Top-Themen im Datenschutz:
Ein Löschkonzept nach DSGVO regelt, wann personenbezogene Daten zu löschen sind, welche Aufbewahrungsfristen gelten und wie ein externer Datenschutzbeauftragter die Umsetzung begleitet.
Das Wort „Löschkonzept“ kommt im Text der DSGVO nicht vor. Das wird gelegentlich als Entwarnung missverstanden. Tatsächlich folgt die Pflicht aus dem Datenschutzgrundsatz der Speicherbegrenzung und der Rechenschaftspflicht, und ohne geordnetes Verfahren lässt sie sich nicht erfüllen.
Ein Löschkonzept nach DSGVO ist ein systematisches Regelwerk, das festlegt, wann personenbezogene Daten zu löschen sind, wer die Löschung veranlasst und wie sie nachgewiesen wird. Es gilt über den gesamten Datenlebenszyklus, unabhängig von Größe und Branche, auch für Vereine und gemeinnützige Organisationen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenEin Löschkonzept übersetzt eine abstrakte gesetzliche Pflicht in konkrete Arbeitsanweisungen. Es beantwortet sieben Fragen, und zwar nicht allgemein, sondern für jeden einzelnen Datenbestand:
An Frage drei scheitern die meisten Konzepte. Daten liegen nicht nur im CRM oder in der Buchhaltungssoftware, sondern auch in Funktionspostfächern, auf Fileservern, in Tabellen auf lokalen Laufwerken, in Ticketsystemen, auf Mobilgeräten, in Papierakten, bei Dienstleistern und in Datensicherungen. Eine Bestandsaufnahme allein anhand der Systemliste der IT übersieht regelmäßig die Arbeitskopien, die Mitarbeitende sich angelegt haben.
Deshalb entsteht ein Löschkonzept nicht in der IT allein. Die Fachbereiche bestimmen Zwecke und benötigte Daten, die Buchhaltung beurteilt die gesetzliche Aufbewahrung, die IT setzt Löschfunktionen und Berechtigungen um. Zu den Aufgaben des Datenschutzbeauftragten zählen Beratung und Überwachung. Seine Benennung überträgt ihm nicht die operative Verantwortung für jede einzelne Löschentscheidung.
Ein Dokument mit diesem Namen ist nicht vorgeschrieben, ein Ergebnis schon. Vier Vorgaben der DSGVO greifen ineinander:
Ein Löschkonzept ist damit der übliche Weg, alle vier Vorgaben zugleich zu erfüllen und die Löschung DSGVO-konform nachzuweisen.
Vom Speicherortinventar bis zum Löschprotokoll: Mit dem Umsetzungsleitfaden bauen Sie Ihr DSGVO-Löschkonzept in 8 Schritten auf – inkl. Musterfall, Löschklassen, Aufbewahrungsfristen (§ 147 AO, § 257 HGB) und Checklisten. Kostenlos als Download.
Personenbezogene Daten müssen gelöscht werden, sobald der Zweck der Verarbeitung entfällt und weder eine Aufbewahrungspflicht noch eine andere Rechtsgrundlage die Speicherung trägt. Art. 17 Abs. 1 DSGVO nennt sechs Löschgründe:
In allen Fällen ist unverzüglich zu löschen. Über die ergriffenen Maßnahmen ist grundsätzlich innerhalb eines Monats zu informieren (Art. 12 Abs. 3 DSGVO). Eine Verlängerung ist unter bestimmten Voraussetzungen möglich und innerhalb des ersten Monats zu begründen.
Die Löschpflicht hat Grenzen. Art. 17 Abs. 3 DSGVO nennt fünf Ausnahmen, die in der Praxis unterschiedlich oft vorkommen:
Greift eine Ausnahme, bedeutet das keine unbegrenzte Speicherung. Beschränken Sie den Zugriff auf diese Daten und löschen Sie, sobald die Ausnahme endet. Fachlich spricht man von einer Einschränkung der Verarbeitung (vgl. Art. 18 DSGVO): Die Daten bleiben gespeichert, werden aber nur noch für den Aufbewahrungs- oder Verteidigungszweck genutzt.
