Ein Löschkonzept nach DSGVO gehört zu den am häufigsten vernachlässigten Bausteinen der Datenschutz-Compliance im Mittelstand. Viele Unternehmen haben Auftragsverarbeitungsverträge, Datenschutzerklärungen und Einwilligungsprozesse inzwischen sauber aufgesetzt, verfügen aber über keine systematische Antwort auf die Frage, wann personenbezogene Daten eigentlich wieder gelöscht werden müssen. Die Folge sind Datenbestände, die weit über die eigentlich erforderliche Speicherdauer hinaus aufbewahrt werden, ohne dass dafür ein rechtlicher Grund vorliegt. Das ist kein Kavaliersdelikt: Der Grundsatz der Speicherbegrenzung ist in Art. 5 Abs. 1 lit. e DSGVO ausdrücklich verankert und wird von Aufsichtsbehörden bei Prüfungen regelmäßig als eigenständiger Punkt abgefragt. Dieser Beitrag erklärt, welche rechtlichen Grundlagen ein Löschkonzept trägt, wie sich Aufbewahrungsfristen für unterschiedliche Datenkategorien bestimmen lassen, wie ein Löschkonzept technisch und organisatorisch aufgebaut wird und welche Fehler in der Praxis am häufigsten vorkommen.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
Titelbild: Foto von Mahen Rin auf Unsplash.
Warum ein Löschkonzept nach DSGVO rechtlich verpflichtend ist
Der Grundsatz der Speicherbegrenzung verlangt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für den jeweiligen Verarbeitungszweck erforderlich ist. Fehlt eine systematische Löschroutine, verstößt ein Unternehmen streng genommen bei jedem Datensatz, der länger als notwendig vorgehalten wird, gegen diesen Grundsatz, unabhängig davon, ob die Daten ursprünglich rechtmäßig erhoben wurden. Ein Löschkonzept macht diesen Grundsatz operativ handhabbar, indem es für jede Datenkategorie eine konkrete Aufbewahrungsfrist und einen dazugehörigen Löschmechanismus festlegt.
Neben dem reinen Rechtsrisiko sprechen auch praktische Gründe für ein Löschkonzept: Wer Datenbestände systematisch reduziert, verkleinert gleichzeitig die Angriffsfläche im Falle eines Sicherheitsvorfalls. Ein Datenleck betrifft immer nur die Daten, die zum Zeitpunkt des Vorfalls tatsächlich noch gespeichert sind. Ein konsequent gepflegtes Löschkonzept ist damit auch ein wirksamer Baustein der Informationssicherheit, nicht nur der reinen Datenschutz-Compliance.
Rechtliche Grundlagen und Fristenquellen
Speicherbegrenzung nach Art. 5 DSGVO
Art. 5 Abs. 1 lit. e DSGVO bildet die zentrale Rechtsgrundlage: Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Die Norm nennt selbst keine konkreten Fristen, sondern verlangt eine zweckbezogene Einzelfallbetrachtung, die im Löschkonzept dokumentiert werden muss.
Spezialgesetzliche Aufbewahrungspflichten
In vielen Fällen wird die DSGVO-Frist durch spezialgesetzliche Aufbewahrungspflichten überlagert, die eine längere Speicherung nicht nur erlauben, sondern verpflichtend vorschreiben. Handels- und steuerrechtliche Vorschriften wie § 257 HGB und § 147 AO verlangen für bestimmte Geschäftsunterlagen Aufbewahrungsfristen von sechs oder zehn Jahren. In diesen Fällen besteht kein Widerspruch zur DSGVO: Die gesetzliche Aufbewahrungspflicht ist selbst eine anerkannte Rechtsgrundlage für die weitere Speicherung, solange die Daten ausschließlich für den Aufbewahrungszweck vorgehalten und nicht mehr für den ursprünglichen operativen Zweck genutzt werden.
Vertragliche und verjährungsrechtliche Fristen
Zusätzlich spielen zivilrechtliche Verjährungsfristen eine Rolle, etwa die regelmäßige Verjährungsfrist von drei Jahren nach § 195 BGB für vertragliche Ansprüche. Unternehmen dürfen Daten so lange aufbewahren, wie sie zur Verteidigung gegen mögliche Ansprüche oder zur Durchsetzung eigener Ansprüche benötigt werden, auch wenn der ursprüngliche Vertragszweck bereits erfüllt ist.
Typische Datenkategorien und ihre Aufbewahrungsfristen
| Datenkategorie | Typische Frist | Rechtsgrundlage |
|---|---|---|
| Rechnungen und Buchungsbelege | 10 Jahre | § 147 AO, § 257 HGB |
| Geschäftskorrespondenz | 6 Jahre | § 257 HGB |
| Bewerbungsunterlagen abgelehnter Kandidaten | 6 Monate nach Absage | Zweckbindung, AGG-Fristen |
| Kundendaten nach Vertragsende | 3 Jahre (Regelverjährung) bis 10 Jahre (bei steuerrelevanten Belegen) | § 195 BGB, § 147 AO |
| Website-Analytics ohne Einwilligung | Sofortige Anonymisierung oder Löschung | Art. 5 Abs. 1 lit. e DSGVO |
Diese Übersicht ersetzt keine einzelfallbezogene Prüfung, zeigt aber, dass ein einheitliches Löschkonzept nach DSGVO in der Praxis immer mehrere unterschiedliche Fristen parallel verwalten muss, statt eine pauschale Frist für alle Daten anzusetzen.
Praxisbeispiel: Gewachsener Datenbestand ohne Löschroutine
Ein vereinfachtes Beispiel eines mittelständischen Dienstleistungsunternehmens veranschaulicht die Problematik: Über zwölf Jahre hinweg wurden sämtliche Kundendaten in einem zentralen CRM-System erfasst, ohne dass jemals ein systematischer Löschprozess eingerichtet wurde. Bei einer internen Bestandsaufnahme im Rahmen der Einführung eines Löschkonzepts stellte sich heraus, dass mehrere Tausend Datensätze zu Kunden vorlagen, deren letzter Geschäftskontakt teils über ein Jahrzehnt zurücklag und für die keine gesetzliche Aufbewahrungspflicht mehr bestand.
Die nachträgliche Bereinigung eines derart gewachsenen Datenbestands ist deutlich aufwendiger als eine von Anfang an eingerichtete, automatisierte Löschroutine, weil zunächst für jeden einzelnen historischen Datensatz die ursprüngliche Rechtsgrundlage und die zugehörige Frist rekonstruiert werden muss. Dieses Beispiel zeigt, warum ein Löschkonzept nach DSGVO möglichst frühzeitig eingeführt werden sollte, statt es erst bei einer Prüfung oder einem konkreten Anlassfall nachzuholen.
Ein Löschkonzept Schritt für Schritt aufbauen
Datenbestandsaufnahme
Am Anfang steht eine vollständige Übersicht darüber, welche personenbezogenen Daten im Unternehmen in welchen Systemen zu welchem Zweck verarbeitet werden. Diese Bestandsaufnahme lässt sich sinnvoll mit dem ohnehin nach Art. 30 DSGVO zu führenden Verzeichnis von Verarbeitungstätigkeiten verknüpfen, da beide Dokumente auf denselben Grunddaten aufbauen.
Fristen je Datenkategorie festlegen
Für jede identifizierte Datenkategorie wird anschließend die maßgebliche Aufbewahrungsfrist bestimmt, unter Berücksichtigung sowohl der DSGVO-Speicherbegrenzung als auch etwaiger spezialgesetzlicher Aufbewahrungspflichten. Bestehen mehrere mögliche Fristen für dieselbe Datenkategorie, etwa weil ein Datensatz sowohl operative als auch steuerrelevante Bestandteile enthält, sollte im Zweifel die jeweils zutreffende, längere Frist für den betroffenen Teilbestand angesetzt werden, statt pauschal die längste Frist auf den gesamten Datensatz anzuwenden.
Löschroutinen technisch umsetzen
Die reine Festlegung von Fristen entfaltet erst dann Wirkung, wenn sie auch technisch automatisiert umgesetzt wird. Viele CRM- und ERP-Systeme bieten native Funktionen für automatisierte Löschregeln, mit denen sich Datensätze nach Ablauf der festgelegten Frist automatisch anonymisieren oder löschen lassen. Wo eine vollautomatische Umsetzung technisch nicht möglich ist, sollte zumindest eine regelmäßige, kalendarisch fest verankerte manuelle Prüfung eingerichtet werden, etwa halbjährlich, damit die Löschung nicht dauerhaft aufgeschoben wird.
Besonders in gewachsenen IT-Landschaften mit mehreren parallel genutzten Systemen empfiehlt sich zusätzlich eine Prüfung, ob personenbezogene Daten unbeabsichtigt auch in Backups, Exportdateien oder Testumgebungen fortbestehen, nachdem sie im Produktivsystem bereits gelöscht wurden. Ein Löschkonzept nach DSGVO, das sich ausschließlich auf das Hauptsystem bezieht, greift in solchen Fällen zu kurz, weil die eigentliche Löschpflicht sich auf alle Kopien der Daten erstreckt, nicht nur auf den ursprünglichen Datensatz.
Zusammenspiel mit dem Verzeichnis von Verarbeitungstätigkeiten
Ein Löschkonzept sollte nicht isoliert neben den übrigen Datenschutzdokumenten stehen, sondern eng mit dem Verzeichnis von Verarbeitungstätigkeiten verzahnt sein. Für jede im Verzeichnis erfasste Verarbeitungstätigkeit lässt sich direkt die zugehörige Löschfrist hinterlegen, sodass beide Dokumente konsistent bleiben und Änderungen an einer Stelle automatisch Anpassungsbedarf an der anderen signalisieren. Diese Verzahnung erleichtert zudem die Beantwortung von Auskunftsersuchen betroffener Personen, da sich aus dem Verzeichnis unmittelbar ablesen lässt, wie lange ein bestimmter Datensatz voraussichtlich noch gespeichert bleibt.
„Ein Löschkonzept ist kein einmaliges Dokument, sondern ein laufender Prozess, der bei jeder neuen Datenkategorie und jedem neuen System mitgedacht werden muss.“ Diese Einschätzung aus der betrieblichen Datenschutzpraxis bringt auf den Punkt, warum viele Löschkonzepte nach kurzer Zeit wieder veralten.
Häufige Fehler beim Löschkonzept nach DSGVO
- Es existiert zwar eine Datenschutzerklärung, aber keine dokumentierten Löschfristen für die tatsächlich verarbeiteten Datenkategorien.
- Backups und Exportdateien werden bei der Löschung vergessen, obwohl die Daten dort unverändert fortbestehen.
- Löschfristen werden einmalig festgelegt, aber nie an neue Systeme oder geänderte Geschäftsprozesse angepasst.
- Gesetzliche Aufbewahrungspflichten werden pauschal auf den gesamten Datensatz angewendet, obwohl nur ein Teilbestand tatsächlich betroffen ist.
- Es gibt keine verantwortliche Person, die die regelmäßige Durchführung der Löschung überwacht.
- Anfragen auf Löschung durch betroffene Personen werden nicht mit dem bestehenden Löschkonzept abgeglichen, wodurch Doppelarbeit entsteht.
Umgang mit Löschanfragen betroffener Personen
Neben der routinemäßigen, fristgesteuerten Löschung müssen Unternehmen auch auf individuelle Löschbegehren betroffener Personen nach Art. 17 DSGVO reagieren können. Ein sauber geführtes Löschkonzept erleichtert die Bearbeitung solcher Anfragen erheblich, weil bereits dokumentiert ist, in welchen Systemen personenbezogene Daten der anfragenden Person überhaupt gespeichert sind und ob im konkreten Fall eine gesetzliche Aufbewahrungspflicht der sofortigen Löschung entgegensteht. Ohne diese Grundlage müssen Unternehmen bei jeder eingehenden Anfrage aufwendig ermitteln, wo die betroffenen Daten liegen und ob eine Löschung überhaupt zulässig ist, was innerhalb der gesetzlich vorgesehenen Bearbeitungsfrist von einem Monat kaum verlässlich zu leisten ist.
Löschung versus Anonymisierung: Wann welche Methode sinnvoll ist
Nicht in jedem Fall ist eine vollständige Löschung die richtige Lösung. Wo Daten für statistische Auswertungen weiterhin von Interesse sind, ohne dass ein Rückschluss auf einzelne Personen erforderlich wäre, kann eine Anonymisierung die datenschutzfreundlichere Alternative sein: Sind personenbezogene Daten so verändert, dass eine Re-Identifizierung mit vertretbarem Aufwand nicht mehr möglich ist, fallen sie nicht mehr unter den Anwendungsbereich der DSGVO und können unbefristet weiterverwendet werden. Eine bloße Pseudonymisierung genügt hierfür jedoch nicht, da pseudonymisierte Daten weiterhin als personenbezogen gelten und denselben Löschfristen unterliegen wie die Ausgangsdaten.
Löschkonzept bei externen Dienstleistern und Auftragsverarbeitern
Viele mittelständische Unternehmen lagern Teile ihrer Datenverarbeitung an externe Dienstleister aus, etwa an CRM-Anbieter, Newsletter-Tools oder Buchhaltungsdienstleister. Ein Löschkonzept nach DSGVO darf sich nicht auf die im eigenen Haus gespeicherten Daten beschränken, sondern muss auch die bei Auftragsverarbeitern gespeicherten Daten erfassen. Der Auftragsverarbeitungsvertrag sollte deshalb ausdrücklich regeln, dass der Dienstleister Daten nach Ablauf der vereinbarten Frist löscht oder zurückgibt, und dass er auf Weisung des Auftraggebers auch einzelne Datensätze vorzeitig löschen muss, wenn dies datenschutzrechtlich geboten ist.
