Aufbewahrung und Loeschung Checklist fuer Gruender und Compliance Leads
Kurzantwort
Das praktische Ziel von Aufbewahrung und Loeschung ist nicht nur die Auslegung einer Anforderung. Es geht darum, daraus einen wiederholbaren Workflow mit Ownern, dokumentierten Entscheidungen und belastbaren Nachweisen zu machen.
Wen das betrifft: SaaS-Gruender, Compliance Leads, Security Teams, Operations Manager und Engineering Leads
Was jetzt zu tun ist
- Listen Sie die Workflows, Systeme oder Vendor-Beziehungen auf, in denen Aufbewahrung und Loeschung bereits die taegliche Arbeit betreffen.
- Definieren Sie Owner, Trigger, Entscheidungspunkt und Mindestnachweis, damit der Workflow konsistent laeuft.
- Dokumentieren Sie die erste praktische Aenderung, die vor dem naechsten Audit, Customer Review oder Produktlaunch Unklarheit reduziert.
Aufbewahrung und Loeschung Checklist fuer Gruender und Compliance Leads
Aufbewahrung und Loeschung funktionieren am besten als Checklist. Das Team sollte wissen, welche personenbezogenen Daten existieren, welcher Zweck die Aufbewahrung rechtfertigt, welches Ereignis die Frist startet, welches System Loeschung oder Anonymisierung ausfuehrt, welche Ausnahmen gelten und welcher Nachweis die Umsetzung belegt.
Unter der DSGVO sollten personenbezogene Daten nicht laenger identifizierbar gespeichert werden, als es notwendig ist. Die Europaeische Kommission erwartet kurze Speicherfristen, beruecksichtigt aber gesetzliche Pflichten und verlangt Fristen fuer Loeschung oder Review.
1. Datenkategorien klaeren
Listen Sie Kundendaten, Nutzerprofile, Authentifizierungsdaten, Support-Tickets, Billing Records, Produktanalytics, Security Logs, Marketingdaten, HR-Daten, Vendor-Kontakte, Exporte, Warehouses und Backups. Stoppen Sie nicht beim offiziellen System of Record. Risiko steckt oft in Kopien, Anhaengen, Logs und Vendor-Umgebungen.
2. Zweck und Trigger festlegen
Jede Kategorie braucht einen aktuellen Zweck. Wird sie fuer Produktbetrieb, Vertrag, Steuern, Billing, Fraud Prevention, Security, Audit oder Legal Claims gebraucht? Kann der Zweck mit anonymisierten Daten erreicht werden? Wenn kein Zweck bleibt, fuehrt die Checklist zu Loeschung, Anonymisierung, Restriction oder Ablauf.
Definieren Sie den Trigger: Account-Loeschung, Vertragsende, Workspace Closure, finale Rechnung, Ticket-Schluss, Lead-Inaktivitaet, Bewerberabsage, Offboarding, Incident Closure, Legal Hold Release, Vendor Termination oder Backup-Rotation.
3. Aktion und Owner definieren
"Loeschen" ist zu ungenau. Die Aktion kann Hard Delete, Soft Delete mit Purge, Anonymisierung, Pseudonymisierung, Suppression Record, eingeschraenktes Archiv, Vendor Deletion, Backup Expiry oder dokumentierte Ausnahme sein.
Jede Regel braucht Policy Owner, System Owner, Execution Owner, Exception Approver, Legal oder Privacy Reviewer, Evidence Owner und gegebenenfalls Customer Communication Owner. Engineering kann ausfuehren, aber Legal, Finance, Security, Support und Vendor Management entscheiden oft Scope und Ausnahmen.
4. Ausnahmen dokumentieren
Typische Ausnahmen sind Steuern, Accounting, Payroll, Warranty, Vertragsdurchfuehrung, Billing Disputes, Fraud Prevention, Security Monitoring, Incident Response, Legal Holds, Litigation, Insurance, Audit Evidence und regulatorische Reports.
