Standardlöschfristen und Löschklassen

Eine Löschregel besteht aus einer Regellöschfrist und einem Startzeitpunkt. Die Regellöschfrist wird so bezeichnet, weil sie für die Löschung bei regulärer Verarbeitung angewandt wird.

Regellöschfristen bestimmen

Eine Möglichkeit, die Regellöschfrist einer Datenart zu bestimmen, besteht in einer Prozessanalyse. Die genaue Analyse der Löschfrist anhand der Dauer von Prozessschritten ist oft sehr aufwendig und überschreitet leicht die verfügbaren Ressourcen im Löschprojekt. Die DIN 66398 schlägt deshalb vor, Standardlöschfristen zu verwenden, wo dies datenschutzrechtlich möglich ist.

Typen von Startzeitpunkten

Bei der Ableitung von Löschregeln zeigt sich, dass man die Startzeitpunkte gruppieren kann: Es treten drei Typen von Startzeitpunkten auf. Diese sind:

• ab Erhebung,
• ab dem Ende eines Vorgangs, und – als Spezialfall dieses Typs –
• ab dem Ende der Beziehung zum Betroffenen.

Löschklassen

Jede Standardfrist bildet mit jedem abstrakten Startzeitpunkt eine Löschklasse. Jede Löschklasse kann dann als Sammelbecken für Datenarten verwendet werden, für die ähnliche fachliche Zwecke gelten und deshalb auch ähnliche Löschregel angewandt werden können.

Matrix der Löschklassen

Mit den Standardlöschfristen und den drei Typen von Startzeitpunkten kann die sogenannte »Matrix der Löschklassen« aufgespannt werden. Sie ist ein wichtiges Werkzeug, um den Katalog der Löschregeln zu erarbeiten: Es zeigt sich in der Praxis, dass die meisten Datenarten sehr einfach in diese Löschklassen eingeordnet werden können. Aus der Löschklasse ergibt sich dann bereits das Grundgerüst der Löschregel für die Datenart. Für die konkrete Löschregel muss dann lediglich unter fachlichen Gesichtspunkten ein Startzeitpunkt festgelegt werden.

Durch die Orientierung an den Löschklassen erhalten die Löschregeln eine übersichtlichere Struktur und können besser umgesetzt werden. Oft werden nicht alle Löschklassen der Matrix mit Datenarten besetzt: Dann wird der Regelkatalog noch übersichtlicher.

Die Löschklassen und die Matrix sind allerdings nur Werkzeuge. Die kritische fachliche und datenschutzrechtliche Prüfung können diese Hilfsmittel nicht ersetzen.