Löschkonzept – Löschfristen und Aufbewahrungspflichten nach DSGVO

Was ist ein Löschkonzept?

Ein Löschkonzept legt fest, welche personenbezogenen Daten ein Unternehmen wie lange speichert und wann und wie es sie löscht. Es übersetzt den Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO in konkrete Regeln für jede Datenart. Zugleich ist es der Nachweis, dass das Unternehmen seine Löschpflichten kennt und erfüllt.

Die DSGVO schreibt ein Löschkonzept nicht ausdrücklich vor. Wer jedoch nach Art. 5 Abs. 2 DSGVO nachweisen muss, dass Daten nicht länger als nötig gespeichert werden, kommt ohne dokumentierte Löschregeln kaum aus. In Prüfungen der Aufsichtsbehörden ist das Löschkonzept deshalb faktisch der erwartete Nachweis.

Das Löschkonzept hängt eng mit dem Verzeichnis von Verarbeitungstätigkeiten (VVT) zusammen: Dort steht für jede Verarbeitung die vorgesehene Löschfrist. Das Löschkonzept beschreibt, wie diese Fristen tatsächlich umgesetzt werden.

Warum brauchen Unternehmen ein Löschkonzept?

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für ihren Zweck erforderlich ist. Danach müssen sie gelöscht werden, und zwar ohne dass jemand danach fragt. Art. 17 DSGVO verpflichtet Unternehmen zur Löschung, sobald der Zweck entfallen ist, eine Einwilligung widerrufen wurde oder eine Speicherung unrechtmäßig war.

In der Praxis wachsen Datenbestände über Jahre: alte Bewerbungen im Postfach, Kundendaten ehemaliger Interessenten, Sicherungskopien, Exporte auf Netzlaufwerken. Ohne feste Regeln löscht niemand, weil sich niemand zuständig fühlt. Das hat Folgen:

• Bußgeldrisiko: Verstöße gegen die Grundsätze aus Art. 5 DSGVO können mit bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden.
• Größerer Schaden bei Datenpannen: Was nicht mehr gespeichert ist, kann auch nicht abfließen. Jede Datenpanne wiegt schwerer, wenn Altdaten betroffen sind.
• Mehr Aufwand bei Anfragen: Beim Auskunftsrecht müssen alle gespeicherten Daten einer Person zusammengestellt werden. Je mehr Altbestände, desto größer der Aufwand.

Was muss ein Löschkonzept enthalten?

Bewährt hat sich der Aufbau nach der früheren DIN 66398. Diese Norm wurde inzwischen zurückgezogen und durch die internationale DIN EN ISO/IEC 27555:2025-09 ersetzt, die auf ihr aufbaut. Die Grundidee ist gleich geblieben: Statt jede einzelne Datei zu betrachten, bildet man Gruppen mit gleichen Regeln.

1. Datenarten erfassen

Zuerst wird festgehalten, welche personenbezogenen Daten im Unternehmen vorkommen, etwa Bewerbungsunterlagen, Personalakten, Lohnabrechnungen, Kundenstammdaten, Rechnungen, E-Mails oder Protokolldaten. Das VVT ist dafür der beste Ausgangspunkt.

2. Löschfristen und Startzeitpunkte festlegen

Für jede Datenart wird bestimmt, wie lange sie gebraucht wird und ab wann die Frist läuft, zum Beispiel ab Vertragsende, ab Ende des Kalenderjahres oder ab der Absage an einen Bewerber.

3. Löschklassen bilden

Datenarten mit gleichem Startzeitpunkt und gleicher Frist werden zu Löschklassen zusammengefasst. So entstehen wenige, gut handhabbare Regeln statt hunderter Einzelfälle.

4. Verantwortlichkeiten und Verfahren regeln

Das Konzept legt fest, wer löscht, wie gelöscht wird und wie die Löschung dokumentiert wird. Dazu gehören auch Sonderfälle wie Backups, Archive und Papierakten.

5. Regelmäßig überprüfen

Gesetze, Systeme und Prozesse ändern sich. Ein Löschkonzept sollte mindestens einmal im Jahr überprüft werden.

Welche Aufbewahrungsfristen gelten?

Gesetzliche Aufbewahrungspflichten gehen der Löschpflicht vor. Solange eine Frist läuft, dürfen und müssen die Daten aufbewahrt werden. Die wichtigsten Fristen für Unternehmen in Deutschland:

• Handelsbücher, Inventare, Jahresabschlüsse: 10 Jahre (§ 257 HGB, § 147 AO)
• Buchungsbelege und Rechnungen: 8 Jahre. Das Vierte Bürokratieentlastungsgesetz (BEG IV) hat diese Frist zum 1. Januar 2025 von zehn auf acht Jahre verkürzt.
• Empfangene und versandte Handels- und Geschäftsbriefe: 6 Jahre (§ 257 HGB, § 147 AO)
• Lohnkonten und lohnsteuerliche Unterlagen: 6 Jahre (§ 41 EStG)

Die Fristen beginnen in der Regel mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist. Ein Buchungsbeleg aus dem Jahr 2026 darf also Ende 2034 gelöscht werden.

Daneben gibt es Fristen, die sich aus der Praxis und der Rechtsprechung ergeben. Bewerbungsunterlagen abgelehnter Bewerber werden meist rund sechs Monate nach der Absage gelöscht, weil Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) innerhalb kurzer Fristen geltend gemacht werden müssen. Für Personalakten ehemaliger Beschäftigter wird häufig die regelmäßige Verjährungsfrist von drei Jahren (§ 195 BGB) zugrunde gelegt, soweit keine längeren Pflichten bestehen.