Notieren Sie Datenumfang, Grund, Approver, Startdatum, Review-Datum, Restriction und Release-Prozess. Eine Ausnahme ohne Review wird sonst schnell zu unbegrenzter Aufbewahrung.
5. Erasure Requests separat behandeln
Routine-Retention ist nicht dasselbe wie ein Recht-auf-Loeschung-Workflow. Teams muessen Requests in Support, Sales, Legal, Privacy oder Customer Success erkennen, Fristen loggen, Requester verifizieren, Scope in Account, Workspace, Systemen, Vendoren und Backups klaeren, Teilablehnungen begruenden und Completion Evidence speichern.
Verbinden Sie diesen Prozess mit DSAR Operations, damit Rechteanfragen nicht von informeller Weiterleitung abhaengen.
6. Vendoren und Evidence einbeziehen
Retention folgt den Daten zu Processor. Pruefen Sie, welche Daten ein Vendor erhaelt, ob er speichert, loggt, ableitet oder exportiert, welche Subprocessor Zugriff haben, wie Fristen konfiguriert sind, wie Loeschung ausgeloest wird und welche Evidence er liefern kann.
Das gehoert zu Processor Management und GDPR Compliance Planning.
Speichern Sie Retention Schedule, Data Inventory, Review Ticket, Loesch- oder Anonymisierungslogs, Exception Approval, Backup Policy, Vendor Confirmation und periodische Reviews. Evidence sollte zeigen, welche Regel galt, welche Aktion passierte, wer genehmigte und wann sie abgeschlossen wurde.
Common mistakes
Die haeufigsten Fehler sind ein Schedule ohne Systemmapping, vage Loeschversprechen, Erasure Requests wie Routine-Loeschung zu behandeln, Ausnahmen nicht zu dokumentieren und Vendor-Kopien zu vergessen.
FAQ
Was sollten Teams verstehen?
Teams sollten verstehen, wann Aufbewahrung und Loeschung gilt, welche operativen Aenderungen noetig sind und welche Evidence beweist, dass der Workflow laeuft.
Warum ist das praktisch wichtig?
Es beeinflusst Risiko, Customer Trust, Audit Readiness, Breach Impact, Erasure Handling und die Genauigkeit von Privacy Commitments.
Was ist der groesste Fehler?
Der groesste Fehler ist, Aufbewahrung und Loeschung als einmalige Legal-Auslegung zu behandeln statt als wiederholbaren Workflow mit Ownern, Triggern, Evidence und Eskalation.
Sources
- European Union, General Data Protection Regulation.
- European Commission, For how long can data be kept and is it necessary to update it?
- European Commission, Do we always have to delete personal data if a person asks?
- European Commission, How much data can be collected?
- Information Commissioner's Office, Principle (e): Storage limitation.
- Information Commissioner's Office, Right to erasure.
Wichtige Begriffe in diesem Artikel
Primärquellen
- General Data Protection RegulationEuropean Union · Abgerufen 5. Mai 2026
- For how long can data be kept and is it necessary to update it?European Commission · Abgerufen 5. Mai 2026
- Do we always have to delete personal data if a person asks?European Commission · Abgerufen 5. Mai 2026
- How much data can be collected?European Commission · Abgerufen 5. Mai 2026
- Principle (e): Storage limitationInformation Commissioner's Office · Abgerufen 5. Mai 2026
- Right to erasureInformation Commissioner's Office · Abgerufen 5. Mai 2026
Verwandte Hubs entdecken
Ähnliche Artikel
Verwandte Glossarbegriffe
Bereit, Ihre Compliance sicherzustellen?
Warten Sie nicht, bis Verstöße Ihr Unternehmen lahmlegen. Holen Sie sich in wenigen Minuten Ihren umfassenden Compliance-Bericht.
Website jetzt kostenlos scannen