare sind schon ausgewählt, die übrigen öffnen Sie einzeln. Lea öffnet die Videoaufnahmen. Oben steht, warum der Vorschlag geprüft werden muss: Die Frist gibt es im Konzept noch nicht. Startzeitpunkt ist die Erhebung, die Regelfrist kommt aus dem Verzeichnis. Für die Löschregel schlägt die KI eine neue Standardlöschfrist von drei Tagen vor. Mit Vorschlag übernehmen steht er auf geprüft. Die Klassen für Rechnungen, Werkstattaufträge und Lohnkonten prüft Lea genauso. Die KI liefert Entwürfe. Fristen und Normangaben prüft ein Mensch, im Zweifel mit dem Datenschutzbeauftragten. Kundenkonto, Warenkorb und die übrigen nimmt sich Lea später vor. Ausgewählt bleiben die vier geprüften Klassen. Erst mit Ausgewählte Vorschläge anlegen entstehen die Einträge. Jetzt hat das Konzept Löschklassen für Rechnungen, Werkstattaufträge, Lohnkonten und Videoaufnahmen. Mit den vier Klassen sind auch ihre Löschregeln entstanden, jede mit einer Standardlöschfrist. Jede Löschklasse zeigt, welche Verarbeitungstätigkeiten und Systeme dazugehören. Bilden Sie lieber wenige Löschklassen mit klarer Frist und klarem Startzeitpunkt. Eine eigene Klasse für jede Verarbeitungstätigkeit wird schnell unübersichtlich. Im nächsten Teil bekommen die übrigen Löschklassen ihre Löschregeln, mit Frist und Durchführer, und die KI prüft das Konzept auf Lücken.

Wann löscht Kaltenbach welche Daten? Die Fristen stehen schon im Verzeichnis der Verarbeitungstätigkeiten, gelöscht wird aber nach Datenart und System. In diesem Teil legt die Velomanufaktur Kaltenbach in preeco | datenschutz ein Löschkonzept an. Die erste Löschklasse, für die Bewerbungsunterlagen, bildet Lea Brandner von Hand. Weitere lässt sie von der KI vorschlagen, prüft die Vorschläge und legt die passenden an. Dieser Artikel ist Teil 13 der Video-Reihe "DSGVO-Dokumentation mit preeco".

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
  • Ihre Verarbeitungstätigkeiten sind angelegt, im Feld "Regelfristen für die Löschung" stehen die Fristen (Teil 5 und 6 der Reihe).
  • Für die KI-Vorschläge ist in Ihrem Team die KI-Integration eingerichtet.

Worum es geht

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für ihren Zweck nötig ist (Art. 5 Abs. 1 lit. e DSGVO), danach sind sie zu löschen (Art. 17 DSGVO). Ein Löschkonzept ordnet das in zwei Ebenen. Eine Löschklasse fasst Daten mit derselben Frist und demselben Startzeitpunkt zusammen. Eine Löschregel legt fest, wer sie wann und wie löscht.

Löschkonzept anlegen

  1. Öffnen Sie im Menü Löschkonzept und dort Löschkonzepte.
  2. Klicken Sie auf Neu und dann auf Löschkonzept erstellen. Liegt Ihr Konzept schon als Dokument vor, wählen Sie Datei hochladen.
  3. Geben Sie die Bezeichnung ein und wählen Sie unter Zugehörigkeit die Organisation. Kaltenbach wählt die GmbH und schaltet Alle ein, damit das Konzept für alle Bereiche gilt.
  4. Klicken Sie auf Erstellen. Die Detailansicht hat die Abschnitte Löschklassen und Löschregeln.

Die erste Löschklasse von Hand

  1. Klicken Sie im Abschnitt Löschklassen auf Neu und geben Sie die Bezeichnung ein, bei Kaltenbach "Bewerbungsunterlagen".
  2. Wählen Sie den Startzeitpunkt: Erhebung, Ende des Vorgangs oder Ende der Beziehung zum Betroffenen. Für Bewerbungsunterlagen passt das Ende des Vorgangs, also des Bewerbungsverfahrens.
  3. Wählen Sie unter Verarbeitungstätigkeiten die zugehörige Verarbeitung, hier das Bewerbermanagement.
  4. Haken Sie bei den Datenkategorien die Datenübernahme an. Die Kategorien kommen dann aus der Verarbeitungstätigkeit.
  5. Wählen Sie unter Datenverarbeitungssysteme das System, in dem die Daten liegen, bei Kaltenbach die Personalwolke.
  6. Haken Sie unter Regelfristen für die Löschung "Daten aus Verarbeitungstätigkeiten übernehmen" an. So nutzt die Löschklasse die Frist aus dem Verzeichnis.
  7. Halten Sie unter Normangaben zur Löschpflicht- und evtl. Ausnahmen fest, worauf die Löschpflicht beruht. Kaltenbach wählt den Textbaustein zu Art. 17 Abs. 1 lit. a DSGVO.
  8. Klicken Sie auf Erstellen.

Die übernommenen Daten erscheinen nicht im Formular, sondern in der Löschklasse selbst. Öffnen Sie die Löschklasse aus der Liste, sehen Sie die Datenkategorien und die Regelfristen des Bewerbermanagements.

Den Startzeitpunkt vergisst man leicht. Eine Frist ab Eingang der Bewerbung endet viel früher als dieselbe Frist ab der Absage.