Was gilt während der Aufbewahrungsfrist?

Ist der eigentliche Zweck entfallen, die Aufbewahrungsfrist aber noch nicht abgelaufen, werden die Daten gesperrt statt gelöscht. Sie bleiben gespeichert, dürfen aber nur noch für den Aufbewahrungszweck genutzt werden, etwa für eine Betriebsprüfung. Fordert eine Person die Löschung ihrer Daten, erhält sie in diesem Fall eine begründete Mitteilung, dass und warum die Daten noch aufbewahrt werden.

Wie wird ein Löschkonzept technisch umgesetzt?

Ein Löschkonzept auf Papier löscht keine Daten. Entscheidend ist die Umsetzung in den Systemen. Dabei hilft der Blick eines IT-Dienstleisters, denn die Fallstricke liegen meist in der Technik:

• Löschfunktionen nutzen: Viele Programme wie ERP-, CRM- oder Bewerbermanagement-Systeme bieten Löschroutinen, die nur eingerichtet werden müssen.
• Backups berücksichtigen: Daten in Sicherungen werden in der Regel nicht einzeln gelöscht, sondern verschwinden mit dem Ablauf der Backup-Rotation. Diese Rotation sollte im Löschkonzept beschrieben sein.
• Postfächer und Netzlaufwerke einbeziehen: Hier liegen die meisten vergessenen Daten, etwa Bewerbungen in persönlichen Postfächern oder Exporte in Projektordnern.
• Sicher löschen: Für ausgemusterte Festplatten und Datenträger gehört eine sichere Löschung oder Vernichtung zu den technischen und organisatorischen Maßnahmen (TOM).
• Löschung dokumentieren: Ein kurzes Protokoll, wann welche Löschklasse bereinigt wurde, genügt meist als Nachweis.

Unser Praxistipp

Beginnen Sie nicht mit dem perfekten Konzept, sondern mit den Datenarten, die das größte Risiko tragen: Bewerbungen, Personaldaten und Kundendaten ehemaliger Interessenten. Legen Sie dafür Fristen und Zuständige fest und richten Sie, wo möglich, automatische Löschroutinen ein. Ein schlankes Löschkonzept, das gelebt wird, ist mehr wert als ein umfangreiches Dokument, das niemand anwendet.

Häufige Fragen zum Löschkonzept

Ist ein Löschkonzept Pflicht?

Die DSGVO nennt das Löschkonzept nicht ausdrücklich. Sie verlangt aber, dass Unternehmen die Speicherbegrenzung einhalten und nachweisen können. Ohne dokumentierte Löschregeln ist dieser Nachweis kaum zu führen.

Wie lange dürfen Bewerbungsunterlagen gespeichert werden?

Nach einer Absage in der Regel rund sechs Monate. Wer Unterlagen länger für spätere Stellen aufbewahren möchte, braucht die Einwilligung des Bewerbers.

Gilt die Löschpflicht auch für Backups?

Ja, auch Daten in Backups unterliegen der Löschpflicht. Es genügt jedoch meist, wenn sie mit dem planmäßigen Überschreiben der Sicherungen verschwinden und bis dahin nicht wiederhergestellt werden.

Was ist der Unterschied zwischen Löschen und Sperren?

Gelöschte Daten sind dauerhaft und unwiederbringlich entfernt. Gesperrte Daten bleiben gespeichert, dürfen aber nur noch für einen eng begrenzten Zweck genutzt werden, etwa zur Erfüllung einer Aufbewahrungspflicht.

Wer ist für das Löschkonzept verantwortlich?

Verantwortlich ist die Geschäftsleitung. Der Datenschutzbeauftragte berät bei der Erstellung und kontrolliert die Umsetzung.

Fazit

Ein Löschkonzept sorgt dafür, dass personenbezogene Daten nicht länger als nötig gespeichert werden. Es verbindet die Löschfristen aus dem Verarbeitungsverzeichnis mit klaren Zuständigkeiten und technischen Routinen. Wer es pragmatisch angeht und mit den riskantesten Datenarten beginnt, senkt sein Bußgeldrisiko und verkleinert den möglichen Schaden bei Datenpannen.

Verwandte Begriffe im Glossar

• DSGVO – Datenschutz-Grundverordnung
• Verzeichnis von Verarbeitungstätigkeiten (VVT)
• TOM – technisch-organisatorische Maßnahmen
• Auskunftsrecht nach Art. 15 DSGVO
• Datenschutzbeauftragter (DSB)
• Pseudonymisierung und Anonymisierung
• Drittlandübermittlung und EU-US Data Privacy Framework

Quellen und Rechtsgrundlagen

• Datenschutz-Grundverordnung (EU) 2016/679, insbesondere Art. 5 und 17, EUR-Lex
• § 257 HGB – Aufbewahrung von Unterlagen, gesetze-im-internet.de
• § 147 AO – Ordnungsvorschriften für die Aufbewahrung von Unterlagen, gesetze-im-internet.de
• DIN EN ISO/IEC 27555:2025-09 – Leitlinien zur Löschung personenbezogener Daten, DIN Media
• Landesbeauftragte für Datenschutz und Informationsfreiheit NRW