Nicht alle Daten dürfen sofort gelöscht werden. Gesetzliche Aufbewahrungspflichten gehen der Löschpflicht vor, solange sie laufen. Diese Fristen gelten in der Regel:
Die Frist für Rechnungen und Buchungsbelege wurde zum 1. Januar 2025 durch das Vierte Bürokratieentlastungsgesetz von zehn auf acht Jahre verkürzt. Viele ältere Quellen nennen deshalb noch zehn Jahre. Bücher, Inventare und Jahresabschlüsse bleiben bei zehn Jahren.
Die gesetzlichen Fristen beginnen in der Regel mit Ablauf des Kalenderjahres, in dem der Beleg entstanden ist beziehungsweise der Brief empfangen oder versendet wurde. Die sechs Monate für Bewerbungsunterlagen sind eine Orientierung der Datenschutz-Aufsichtsbehörden, keine gesetzliche Mindestfrist.
Läuft eine Aufbewahrungsfrist, bedeutet das nicht, dass der gesamte Vorgang unverändert gespeichert bleiben muss. Aufbewahrungspflichtig ist der Beleg, nicht alles, was mit dem Kunden zu tun hatte. Gesprächsnotizen und Präferenzen im CRM werden getrennt bewertet und gelöscht, sobald ihr Zweck entfallen ist.
Ein Muster oder eine Vorlage für ein Löschkonzept enthält je Löschklasse eine vollständige Löschregel. Diese Felder sind erforderlich:
Feld | Inhalt |
|---|---|
Regelnummer und Datenbestand | Eindeutige Kennung und präzise Beschreibung der Daten |
Zweck und Rechtsgrundlage | Warum verarbeitet wird, worauf sich die Speicherung stützt |
Auslöser und Fristbeginn | Das Ereignis, ab dem gezählt wird |
Dauer | Gesetzliche Frist oder begründete betriebliche Festlegung |
Speicherorte | Alle Systeme, Ablagen, Kopien und Dienstleister |
Verantwortliche Stelle und Verfahren | Wer entscheidet, wer durchführt, wie gelöscht wird |
Ausnahmen und Nachweis | Freigabe, erneuter Prüftermin, Protokollierung |
Das wichtigste Feld ist der Auslöser. „Nach drei Jahren“ ist keine umsetzbare Regel, weil offenbleibt, ab wann gezählt wird. Das zweitwichtigste sind die Speicherorte: Wird nur das führende System eingetragen, beschreibt das Konzept eine Löschung, die so nicht stattfindet.
So sieht eine ausgefüllte Löschregel für abgelehnte Bewerbungen aus:
Eine Löschklasse ist eine Gruppe von Daten mit demselben Verarbeitungszweck, demselben Startzeitpunkt und derselben Löschfrist. Sie beantwortet die Frage, wann gelöscht wird, nicht, wie sicher gelöscht wird. Entscheidend ist die Gruppierung nach Zweck statt nach System. Eine Löschklasse gilt dann über CRM, Dateiablage, Postfach und Archiv hinweg. Wer stattdessen je System eine Liste führt, pflegt dieselbe Entscheidung mehrfach und übersieht Kopien.
Diese Systematik ist nicht vorgeschrieben. Sie stammt aus der DIN EN ISO/IEC 27555:2025-09 (vormals DIN 66398), und die Anwendung dieser Norm ist freiwillig. Verpflichtend ist allein das Ergebnis: dass gelöscht wird, wenn die Erforderlichkeit entfällt, und dass Sie es nachweisen können. Die Löschklassen-Methode ist der kürzeste Weg dorthin, weil Sie keine eigene Systematik entwickeln müssen. Typische Löschklassen sind:
Ein Beispiel aus der Praxis: Gehaltsabrechnungen gehören nicht in die Löschklasse „Personalakte“. Das Lohnkonto unterliegt einer eigenen Frist nach § 41 EStG, während Abmahnungen, Zeugnisse und Bewerbungsunterlagen jeweils eigene Startzeitpunkte und Fristen haben. Eine gemeinsame Frist für alle Mitarbeiterdaten führt dazu, dass ein Teil zu lange und ein anderer zu kurz aufbewahrt wird.