Löschklassen von der KI vorschlagen lassen

  1. Klicken Sie auf KI-Aktionen und dann auf Löschklassen und Löschregeln vorschlagen.
  2. Unter Umfang ist "Alle ohne Löschklasse" vorgewählt, also alles, was noch in keiner Klasse steckt. Mit Auswahl treffen grenzen Sie das ein. Kaltenbach wählt die Bestellabwicklung, die Werkstattaufträge, die Lohnabrechnung und die Videoüberwachung der Stores, bei den Systemen "Keine".
  3. Schalten Sie Zusätzliche Hinweise ein und schreiben Sie, was die KI wissen sollte. Kaltenbach notiert, dass alle Rechnungen gemeinsam im ERP liegen und in eine Löschklasse gehören.
  4. Klicken Sie auf Weiter. Nach etwa einer Minute erscheinen die Vorschläge, jede Löschklasse mit ihrer Löschregel.

Vorschläge prüfen und anlegen

Jeder Vorschlag hat einen Status. Anwendbar heißt, er kann so angelegt werden, und er ist schon ausgewählt. Einzeln prüfen heißt, Sie öffnen ihn vorher, etwa weil die Löschregel eine Standardlöschfrist braucht, die es im Konzept noch nicht gibt.

  1. Klicken Sie auf einen Vorschlag. Oben stehen die Hinweise, warum er geprüft werden muss, darunter die Löschklasse mit Startzeitpunkt, Verknüpfungen und Regelfrist. Bei den Videoaufnahmen ist der Startzeitpunkt die Erhebung, die Regelfrist kommt aus dem Verzeichnis.
  2. Klicken Sie auf Weiter. Im zweiten Schritt steht die Löschregel. Für die Videoaufnahmen schlägt die KI eine neue Standardlöschfrist von drei Tagen vor.
  3. Klicken Sie auf Vorschlag übernehmen. Der Vorschlag steht danach auf Geprüft und ist ausgewählt. Kaltenbach prüft die Vorschläge für Rechnungen, Werkstattaufträge und Lohnkonten genauso.
  4. Wählen Sie ab, was Sie jetzt nicht anlegen wollen. Lea nimmt sich Kundenkonto, Warenkorb und die übrigen Vorschläge später vor.
  5. Klicken Sie auf Ausgewählte Vorschläge anlegen. Erst jetzt entstehen die Löschklassen, ihre Löschregeln und die neuen Standardlöschfristen.

Die KI liefert Entwürfe. Fristen und Normangaben prüft ein Mensch, im Zweifel mit dem Datenschutzbeauftragten.

Das Ergebnis

Das Konzept hat jetzt Löschklassen für Bewerbungsunterlagen, Rechnungen und Buchungsbelege, Werkstattaufträge, Lohnkonten und Videoaufnahmen. Die vier Klassen aus den Vorschlägen haben je eine Löschregel mit Standardlöschfrist. Öffnen Sie eine Löschklasse, sehen Sie, welche Verarbeitungstätigkeiten und Systeme dazugehören. Die Werkstattaufträge etwa liegen im Werkstattplaner und im ERP.

So machen es Praktiker

Bilden Sie lieber wenige Löschklassen mit klarer Frist und klarem Startzeitpunkt. Eine eigene Klasse für jede Verarbeitungstätigkeit wird schnell unübersichtlich.

Nächster Schritt

Im nächsten Teil bekommen die übrigen Löschklassen ihre Löschregeln, mit Frist und Durchführer, und die KI prüft das Konzept auf Lücken.

Alle Teile der Reihe

← Teil 12: Schutzbedarf ermitteln · Teil 14: Löschregeln und Durchführer →

  1. Auftakt: DSGVO-Dokumentation aufbauen
  2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
  3. Teil 2: Systeme erfassen
  4. Teil 3: Datenfelder und Datenflüsse
  5. Teil 4: TOMs nach Art. 32
  6. Teil 5: Die erste Verarbeitungstätigkeit
  7. Teil 6: Verzeichnis mit KI und Team füllen
  8. Teil 7: Prüfen, freigeben, vorlegen
  9. Teil 8: Informationspflichten nach Art. 13 und 14
  10. Teil 9: Veröffentlichen
  11. Teil 10: Fehlende AV-Verträge erkennen
  12. Teil 11: AV-Vertrag erstellen und unterzeichnen
  13. Teil 12: Schutzbedarf ermitteln
  14. Teil 13: Löschkonzept und Löschklassen (dieser Artikel)
  15. Teil 14: Löschregeln und Durchführer
  16. Teil 15: DSFA: Kontext und Risiken
  17. Teil 16: DSFA: Maßnahmen und Bericht
  18. Teil 17: Drittlandtransfer prüfen
  19. Teil 18: Gemeinsame Verantwortlichkeit
  20. Teil 19: Kaltenbach als Auftragsverarbeiter
  21. Teil 20: Betroffenenanfrage bearbeiten
  22. Teil 21: Vorfall erfassen und melden
  23. Teil 22: Aus einem Vorfall lernen
  24. Teil 23: Einwilligungen einholen
  25. Teil 24: Datenschutzschulung durchführen
  26. Teil 25: Cookie-Banner und Datenschutzerklärung
  27. Teil 26: Wiedervorlagen, Aufgaben, Workflows
  28. Teil 27: Anfrage der Aufsichtsbehörde

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Unterlagen für eine Anfrage der Aufsichtsbehörde zusammenstellen (Teil 27 der Reihe DSGVO-Dokumentation) Wiedervorlagen, Aufgaben und Status-Workflows im Alltag (Teil 26 der Reihe DSGVO-Dokumentation) Cookie-Banner und Datenschutzerklärung der Website einrichten (Teil 25 der Reihe DSGVO-Dokumentation) Die jährliche Datenschutzschulung durchführen (Teil 24 der Reihe DSGVO-Dokumentation)

Passende Glossarbegriffe

Speicherbegrenzung Löschkonzept
Zurück zu den Kurzanleitungen