Auf einen Blick: Ein L\u00f6schkonzept regelt, wann und wie personenbezogene Daten gel\u00f6scht werden. Es ist die praktische Umsetzung des DSGVO-Grundsatzes der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) und Voraussetzung f\u00fcr ein funktionierendes Datenschutzmanagement. Dieser Leitfaden erkl\u00e4rt, was ein L\u00f6schkonzept enthalten muss, welche Fristen gelten und wie Sie es Schritt f\u00fcr Schritt erstellen.
Was ist ein L\u00f6schkonzept und wozu brauchen Sie es?
Ein L\u00f6schkonzept (auch L\u00f6schrichtlinie oder Datenlöschkonzept genannt) ist ein internes Dokument, das regelt, wann und wie personenbezogene Daten in einer Organisation gel\u00f6scht werden. Es beantwortet drei zentrale Fragen: Welche Daten m\u00fcssen wann gel\u00f6scht werden? Wie werden sie sicher gel\u00f6scht? Und wer ist f\u00fcr die Umsetzung verantwortlich?
In der Praxis l\u00f6sen viele Unternehmen das Problem der Datenlöschung ad hoc oder gar nicht: Daten werden aufgehoben \u201ef\u00fcr den Fall der F\u00e4lle\u201c, \u00e4ltere E-Mail-Postf\u00e4cher nie geleert, Datenbanken von ehemaligen Kunden nie bereinigt. Das ist nicht nur ein Datenschutzproblem, sondern auch ein Sicherheitsrisiko: Je mehr veraltete Daten gespeichert sind, desto gr\u00f6\u00dfer ist der potenzielle Schaden bei einem Datenschutzvorfall.
Ein systematisches L\u00f6schkonzept schafft hier Ordnung: Es definiert klare Regeln, sorgt f\u00fcr rechtliche Sicherheit und reduziert gleichzeitig die Datenmenge \u2013 und damit das Risiko bei einem m\u00f6glichen Datenleck.
Rechtsgrundlage: Was schreibt die DSGVO vor?
Art. 5 Abs. 1 lit. e DSGVO \u2013 Speicherbegrenzung
Personenbezogene Daten d\u00fcrfen nur so lange gespeichert werden, wie es f\u00fcr den Verarbeitungszweck erforderlich ist. Danach sind sie zu l\u00f6schen oder zu anonymisieren. Das klingt simpel, ist in der Praxis aber komplex: Verschiedene Zwecke haben unterschiedliche Laufzeiten, und gesetzliche Aufbewahrungspflichten \u00fcberlagern das Datenschutzrecht.
Art. 17 DSGVO \u2013 Recht auf L\u00f6schung
Betroffene Personen haben das Recht, die L\u00f6schung ihrer Daten zu verlangen. Um diesem Recht fristgerecht nachkommen zu k\u00f6nnen (Antwortfrist: ein Monat), muss ein Unternehmen wissen, wo welche Daten gespeichert sind \u2013 und in der Lage sein, sie zuverl\u00e4ssig zu l\u00f6schen. Das erfordert ein systematisches Konzept.
Art. 5 Abs. 2 DSGVO \u2013 Rechenschaftspflicht
Der Verantwortliche muss die Einhaltung aller Datenschutzgrunds\u00e4tze nachweisen k\u00f6nnen. Das schlie\u00dft die Speicherbegrenzung und den Umgang mit L\u00f6schanfragen ein. Ein dokumentiertes L\u00f6schkonzept ist der Beweis, dass L\u00f6schprozesse systematisch und rechtssicher geregelt sind.
DIN 66398: Der Standard f\u00fcr L\u00f6schkonzepte
Die DIN 66398 \u201eLeitlinie zur Entwicklung eines L\u00f6schkonzepts mit Ableitung von L\u00f6schfristen f\u00fcr personenbezogene Daten\u201c bietet einen standardisierten Rahmen. Sie ist zwar nicht rechtlich verbindlich, entspricht jedoch dem Stand der Technik und wird von Datenschutzbeh\u00f6rden als Best Practice anerkannt.
