--- name: rechtsgrundlagen-loeschung-pruefen description: Prüft je Verarbeitung den konkreten Zweck, die tragende Rechtsgrundlage und die Löschlogik. Unterscheidet Erlaubnis, Informationspflicht, Aufbewahrung und technische Umsetzung und dokumentiert offene Nachweise. --- # Rechtsgrundlagen und Löschlogik prüfen ## 1. Zweck und Anwendungsfall Prüfen Sie, ob eine erhobene Verarbeitung einen nachvollziehbaren rechtlichen Ausgangspunkt und eine tatsächlich umsetzbare Löschlogik hat. Diese Angaben unterstützen die Rechenschaftspflicht. Nicht jedes zusätzliche Prüffeld ist ausdrücklich Mindestinhalt von Artikel 30 DSGVO; kennzeichnen Sie die Rechtsgrundlagenprüfung als ergänzende Compliance-Arbeit. Ein vollständig ausgefülltes Verzeichnis legitimiert keine unzulässige Verarbeitung. Der Skill ist für konkrete Tätigkeiten gedacht, nicht für eine pauschale Erklärung „Das Unternehmen ist DSGVO-konform“. Bearbeiten Sie vorhandene Tatsachen und erzeugen Sie verwendbare Einträge und Maßnahmen. Fehlende Rechtsgrundlagen oder Aufbewahrungsnormen dürfen nicht mit gewöhnlich klingenden Standardformulierungen gefüllt werden. ## 2. Eingaben Lesen Sie Tätigkeitsbeschreibung, Rollenbefund, Datenkategorien, betroffene Personen, Vertragsmuster, Einwilligungstexte, Datenschutzhinweise und vorhandene Löschpläne. Benötigt werden die tatsächlichen Zwecke einschließlich möglicher Weiterverwendung. Prüfen Sie, ob Daten für die ursprüngliche Leistung, eine gesetzliche Pflicht, Werbung, Beweissicherung oder einen neuen Entwicklungszweck genutzt werden. Fordern Sie bei Aufbewahrungsangaben die konkrete Dokumentenart und den Fristbeginn nach. „Buchhaltung zehn Jahre“ oder „Personalakte dauerhaft“ genügt nicht. Klären Sie, welche Anwendung, Sicherungskopie oder Papierablage betroffen ist und wer Löschung oder Einschränkung tatsächlich ausführen kann. Vermeiden Sie die unnötige Übernahme von Einzeldaten in die Prüfdatei. ## 3. Ablauf und Checkliste ### 3.1. Zweck und Rechtsgrundlage zusammenführen Ordnen Sie jeder selbst verantworteten Tätigkeit eine konkrete Rechtsgrundlage mit Begründung zu. Prüfen Sie die Erforderlichkeit und die betroffene Personengruppe, statt alle Tatbestände des Artikels 6 Absatz 1 DSGVO gleichzeitig aufzuzählen. Ein Vertrag mit einer juristischen Person macht Beschäftigtenkontakte nicht ohne Weiteres zu Vertragsparteien. Eine gesetzliche Pflicht ist unter Angabe der einschlägigen Vorschrift und des betroffenen Verarbeitungsschritts zu belegen. Bei Artikel 6 Absatz 1 Buchstabe b DSGVO untersuchen Sie, ob die Verarbeitung für die konkrete Vertragsleistung objektiv erforderlich ist. Der EuGH, Urteil vom 04.07.2023, Az. C-252/21, ECLI:EU:C:2023:537, Randnummern 98 bis 100, unterscheidet unerlässliche Verarbeitung von bloßer Nützlichkeit oder Erwähnung im Vertrag. Der Anker trägt diese Erforderlichkeitsprüfung; er entscheidet nicht vorab die Zulässigkeit jedes hier geprüften Kundenprozesses. ### 3.2. Interessen, Einwilligung und Beschäftigte differenzieren Bei berechtigten Interessen dokumentieren Sie das konkrete Interesse, Erforderlichkeit und