Löschkonzept nach DSGVO

Wie wird ein Löschkonzept erstellt?

Ein strukturiertes Löschkonzept entsteht in sieben Schritten, die sich an der DIN 66398 orientieren:

1. Verantwortliche Person bestimmen — Wer ist im Unternehmen für die Pflege und Umsetzung zuständig?
2. Datenarten inventarisieren — Alle personenbezogenen Daten erfassen, idealerweise auf Basis des Verzeichnisses der Verarbeitungstätigkeiten (VVT)
3. Aufbewahrungsfristen ermitteln — Gesetzliche und vertragliche Fristen je Datenkategorie recherchieren und dokumentieren
4. Löschregeln definieren — Für jede Datenkategorie: Löschklasse, Löschfrist, Fristbeginn und zuständige Stelle festlegen
5. Technische Umsetzung festlegen — Löschmethoden je Datenträger definieren, abgestimmt mit den technisch-organisatorischen Maßnahmen (TOM): Cloud-Speicher, lokale Systeme, Papierarchive, mobile Geräte
6. Externe Dienstleister einbinden — Auftragsverarbeiter im Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zur regelkonformen Löschung verpflichten
7. Regelmäßig aktualisieren — Mindestens jährlich prüfen und bei jeder neuen Verarbeitungstätigkeit sofort anpassen

Löschklassen nach DIN 66398

Die DIN 66398 unterscheidet personenbezogene Daten nach ihrem Schutzbedarf in Löschklassen. Jede Löschklasse legt fest, welches Löschverfahren zulässig ist — von der einfachen Dateilöschung bis zur physischen Vernichtung des Datenträgers.

Die Wahl des Verfahrens bestimmt nicht die Löschfrist, sondern die Methode, mit der Daten dauerhaft unkenntlich gemacht werden müssen.

Vier Löschklassen haben sich in der Praxis als Standard etabliert:

LK 1 — Kein oder geringer Schutzbedarf: Standardlöschung genügt (Datei löschen, Papierkorb leeren). Typische Beispiele: allgemeine Korrespondenz, interne Protokolle ohne Personenbezug.

LK 2 — Normaler Schutzbedarf: Sichere Löschung durch mehrfaches Überschreiben nach NIST 800-88. Typische Beispiele: Kundendaten, Vertragsdaten, allgemeine Mitarbeiterdaten.

LK 3 — Erhöhter Schutzbedarf: Zertifizierte Datenlöschung oder Degaußen. Typische Beispiele: Gehaltsdaten, Finanzdaten, strafrechtlich relevante Informationen.

LK 4 — Sehr hoher Schutzbedarf: Physische Vernichtung des Datenträgers nach DIN 66399. Typische Beispiele: Gesundheitsdaten und biometrische Daten nach Art. 9 DSGVO.

Wichtig: Die Löschklasse bestimmt das Verfahren, nicht die Frist. Löschklasse und Aufbewahrungsfrist zusammen ergeben die vollständige Löschregel für eine Datenkategorie. Praxisbeispiel: Gehaltsabrechnungen fallen unter LK 3 (Finanzdaten, erhöhter Schutzbedarf) mit einer gesetzlichen 10-jährigen Aufbewahrungsfrist. Löschfrist: 10 Jahre nach Ausstellung. Löschverfahren: Zertifizierte Datenlöschung oder DIN-66399-konforme Aktenvernichtung.

Das Löschkonzept dokumentiert für jede Datenkategorie: Löschklasse, Löschfrist, Fristbeginn (z.B. „Ende der Geschäftsbeziehung“, „Datum der letzten Aktivität“) und zuständige Stelle.

Löschkonzept-Vorlage — Was ein vollständiges Dokument enthalten muss

Eine rechtssichere Vorlage enthält sechs Pflichtbestandteile, die zusammen die DSGVO-Konformität dokumentierbar machen:

1. Deckblatt mit Versionierung — Dokumentname, Geltungsbereich, Verantwortliche Person, Datum der letzten Überarbeitung und Versionsnummer. Ohne Versionshistorie lässt sich im Prüffall nicht nachweisen, wann das Konzept zuletzt aktualisiert wurde.
2. Datenkategorienliste — Vollständige Auflistung aller verarbeiteten personenbezogenen Datenkategorien, idealerweise abgeleitet aus dem Verzeichnis der Verarbeitungstätigkeiten.
3. Löschregelwerk — Die Kerntabelle: Für jede Datenkategorie werden Löschklasse, Aufbewahrungsfrist, Fristbeginn und Löschverfahren festgelegt.
4. Verantwortlichkeitsmatrix — Wer löscht was, wann und mit welcher Methode? Externe Auftragsverarbeiter werden separat aufgeführt mit Verweis auf den zugehörigen AVV.
5. Löschdokumentation — Nachweis über erfolgte Löschvorgänge: Datum, betroffene Systeme, verantwortliche Person. Diese Dokumentation ist bei Prüfungen durch Aufsichtsbehörden vorzulegen.
6. Überprüfungshistorie — Wann wurde das Konzept überprüft, was hat sich geändert, wer hat die Änderungen freigegeben?

Die kostenlose Vorlage oben enthält alle sechs Bestandteile als Excel-Struktur — direkt befüllbar und auf die Anforderungen der DIN 66398 abgestimmt.