Die wichtigsten Aufbewahrungsfristen im \u00dcberblick
| Datenkategorie | Frist | Rechtsgrundlage |
|---|---|---|
| Buchungsbelege, Rechnungen, Kontoanusz\u00fcge | 10 Jahre | \u00a7 147 Abs. 3 AO, \u00a7 257 HGB |
| Handelsbriefe (empfangen und gesendet) | 6 Jahre | \u00a7 147 Abs. 1 Nr. 2\u20134 AO, \u00a7 257 HGB |
| Lohnunterlagen (Lohnlisten, Gehaltsabrechnungen) | 10 Jahre | \u00a7 147 AO |
| Arbeitszeugnisse | Empfehlung: 3 Jahre nach Ende des Arbeitsverh\u00e4ltnisses | \u00a7 195 BGB (Regelverj\u00e4hrung) |
| Bewerbungsunterlagen (abgelehnte Bewerber) | 6 Monate nach Absage | \u00a7 15 AGG |
| Video\u00fcberwachungsdaten | 72 Stunden (ohne konkreten Anlass) | \u00a7 4 BDSG |
| Krankmeldungen / Arbeitsunf\u00e4higkeitsbescheinigungen | 3 Jahre (Verj\u00e4hrungsfrist) | \u00a7 195 BGB |
| Unfallmeldungen und -berichte | 5 Jahre | \u00a7 27 DGUV-V 1 |
| Vertragsunterlagen (nach Vertragsende) | 6\u201310 Jahre | \u00a7 195 ff. BGB, \u00a7 147 AO |
| Kundendaten (nach letztem Kontakt) | 3 Jahre + bis Jahresende | \u00a7 195 BGB (Regelverj\u00e4hrung) |
| Newsletter-Einwilligungen (nach Abmeldung) | 3 Jahre | \u00a7 195 BGB |
| IP-Adressen in Server-Logfiles | 7 Tage (max.) | DSGVO Art. 5 Abs. 1 lit. e |
L\u00f6schklassen nach DIN 66398
Die DIN 66398 strukturiert L\u00f6schfristen in sogenannte L\u00f6schklassen:
- L\u00f6schklasse 1 (Geringe Sensitivit\u00e4t): Daten ohne nennenswerte Risiken f\u00fcr Betroffene. Kurze Aufbewahrungsfristen, keine besonderen L\u00f6schanforderungen.
- L\u00f6schklasse 2 (Mittlere Sensitivit\u00e4t): Standard-Gesch\u00e4ftsdaten wie Kundenadressen, Vertragsunterlagen, allgemeine Mitarbeiterdaten. Gesetzliche Aufbewahrungsfristen (6\u201310 Jahre) gelten h\u00e4ufig.
- L\u00f6schklasse 3 (Hohe Sensitivit\u00e4t): Besondere Kategorien nach Art. 9 DSGVO: Gesundheitsdaten, Bankdaten, biometrische Daten. Kurze Aufbewahrungsfristen, erh\u00f6hte L\u00f6schanforderungen (zertifizierte Datenvernichtung).
Bestandteile eines vollst\u00e4ndigen L\u00f6schkonzepts
1. Geltungsbereich und Zweck
F\u00fcr wen gilt das L\u00f6schkonzept? Welche Systeme, Abteilungen und Datenarten sind erfasst? Ein klar definierter Geltungsbereich verhindert, dass wichtige Bereiche \u00fcbersehen werden.
2. Verantwortlichkeiten
Wer ist f\u00fcr die Umsetzung der L\u00f6schfristen verantwortlich? In der Regel: Fachbereichsleiter (f\u00fcr ihre Daten), IT-Abteilung (f\u00fcr technische L\u00f6schprozesse) und Datenschutzbeauftragter (\u00dcberwachung und Berichterstattung). Klare Zuordnungen verhindern, dass sich niemand zust\u00e4ndig f\u00fchlt.
