Wie legen Sie eine DSGVO-konforme Aufbewahrungsrichtlinie für Dokumente fest?

Eine Aufbewahrungsrichtlinie bedeutet eine schriftlich festgelegte Frist für jeden Dokumenttyp und eine Löschung, die tatsächlich stattfindet.

Răspuns scurt

Sie erstellen ein Inventar der Dokumenttypen, die personenbezogene Daten enthalten.
Für jeden Typ legen Sie eine Aufbewahrungsfrist und deren Grundlage fest: eine gesetzliche Pflicht oder ein dokumentiertes berechtigtes Interesse.
Wenn die Frist abläuft, wird das Dokument automatisch gelöscht oder anonymisiert — nicht „wenn sich jemand daran erinnert".
Jede Löschung wird protokolliert, damit Sie die Einhaltung des Grundsatzes der Speicherbegrenzung nachweisen können.

Verordnung (EU) 2016/679, Art. 5 Abs. 1 lit. e — Speicherbegrenzung: personenbezogene Daten werden nur so lange aufbewahrt, wie es für den Zweck notwendig ist.
Verordnung (EU) 2016/679, Art. 17 — das Recht auf Löschung; es gilt nicht, wenn die Aufbewahrung durch eine gesetzliche Pflicht vorgeschrieben ist.
§ 147 AO und § 257 HGB: 10 Jahre für Bücher, Inventare und Jahresabschlüsse, 8 Jahre für Buchungsbelege und Rechnungen, 6 Jahre für die übrigen Handels- und Geschäftsbriefe — diese Fristen gehen einem Löschantrag vor.
§ 41 Abs. 1 EStG: Das Lohnkonto bleibt bis zum Ablauf des sechsten Kalenderjahres nach der zuletzt eingetragenen Lohnzahlung erhalten; § 28f SGB IV verlangt die Entgeltunterlagen bis zum Ablauf des auf die letzte Prüfung folgenden Kalenderjahres.
Das Löschkonzept ist das Dokument, in dem diese Fristen tatsächlich festgehalten werden: pro Dokumenttyp eine Frist, ein Startereignis und eine Rechtsgrundlage.

Lebensläufe abgelehnter Bewerber: eine vom Unternehmen festgelegte kurze Frist, häufig 6–12 Monate, mit vorheriger Information des Bewerbers.
Ein ehemaliger Mitarbeiter verlangt die Löschung seiner Daten: Die Akte kann nicht vollständig gelöscht werden, denn das Lohnkonto läuft noch sechs Kalenderjahre und die Entgeltunterlagen bleiben bis nach der nächsten Betriebsprüfung.
Das Zutrittsprotokoll für den Firmensitz: eine Frist von einigen Monaten, danach automatische Löschung ohne manuellen Eingriff.
Ein Unternehmen mit 300 Dokumenttypen reduziert die Liste auf 42 Kategorien mit jeweils eigener Frist und automatisiert den Rest.

Die Richtlinie existiert auf dem Papier, aber es wurde noch nie tatsächlich etwas gelöscht.
Jeder Löschantrag wird akzeptiert, auch für Dokumente mit einer verbindlichen gesetzlichen Frist.
Die Sicherungskopien enthalten weiterhin Daten, die im Hauptsystem bereits gelöscht wurden.
Es wird kein Löschnachweis aufbewahrt, sodass die Konformität nicht nachgewiesen werden kann.
Die Fristen werden „aus Vorsicht" für alles auf 30 Jahre festgelegt, was gegen den Grundsatz der Speicherbegrenzung verstößt.

Für jeden Dokumenttyp konfigurierte Aufbewahrungsfrist, mit der jeweiligen Grundlage vermerkt.
Warnung vor Ablauf, damit die Löschung von einer verantwortlichen Person überprüft wird.
Automatische Löschung oder Anonymisierung bei Fristablauf, auch für angehängte Dateien.
Das Löschregister bleibt als Nachweis für die Aufsichtsbehörde erhalten.