DSGVO: So müssen Lösch-Begehren befolgt werden

Bei der Einhaltung der DSGVO sind Unternehmen verpflichtet, die Rechte der Betroffenen ernst zu nehmen. Wenn jemand ein Lösch-Begehren stellt, muss dieses sorgfältig und fristgerecht bearbeitet werden. Der Prozess beginnt mit der Verifikation der Identität des Antragstellers und endet mit dem Nachweis des vollständigen Löschvorgangs. Hier erfährst Du, welche Schritte notwendig sind, um gesetzeskonform zu handeln.

Lösch-Begehren fristgerecht bearbeiten

Es ist wichtig, dass Du Lösch-Begehren fristgerecht bearbeitest, um den Anforderungen der DSGVO zu entsprechen. Fristen spielen hierbei eine entscheidende Rolle. Sobald ein Antrag auf Löschung eingegangen ist, hast Du in der Regel einen Monat Zeit, diesem nachzukommen. In Ausnahmefällen kann diese Frist um zwei weitere Monate verlängert werden, wenn dies erforderlich und gerechtfertigt ist.

Um sicherzustellen, dass die Fristen eingehalten werden, ist es ratsam, Prozesse und Systeme einzurichten, die Dich dabei unterstützen. Ein gut durchdachter Workflow hilft Dir, Anfragen effizient zu verwalten und keine Deadlines zu verpassen. Versäumst Du die gesetzliche Frist ohne ausreichende Begründung, können Bußgelder verhängt werden, was unbedingt vermieden werden sollte.

Eine zeitnahe Bestätigung der Anfrage an die betroffene Person schafft Vertrauen und Transparenz. Dabei solltest Du die betroffene Person informieren, ob die Daten vollständig gelöscht wurden oder falls nicht, aus welchen Gründen die Löschung verweigert wird.

Zeitmanagement und klare Prozesse sind demnach essenziell, um Lösch-Begehren im vorgesehenen Zeitraum korrekt zu bearbeiten. Verlässlichkeit in diesen Prozessen zeigt auch Dein Engagement für Datenschutz gegenüber Deinen Nutzern und stärkt somit deren Vertrauen in Deine Organisation.

Zusätzlicher Lesestoff: Dringender Kompetenzbedarf für die Nutzung von generativer KI bei unstrukturierten Daten

Verifikation der Identität des Antragsstellers

Um sicherzustellen, dass das Lösch-Begehren von einer autorisierten Person stammt, ist es wichtig, zunächst die Identität des Antragsstellers zu verifizieren. Dies kann durch verschiedene Methoden erfolgen, wie zum Beispiel das Einholen eines Ausweisdokuments oder anderer authentifizierter Nachweise.

Der Datenschutz verlangt, dass Du vertrauliche Informationen nur dann weitergibst, wenn eindeutig bewiesen werden kann, dass der Antrag tatsächlich von dem Betroffenen kommt. Hierbei solltest Du die eingereichten Dokumente sorgfältig prüfen und darauf achten, dass keine Fehler oder Inkonsistenzen vorliegen.

Falls Zweifel an der Echtheit der Dokumente bestehen, darfst Du auch zusätzliche Bestätigungen einfordern. Dabei muss jedoch auch sichergestellt sein, dass sämtliche Schritte zur Verifikation gemäß den Vorgaben der DSGVO (Datenschutz-Grundverordnung) durchgeführt werden.

Sobald die Identität bestätigt ist, kannst Du mit dem eigentlichen Prozess der Datenlöschung beginnen. Dabei bleibt der Schutz personenbezogener Daten jederzeit gewährleistet. So wird verhindert, dass Unbefugte Zugriff auf personenbezogene Daten erlangen.

Datenschutz ist Vertrauenssache und Vertrauen setzt Transparenz und Integrität voraus. – Viviane Reding, ehemalige Vizepräsidentin der Europäischen Kommission

Eindeutige Löschrechtsgrundlage überprüfen

Um ein Lösch-Begehren korrekt zu bearbeiten, musst Du zunächst sicherstellen, dass eine eindeutige Rechtsgrundlage für die Löschung der Daten vorliegt. Dies ist notwendig, um sowohl gesetzlichen Anforderungen als auch dem Schutz personenbezogener Daten gerecht zu werden.