Gelöscht sind Daten erst, wenn sie nicht mehr mit vertretbarem Aufwand wiederhergestellt werden können. Welches Verfahren angemessen ist, richtet sich nach dem Schutzbedarf der Daten. Diesen legt eine Datenklassifizierung nach Schutzbedarf in der Informationssicherheit fest. Die Frage nach dem Verfahren ist eine andere als die nach der Löschklasse und wird getrennt beantwortet:
Ein verbreiteter Irrtum betrifft das Überschreiben. Mehrfachdurchgänge sind technisch nicht erforderlich; die einschlägige Referenz NIST SP 800-88 Rev. 2 hält mehrfaches Überschreiben für nicht nötig. Bei SSDs und Flashspeichern ist Überschreiben ohnehin unzuverlässig, weil der Controller Speicherbereiche selbst verwaltet und manche Bereiche unerreichbar bleiben. Dort führen Secure-Erase-Befehle oder kryptografische Löschung zum Ziel. Bei der kryptografischen Löschung wird der Schlüssel vernichtet, sodass die verschlüsselten Daten unlesbar bleiben. Drei Punkte werden außerdem regelmäßig übersehen:
Ein Löschkonzept DSGVO-konform aufzubauen gelingt in acht Schritten:
Beginnen Sie nicht mit dem gesamten Unternehmen. Nehmen Sie einen überschaubaren Bereich, etwa abgeschlossene Kundenaufträge, und gehen Sie die acht Schritte einmal vollständig durch. Dieser erste Durchlauf zeigt, welche Angaben fehlen und ob die Systeme leisten, was die Regel annimmt.
Verstöße gegen die Grundsätze der Verarbeitung nach Art. 5 DSGVO und gegen das Recht auf Löschung nach Art. 17 DSGVO ziehen DSGVO-Bußgelder im oberen Rahmen nach sich (Art. 83 Abs. 5 DSGVO): bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
In der Praxis wiegt ein anderer Punkt oft schwerer. Fehlt das Löschkonzept, lässt sich bei einer Prüfung die Rechenschaftspflicht nicht erfüllen, und zwar unabhängig davon, ob tatsächlich zu lange gespeichert wurde. Die Dokumentation ist der Nachweis. Ein Löschkonzept nach DSGVO entsteht dabei nicht am Schreibtisch, sondern im ersten vollständigen Durchlauf durch einen realen Datenbestand.
Löschklassen bilden, Löschfristen festlegen, Löschungen protokollieren: Die ausfüllbare Excel-Vorlage enthält Beispiel-Löschklassen, ein Feldschema für Löschregeln, eine Fristen-Referenz und ein Löschprotokoll. Kostenlos als Download.
Die folgenden Antworten fassen die wichtigsten Fragen zu Pflicht, Fristen und Umsetzung kompakt zusammen.
Jeder Verantwortliche im Sinne der DSGVO, der personenbezogene Daten verarbeitet, unabhängig von Größe, Rechtsform und Branche. Das schließt Vereine, Stiftungen und gemeinnützige Organisationen ein. Die Pflicht hängt nicht daran, ob ein Datenschutzbeauftragter benannt werden muss. Auch ein kleiner Betrieb mit wenigen Kundendaten muss nachweisen können, wann und warum er Daten löscht. Verantwortlich ist die Stelle, nicht die IT-Abteilung: Die Geschäftsleitung muss die Umsetzung organisieren.
Bei der Löschung werden die Daten entfernt. Bei der Anonymisierung bleiben sie erhalten, verlieren aber den Personenbezug unwiderruflich. Wirksam anonymisierte Daten fallen nicht mehr unter die DSGVO und dürfen weiter genutzt werden, etwa für Statistiken. Entscheidend ist die Unwiderruflichkeit: Lässt sich der Bezug mit vertretbarem Aufwand wiederherstellen, handelt es sich um Pseudonymisierung, und die bleibt eine Verarbeitung personenbezogener Daten. Ein Beispiel: Eine Auswertung ohne Namen und Kennungen ist anonym, eine Tabelle mit Kundennummern nicht.
