Löschkonzept operativ umsetzen

Datenklassen und auslösende Ereignisse verbinden

Statt jede Tabelle einzeln zu betrachten, gruppiert das Team Informationen nach Zweck und Lebenszyklus. Zu jeder Klasse gehört ein fachliches Ereignis, das die Prüfung auslöst: Ende einer Leistung, Ablauf einer Anfrage oder Schließung eines Kontos. Das System muss dieses Ereignis zuverlässig kennen oder erhalten. Für abgeleitete Daten und Kopien wird festgelegt, wie sie dem Ausgangsvorgang zugeordnet werden. Ein bloßes Alter seit Erstellung kann falsch sein, wenn der relevante Zweck später begann oder endete. Unklare Zuordnungen werden als technischer Handlungsbedarf erfasst, nicht durch pauschale Annahmen verdeckt.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Regeln und Ausnahmen fachlich freigeben

Jede Regel beschreibt Datenklasse, Startpunkt, vorgesehene Dauer, Aktion und verantwortliche Stelle. Mögliche Aufbewahrungspflichten oder laufende Auseinandersetzungen werden nicht aus einer allgemeinen Liste übernommen, sondern für den konkreten Kontext fachkundig geklärt. Eine Ausnahme besitzt Grund, Umfang, Freigabe und Ablaufdatum. Dauerhafte Sammelausnahmen machen das Konzept wirkungslos. Technische Teams dokumentieren, welche Entscheidung sie umgesetzt haben, treffen aber keine verdeckte juristische Bewertung. Wenn Anforderungen widersprüchlich erscheinen, wird der betroffene Lauf angehalten und an die benannte Stelle eskaliert.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Speicherbegrenzung und Betroffenenrechte einordnen

Die DSGVO nennt in Art. 5 den Grundsatz der Speicherbegrenzung und regelt in Art. 17 ein Recht auf Löschung mit Voraussetzungen und Ausnahmen. Daraus folgt weder, dass alle Daten sofort auf Zuruf zu löschen sind, noch dass ein einmal definierter Zeitraum immer passt. Die konkrete Prüfung benötigt Zweck, Rechtsgrundlage, Pflichten und betroffene Systeme. Die technische Umsetzung sollte verschiedene Status unterscheiden können und Anfragen nachvollziehbar an zuständige Rollen übergeben. Diese Seite bietet ein Organisationsmodell, aber keine Rechtsberatung für einzelne Speicherfristen oder Ausnahmetatbestände.

Beleggrundlage: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) · Info 6: Die DSGVO in der Bundesverwaltung

Löschweg über alle Kopien entwerfen

Der Ablauf umfasst Primärdatenbank, Suchindex, Dokumentenspeicher, Schnittstellenwarteschlangen, Analyseablagen und regelmäßige Exporte. Für jedes Ziel steht, ob gelöscht, anonymisiert, gesperrt oder nach einem getrennten Zyklus überschrieben wird. Anonymisierung gilt nur, wenn eine Re-Identifizierung im konkreten Umfeld hinreichend ausgeschlossen ist; bloßes Entfernen des Namens reicht nicht automatisch. Bei Sicherungen wird beschrieben, wann Daten durch Rotation entfallen und wie eine Wiederherstellung verhindert, dass bereits erledigte Löschungen dauerhaft zurückkehren. Nicht erreichbare Systeme führen zu einem sichtbaren Fehlerzustand statt zu einem falschen Erfolgsvermerk.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Automatisierten Lauf sicher und wiederholbar bauen

Vor einer Löschung ermittelt ein Vorschaulauf betroffene Mengen und Ausnahmen, ohne Daten zu verändern. Große Mengen werden begrenzt verarbeitet, damit Betrieb und Kontrolle möglich bleiben. Der Job ist wiederholbar: Ein erneuter Lauf erzeugt keinen widersprüchlichen Zustand. Pro Lauf werden Regelversion, Zeitraum, Anzahl je Ergebnisstatus und technische Fehler protokolliert; personenbezogene Rohdaten gehören nicht unnötig in den Bericht. Für Fehlkonfigurationen existiert ein Stoppmechanismus. Eine Wiederherstellung kann vor endgültiger Löschung in eng begrenzten Fällen sinnvoll sein, darf aber nicht zu einer unkontrollierten Schattenaufbewahrung führen.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Mit synthetischen und kontrollierten Fällen testen

Der Testkatalog enthält einen löschbaren Datensatz, einen noch benötigten Datensatz, eine befristete Ausnahme, eine verknüpfte Kopie und einen simulierten Systemfehler. Zuerst laufen synthetische Daten in einer sicheren Umgebung. Vor der ersten produktiven Ausführung wird der Vorschauumfang fachlich geprüft und ein begrenzter Lauf beobachtet. Danach kontrolliert das Team nicht nur die Primäransicht, sondern auch Suchergebnisse und vorgesehene Folgesysteme. Ergebnisse gelten für die getestete Regel- und Systemversion. Neue Speicherorte, Exporte oder geänderte Zwecke müssen in Konzept und Test aufgenommen werden. Nach dem Lauf wird außerdem geprüft, ob Berichte und Zähler die Ausführung korrekt abbilden. Eine Nullmeldung kann bedeuten, dass nichts fällig war, aber ebenso eine fehlerhafte Auswahl; der Kontrollschritt muss beide Möglichkeiten unterscheidbar machen.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Im Zusammenhang weiterlesen

• Personenbezogene Daten minimieren — Datenminimierung wird operativ, wenn jedes Feld und jede Kopie einen beschriebenen Zweck, Empfänger und Lebenszyklus besitzt.
• Veraltete Dokumente sicher ausmustern — Ausmustern beendet die operative Gültigkeit eines Dokuments; Aufbewahrung, Zugriff und Löschung werden anschließend nach eigenen Gründen entschieden.
• Datenquelle und Dateneigner festlegen — Eine belastbare Datenverantwortung verbindet die maßgebliche Quelle mit Definition, Qualitätsentscheidung und Eskalationsweg.