Hilfestellungen für Verantwortliche bei der Festlegung von Löschfristen

Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (DS-GVO (EU) 2016/679) als unmittelbar geltendes Recht anzuwenden. Artikel 17 DS-GVO regelt das Recht auf Löschung personenbezogener Daten (pbD).

Daneben kommen besondere Rechtsvorschriften zur Anwendung, sofern diese Einschränkungen des Rechts auf Löschung enthalten (s. Art. 23 DS-GVO, § 1 Abs. 6 Niedersächsisches Datenschutzgesetz vom 16.05.2018, NDSG, Nds. GVBl. S. 66).

Der Verantwortliche hat

• im Verzeichnis der Verarbeitungstätigkeiten, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien aufzunehmen (Artikel 30 Abs. 1 lit. f) DS-GVO),

• den von der Datenverarbeitung betroffenen Personen im Rahmen seiner Informationspflicht die Dauer, für die die pbD gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer mitzuteilen (Artikel 13 Abs. 2 lit. a) und Artikel 14 Abs. 2 lit. a) DS-GVO) und

• geeignete technisch-organisatorische Maßnahmen zu treffen, die sicherstellen, dass z. B. durch Voreinstellungen pbD nur solange verarbeitet werden, wie dies erforderlich ist.

  Die Erstellung eines Löschkonzeptes wird daher regelmäßig notwendig sein, um der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO nachzukommen.

Im öffentlichen Bereich in Niedersachsen sind pbD grundsätzlich unverzüglich zu löschen, sofern die Datenverarbeitung nicht mehr notwendig (erforderlich) ist. Dabei sind stets die bestehenden archivrechtlichen Regelungen zu beachten (s. z. B. § 3 und § 7 Abs. 3 Nds. Archivgesetz - NArchG ).

Die Gründe für eine unverzügliche Löschung von pbD sind in Artikel 17 Abs. 1 lit. a) bis f) DS-GVO aufgelistet. Diese beziehen sich sowohl

• auf eine Verpflichtung des Verantwortlichen zur (antragsunabhängigen) Prüfung und Umsetzung (Löschkonzept) als auch

• auf das Verlangen von Betroffenen in Bezug auf sie selbst betreffende Daten.

Ausnahmen hierzu sind in Artikel 17 Abs. 3 DS-GVO genannt. Zu den weiteren Informationspflichten bei öffentlich gemachten Daten wird auf Art. 17 Abs. 2 DS-GVO verwiesen, zu den sog. „Nachberichtspflichten“ s. Art. 19 DS-GVO.

Weitere Hinweise (Kurzpapier Nr. 11 „Recht auf Löschung/Recht auf Vergessenwerden“ der Konferenz der Datenschutzbehörden des Bundes und der Länder) finden Sie hier:

Link: https://www.lfd.niedersachsen.de/startseite/dsgvo/anwendung_dsgvo_kurzpapiere

Hinweise zur Vernichtung von Informationsträgern:

Als gelöscht gelten Daten, wenn sie unkenntlich gemacht wurden. Konkrete Aussagen über eine gesicherte Vernichtung von Informationsträgern enthält die DIN 66399 Teile 1, 2, 3. Diese Norm unterscheidet fünf Sicherheitsstufen bei der Vernichtung und berücksichtigt bei der Festlegung den Grad der Schutzwürdigkeit von Informationen, die physikalischen Eigenschaften von Informationsträgern und die zur Anwendung kommenden technischen Verfahren.