„Wir löschen nie etwas“ — warum das teuer werden kann

Warum ist „alles aufheben“ ein Problem?

Aus zwei Gründen, und der zweite wiegt im Alltag schwerer als der erste.

Rechtlich: Die DSGVO kennt den Grundsatz der Speicherbegrenzung. Personenbezogene Daten dürfen nur so lange in einer Form aufbewahrt werden, die eine Identifizierung erlaubt, wie es für den Zweck nötig ist. Eine Bewerbung von 2019 hat keinen Zweck mehr. Sie liegt trotzdem in fast jedem Betrieb noch im Ordner Bewerbungen_alt.

Praktisch: Jede Datei, die Sie nicht mehr brauchen, ist im Ernstfall trotzdem Teil des Schadens. Wer nie löscht, vergrößert bei jedem Datenabfluss die Menge dessen, was abgeflossen ist — und damit den Umfang der Benachrichtigungen, der Meldung und des Ärgers. Genau das war beim Vorfall bei der Zertifizierungsgesellschaft GUTcert zu sehen: Dort lagen Kundenunterlagen in der internen Projektablage, weil sie nach Projektende nie herausgenommen wurden (640 GB beim Zertifizierer).

Löschen ist also keine Pflichtübung für den Datenschutz, sondern Schadensbegrenzung auf Vorrat.

Aber wir müssen doch zehn Jahre aufbewahren?

Das ist der Einwand, der fast jedes Gespräch dazu beendet — und er beruht auf einem Missverständnis. Handels- und steuerrechtliche Aufbewahrungsfristen sind Mindestfristen, keine Höchstfristen. Sie sagen: So lange müssen Sie das aufheben. Sie sagen nicht: So lange dürfen Sie alles aufheben.

Und sie gelten nur für bestimmte Unterlagen — Rechnungen, Buchungsbelege, Jahresabschlüsse, Handelsbriefe. Nicht für den Bewerbungsordner, nicht für E-Mail-Verteiler, nicht für die Fotos der Weihnachtsfeier 2017 und nicht für die Besucherliste vom letzten Jahr.

Der scheinbare Widerspruch löst sich auf, sobald man die beiden Fragen trennt: Muss das aufbewahrt werden? Und: Darf das darüber hinaus aufbewahrt werden? Für den weitaus größten Teil der Daten in einem Mittelstandsnetz lautet die Antwort auf die erste Frage schlicht nein.

Was muss ein Löschkonzept enthalten?

Weniger, als der Name vermuten lässt. Die DSGVO verlangt nirgends ein Dokument mit dieser Überschrift. Sie verlangt, dass Sie die Speicherbegrenzung einhalten und das im Rahmen der Rechenschaftspflicht belegen können.

Was dafür trägt:

• Datenarten statt Dateien. Nicht jede Datei einzeln, sondern Gruppen: Bewerbungen, Personalakten, Kundenstammdaten, Angebote, Rechnungen, Protokolle, Zutrittsbuchungen, Videoaufnahmen.
• Je Datenart: Zweck, Rechtsgrundlage, Frist, Auslöser. Der Auslöser ist der Punkt, der meist fehlt — läuft die Frist ab Erstellung, ab Vertragsende oder ab der letzten Bestellung?
• Wer löscht, und wie wird es festgehalten? Ein Konzept ohne benannte Person wird nicht umgesetzt.
• Die Ausnahmen. Laufende Rechtsstreitigkeiten, steuerliche Prüfungen, offene Gewährleistung — dort wird nicht gelöscht, und das gehört dokumentiert.

Für einen Betrieb mit 30 Beschäftigten passt das erfahrungsgemäß auf zwei bis drei Seiten. Wer bei zwanzig Seiten landet, hat Dateien statt Datenarten aufgeschrieben.

Wo die Altlast wirklich liegt

Bevor man eine Tabelle baut, lohnt der Blick in die drei Ablagen, in denen sich in fast jedem Betrieb dasselbe angesammelt hat:

• Bewerbungen. Die klassische Fundstelle. Übliche Praxis ist die Löschung einige Monate nach Abschluss des Verfahrens — in der Realität liegen die Ordner seit Jahren da, oft mit Lebenslauf, Foto und Zeugnissen.
• E-Mail-Postfächer. Das größte unsortierte Personendaten-Archiv des Unternehmens, meist mit Postfächern ausgeschiedener Beschäftigter darin. Wie man da Ordnung hineinbekommt, steht in Outlook organisieren.
• Projekt- und Kundenablagen. Nach Projektende bleibt alles liegen — einschließlich der Unterlagen, die der Kunde beigesteuert hat und die eigentlich ihm gehören.

Dazu kommen die Systeme, die ganz von selbst protokollieren: Zutrittsbuchungen und Videoaufnahmen. Für die gelten eigene, kürzere Maßstäbe — beschrieben in Zutrittsprotokolle und DSGVO.

Wie setzt man das technisch um?

Der ehrliche Teil zuerst: Vollautomatisch geht es selten. Wer eine Lösung sucht, die im ganzen Netz selbsttätig das Richtige löscht, wird enttäuscht — und sollte es auch nicht wollen, denn ein Automat, der zu viel löscht, richtet mehr Schaden an als ein volles Archiv.

Was funktioniert, ist die Kombination aus drei Dingen:

• Aufbewahrungsrichtlinien dort, wo das System sie kann. In Microsoft 365 lassen sich Fristen für Postfächer und Ablagen setzen, die dann ohne Zutun greifen. Das deckt den größten Brocken ab.
• Struktur statt Suchlauf. Wenn Projektablagen nach Jahr und Projekt getrennt sind, ist Löschen ein Ordner — sonst ist es ein Forschungsauftrag.
• Ein wiederkehrender Termin. Einmal im Quartal eine Stunde, in der die Ausnahmen durchgegangen und die fälligen Ordner geleert werden. Das schlägt jede Automatik, die niemand pflegt.

Und eine Warnung, die oft untergeht: Backups sind kein Löschproblem. Daten aus einer Sicherung herauszulöschen ist technisch kaum sinnvoll und wird von den Aufsichtsbehörden auch nicht verlangt — entscheidend ist, dass sie beim Zurückspielen nicht wieder in den produktiven Bestand wandern.

Was sollten Sie als Nächstes tun?

Fangen Sie nicht mit dem Dokument an, sondern mit einer Zahl. Schauen Sie in den Bewerbungsordner und stellen Sie fest, wie alt die älteste Bewerbung darin ist. Diese eine Zahl überzeugt in der Geschäftsführung mehr als jeder Verweis auf Artikel 5.

Danach in dieser Reihenfolge: die drei genannten Ablagen aufräumen, die Fristen für die häufigsten fünf Datenarten festhalten, und erst dann das Konzept schreiben — es fällt deutlich kürzer aus, wenn man vorher weiß, was tatsächlich da ist.

Die technische Seite — Aufbewahrungsrichtlinien einrichten, Ablagen sortieren, den Quartalstermin aufsetzen — übernehmen wir im Rahmen der laufenden Betreuung. Die rechtliche Bewertung der Fristen gehört zu Ihrem Datenschutzbeauftragten; wir sorgen dafür, dass sich das, was er festlegt, im System auch abbilden lässt.