3. Datenarten und Verarbeitungs\u00fcbersicht
Eine \u00dcbersicht aller relevanten Datenkategorien, geordnet nach Verarbeitungst\u00e4tigkeit. F\u00fcr jede Datenkategorie wird die Aufbewahrungsfrist, der Fristbeginn und die L\u00f6schmethode festgelegt.
4. Aufbewahrungsfristen-Matrix
Das Herzst\u00fcck des L\u00f6schkonzepts: Eine systematische Tabelle, die f\u00fcr jede Datenkategorie Aufbewahrungsfrist, Fristbeginn, L\u00f6schmethode und Zust\u00e4ndigkeit auflistet. Diese Matrix bildet die Grundlage f\u00fcr die automatisierte oder manuelle Umsetzung der L\u00f6schungen.
5. L\u00f6schverfahren und technische Umsetzung
Wie werden Daten tats\u00e4chlich gel\u00f6scht? Unterscheidung nach Medientypen: Digitale Daten auf Festplatten, SSDs und Cloud-Systemen erfordern andere Verfahren als Papierdokumente oder mobile Ger\u00e4te.
6. Ausnahmen und Sperrmechanismen
Laufende Rechtsstreitigkeiten, beh\u00f6rdliche Anfragen oder vertraglich vereinbarte Aufbewahrungspflichten k\u00f6nnen eine Sperrung statt L\u00f6schung erforderlich machen. Das L\u00f6schkonzept regelt, wie mit solchen Ausnahmen umgegangen wird.
7. Nachweis und Dokumentation der L\u00f6schungen
Wie wird nachgewiesen, dass Daten tats\u00e4chlich gel\u00f6scht wurden? L\u00f6schprotokolle, Zertifikate externer Vernichtungsdienstleister oder automatisierte L\u00f6schberichte in Datenmanagementsystemen. Der Nachweis ist wichtig f\u00fcr die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Schritt-f\u00fcr-Schritt: L\u00f6schkonzept erstellen
Schritt 1: Bestandsaufnahme der Datenlandschaft
Analysieren Sie, welche personenbezogenen Daten in Ihrer Organisation vorhanden sind, wo sie gespeichert sind und wer Zugriff hat. Nutzen Sie dazu das Verzeichnis der Verarbeitungst\u00e4tigkeiten als Ausgangspunkt. Erfassen Sie alle relevanten Systeme: ERP, CRM, HR-Software, E-Mail-Systeme, Dateiserver, Cloud-Dienste, Archivierungssysteme, Papierarchive.
Schritt 2: Rechtsgrundlagen und Aufbewahrungsfristen recherchieren
F\u00fcr jede Datenkategorie m\u00fcssen die relevanten gesetzlichen Aufbewahrungsfristen und datenschutzrechtlichen Speicherbegrenzungen ermittelt werden. Beachten Sie: Solange eine gesetzliche Aufbewahrungspflicht besteht, darf nicht gel\u00f6scht werden \u2013 aber nach Ablauf der Pflicht muss unverz\u00fcglich gel\u00f6scht werden.
Schritt 3: L\u00f6schfristen f\u00fcr jede Datenkategorie festlegen
Legen Sie f\u00fcr jede Datenkategorie fest: Fristbeginn (z.\u00a0B. Ende des Vertragsverh\u00e4ltnisses, letzter Kundenkontakt, Abschluss des Gesch\u00e4ftsjahres), Fristdauer (basierend auf rechtlichen Anforderungen und Gesch\u00e4ftszweck), L\u00f6schmethode und verantwortliche Person.
Schritt 4: Technische und organisatorische Umsetzung planen
Pr\u00fcfen Sie, ob Ihre Systeme eine automatisierte L\u00f6schung unterst\u00fctzen. Viele moderne Systeme (CRM, ERP, HR-Software) bieten Retention-Management-Funktionen. Wo automatisierte L\u00f6schung nicht m\u00f6glich ist, m\u00fcssen manuelle Prozesse und Erinnerungsroutinen etabliert werden.
