Löschfristen im laufenden Betrieb umsetzen

In vielen Häusern gibt es ein Löschkonzept. Es führt Klassen und Fristen auf und wurde von jemandem geschrieben, der sein Fach versteht. Im laufenden Betrieb passiert danach wenig.

Das hat handfeste Gründe. Die Fachverfahren sehen ein Löschen oft gar nicht vor, weil sie auf Aufbewahrung gebaut wurden, und dieselben Daten liegen mehrfach: im führenden System, im Auswertungsbestand, im Archiv. Wer löschen will, braucht für jedes dieser Ziele einen eigenen Weg und einen Menschen, der bestätigt, dass es der richtige ist.

Also löscht in der Praxis ein Administrator auf Zuruf, einmal im Jahr, mit einem Skript, das jemand vor Jahren geschrieben hat. Bei einer Prüfung ist das die schwierigere Auskunft: Man kann das Konzept vorlegen, aber nicht dessen Vollzug.

Aus einem Satz wie „Kundendaten werden nach Ablauf der Aufbewahrungsfrist gelöscht“ wird im Löschmanager eine Regel mit einer Datenart, einem Zielsystem, einem Startereignis, einer Frist und einer Umsetzung. Erst in dieser Form lässt sich die Frist rechnen, und erst dann zeigt sich, welche Angabe im Konzept fehlt — meistens ist es das Startereignis.

Die Arbeit beginnt deshalb nicht bei der Technik. Zuerst werden die Datenarten zu Klassen mit gleicher Regelfrist gebündelt und mit dem Ereignis versehen, ab dem die Frist läuft: Vertragsende, letzte Zahlung, Abschluss des Vorgangs. Erst danach steht je System fest, wie gelöscht wird und was gesperrt oder anonymisiert wird, wo ein Löschen ausscheidet.

Die fachliche Vorarbeit dazu steht im Löschkonzept. Wer Datenarten und Regelfristen ohnehin in Data Agenda führt, übernimmt sie von dort, statt sie ein zweites Mal zu erfassen.

Nach jedem Lauf steht fest, welche Regel gegriffen hat, welcher Bestand betroffen war, wie viele Datensätze entfernt wurden und wo eine Ausnahme greift. Ausnahmen sind der interessante Teil: ein laufendes Verfahren, eine steuerliche Aufbewahrungspflicht, eine offene Betroffenenanfrage. Solche Fälle legt das System zur Freigabe vor und hält fest, wer sie erteilt hat.

Wo ein Löschen technisch nicht möglich ist, wird gesperrt oder anonymisiert, und auch das steht im Protokoll. Ein Bestand, der aus einem Altsystem nicht sauber zu entfernen ist, bleibt damit ein bekanntes Problem mit einem Datum daran statt einer Lücke, die erst im Audit auffällt. Welche Frist gilt, legen verantwortliche Stelle, Datenschutzbeauftragter und Rechtsabteilung fest. Unser Teil beginnt danach und besteht darin, dass die Festlegung ausgeführt wird und ein halbes Jahr später noch belegbar ist.

Aufnahme der Datenarten

Löschklassen mit Regelfrist und Startereignis

Abgleich mit Aufbewahrungspflichten

Verzeichnis der Bestände, die nicht gelöscht werden dürfen

Umsetzung je Zielsystem

Regel samt Sperren oder Anonymisieren, wo Löschen ausscheidet

Ausführung der Regeln

Lauf mit Angabe von Regel, Bestand und Zahl der Datensätze

Behandlung der Ausnahmen

Vorlage zur Freigabe mit Vermerk, wer sie erteilt hat

Protokollierung

Nachweis der Ausführung für Prüfung und Audit