Löschkonzept erstellen: Löschfristen, Löschregeln + Muster

Daten zu löschen ist eine eigene DSGVO-Pflicht. Die Speicherbegrenzung (Art. 5 Abs. 1 lit. e) erlaubt die Aufbewahrung nur so lange, wie der Zweck es erfordert und das Recht auf Löschung (Art. 17) erzwingt die Löschung, sobald bestimmte Auslöser greifen. Gleichzeitig verlangen unter anderem Handels- und Steuerrecht, einen Teil derselben Unterlagen jahrelang aufzubewahren. Ein Löschkonzept löst diesen Konflikt: feste Löschregeln je Datenart, mit Fristen, Auslösern und Verantwortlichen. Die Aufsichtsbehörden schauen derzeit genau hin: Seit März 2025 läuft eine europaweit koordinierte Prüfaktion des Europäischen Datenschutzausschusses (EDSA) zum Recht auf Löschung. Dieser Leitfaden zeigt, was das Gesetz verlangt, welche Aufbewahrungsfristen der Löschung vorgehen und wie Sie das Konzept Schritt für Schritt aufbauen.

Was ist ein Löschkonzept und warum brauche ich eins?

Reicht es nicht, auf Anfrage zu löschen?

Nein. Das Recht auf Löschung ist nur einer von mehreren Auslösern: Personenbezogene Daten müssen auch dann gelöscht werden, wenn der Zweck, für welchen sie verarbeitet werden, erfüllt ist, ggf. eine Einwilligung widerrufen wird, ein berechtigter Widerspruch nach Art. 21 vorliegt oder die Verarbeitung von Anfang an unrechtmäßig war (Art. 17 Abs. 1). Die Speicherbegrenzung macht daraus eine laufende Pflicht, keine jährliche Aufräumaktion. Die Frage einer Behörde ist konkret: Welche Daten löschen Sie wann und können Sie das belegen? Ad-hoc-Antworten bestehen diesen Test nicht; eine dokumentierte Routine schon. Das Löschkonzept ist diese Routine in Schriftform.

Es ist außerdem das Stück, auf das Ihre übrige Dokumentation bereits verweist. Jeder Eintrag in Ihrem Verzeichnis der Verarbeitungstätigkeiten nennt eine Speicherdauer, und Ihre Datenschutzerklärung muss die Kriterien dafür offenlegen (Art. 13 Abs. 2 lit. a). Das Löschkonzept ist das System hinter diesen Angaben.

Wann geht eine Aufbewahrungspflicht der Löschung vor?

Welche Daten muss ich behalten, auch wenn Löschung verlangt wird?

Art. 17 Abs. 3 lit. b enthält eine zentrale Ausnahme: keine Löschung, solange die Verarbeitung zur Erfüllung einer rechtlichen Pflicht erforderlich ist. In Deutschland heißt das vor allem: die gesetzlichen Aufbewahrungsfristen des Handels- und Steuerrechts. Jahresabschlüsse und Handelsbücher werden 10 Jahre aufbewahrt, Buchungsbelege und Rechnungen 8 Jahre (seit 2025, vorher 10; für Banken und Versicherer gilt weiterhin die 10-jährige Frist), Handelsbriefe 6 Jahre (§ 257 HGB, § 147 AO, § 14b UStG). Hinzu kommen ggf. weitere rechtliche Verpflichtungen, die je Verarbeitungszweck im Einzelnen zu prüfen sind (z. B. Geldwäschegesetz, Sozialversicherungsrecht).

Daneben steht eine zweite, ebenso zentrale Ausnahme: Art. 17 Abs. 3 lit. e erlaubt die Aufbewahrung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Darauf stützt sich etwa die Aufbewahrung von Vertrags-, Rechnungs- und Kundendaten bis zum Ablauf der regelmäßigen Verjährungsfrist (§ 195 BGB, in der Regel drei Jahre; bei Gewährleistungs- und Haftungsansprüchen länger).

Für den häufigen Anwendungsfall gibt es einen eigenen Mechanismus. Der ursprüngliche Zweck ist entfallen, aber eine Aufbewahrungsfrist läuft noch: Dann greift die Einschränkung der Verarbeitung (Art. 18). Die Daten werden gesperrt, nur für den Aufbewahrungszweck vorgehalten und von der aktiven Nutzung ausgeschlossen. Die Sperrung ist keine Kür: Wer Daten weiter nutzt, die er nur wegen einer Aufbewahrungspflicht hält, verstößt wiederum gegen die DSGVO.

Das Konzept aufbauen: Datenarten, Löschklassen, Löschregeln

Wie mache ich aus dem Gesetz funktionierende Regeln?

Die etablierte Methode stammt aus ISO/IEC 27555, dem internationalen Nachfolger der deutschen DIN 66398: Datenarten werden zu Löschklassen gruppiert, die sich Frist und Auslöser teilen, und je Klasse gilt eine Löschregel - Frist, Auslöser, Verantwortliche. Der Sinn der Klassen ist Skalierung: Ein KMU hält Dutzende Datenarten, braucht aber meist weniger als zehn Löschklassen. Zehn Regeln decken damit alles ab.

Lesen Sie jede Zeile als eine Löschklasse: Dasselbe Muster lässt sich auf jede Datenart in Ihrem ROPA übertragen.

Löschkonzept erstellen: Schritt für Schritt

Womit fange ich an?

1. Beginnen Sie mit Ihrem ROPA. Jeder Eintrag trägt bereits eine Speicherdauer. Gruppieren Sie Einträge mit gleicher Frist und gleichem Auslöser zu Löschklassen.

2. Definieren Sie eine Regel je Klasse. Frist, Auslöser und eine benannte Person, die die Löschung ausführt und protokolliert.

3. Beziehen Sie Backups und Archive ein. Ein Konzept, das nur Produktivsysteme abdeckt, ist ein klassischer Prüfbefund. Legen Sie fest, wie die Löschung Backups erreicht, etwa über Rotationszyklen und Nachlöschung nach einem Restore.

4. Sperren, was bleiben muss; löschen, was weg muss; beides protokollieren. Daten mit laufender Aufbewahrungsfrist werden eingeschränkt (Art. 18); alles jenseits seiner Regel wird gelöscht, und die Löschung wird als Nachweis dokumentiert. Eine dritte Option ist die Anonymisierung: Vollständig und unumkehrbar anonymisierte Daten fallen aus der DSGVO heraus und dürfen etwa für Statistik weiterverwendet werden (Erwägungsgrund 26 DSGVO). Pseudonymisierung genügt dafür nicht.

Wie halte ich es aktuell?

Prüfen Sie das Konzept, sobald ein neues Tool, eine neue Datenart oder ein neuer Prozess dazukommt - derselbe Auslöser, der Ihr ROPA aktualisiert - plus eine vollständige Prüfung pro Jahr. Die Regeln schützen nur, solange sie der Realität entsprechen.