Kundendaten für immer speichern? So gelingt ein praxistaugliches Löschkonzept

Kundendaten sind für Onlinehändler*innen unverzichtbar. Name, Anschrift, Kontaktdaten, Bestellhistorie oder Zahlungsinformationen werden für Bestellungen, Kundenservice und Buchhaltung benötigt. Doch was passiert mit diesen Daten, wenn die Bestellung längst abgeschlossen ist?

Braucht wirklich jedes Unternehmen ein Löschkonzept? Und was gehört dort eigentlich hinein? Wir erklären dir in diesem Rechtstipp der Woche, worauf du in deinem Unternehmen achten solltest.

1. Warum dürfen Kundendaten nicht für immer aufbewahrt werden?

Auch Art. 17 DSGVO spielt eine zentrale Rolle bei der Aufbewahrung von personenbezogenen Daten. Betroffene können unter den dort genannten Voraussetzungen die Löschung ihrer Daten verlangen.

Für dich als Onlinehändler*in bedeutet das, dass eine mögliche spätere Nutzung keine unbegrenzte Speicherung rechtfertigt.

2. Kein vorschnelles Löschen

Die DSGVO verlangt nicht, sämtliche Kundendaten unmittelbar nach Abschluss einer Bestellung zu löschen. Ebenso wenig dürfen Daten jedoch unbegrenzt gespeichert werden.

Die richtige Löschfrist hängt immer vom jeweiligen Verarbeitungszweck, möglichen gesetzlichen Aufbewahrungspflichten sowie weiteren rechtlichen Anforderungen des Einzelfalls ab. Aufbewahrungspflichten können sich beispielsweise aus dem Handels- oder Steuerrecht ergeben und einer sofortigen Löschung einzelner Daten entgegenstehen.

Die Versandadresse beispielsweise wird für die Zustellung der Ware benötigt. Nach Abschluss der Bestellung entfällt dieser ursprüngliche Zweck grundsätzlich. Enthalten dieselben Unterlagen jedoch abrechnungsrelevante Informationen, können gesetzliche Aufbewahrungspflichten einer sofortigen Löschung der Daten entgegenstehen.

Die Herausforderung für Unternehmen besteht deshalb darin, unterschiedliche Datenarten unterschiedlich zu behandeln.

Einen Überblick über typische Aufbewahrungs- und Löschfristen sowie Hilfestellungen für die praktische Umsetzung finden unsere Kund*innen in unserer Löschrichtlinie.

3. Wie genau sieht ein Löschkonzept aus?

Die DSGVO schreibt kein Dokument mit der Überschrift „Löschkonzept“ und auch keine bestimmte Form hierfür ausdrücklich vor. Die verschiedenen Lösch-, Speicherbegrenzungs- und Dokumentationspflichten müssen Unternehmen aber trotzdem praktisch umsetzen.

Gerade bei einer Vielzahl von Daten, Systemen und Verarbeitungsvorgängen bietet sich deshalb ein strukturiertes Löschkonzept an. Es kann zudem helfen, die Einhaltung der datenschutzrechtlichen Vorgaben im Rahmen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachvollziehbar zu machen.

Ein solches Konzept beantwortet im Kern vier Fragen:

• Welche personenbezogenen Daten werden im Unternehmen gespeichert?
• Warum werden diese Daten gespeichert?
• Wann müssen und dürfen sie gelöscht werden?
• Wer sorgt dafür, dass die Löschung tatsächlich erfolgt?

Mit der Beantwortung dieser 4 Kernfragen wird aus der abstrakten Vorgabe ein konkreter Prozess.

4. Wie erstellst du ein Löschkonzept?

Ein Löschkonzept muss zu deinem Unternehmen, deinen Systemen und deinen Datenflüssen passen. Eine Universallösung gibt es nicht. Sinnvoll ist ein schrittweises Vorgehen:

• Verschaffe dir einen Überblick über deine Daten

Ermittle, welche personenbezogenen Daten wo gespeichert werden. Denke neben Shopsystem und Warenwirtschaft auch an CRM-, Newsletter- und Support-Tools, lokale Ablagen, Cloud-Dienste sowie externe Dienstleister*innen.

Das Verzeichnis der Verarbeitungstätigkeiten ist ein guter Ausgangspunkt, sofern es die tatsächlichen Datenflüsse zutreffend abbildet.

• Ordne die Daten nach Zwecken und Kategorien

Im nächsten Schritt sollten die Daten strukturiert werden.

Entscheidend ist dabei insbesondere der jeweilige Verarbeitungszweck. Denn mit dem Wegfall des Zwecks entsteht regelmäßig die Frage, ob die Daten weiterhin benötigt werden oder gelöscht werden müssen.

Vergleichbare Verarbeitungssituationen kannst du zu Löschklassen zusammenfassen. So vermeidest du Einzelentscheidungen für jeden Datensatz und schaffst einheitliche Regeln.

• Lege Löschregeln fest

Anschließend geht es um die zentrale Frage, wann personenbezogene Daten gelöscht werden müssen.

Hierfür solltest du für die jeweiligen Datenkategorien nachvollziehbare Löschregeln beziehungsweise Löschfristen definieren.

Dabei ist insbesondere zu prüfen,

1.  wann der ursprüngliche Verarbeitungszweck entfällt,
2.  ob gesetzliche Aufbewahrungspflichten bestehen,
3.  ob andere Gründe einer Löschung vorübergehend entgegenstehen und
4.  ab welchem Ereignis die jeweilige Frist zu laufen beginnt.

Eine Löschfrist muss dabei nicht zwingend an ein festes Kalenderdatum geknüpft sein. Sie kann beispielsweise auch an Ereignisse wie die Beendigung einer Vertragsbeziehung anknüpfen.

• Sorge dafür, dass tatsächlich gelöscht wird

Das beste Löschkonzept hilft wenig, wenn es nicht umgesetzt wird.

Deshalb müssen auch Verantwortlichkeiten und technische Abläufe geklärt werden. Lege fest, ob Löschungen manuell, automatisiert oder teilautomatisiert erfolgen. Prüfe auch, ob deine Systeme die Regeln technisch abbilden können. Gerade hierbei sollte die IT frühzeitig eingebunden werden.

Ebenso wichtig ist die Dokumentation. Unternehmen sollten die Umsetzung ihrer Löschprozesse angemessen dokumentieren, damit sie die Einhaltung ihrer datenschutzrechtlichen Pflichten nachvollziehbar nachweisen können.

• Setze außerdem einen klaren Prozess für Löschanfragen von Betroffenen auf. Wer nimmt die Anfrage entgegen? Wie wird die Identität geprüft? Welche Systeme werden durchsucht und wie wird die Entscheidung fristgerecht kommuniziert?

5. Löschen bedeutet mehr als die Kundenakte im Shopsystem zu entfernen

Eine weitere Herausforderung liegt darin, dass personenbezogene Daten häufig an mehreren Stellen gleichzeitig vorhanden sind.

Wer einen Kundendatensatz löscht, entfernt damit nicht automatisch alle zugehörigen personenbezogenen Daten. Ein Löschkonzept sollte daher auch Kopien, weitere Speicherorte sowie Backups berücksichtigen und dokumentieren, wie mit personenbezogenen Daten in Sicherungssystemen umgegangen wird.

Dabei sollte geregelt werden, wie sichergestellt wird, dass personenbezogene Daten nach Ablauf der vorgesehenen Aufbewahrungsdauer nicht mehr produktiv genutzt werden und spätestens mit dem Überschreiben oder Löschen der Sicherungen entfernt werden.

Auch eingesetzte Dienstleister*innen dürfen dabei nicht vergessen werden. Werden Kundendaten im Rahmen einer Auftragsverarbeitung verarbeitet, sollte geklärt sein, wie Löschpflichten dort praktisch umgesetzt werden.

6. Wer ist für das Löschkonzept verantwortlich?

Für die Umsetzung eines Löschkonzepts ist in einem Unternehmen primär die Geschäftsführung verantwortlich, da sie die gesetzliche Gesamtverantwortung für die Einhaltung des Datenschutzrechts trägt. Allerdings braucht es für ein wirksames Löschkonzept das Wissen aus verschiedenen Fachbereichen, der IT, den Fachabteilungen, den Datenschutzbeauftragten etc.

Die Erstellung eines Löschkonzepts ist deshalb besser als unternehmensweites Projekt zu verstehen.

Auch nach der erstmaligen Erstellung ist die Arbeit nicht abgeschlossen. Neue Systeme, neue Prozesse und neue Datenkategorien machen eine regelmäßige Überprüfung und Aktualisierung erforderlich. Ein Löschkonzept ist also ein immer fortlaufender Prozess.

Unser Tipp

Warte mit dem Löschen nicht erst auf ein Löschverlangen deiner Kund*innen.

Prüfe regelmäßig, welche personenbezogenen Daten in deinen Systemen liegen, für welche Zwecke du sie noch benötigst und welche Lösch- oder Aufbewahrungsfristen gelten.

Ein gutes Löschkonzept muss kein hundertseitiges Handbuch sein. Entscheidend ist, dass die Regeln verständlich, nachvollziehbar und vor allem praktisch umsetzbar sind. Hilfreich kann die Aufteilung in ein übergeordnetes Konzept und konkrete Arbeitsanweisungen für einzelne Systeme oder Abteilungen sein.

Darüber hinaus sollte regelmäßig evaluiert werden, ob die vorgesehenen Löschprozesse tatsächlich funktionieren und dokumentiert werden. Denn nur was in der Praxis umgesetzt wird, hilft im Fall einer Prüfung auch weiter.