Interessenabwägung. Berücksichtigen Sie vernünftige Erwartungen, Eingriffsintensität, Widerspruchsmöglichkeiten und weniger eingreifende Alternativen. Der genannte EuGH-Anker, Randnummer 106, trägt die drei Prüfungsschritte; er erlaubt keine pauschale Vorrangstellung wirtschaftlicher Interessen. Eine technische Schutzmaßnahme ersetzt nicht die Abwägung. Bei Einwilligung halten Sie Inhalt, Freiwilligkeit, Nachweis, Widerruf und Folgen des Widerrufs fest. Einwilligungen werden nicht rückwirkend erfunden. Bei Beschäftigten prüfen Sie § 26 BDSG mit den einschlägigen unionsrechtlichen Anforderungen und dem konkreten Zweck. Freiwilligkeit darf wegen des Abhängigkeitsverhältnisses nicht allein aus einer Unterschrift abgeleitet werden. Eine Betriebsvereinbarung ist ebenfalls kein pauschaler Ersatz für Erforderlichkeit und Schutzanforderungen. ### 3.3. Besondere Kategorien gesondert behandeln Für Gesundheitsdaten und andere besondere Kategorien ist neben dem allgemeinen Zulässigkeitsrahmen ein einschlägiger Ausnahmetatbestand zu Artikel 9 Absatz 1 DSGVO erforderlich. Benennen Sie die konkrete Regelung und ihre Voraussetzungen, gegebenenfalls eine einschlägige BDSG-Vorschrift. Eine Physiotherapiepraxis kann Behandlung und einen freiwilligen KI-Analysezweck nicht ohne Weiteres unter dieselbe Erlaubnis stellen. Bei Straftatendaten sind die besonderen Anforderungen aus Artikel 10 gesondert zu prüfen. Dokumentieren Sie Zweckänderungen eigenständig. Die einmalige rechtmäßige Erhebung erlaubt nicht automatisch spätere Schulung eines Modells, Leistungskontrolle oder Werbung. Verweisen Sie eine risikoverändernde Erweiterung an [Risiken und DSFA](../risiken-dsfa-pruefen/SKILL.md). Die dortige Prüfung ersetzt weder Rechtsgrundlage noch Berufsgeheimnisschutz oder sektorspezifische Anforderungen. ### 3.4. Eine belastbare Löschlogik entwickeln Beschreiben Sie je Datenkategorie den Beginn der Aufbewahrung, die Dauer oder das entscheidende Ereignis, einschlägige gesetzliche Pflichten und praktische Ausnahmen. Unterscheiden Sie laufende Nutzung, gesperrte Aufbewahrung für einen bestimmten Zweck und endgültige Löschung. Artikel 5 Absatz 1 Buchstabe e und Artikel 17 DSGVO verlangen eine zweckbezogene Beurteilung; sie liefern keine einheitliche Standardfrist für sämtliche Unternehmensdaten. Verifizieren Sie konkrete gesetzliche Aufbewahrungsfristen am aktuellen amtlichen Text, einschließlich Übergangsvorschriften. Übernehmen Sie eine Vertragsfrist nicht als gesetzliche Vorgabe. Wenn die konkrete Pflicht nicht verifiziert werden kann, lassen Sie den Zeitraum ausdrücklich offen und schlagen eine verantwortliche Nachprüfung vor. Ein lokales Beispieldatum ist eine Organisationsentscheidung, keine allgemeine rechtliche Mindestdauer. ### 3.5. Ausnahmen und Löschumsetzung belegen Prüfen Sie bei Rechtsstreit, gesetzlicher Aufbewahrung oder anderen Gründen gegen sofortige Löschung die konkrete Grundlage, den betroffenen Teilbestand und das Ende der Ausnahme. „Möglicherweise später nützlich“ genügt nicht. Verlangen Sie bei einer Aufbewahrungssperre eine zuständige Person, sachliche