Solange eine gesetzliche Aufbewahrungspflicht läuft, dürfen die betroffenen Unterlagen nicht gelöscht werden. Die Daten bleiben gespeichert, der Zugriff wird aber auf den Aufbewahrungszweck beschränkt. Mit Ablauf der Frist ist unverzüglich zu löschen, sofern kein anderer Zweck die Speicherung trägt. Daten ohne Aufbewahrungspflicht, etwa Gesprächsnotizen im CRM, werden unabhängig davon nach ihrer eigenen Löschregel behandelt. Löschen Sie nicht vorzeitig, denn das verletzt die Aufbewahrungspflicht.
Ein Löschungsersuchen nach Art. 17 DSGVO ist der Antrag einer betroffenen Person, ihre Daten zu löschen. Sie müssen ihn grundsätzlich innerhalb eines Monats beantworten. Prüfen Sie zuerst die Identität der anfragenden Person, dann einen der sechs Löschgründe und mögliche Ausnahmen nach Art. 17 Abs. 3 DSGVO. Dokumentieren Sie das Ergebnis, auch bei einer Ablehnung. Ein Löschkonzept legt fest, wer diesen Weg im Unternehmen verantwortet.
Mindestens jährlich, zusätzlich bei jeder wesentlichen Änderung: neue Anwendungen, neue Dienstleister, veränderte Geschäftsprozesse oder Rechtsänderungen. Die Verkürzung der Aufbewahrungsfrist für Buchungsbelege zum 1. Januar 2025 ist ein typischer Anlass für eine Anpassung. Halten Sie Datum und Anlass jeder Überprüfung schriftlich fest, damit der Nachweis lückenlos bleibt. Das Konzept ist kein einmaliges Projekt, sondern ein laufender Prozess mit festem Prüftermin und benannter verantwortlicher Person.
Ja. Nach Art. 28 DSGVO weist der Verantwortliche die Löschung an, der Auftragsverarbeiter führt sie durch. Im Auftragsverarbeitungsvertrag nach DSGVO muss erkennbar sein, wie Löschungen ausgelöst werden, welche Unterauftragnehmer betroffen sind, wie lange Kopien verbleiben und was bei Vertragsende geschieht. Die Verantwortung endet nicht mit dem Versand der Anweisung, die Umsetzung muss nachvollziehbar sein. Prüfen Sie dabei auch, ob der Auftragsverarbeiter Löschungen protokolliert und bestätigt.
Für die Dokumentation der Löschklassen und Regeln genügt eine Tabelle, etwa als Muster. Das Konzept besteht aber nicht nur daraus: Zuständigkeiten, Verfahren, Nachweis und die regelmäßige Überprüfung gehören dazu. Eine gepflegte Tabelle ohne gelebten Prozess erfüllt die Rechenschaftspflicht nicht. Sinnvoll ist eine Tabelle mit je einer Zeile pro Löschregel und den Feldern aus dem Muster oben. Wichtig ist, dass jemand sie pflegt und die Löschläufe tatsächlich stattfinden. Bei vielen Systemen und Zuständigkeiten bildet ein Datenschutzmanagementsystem Löschregeln, Fristen und Protokolle zentral ab.
Nein, die Norm ist freiwillig. Sie liefert aber die erprobte Systematik aus Löschklassen und Löschregeln, auf die sich Prüfer und Aufsichtsbehörden beziehen. Für ein Löschkonzept nach DSGVO erspart die Orientierung daran Diskussionen über die Methodik, und Sie müssen keine eigene Systematik entwickeln. Eine Zertifizierung ist dafür nicht nötig. Wer die Norm nur als Gliederung nutzt, kann sie an die Größe des Unternehmens anpassen, solange Zuständigkeiten, Fristen und Nachweis geregelt sind.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen