Kurz gesagt
Im Tagesgeschäft niemand allein, abgesehen vom eigenen Fehlversuch kurz nach dem Ablegen. Ein Dokument, das einmal zu einem Vorgang gehört, bleibt bis zum Ende seiner Aufbewahrungsfrist und wird dann in einem geregelten Lauf entfernt, mit Freigabe durch den fachlich Verantwortlichen und einem Protokoll, das den Vorgang nachweist. Was ein Sachbearbeiter selbst entfernen darf, ist der eigene Fehlversuch der letzten Minuten, bevor jemand anderes das Dokument gesehen hat.
Drei Begriffe, die oft verwechselt werden
Verbergen. Das Dokument bleibt im System, ist aber für die meisten Rollen unsichtbar. Das ist der richtige Weg für irrtümlich abgelegte Dokumente, Duplikate und überholte Fassungen. Nichts geht verloren, ein Administrator kann es zurückholen.
Löschen. Das Dokument wird aus dem aktiven Bestand entfernt und ist für Anwender nicht mehr erreichbar. Im Archiv bleibt es, bis die Aufbewahrungsfrist abläuft. Technisch ist das ein Statuswechsel mit Protokoll.
Vernichten. Das Dokument wird endgültig und unwiederbringlich entfernt, auch aus Sicherungen, soweit das möglich ist. Das geschieht nur am Ende der Frist oder auf Grund eines Löschanspruchs nach Datenschutzrecht, und immer mit Nachweis.
Wer im Unternehmen von „Löschen“ spricht, meint meist einen dieser drei Fälle, und die Regeln dafür unterscheiden sich erheblich. Die drei Begriffe sind mein Vorschlag für die Verständigung, nicht jedes System setzt sie genau so um. Ein Löschanspruch nach Datenschutzrecht ist mit Verbergen nicht erfüllt, er verlangt die Vernichtung, einschließlich eines festgelegten Umgangs mit Sicherungen.
Wer was darf
Eine brauchbare Verteilung sieht so aus:
| Rolle | Darf |
|---|---|
| Sachbearbeiter | eigene Dokumente verbergen, solange sie noch keinem Vorgang zugeordnet oder von niemandem bearbeitet wurden |
| Fachverantwortlicher einer Dokumentart | Löschläufe am Ende der Frist freigeben, Ausnahmen genehmigen |
| Fachverantwortlicher mit Datenschutzbeauftragtem | Löschanträge nach DSGVO prüfen, der Verantwortliche im Fachbereich weist an, der Datenschutzbeauftragte berät |
| Administrator | Löschläufe ausführen, Protokolle aufbewahren, nie selbst fachlich entscheiden |
Für risikoarme Arbeitsstände reicht eine genehmigte automatische Regel, das Vier-Augen-Prinzip gilt für die Bestände mit Aufbewahrungspflicht. Die Trennung zwischen Entscheiden und Ausführen ist der Kern. Wer entscheidet, löscht nicht selbst, wer löscht, entscheidet nicht. Dieses Vier-Augen-Prinzip schützt das Unternehmen vor dem Mitarbeiter, der am letzten Arbeitstag aufräumt, und vor dem Administrator, der eine Nachfrage als Auftrag versteht.
Warum das Protokoll das Wichtigste ist
Ein gelöschtes Dokument muss sich nachweisen lassen, obwohl es weg ist, und es muss auch aus der KI-Suche verschwunden sein. Das Protokoll enthält, was gelöscht wurde, wann, auf wessen Freigabe und nach welcher Regel. Bei einer Prüfung ist dieses Protokoll der Beleg dafür, dass das Fehlen eines Dokuments kein Versäumnis war. Ohne Protokoll ist jedes fehlende Dokument ein Verdacht.
Diese Regeln gehören zu den Berechtigungen, die beim Aufbau eines Systems festgelegt werden. Nachträglich einzuführen sind sie mühsam, weil dann schon jemand gelöscht hat. Welche Fristen für das Ende gelten, steht in Welche Dokumente muss man archivieren und wie lange?.