Zuerst solltest Du prüfen, ob einer der im Artikel 17 DSGVO aufgeführten Gründe vorliegt. Zum Beispiel könnte es sein, dass die Daten für die ursprünglichen Zwecke nicht mehr erforderlich sind oder die betroffene Person ihre Zustimmung widerruft, auf deren Grundlage die Verarbeitung basiert.

Des Weiteren ist zu überprüfen, ob mögliche Ausnahmen vorliegen, wie z.B. wenn die Verarbeitung zur Erfüllung rechtlicher Verpflichtungen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Diese Aspekte sollten umfassend dokumentiert werden, um Transparenz und Nachvollziehbarkeit des Prozesses zu gewährleisten.

Neben der Prüfung durch den Datenschutzbeauftragten sollte auch das Einverständnis anderer relevanter Abteilungen eingeholt werden, insbesondere von der IT-Abteilung und der Rechtsabteilung. Damit kann sichergestellt werden, dass alle internen und externen Regelungen eingehalten werden.

Eine klare Dokumentation und ordentliches Vorgehen helfen Dir auch dabei, eventuelle Rückfragen von Aufsichtsbehörden schnell und transparent beantworten zu können.

Betroffene Datensätze identifizieren und auflisten

Um ein Lösch-Begehren ordnungsgemäß zu bearbeiten, ist es wichtig, die betroffenen Datensätze präzise zu identifizieren und aufzulisten. Zunächst sollten alle Systeme und Datenbanken durchsucht werden, in denen persönliche Daten des Antragstellers gespeichert sind. Dies kann eine Vielzahl von Quellen umfassen, etwa CRM-Systeme, E-Mail-Server oder auch lokale Dateien.

Wichtig hierbei ist, keine relevanten Datenquellen zu übersehen. Jede Ressource sollte sorgfältig überprüft werden, um sicherzustellen, dass alle persönlichen Informationen identifiziert werden. Dies umfasst sowohl digitale als auch eventuell papierbasierte Aufzeichnungen.

Eine gute Methode zur Ermittlung aller betroffenen Datensätze ist das Anlegen einer detaillierten Liste. Diese Liste sollte Datenfelder und Kategorien beinhalten wie Name, E-Mail-Adresse, Telefonnummer und jede andere Information, die zur Identifikation verwendet werden könnte. So wird gewährleistet, dass kein Detail unbeachtet bleibt.

Sobald alle relevanten Datensätze identifiziert sind, sollten sie kategorisiert und für die weitere Verarbeitung vorbereitet werden. Eine systematische Vorgehensweise erleichtert später die eigentliche Löschung und verhindert Fehler.

Am Ende dieses Schrittes habt ihr nicht nur Transparenz darüber geschaffen, welche Daten wo gespeichert sind, sondern auch einen wichtigen Grundstein für die folgenden Schritte im Löschprozess gelegt. Diese Sorgfalt stellt sicher, dass das Lösch-Begehren vollständig und korrekt abgewickelt werden kann.

Vertiefende Einblicke: Drei will mit Vollautomatisierung der Digital-Marke up3 Mobilfunk-Diskonter in Pension schicken

Dokumentation des Löschprozesses sicherstellen

Die Dokumentation des Löschprozesses ist ein wesentlicher Bestandteil der DSGVO-Compliance und stellt sicher, dass die Prozesse transparent und nachvollziehbar sind. Es ist wichtig, jede Phase der Löschung sorgfältig zu dokumentieren, um Nachweise gegenüber den Aufsichtsbehörden erbringen zu können.

Beginne mit der Erstellung einer Checkliste, die alle erforderlichen Schritte für den Löschprozess umfasst. Diese Liste sollte regelmäßig aktualisiert werden, um sicherzustellen, dass sie immer konform mit aktuellen gesetzlichen Vorgaben bleibt.

Während des eigentlichen Prozesses notiere genaue Zeitpunkte, Datenbereiche, die betroffen sind, und beteiligte Mitarbeitende. Es könnte nützlich sein, spezielle Software oder Tools einzusetzen, die dabei helfen, sämtliche Aktionen lückenlos zu erfassen.