Begründung und Wiedervorlage. Der übrige nicht benötigte Bestand darf dadurch nicht unbefristet blockiert werden. Beziehen Sie Exporte, Testdaten, E-Mail-Anhänge, mobile Kopien, Dienstleister und Sicherungen ein. Beschreiben Sie für Sicherungskopien das tatsächliche Wiederherstellungs- und Löschverfahren; behaupten Sie keine sofortige Einzelobjektlöschung, wenn das System sie nicht kann. Die zulässige Ausgestaltung muss anhand konkreter Aufbewahrungszyklen und Schutzmaßnahmen beurteilt werden. Dokumentieren Sie Löschtests oder fehlende Nachweise, statt „automatisch“ mit „wirksam“ gleichzusetzen. ### 3.6. Informationspflichten und Übergaben abgleichen Vergleichen Sie die geprüften Zwecke, Rechtsgrundlagen, Empfänger und Aufbewahrungsangaben mit den tatsächlichen Datenschutzhinweisen. Artikel 13 und 14 DSGVO enthalten eigene Anforderungen; das interne Verzeichnis ist kein unmittelbar veröffentlichungsfähiger Ersatz. Ein vollständiger Hinweis kann aus den abgestimmten Angaben vorbereitet werden, benötigt aber weitere adressatenspezifische Inhalte und Prüfung. Übergeben Sie `rechts-und-loeschpruefung` mit Kennung, Ergebnis, Quelle, offenen Fragen und vorgeschlagenem Registertext an [Verzeichnis erstellen](../verzeichnis-erstellen/SKILL.md). Änderungen bestehender Angaben laufen über [Änderungen nachhalten](../aenderungen-nachhalten/SKILL.md). Rollenfragen gehen zurück an die Erhebung; ungeklärte Vertragsverhältnisse dürfen nicht durch eine schönere Formulierung verdeckt werden. ## 4. Quellenpflicht Beachten Sie [Rechtsquellen](../../references/rechtsquellen.md) und [Zitierweise](../../references/zitierweise.md). Artikel 5 bis 10, 13 bis 17 DSGVO und einschlägige BDSG-Regelungen werden am amtlichen Wortlaut geprüft. Der EuGH-Volltext wurde mit den genannten Randnummern gelesen; seine Aussagegrenzen bleiben erhalten. Neue Aufbewahrungsfristen und Rechtsprechungsbehauptungen benötigen eigene Verifikation. ## 5. Ausgabeformat Liefern Sie lesbare Registertexte, eine begründete Prüfnote und gegebenenfalls einen ausführbaren Löschplan. Entscheidungen und Anschreiben müssen vollständig ausformuliert sein; keine leeren Klauselskelette oder bloßen Normketten. Dokumente verwenden Times New Roman, 11 pt und dezimale Gliederung. Tabellen nennen höchstens vier Spalten je Ansicht und verweisen auf getrennte Nachweise. Kennzeichnen Sie ungesicherte Tatsachen und vorläufige rechtliche Ergebnisse unmittelbar am betroffenen Eintrag. Eine technisch erfolgreiche Speicherung ist keine rechtliche Billigung. ## 6. Beispiele Ein Kundenportal möchte alte Supportnachrichten für ein neues KI-Modell verwenden. Sie prüfen einen eigenständigen Entwicklungszweck, enthaltene personenbezogene Daten, Rechtsgrundlage, Transparenz und Löschung; die bisherige Kundenbeziehung genügt nicht als pauschale Erlaubnis. Eine ausgeschiedene Mitarbeiterin erscheint weiterhin im öffentlich sichtbaren Teamverzeichnis. Sie trennen dieses Veröffentlichungsziel von gegebenenfalls fortbestehender Aufbewahrung einzelner Personal- oder Abrechnungsunterlagen und formulieren unterschiedliche Maßnahmen.