In der Praxis wird dieser Punkt häufig übersehen, weil Unternehmen davon ausgehen, mit der Löschung im eigenen System sei die Löschpflicht bereits vollständig erfüllt. Tatsächlich bleibt die verantwortliche Stelle datenschutzrechtlich in der Pflicht, auch wenn die technische Speicherung bei einem externen Anbieter erfolgt. Eine regelmäßige Rückfrage beim Dienstleister, ob die vereinbarten Löschfristen tatsächlich eingehalten werden, sollte deshalb fester Bestandteil der laufenden Dienstleistersteuerung sein, nicht nur eine einmalige vertragliche Zusicherung bei Vertragsbeginn.
Rolle des Datenschutzbeauftragten beim Löschkonzept
Wo ein Datenschutzbeauftragter bestellt ist, sollte das Löschkonzept nicht allein von der IT-Abteilung oder einzelnen Fachbereichen erarbeitet werden, sondern unter enger Einbindung des Datenschutzbeauftragten entstehen. Er bringt die rechtliche Bewertung der jeweils maßgeblichen Fristen ein und kann frühzeitig auf Widersprüche zwischen unterschiedlichen Fristenquellen hinweisen, etwa wenn eine Fachabteilung aus rein operativen Gründen eine längere Speicherung wünscht, als rechtlich zulässig ist. Der Datenschutzbeauftragte sollte zudem regelmäßig, mindestens im Rahmen seines jährlichen Tätigkeitsberichts, prüfen, ob das Löschkonzept tatsächlich gelebt wird oder nur auf dem Papier existiert.
Fehlt ein bestellter Datenschutzbeauftragter, etwa weil das Unternehmen die Bestellschwelle nicht erreicht, sollte die Verantwortung für das Löschkonzept trotzdem einer klar benannten Person zugeordnet werden. Ohne eindeutige Zuständigkeit bleibt die Pflege des Löschkonzepts in der Praxis häufig liegen, weil sich mehrere Abteilungen gemeinsam zuständig fühlen, aber keine davon die Umsetzung tatsächlich vorantreibt.
Checkliste: Löschkonzept nach DSGVO einführen
- Vollständige Bestandsaufnahme aller verarbeiteten personenbezogenen Datenkategorien erstellen.
- Maßgebliche Aufbewahrungsfrist je Datenkategorie unter Berücksichtigung von DSGVO und Spezialgesetzen bestimmen.
- Löschfristen mit dem Verzeichnis von Verarbeitungstätigkeiten verknüpfen.
- Technische Löschroutinen einrichten oder regelmäßige manuelle Prüftermine festlegen.
- Backups, Exportdateien und Testumgebungen in die Löschprüfung einbeziehen.
- Verantwortliche Person für die laufende Pflege des Löschkonzepts benennen.
Die folgenden Fragen fassen die praxisrelevantesten Aspekte rund um das Löschkonzept nach DSGVO zusammen, insbesondere für Geschäftsführung und Datenschutzverantwortliche, die ein solches Konzept erstmals strukturiert einführen möchten.
FAQ
Ist ein Löschkonzept nach DSGVO gesetzlich zwingend vorgeschrieben?
Ein eigenständiges, schriftliches Löschkonzept ist nicht wörtlich in der DSGVO gefordert, ergibt sich aber aus der Pflicht, den Grundsatz der Speicherbegrenzung nachweisbar umzusetzen. In der Praxis verlangen Aufsichtsbehörden bei Prüfungen regelmäßig ein dokumentiertes Löschkonzept.
Was passiert, wenn gesetzliche Aufbewahrungspflichten und Löschpflicht kollidieren?
In diesem Fall geht die gesetzliche Aufbewahrungspflicht vor. Die Daten dürfen dann ausschließlich für den Aufbewahrungszweck vorgehalten werden und müssen nach Ablauf der Aufbewahrungsfrist gelöscht werden.
Reicht eine Pseudonymisierung anstelle einer Löschung aus?
Nein, pseudonymisierte Daten gelten weiterhin als personenbezogen und unterliegen denselben Löschfristen. Nur eine vollständige Anonymisierung befreit von der Löschpflicht.
Wie oft sollte ein Löschkonzept überprüft werden?
Eine mindestens jährliche Überprüfung hat sich bewährt, zusätzlich immer dann, wenn neue Systeme eingeführt oder Geschäftsprozesse wesentlich verändert werden.
Müssen auch Backups in das Löschkonzept einbezogen werden?
Ja, die Löschpflicht erstreckt sich auf alle Kopien personenbezogener Daten, einschließlich Backups, Exportdateien und Testumgebungen, auch wenn eine sofortige Löschung aus Backups technisch oft erst mit dem nächsten Backup-Zyklus umsetzbar ist.
Quelle: Art. 5 DSGVO, Grundsätze für die Verarbeitung personenbezogener Daten (dejure.org)