Achte darauf, dass die Dokumentation leicht zugänglich und verständlich ist, insbesondere bei möglichen Audits durch die Datenschutzbehörden. Alle getroffenen Maßnahmen sollten protokolliert und an einem sicheren Ort aufbewahrt werden.

Nach Abschluss des Löschprozesses ist es ratsam, die gesamte Dokumentation noch einmal zu überprüfen und gegebenenfalls an zentraler Stelle abzulegen. Auch eine regelmäßige Schulung Deiner Teammitglieder in Bezug auf die Dokumentation des Löschprozesses kann sich als vorteilhaft erweisen, um Missverständnisse und Fehler zu vermeiden.

Weiterführendes Material: Digitalisierung im Einzelhandel: Digitale Preisschilder

Beteiligte Datenempfänger über Löschung informieren

Beteiligte Datenempfänger müssen unverzüglich über die Löschung der betreffenden Daten informiert werden. Dieser Schritt ist ein wesentlicher Bestandteil des Löschvorgangs gemäß DSGVO. Falls Du personenbezogene Daten an Dritte weitergegeben hast, sind diese ebenfalls verpflichtet, die erhaltenen Daten zu löschen.

Um sicherzustellen, dass alle relevanten Parteien informiert werden, solltest Du zunächst eine Liste aller Empfänger erstellen, denen die Daten mitgeteilt wurden. Dies kann Dienstleister, Geschäftspartner oder andere Institutionen umfassen.

Nachdem die betroffenen Empfänger identifiziert wurden, sende ihnen schriftliche Benachrichtigungen. Diese sollten klar den Grund für die Löschung der Daten und das Datum des ursprünglichen Antrags enthalten. Es ist sinnvoll, eine Quittung oder Bestätigung von den Empfängern anzufordern, um die Einhaltung der Löschanfrage nachzuweisen.

Eine ordnungsgemäße Dokumentation dieses Schritts hilft Dir nicht nur bei der Nachverfolgung, sondern dient auch als Nachweis für mögliche Prüfungen oder Kontrollen durch Datenschutzbehörden. Achte darauf, alle Kommunikation sorgfältig aufzubewahren.

Sicherstellung der vollständigen Löschung

Um die vollständige Löschung sicherzustellen, ist es wichtig, dass Du gründlich und methodisch vorgehst. Zunächst solltest Du alle relevanten Datenquellen durchsuchen, um sicherzustellen, dass keine personenbezogenen Informationen übersehen werden. Dies kann beispielsweise Server, Datenbanken und Backups umfassen.

Es ist nicht genug, die Daten einfach aus einem System zu löschen; Du musst auch überprüfen, ob die entsprechenden Datensätze in allen Beteiligten-Systemen entfernt wurden. Hierzu könnten Systeme gehören, die von Dritten verwaltet werden, wie zum Beispiel Cloud-Dienste oder externe Dienstleister.

Nach dem Durchführen der eigentlichen Löschvorgänge ist eine abschließende Überprüfung essenziell. Dokumentiere den gesamten Prozess und halte fest, welche Daten gelöscht wurden und wann dies erfolgte. Diese Dokumentation dient als Beweis für die korrekte Durchführung der Löschbegehren und kann bei zukünftigen Audits oder Anfragen hilfreich sein.

Vergiss nicht, eventuell erstellte temporäre Dateien oder Caches ebenfalls zu entfernen. Jede noch so kleine Spur von personenbezogenen Daten muss beseitigt werden, um die Anforderungen der DSGVO vollständig zu erfüllen.

Nachweis über Löschvorgang aufbewahren

Um sicherzustellen, dass Du den Löschvorgang ordnungsgemäß dokumentiert hast, ist es unerlässlich, einen Nachweis über das gesamte Verfahren aufzubewahren. Dieser Nachweis umfasst nicht nur die Bestätigung der gelöschten Daten, sondern auch alle relevanten Korrespondenzen und Schritte, die unternommen wurden.

