Löschkonzept

Grundsatz

VitalDesk verarbeitet personenbezogene Daten ausschließlich so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten dies verlangen. Über Fristen und Löschung entscheidet die Einrichtung als Verantwortliche. Eine automatische Löschung von Bewohner- oder Beschäftigtendaten nach Fristablauf führt VitalDesk derzeit nicht durch; Löschungen erfolgen auf Weisung als begleiteter Vorgang. Dieses Löschkonzept gilt sowohl für die Daten unserer Kunden (Kontoinhaber) als auch für die von Kunden im Auftrag verarbeiteten Beschäftigten- und Bewohnerdaten.

Übersicht der Löschfristen

Die genannten Fristen sind Vorgaben aus Recht und Praxis. VitalDesk erzwingt sie nicht automatisch. Die Einrichtung als Verantwortliche legt die verbindlichen Fristen fest und beauftragt die Löschung.

Besondere Regelungen für BEM-Daten

BEM-Daten (Daten aus dem Betrieblichen Eingliederungsmanagement nach §167 SGB IX) genießen besonderen gesetzlichen Schutz. Sie unterliegen einer strikten Zweckbindung und dürfen ausschließlich zur Durchführung des BEM-Verfahrens verwendet werden.

• Zugriff ist auf ausdrücklich berechtigte Verwaltungsrollen beschränkt
• Mitarbeiter können ausschließlich ihre eigenen BEM-Daten einsehen
• BEM-Daten dürfen nicht für Kündigungsentscheidungen oder andere arbeitsrechtliche Maßnahmen herangezogen werden
• Die konkrete Frist ist je Einrichtung zu dokumentieren; eine automatische Löschung allein aufgrund des Status "abgeschlossen" wird derzeit nicht behauptet

Konto-Löschung durch den Kunden

Kunden können die Löschung über die Kontoeinstellungen oder per E-Mail anfragen. Nach Identitäts- und Umfangsprüfung gilt das vertraglich vereinbarte Verfahren:

1. Abstimmung des Stichtags und der betroffenen Mandanten- und Nutzerzugänge
2. Löschung der nicht aufbewahrungspflichtigen Daten im bestätigten Umfang
3. Aufbewahrungspflichtige Daten (z.B. Rechnungen) werden nicht gelöscht. Sie werden im Vorgang ausgewiesen und nach Ablauf der Aufbewahrungsfrist gelöscht; einen technischen Sperrzustand gibt es derzeit nicht
4. Nach Abschluss erhalten Sie eine Bestätigung in Textform über den ausgeführten Umfang

Technische Umsetzung

Je nach Datenkategorie erfolgt die Löschung durch Entfernen des Datensatzes oder durch Deaktivieren. Bewohner- und Beschäftigtendatensätze werden heute deaktiviert und nicht entfernt. Freitexte wie Pflegeberichte können Namen Dritter enthalten; möglich ist deshalb eine Pseudonymisierung, keine belastbare Anonymisierung. Vor jeder Löschung prüfen wir relationale Abhängigkeiten und gesetzliche Aufbewahrungspflichten.

Gelöschte Daten sind im laufenden Betrieb sofort nicht mehr erreichbar. In den verschlüsselten Sicherungen bleiben sie bis zum Ablauf der gestaffelten Aufbewahrung – im ungünstigsten Fall rund zwei Jahre. Wird eine Sicherung wiederhergestellt, werden zwischenzeitlich gelöschte Daten danach erneut gelöscht.

Primäre Anwendungsdaten werden in Deutschland gehostet. Für den Versand von Benachrichtigungs-E-Mails gelten die in der Datenschutzerklärung ausgewiesenen Unterauftragnehmer und Übermittlungsgrundlagen. Eine Zahlungsabwicklung über die Plattform und KI-Funktionen sind derzeit nicht aktiv.

Nachweis der Löschung

Seit dem 26. August 2026 führt VitalDesk ein Löschprotokoll. Es hält je Vorgang fest: Zeitpunkt, Datenkategorie, Anzahl der entfernten Datensätze, Grund, auslösendes Konto oder auslösenden Systemlauf und die betroffene Einrichtung. Der Eintrag enthält keine Namen, keine Adressen und keine Freitexte – nur Kategorie und Anzahl. Er bleibt bestehen, auch wenn die Einrichtung selbst gelöscht wird, und wird nach 3 Jahren automatisch entfernt.

Protokolliert werden derzeit:

• das Löschen einer Person im Personalstamm des Onboardings
• die administrative Löschung einer Einrichtung
• der Aufbewahrungslauf der Produktanalyse
• der Aufbewahrungslauf der Importquarantäne
• der Aufbewahrungslauf des Löschprotokolls selbst

Nicht protokolliert werden die regulären Einzellöschungen in der Anwendung, etwa ein Dokument, eine Abwesenheit oder ein Zimmer. Ein Statuswechsel ist keine Löschung und erzeugt deshalb keinen Eintrag: Wird ein Bewohner auf ausgezogen oder ein Mitarbeiter auf inaktiv gesetzt, bleibt der Datensatz bestehen. Einen endgültigen Löschlauf für eine Bewohner- oder Personalakte gibt es weiterhin nicht; solche Löschungen führen wir als begleiteten Vorgang aus und dokumentieren sie dort.

Fragen zum Löschkonzept?

Für Anfragen zur Datenlöschung oder zum Löschkonzept wenden Sie sich bitte an:

Xaver Bauer – Management- und Organisationsberatung
Pilgramsroth 130, 96450 Coburg
E-Mail: info@vitaldesk.de