Schritt 5: L\u00f6schkonzept dokumentieren und freigeben
Fassen Sie alle Ergebnisse in einem strukturierten Dokument zusammen. Lassen Sie das L\u00f6schkonzept vom Datenschutzbeauftragten pr\u00fcfen und von der Gesch\u00e4ftsf\u00fchrung freigeben. Kommunizieren Sie das Konzept an alle betroffenen Abteilungen.
Schritt 6: Regelm\u00e4\u00dfige \u00dcberpr\u00fcfung und Aktualisierung
Das L\u00f6schkonzept muss aktuell gehalten werden. Eine j\u00e4hrliche \u00dcberpr\u00fcfung ist empfehlenswert. Bei neuen Verarbeitungst\u00e4tigkeiten, Systemwechseln oder \u00c4nderungen der Rechtslage muss das Konzept zeitnah aktualisiert werden.
Technische Umsetzung: Wie werden Daten sicher gel\u00f6scht?
Digitale Daten auf Festplatten (HDD)
Einfaches L\u00f6schen und Formatieren reicht nicht. Empfohlen: Mehrfaches \u00dcberschreiben (mindestens 3 Durchl\u00e4ufe, BSI-Standard) mit speziellen Tools (z.\u00a0B. DBAN, Eraser, Blancco). Alternativ: Physische Vernichtung (Schreddern der Festplatte) mit Zertifikat.
SSDs und Flash-Speicher
Bei SSDs ist mehrfaches \u00dcberschreiben wegen der Wear-Leveling-Technologie weniger zuverl\u00e4ssig. Besser: Kryptografisches L\u00f6schen (L\u00f6schen des Verschl\u00fcsselungsschl\u00fcssels bei verschl\u00fcsselten SSDs) oder physische Vernichtung.
Cloud-Dienste
Das \u201eL\u00f6schen\u201c in Cloud-Diensten f\u00fchrt nicht immer zur sofortigen physischen L\u00f6schung. Kl\u00e4ren Sie mit Ihrem Cloud-Anbieter: Wann werden Daten wirklich gel\u00f6scht (inkl. Backups und Replikate)? Diese Informationen m\u00fcssen im Auftragsverarbeitungsvertrag (AVV) geregelt sein.
Papierdokumente
Papierdokumente mit personenbezogenen Daten m\u00fcssen mit einem zertifizierten Aktenvernichter vernichtet werden. Mindeststandard nach DIN 66399: Sicherheitsstufe P-4 f\u00fcr normale personenbezogene Daten, P-5 oder h\u00f6her f\u00fcr besondere Datenkategorien (Gesundheitsdaten, Bankdaten). Externe Aktenvernichtungsdienstleister m\u00fcssen als Auftragsverarbeiter vertraglich gebunden sein.
L\u00f6schkonzept und Archivierung: Was ist der Unterschied?
Archivierung bedeutet das langfristige, gesicherte Aufbewahren von Daten \u2013 oft aus rechtlichen oder historischen Gr\u00fcnden. Archivierte Daten d\u00fcrfen nicht f\u00fcr operative Zwecke genutzt werden. Aufbewahrung aus rechtlicher Verpflichtung (z.\u00a0B. Buchungsbelege 10 Jahre) ist keine Archivierung im datenschutzrechtlichen Sinne, sondern eine gesetzliche Pflicht, die das L\u00f6schen vor\u00fcbergehend verhindert. Das L\u00f6schkonzept muss beide F\u00e4lle ber\u00fccksichtigen.
L\u00f6schkonzept und VVT: Zusammenspiel der Datenschutz-Dokumente
Das L\u00f6schkonzept steht in engem Zusammenhang mit den anderen Datenschutz-Kerndokumenten:
- VVT: Das Verzeichnis der Verarbeitungst\u00e4tigkeiten nennt die L\u00f6schfristen je Datenkategorie. Diese m\u00fcssen mit dem L\u00f6schkonzept \u00fcbereinstimmen.
- DSFA: Bei besonders risikoreichen Verarbeitungen werden in der DSFA auch die L\u00f6schfristen bewertet und ggf. versch\u00e4rft.
- TOMs: Das TOM-Dokument beschreibt die eingesetzten L\u00f6schverfahren und -technologien.
- AVV: Auftragsverarbeitungsvertr\u00e4ge m\u00fcssen Regelungen zur Datenlöschung nach Ende des Auftragsverh\u00e4ltnisses enthalten.
H\u00e4ufig gestellte Fragen zum L\u00f6schkonzept
Ist ein L\u00f6schkonzept nach DSGVO Pflicht?
Die DSGVO schreibt kein explizites L\u00f6schkonzept vor. Allerdings verpflichten Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung) und Art. 17 DSGVO (Recht auf L\u00f6schung) zu einem systematischen Umgang mit Datenlöschung. Ein dokumentiertes L\u00f6schkonzept ist faktisch notwendig, um diese Pflichten nachweisbar erf\u00fcllen zu k\u00f6nnen.
Was ist DIN 66398 und warum ist sie relevant?
DIN 66398 ist eine deutsche Norm mit dem Titel \u201eLeitlinie zur Entwicklung eines L\u00f6schkonzepts mit Ableitung von L\u00f6schfristen f\u00fcr personenbezogene Daten\u201c. Sie bietet einen standardisierten Rahmen, entspricht dem Stand der Technik und wird von Aufsichtsbeh\u00f6rden als Best Practice anerkannt.
Wie lange m\u00fcssen Mitarbeiterdaten aufbewahrt werden?
Lohn- und Gehaltsunterlagen: 10 Jahre (\u00a7 147 AO). Arbeitszeugnisse: Empfehlung 3 Jahre nach Ende des Arbeitsverh\u00e4ltnisses. Bewerbungsunterlagen abgelehnter Bewerber: maximal 6 Monate (\u00a7 15 AGG).
Was bedeutet sicheres L\u00f6schen?
Sicheres L\u00f6schen bedeutet, dass die Daten nicht wiederhergestellt werden k\u00f6nnen. Festplatten m\u00fcssen mehrfach \u00fcberschrieben oder physisch vernichtet werden. Cloud-Daten m\u00fcssen inkl. Backups und Replikaten gel\u00f6scht werden. Papierdokumente m\u00fcssen mit einem zertifizierten Aktenvernichter (mindestens DIN 66399 P-4) vernichtet werden.
Was ist der Unterschied zwischen L\u00f6schfrist und Aufbewahrungsfrist?
Eine Aufbewahrungsfrist ist der Zeitraum, in dem Daten mindestens aufbewahrt werden m\u00fcssen. Eine L\u00f6schfrist ist der Zeitpunkt, zu dem Daten sp\u00e4testens gel\u00f6scht werden m\u00fcssen. Oft stimmen Ende der Aufbewahrungsfrist und Beginn der L\u00f6schpflicht \u00fcberein.
Fazit: L\u00f6schkonzept als Basis des Datenschutzmanagements
Ein L\u00f6schkonzept ist kein optionales Add-on, sondern ein zentraler Bestandteil eines funktionierenden Datenschutzmanagementsystems. Es setzt den DSGVO-Grundsatz der Speicherbegrenzung in die Praxis um, sch\u00fctzt vor Bu\u00dfgeldern und reduziert Datenschutzrisiken.
Ein gutes L\u00f6schkonzept ist nicht komplex \u2013 es muss vollst\u00e4ndig, konsistent und umsetzbar sein. Beginnen Sie mit einer Bestandsaufnahme Ihrer Daten, leiten Sie die relevanten Fristen ab und etablieren Sie klare Zust\u00e4ndigkeiten.
Lesen Sie auch: Verzeichnis der Verarbeitungst\u00e4tigkeiten (VVT) und Datenschutz-Folgenabsch\u00e4tzung (DSFA).