Du solltest sicherstellen, dass sämtliches Kommunikation material, wie z.B. E-Mails oder Briefe bezüglich des Löschbegehrens, sicher archiviert wird. Eine gründliche Dokumentation kann im Falle von Überprüfungen durch Datenschutzbehörden hilfreich sein und stellt sicher, dass Du immer belegen kannst, dass den gesetzlichen Anforderungen genügt wurde.

Es ist auch ratsam, ein internes Protokoll zu führen, welches jeden Schritt des Löschprozesses detailliert beschreibt. Dieses Protokoll sollte Informationen darüber enthalten, wer für die Durchführung der Löschung verantwortlich war, welche Systeme betroffen waren und wann die Löschung abgeschlossen wurde. So bist Du auf der sicheren Seite, falls später Fragen zum Ablauf auftauchen sollten.

Darüber hinaus ist es nützlich, regelmäßige Überprüfungen Deiner Archivierungsprozesse durchzuführen, um stets konform mit aktuellen gesetzlichen Vorschriften zu bleiben. Ein gut gepflegter und zugänglicher Nachweis kann sich als wertvoll erweisen, wenn es um Compliance und Transparenz geht.

FAQ: Häufig gestellte Fragen

Welche Informationen benötigt ein Lösch-Begehren?

Ein Lösch-Begehren sollte den vollständigen Namen und gegebenenfalls die Kundennummer des Antragstellers, eine genaue Bezeichnung der zu löschenden Daten und eine nachvollziehbare Begründung beinhalten. Optional kann auch die Art der Datenverarbeitung oder der entsprechende Service, in dem die Daten verwendet wurden, angegeben werden.

Was passiert, wenn das Unternehmen die Löschung nicht innerhalb der Frist abschließen kann?

Sollte das Unternehmen nicht in der Lage sein, die Löschung innerhalb der vorgeschriebenen Frist abzuschließen, muss es den Antragsteller innerhalb eines Monats nach Eingang des Antrags schriftlich über die Verzögerung informieren und die Gründe hierfür darlegen. Dabei muss auch die Dauer der Verlängerung angegeben werden, die zwei weitere Monate nicht überschreiten sollte.

Welche Dokumente können zur Verifikation der Identität verwendet werden?

Zur Verifikation der Identität können verschiedene Dokumente verwendet werden, wie zum Beispiel ein gültiger Personalausweis, Reisepass oder Führerschein. Gegebenenfalls können auch Kopien von Versorgungsrechnungen oder Kontoauszügen als zusätzliche Bestätigung herangezogen werden.

Wie können Unternehmen sicherstellen, dass auch Daten in Backups gelöscht werden?

Unternehmen sollten sicherstellen, dass ihre Backup-Prozesse DSGVO-konform sind und geeignete Methoden zur Löschung von Daten aus Backups beinhalten. Das bedeutet, dass personenbezogene Daten entweder aus den Backups entfernt oder diese durch das regelmäßige Ersetzen der alten Backups vollständig gelöscht werden. Ein entsprechender Prozess sollte dokumentiert und regelmäßig überprüft werden.

Was sollte ich tun, wenn ich feststelle, dass meine Daten trotz Lösch-Begehren nicht gelöscht wurden?

Wenn Ihre Daten trotz eines gültigen Lösch-Begehrens nicht gelöscht wurden, sollten Sie zunächst das Unternehmen kontaktieren und um Klärung bitten. Falls das Unternehmen nicht innerhalb einer angemessenen Frist reagiert oder die Löschung verweigert, können Sie sich an die zuständige Datenschutzbehörde wenden und Beschwerde einreichen.

Müssen Löschanträge von Mitarbeitern oder ehemaligen Mitarbeitern anders behandelt werden?

Löschanträge von Mitarbeitern oder ehemaligen Mitarbeitern müssen grundsätzlich ebenso behandelt werden wie Anträge von Externen. Allerdings können rechtliche Anforderungen wie arbeitsrechtliche Aufbewahrungsfristen dazu führen, dass bestimmte Daten nicht sofort gelöscht werden dürfen. Diese Besonderheiten sollten im Rahmen der Bearbeitung berücksichtigt und dem Antragsteller transparent kommuniziert werden.

Nachweise: