Löschkonzept

Löschkonzept nach DSGVO: Ihr Leitfaden zur Datenlöschung

Ein Löschkonzept nach DSGVO ist ein unternehmensinternes Regelwerk, das genau festlegt, wie und wann personenbezogene Daten gelöscht werden, um den Datenschutzanforderungen gerecht zu werden. Seit Inkrafttreten der DSGVO im Mai 2018 und den drastisch erhöhten Bußgeldern können es sich Unternehmen nicht mehr leisten, die Datenlöschung zu vernachlässigen.

Ein durchdachtes, dokumentiertes Löschkonzept gehört zwingend zu einem datenschutzkonformen Datenmanagement. Es hilft dabei, den Zweckbindungsgrundsatz der DSGVO – also die Speicherung von Daten nur so lange wie nötig – in der Praxis umzusetzen. In diesem Leitfaden erfahren Sie, was ein Löschkonzept beinhaltet, warum es gesetzlich erforderlich ist und wie Sie Löschfristen, Aufbewahrungspflichten und Löschanfragen praxisgerecht managen.

Das Wichtigste in Kürze

• Ein Löschkonzept nach DSGVO ist gesetzlich vorgeschrieben und dokumentiert, wie personenbezogene Daten im Unternehmen gelöscht werden.

• Es definiert klare Löschfristen, Verantwortlichkeiten und Verfahren zur Datenvernichtung – unter Berücksichtigung gesetzlicher Aufbewahrungsfristen.

• Ohne ein wirksames Löschkonzept drohen hohe Bußgelder bei Verstößen gegen die Löschpflicht oder mangelhafte Dokumentation.
• Technische und organisatorische Maßnahmen (z. B. automatisierte Löschroutinen, Schulungen, klare Zuständigkeiten) sind unabdingbar für die praktische Umsetzung.
• Das Konzept muss regelmäßig überprüft und bei Änderungen der Datenverarbeitung oder Gesetzeslage aktualisiert werden.

Was ist ein Löschkonzept? 

Ein Löschkonzept ist eine schriftliche Arbeitsanweisung, die systematisch regelt, wie personenbezogene Daten in einer Organisation datenschutzkonform gelöscht werden, sobald der Zweck ihrer Verarbeitung entfällt oder gesetzliche Fristen dies vorgeben. Darin wird genau festgelegt, wer innerhalb des Unternehmens wann und welche Daten zu löschen hat, wo diese Daten gespeichert sind und wie die Löschung zu erfolgen hat.

Mit anderen Worten definiert ein Löschkonzept alle relevanten Aspekte der Datenlöschung – von den Datenkategorien (z. B. Kundendaten, Mitarbeiterdaten) über Speicherorte und Löschfristen bis hin zu Verantwortlichkeiten und Löschverfahren.

Wichtig ist, dass das Löschkonzept unternehmensspezifisch ausgestaltet wird.

Je nach Branche, Abteilung und Art der verarbeiteten Daten unterscheiden sich die Anforderungen erheblich, sodass es kein universelles Muster gibt. Das Konzept sollte daher auf Basis der eigenen Verarbeitungstätigkeiten erstellt werden und idealerweise auch etablierte Standards wie die freiwillige DIN 66398 („Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen“) berücksichtigen.

Ein Löschkonzept ist nicht nur eine interne Arbeitsanweisung, sondern ein elementarer Bestandteil der Datenschutz-Dokumentation. Es dient als Nachweis dafür, dass das Unternehmen der Verpflichtung nachkommt, personenbezogene Daten rechtzeitig zu löschen. Dies ist wichtig, um Fehler bei der Datenvernichtung zu vermeiden und gegenüber Aufsichtsbehörden die Rechenschaftspflicht erfüllen zu können.

Kurz gesagt: Ein Löschkonzept stellt sicher, dass alle Mitarbeiter wissen, welche Daten zweckgebunden verarbeitet werden und wann deren Löschung auszulösen ist – ein zentraler Baustein eines gelebten Datenschutz-Managements.

Warum ist ein Löschkonzept gesetzlich erforderlich?

Die Pflicht zur Datenlöschung ergibt sich direkt aus der DSGVO. Art. 5 Abs. 1 lit. e DSGVO (Grundsatz der Speicherbegrenzung) verlangt, dass personenbezogene Daten nur so lange aufbewahrt werden, wie es für den Zweck der Verarbeitung erforderlich ist. Zudem steht betroffenen Personen das Recht auf Löschung nach Art. 17 DSGVO zu – auch bekannt als „Recht auf Vergessenwerden“.

Demnach kann jeder Betroffene verlangen, dass die ihn betreffenden Daten unverzüglich gelöscht werden, sobald kein legitimer Grund für eine weitere Speicherung mehr besteht.

Für Unternehmen bedeutet das: Sie müssen geeignete Prozesse einrichten, um diese Löschpflichten umzusetzen und deren Einhaltung nachweisen zu können. Die DSGVO verankert in Art. 5 Abs. 2 den Grundsatz der Rechenschaftspflicht, wonach der Verantwortliche die Einhaltung aller Datenschutzgrundsätze – also auch die rechtzeitige Löschung – belegen können muss. Ein Löschkonzept ist hierfür das zentrale Instrument: Es dokumentiert verbindlich, dass und wie das Unternehmen seiner Löschverpflichtung nachkommt.

Ohne Löschkonzept drohen gravierende Risiken. So wurde etwa eine Immobiliengesellschaft mit einem Bußgeld von 14,5 Mio. € belegt, weil ihr Archivsystem keine Möglichkeit vorsah, nicht mehr erforderliche Mieterdaten zu löschen. Auch unabhängig von Einzelfällen gilt: Verstöße gegen Lösch- und Aufbewahrungspflichten können nach Art. 83 DSGVO mit Geldbußen von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden.

Ein Löschkonzept ist daher nicht optional, sondern gesetzlich vorgeschrieben und unerlässlich, um Bußgelder zu vermeiden: Darüber hinaus hilft es, das Spannungsfeld zwischen Löschpflicht und gesetzlichen Aufbewahrungsfristen (z. B. aus Steuer- oder Handelsrecht) rechtssicher aufzulösen. Kurz gesagt schafft ein Löschkonzept klare Verhältnisse: Es zeigt, dass das Unternehmen personenbezogene Daten weder unnötig lange aufbewahrt noch vorschnell löscht, sondern stets gesetzeskonform handelt.

Die Erstellung eines Löschkonzepts: Löschfristen und Zweckbindung rechtssicher umsetzen 

Bei der Erstellung eines Löschkonzepts geht es vor allem darum, den Grundsatz der Zweckbindung und der Speicherbegrenzung in die Praxis zu überführen – sprich: für alle Daten festzulegen, wie lange sie gespeichert werden dürfen und wann sie spätestens zu löschen sind.

Dabei müssen gesetzliche Aufbewahrungspflichten beachtet und mit den Löschfristen in Einklang gebracht werden, um rechtssicher zu handeln. Im Folgenden zeigen wir die wichtigsten Schritte zur Entwicklung eines Löschkonzepts. Diese reichen von der Bestandsaufnahme aller Daten über die Festlegung von Lösch- und Aufbewahrungsfristen bis hin zur technischen Umsetzung und regelmäßigen Überprüfung.

So stellen Sie sicher, dass personenbezogene Daten datenschutzkonform und zum richtigen Zeitpunkt gelöscht werden.

Bestandsaufnahme der Daten

Am Anfang steht eine gründliche Bestandsaufnahme der Daten. Verschaffen Sie sich einen vollständigen Überblick darüber, welche personenbezogenen Daten in Ihrem Unternehmen verarbeitet werden, wo diese gespeichert sind und in welchen Systemen sie liegen.

Hierbei hat sich bewährt, das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) zurate zu ziehen, da es bereits viele Informationen über Datenkategorien, Zwecke, Speicherorte und Empfänger enthält. Identifizieren Sie alle Datenkategorien (z. B. Kundendaten, Beschäftigtendaten, Lieferantendaten) und ordnen Sie ihnen die jeweiligen Datenelemente zu (etwa Name, Adresse, Geburtsdatum bei Personaldaten).

Wichtig ist auch die Erfassung aller Speicherorte: persönliche Daten finden sich nicht nur in zentralen Datenbanken, sondern häufig auch in Backup-Systemen, E-Mail-Postfächern, Excel-Dateien, Dokumentenablagen oder Ticketsystemen. Dokumentieren Sie diese Ablagen detailliert. Berücksichtigen Sie zudem Daten bei Dritten: Wurden personenbezogene Daten an Auftragsverarbeiter oder Partner weitergegeben, müssen auch dort Löschungen erfolgen, sobald der Zweck entfällt oder eine Löschfrist abläuft.

Ein oft unterschätzter Bereich sind unstrukturierte Daten – etwa Dateien auf lokalen Rechnern oder Mobilgeräten der Mitarbeiter. Da hier automatisierte Löschroutinen schwer umzusetzen sind, sollten im Löschkonzept klare Richtlinien festgehalten werden, wie auch solche Daten regelmäßig geprüft und gelöscht oder zumindest gesperrt werden. Die Bestandsaufnahme bildet somit die Grundlage, um im nächsten Schritt für alle Daten die richtigen Löschfristen festzulegen.

Löschfristen anhand der gesetzlichen Aufbewahrungsfristen festlegen

Im zweiten Schritt werden Löschfristen definiert, also Zeiträume, nach deren Ablauf die jeweiligen Daten zu löschen sind. Diese ergeben sich einerseits aus dem Zweck der Datenverarbeitung und andererseits aus gesetzlichen Aufbewahrungsfristen. Orientieren Sie sich an den einschlägigen Gesetzen. Viele Unterlagen unterliegen Mindestaufbewahrungszeiten, z. B. 6 8 oder 10 Jahre nach Handels- und Steuerrecht (etwa Rechnungen 8 Jahre nach §257 HGB, §147 AO). Auch branchenspezifische Vorgaben sind zu beachten (z. B. medizinische Unterlagen 10 Jahre, Röntgenbilder 30 Jahre, Jugendarbeitsschutzdokumente 2 Jahre usw.).  Erst nach Ablauf solcher Fristen dürfen Daten tatsächlich gelöscht werden – zuvor sind sie aufzubewahren bzw. gesperrt.

Infobox: Typische Aufbewahrungsfristen im Überblick

Diese gesetzlichen Vorgaben beeinflussen Ihre Löschfristen – ein Auszug:

• Rechnungen: 10 Jahre (§257 HGB, §147 AO)

• Handelsbriefe & Buchungsbelege: 6–10 Jahre

• Mitarbeiterunterlagen (z. B. Arbeitsverträge): i. d. R. 3–6 Jahre

• Medizinische Dokumentation: 10 Jahre

• Röntgenbilder: 30 Jahre (§28 RöV)
• Jugendarbeitsschutz-Dokumente: 2 Jahre

Praxis-Tipp:

Bei Zweifeln oder branchenspezifischen Besonderheiten immer juristischen Rat oder den Datenschutzbeauftragten hinzuziehen.

Für jede Datenkategorie ist also festzuhalten: Wie lange muss bzw. darf sie gespeichert werden, und ab welchem Startzeitpunkt läuft diese Frist? Der Startzeitpunkt kann z. B. das Ende eines Vertrags, der Wegfall des Zweckes oder der Zeitpunkt der Datenerhebung sein. Wichtig: Stimmen Sie die Löschfristen mit den gesetzlichen Vorgaben ab.

Wo mehrere Regelungen greifen, ist zu entscheiden, was im Einzelfall schwerer wiegt – z. B. ein berechtigtes Interesse an längerer Speicherung oder eine gesetzliche Mindestfrist. So kann es sinnvoll sein, bestimmte Daten aus Gründen der Rechtsverteidigung länger aufzubewahren, als es die Grundfrist vorgibt, sofern dies datenschutzrechtlich zulässig und im Löschkonzept begründet dokumentiert wird.

Das Löschkonzept sollte diese Regeln klar festhalten, damit für alle Datenarten transparente Löschregeln bestehen.

Dokumentation der Löschprozesse

Ein Löschkonzept entfaltet nur dann seine volle Wirkung, wenn die definierten Löschprozesse auch nachvollziehbar dokumentiert werden. Zum einen ist das Löschkonzept selbst schriftlich zu fixieren und für alle Beteiligten zugänglich zu machen. Zum anderen sollten alle konkreten Löschvorgänge protokolliert werden. Dokumentieren Sie, welche Daten wann, von wem und auf welche Weise gelöscht wurden. Diese Dokumentation kann z. B. in Form eines Löschprotokolls oder automatisierter Logfiles erfolgen. Entscheidend ist, dass sie aussagekräftig und im Bedarfsfall vorzeigbar ist.

Die DSGVO-Dokumentations- und Rechenschaftspflichten verlangen, dass ein Unternehmen jederzeit belegen kann, dass es personenbezogene Daten vorschriftsmäßig gelöscht hat. Eine lückenlose Dokumentation der Löschprozesse ist hierfür essenziell. So sollte im Löschkonzept selbst beschrieben sein, wie die Nachweise geführt werden. Beispielsweise kann festgelegt werden, dass für jede durchgeführte Löschung ein Eintrag im Löschregister erfolgt oder dass auf Anfragen von Aufsichtsbehörden hin das aktuelle Löschkonzept sowie exemplarische Löschprotokolle vorgelegt werden können.

Auch Löschanfragen von Betroffenen (siehe Abschnitt 5) und deren Erledigung sind zu dokumentieren. Indem alle Schritte sauber dokumentiert sind, erfüllt das Unternehmen nicht nur seine Pflichten, sondern gewinnt auch intern Transparenz über den Stand der Datenlöschung. Diese Nachvollziehbarkeit schützt im Ernstfall vor Vorwürfen, gegen die DSGVO verstoßen zu haben.

Technische und organisatorische Umsetzung 

Nun gilt es, das Konzept in die Tat umzusetzen – sowohl technisch als auch organisatorisch. Technisch sollte nach Möglichkeit eine automatisierte Löschung implementiert werden. Moderne IT-Systeme (z. B. DMS, CRM, ERP) bieten oft Funktionen, um Datensätze nach Ablauf definierter Fristen automatisch zu löschen oder zu archivieren. Stellen Sie sicher, dass solche Funktionen aktiviert und korrekt konfiguriert sind.

Insbesondere die Behandlung von Backups erfordert Beachtung: Da eine selektive Löschung einzelner Datensätze in Sicherungssystemen oft nicht möglich ist, muss das Backup-Konzept darauf abgestimmt sein (z. B. regelmäßiges Überschreiben von Backups und keine Rücksicherung gelöschter Daten). Bei der physischen Datenvernichtung sind ebenfalls anerkannte Standards einzuhalten – Papierdokumente etwa sollten mit einem Aktenvernichter nach DIN 66399 vernichtet werden. Für elektronische Datenträger empfiehlt sich ein sicheres Überschreiben mit Zufallsdaten oder der Einsatz spezialisierter Lösch-Tools, um eine Wiederherstellung auszuschließen.

Organisatorisch muss geklärt sein, wer die Löschungen durchführt und überwacht. Benennen Sie einen verantwortlichen Mitarbeiter oder ein Team, das die Löschroutinen koordiniert, sowie einen Stellvertreter. Schulen Sie Ihre Mitarbeiter dahingehend, dass sie Daten nicht einfach unkontrolliert weiter speichern (Stichwort: Schatten-IT) und Löschvorgaben konsequent einhalten. Zudem sollten klare Abläufe definiert sein, wie bei einer Löschanfrage (siehe nächster Abschnitt) vorzugehen ist und wie mit gesperrten Daten in der Zwischenzeit umzugehen ist. Verträge mit Dienstleistern (z. B. Cloud-Anbietern, Auftragsverarbeitern) sollten Klauseln zur Löschung nach Zweckwegfall enthalten, damit auch außerhalb des eigenen Unternehmens gelöscht wird. Durch passende technische und organisatorische Maßnahmen wird das Löschkonzept vom Papier in den praktischen Datenschutzalltag überführt.

Technische Umsetzung von Löschprozessen – Best Practices

So gelingt die praxisnahe Integration in Ihre IT-Systeme:

• Automatisierte Löschroutinen: z. B. in DMS-, CRM- oder ERP-Systemen konfigurieren

• Backups richtig behandeln: regelmäßiges Überschreiben statt Rücksicherung gelöschter Daten

• Unstrukturierte Daten erfassen: Regeln für lokale Dateien, E-Mails und mobile Geräte definieren

• Dokumentation sichern: Löschprotokolle oder System-Logs zentral erfassen und aufbewahren

Praxis-Tipp:

Prüfen Sie regelmäßig, ob die technischen Löschmechanismen korrekt funktionieren und vollständig greifen.

Regelmäßige Überprüfung und Aktualisierung des Löschkonzepts

Ein Löschkonzept ist kein statisches Dokument, sondern muss regelmäßig überprüft und aktualisiert werden. Zum einen können sich interne Prozesse ändern – etwa neue IT-Systeme, veränderte Geschäftsmodelle oder zusätzliche Arten personenbezogener Daten, die erfasst werden. Zum anderen unterliegen auch die gesetzlichen Vorgaben Wandel: Beispielweise hat der Gesetzgeber in Deutschland 2025 die handelsrechtliche Aufbewahrungsfrist für Buchungsbelege von 10 auf 8 Jahre verkürzt. Solche Änderungen erfordern eine Anpassung der Löschfristen im Konzept, damit weiterhin Rechtssicherheit besteht.

Es empfiehlt sich, das Löschkonzept mindestens einmal jährlich auf den Prüfstand zu stellen. Dabei sollten folgende Fragen geklärt werden: Werden alle definierten Löschfristen eingehalten? Greifen die technischen Löschmechanismen wie vorgesehen? Gibt es neue Datenbestände, die ins Konzept integriert werden müssen? Und entsprechen die Prozesse dem aktuellen Stand der Technik und Gesetzeslage? Oft bietet es sich an, diese Überprüfung im Rahmen des Datenschutz-Managements oder zusammen mit dem Datenschutzbeauftragten durchzuführen. Entdeckte Abweichungen sind zu dokumentieren und das Konzept entsprechend fortzuschreiben. Durch diese kontinuierliche Pflege wird gewährleistet, dass das Löschkonzept stets aktuell ist und in der Praxis gelebt wird – eine Grundvoraussetzung, um dauerhaft datenschutzkonform zu handeln und das Vertrauen von Kunden und Partnern zu stärken.

Datenschutzkonformer Umgang mit Löschanfragen von Betroffenen 

Betroffene Personen – etwa Kunden oder Mitarbeiter – haben das Recht, von Ihnen die Löschung ihrer personenbezogenen Daten zu verlangen. Ein datenschutzkonformer Umgang mit solchen Löschanfragen erfordert klare Prozesse und Schnelligkeit. Zunächst muss Ihr Unternehmen darauf vorbereitet sein, dass Löschgesuche in beliebiger Form eingehen können (schriftlich, per E-Mail, telefonisch usw.). Schulen Sie Ihre Mitarbeitenden in der Kundenbetreuung dahingehend, solche Anfragen sofort zu erkennen und an die zuständige Stelle (Datenschutz-Team oder verantwortliche Person) weiterzugeben.

Der nächste Schritt ist die Identitätsprüfung: Vergewissern Sie sich, dass der Anfragende tatsächlich die betroffene Person ist, deren Daten gelöscht werden sollen. Dies ist wichtig, um keine Daten unbefugt für Dritte zu löschen oder offenzulegen. Fordern Sie bei Zweifel zusätzliche Informationen zur Verifikation an (z. B. Adressabgleich). Kann die Identität gar nicht bestätigt werden, müssen Sie den Antrag ablehnen und dem Anfragenden – soweit möglich – mitteilen, dass eine Löschung mangels Identifizierbarkeit nicht erfolgen kann.

Anschließend prüfen Sie sachlich, ob der Löschwunsch berechtigt ist. In vielen Fällen wird das der Fall sein, etwa weil die Daten den ursprünglich verfolgten Zweck erfüllt haben (Zweckfortfall) oder eine erteilte Einwilligung widerrufen wurde. Mitunter kann jedoch ein Ausschlussgrund greifen: Zum Beispiel müssen Daten ggf. zur Erfüllung gesetzlicher Pflichten weiter aufbewahrt werden (z. B. steuerrechtliche Aufbewahrung) oder es besteht ein überwiegendes berechtigtes Interesse des Unternehmens (z. B. zur Rechtsverteidigung). Solche Gründe gemäß Art. 17 Abs. 3 DSGVO schließen eine sofortige Löschung aus. In diesem Fall sind die Daten zunächst zu sperren (d.h. für andere Zwecke zu blockieren) und zu löschen, sobald der Hinderungsgrund wegfällt. Dem Betroffenen ist die Entscheidung mit Begründung transparent mitzuteilen.

Ist die Löschanfrage berechtigt, so führen Sie die Löschung unverzüglich durch und bestätigen der betroffenen Person die erfolgte Datenlöschung. Die DSGVO schreibt vor, dass jedenfalls innerhalb eines Monats nach Eingang der Anfrage reagiert werden muss – entweder mit Mitteilung der Löschung oder einer begründeten Ablehnung. In Ausnahmefällen (bei sehr komplexen Anfragen oder hohem Aufkommen) darf diese Frist um zwei weitere Monate verlängert werden, sofern der Betroffene innerhalb der ersten Monatsfrist über die Verzögerungsgründe informiert wird. Beachten Sie, dass die Kommunikation dabei in verständlicher und transparenter Form zu erfolgen hat; auf Wunsch der betroffenen Person hin kann die Auskunft sogar mündlich erteilt werden (Art. 12 Abs. 1 DSGVO).

Abschließend sollte jeder Löschvorgang dokumentiert werden – inklusive der Anfrage, des Prüfergebnisses, der ergriffenen Maßnahmen und des Erledigungsdatums. Diese Dokumentation dient wiederum der Rechenschaftspflicht und kann im Falle von Beschwerden nachweisen, dass Sie korrekt gehandelt haben. Ein Best Practice ist es, Löschanfragen nicht isoliert zu betrachten, sondern im Rahmen eines ganzheitlichen Betroffenenrechte-Managements zu bearbeiten. Häufig geht einem Löschverlangen z. B. ein Auskunftsersuchen voraus. Idealerweise sind daher Prozesse etabliert, die Auskunft, Berichtigung, Löschung etc. ineinandergreifen lassen und – wo machbar – automatisiert ablaufen (etwa durch ein Ticket-System, das parallel die Sperrung und spätere Löschung vormerkt). Wichtig ist in jedem Fall, Löschanfragen ernst zu nehmen und fristgerecht sowie vollständig zu erfüllen. So vermeiden Sie nicht nur Sanktionen, sondern zeigen auch Ihren Kunden und Mitarbeitern, dass Datenschutz bei Ihnen gelebt wird.

Herausforderungen und Best Practices zur Löschung

Die Umsetzung eines Löschkonzepts bringt einige Herausforderungen mit sich. Eine der größten ist die bereits erwähnte Spannung zwischen Datensicherheit und Löschung: Backups sind für die Sicherheit unerlässlich, erlauben aber oft keine gezielte Löschung einzelner Datensätze. Unternehmen müssen daher Wege finden, gelöschte Daten nicht versehentlich über Sicherungskopien wieder einzuspielen – etwa durch klar definierte Backup-Routinen und begrenzte Backup-Aufbewahrungsdauer. Ein weiterer Knackpunkt ist die Verteilung der Daten über zahlreiche Systeme und Abteilungen. Es kann schwierig sein, den Überblick zu behalten, wo überall personenbezogene Daten liegen. Hier hilft eine zentrale Dateninventarisierung (siehe 4.1) und ggf. technische Unterstützung durch Datenschutz-Software oder Inventarisierungstools.

Zudem sind unstrukturierte Daten (E-Mails, lokale Dateien, Papierakten) eine Herausforderung, da sie sich einer automatischen Kontrolle entziehen. Best Practice ist hier, klare organisatorische Regeln einzuführen – z. B., dass E-Mail-Postfächer regelmäßig geprüft und ältere Mails gemäß Löschfristen manuell gelöscht werden, oder dass Mitarbeiter angehalten sind, lokale Dateien nach Projektende zu entfernen. Unterstützung durch Schulungen und Awareness-Maßnahmen ist dabei sinnvoll.

Da jedes Unternehmen unterschiedlich ist, gibt es kein „One-Size-Fits-All“-Muster für Löschkonzepte. Eine gute Vorgehensweise ist, das Konzept schrittweise zu entwickeln und dabei bereichsspezifisch vorzugehen. Orientieren Sie sich an Best Practices: Nutzen Sie das Verzeichnis der Verarbeitungstätigkeiten als Daten-Basis, greifen Sie auf anerkannte Standards zurück (DIN 66398 für Löschkonzepte, DIN 66399 für Vernichtungstechniken) und ziehen Sie bei Unsicherheiten Ihren Datenschutzbeauftragten oder juristische Experten hinzu. Automatisierung ist ebenfalls ein Schlüssel zum Erfolg – sei es durch fest in IT-Systemen hinterlegte Löschregeln oder durch Skripte, die regelmäßige Löschläufe durchführen.

Ein oft unterschätzter Aspekt ist die Kommunikation und Kultur im Unternehmen. Stellen Sie sicher, dass das Thema Datenlöschung im Bewusstsein aller Mitarbeiter verankert ist. Erfolgversprechend sind z. B. regelmäßige Erinnerungen oder Audits, bei denen stichprobenartig geprüft wird, ob Ablagen von Altdaten befreit wurden. Darüber hinaus sollten Verantwortlichkeiten klar verteilt sein (siehe 4.4), sodass es keinen Aktionismus, aber auch keine Lücken in der Umsetzung gibt.

Schließlich lohnt der Blick über den Tellerrand: Halten Sie sich über aktuelle Entwicklungen und Urteile im Datenschutz auf dem Laufenden. Die Aufsichtsbehörden veröffentlichen mitunter Hinweise oder Fallbeispiele, die wertvolle Anhaltspunkte liefern, wie Löschpflichten auszulegen sind. So lernen Sie aus den Erfahrungen anderer und können Ihr eigenes Löschkonzept kontinuierlich verbessern. Insgesamt gilt: Mit einem gut durchdachten und konsequent praktizierten Löschkonzept meistern Sie die Herausforderung der Datenlöschung und demonstrieren zugleich Ihren Kunden, Partnern und Mitarbeitern einen verantwortungsvollen Umgang mit personenbezogenen Daten.

Fazit 

Ein Löschkonzept nach DSGVO ist kein bürokratisches Beiwerk, sondern ein zentraler Pfeiler des unternehmensinternen Datenschutzes. Es stellt sicher, dass der Lebenszyklus personenbezogener Daten – von der Erhebung bis zur Löschung – klar geregelt ist und den gesetzlichen Vorgaben entspricht. Angesichts strenger Vorschriften und hoher Bußgelder ist ein Löschkonzept gesetzlich verpflichtend und unabdingbar, um die Rechte der Betroffenen zu wahren. Gleichzeitig erleichtert es den Arbeitsalltag: Wer weiß, welche Daten wann gelöscht werden müssen, reduziert Datenberge, minimiert Risiken und stärkt das Vertrauen von Kunden und Partnern in die datenschutzkonforme Arbeitsweise des Unternehmens. Unternehmen, die diese Herausforderung proaktiv angehen, schaffen somit eine solide Basis für Compliance und Datensouveränität.

Häufig gestellte Fragen (FAQs)

Was muss ein Löschkonzept beinhalten?

Ein Löschkonzept sollte alle wesentlichen Punkte abdecken, die für die Datenlöschung relevant sind. Dazu zählen Datenarten bzw. Kategorien personenbezogener Daten, Löschfristen für jede Datenart (unter Berücksichtigung gesetzlicher Aufbewahrungsfristen) sowie der konkrete Startzeitpunkt, ab dem die Frist läuft (z. B. Erhebungsdatum, Vertragsende). Zudem muss festgelegt sein, wer für die Löschung verantwortlich ist (inklusive Vertretungsregelung) und wo die Daten überall gespeichert sind (alle Systeme und Ablageorte). Wichtig ist auch die Definition der Löschregeln: also wie die Daten gelöscht werden (manuell, automatisiert, durch Anonymisierung oder physische Vernichtung nach bestimmten Sicherheitsstandards). Ein gutes Löschkonzept dokumentiert darüber hinaus, falls Daten ausnahmsweise länger aufbewahrt, werden als gesetzlich vorgeschrieben – etwa aufgrund berechtigten Interesses – und begründet diese Abweichungen explizit. Nicht zuletzt sollte es auch Regelungen für die Dokumentation der Löschvorgänge selbst enthalten, damit im Nachhinein nachgewiesen werden kann, welche Daten wann gelöscht wurden. Zusammengefasst: Ein Löschkonzept beinhaltet eine Übersicht aller Datenbestände, klare Zeitpläne für deren Löschung, definierte Verantwortlichkeiten, Verfahrensanweisungen für die Löschung und eine Strategie zur Dokumentation dieser Prozesse.

Wer legt die Löschfristen fest?

Die Löschfristen werden vom Verantwortlichen (also dem Unternehmen bzw. der verantwortlichen Stelle nach DSGVO) festgelegt – in der Praxis meist in Abstimmung zwischen der Rechtsabteilung, dem Datenschutzbeauftragten und den jeweiligen Fachabteilungen. Es gibt nicht eine zentrale Stelle außerhalb des Unternehmens, die alle Fristen vorgibt; vielmehr müssen die relevanten Vorschriften aus verschiedenen Gesetzen ermittelt und auf die eigenen Daten angewendet werden. Gesetzliche Vorgaben – etwa aus Handelsrecht, Steuerrecht, Arbeitsrecht usw. – bilden die Grundlage: Sie definieren Mindestaufbewahrungszeiten, die zwingend eingehalten werden müssen. Innerhalb dieses Rahmens obliegt es dem Unternehmen, für jede Datenkategorie eine Löschfrist festzusetzen. Dabei kann die Löschfrist genau mit Ablauf der gesetzlichen Frist terminieren oder – falls kein Gesetz gilt – anhand der Erforderlichkeit bestimmt werden. Oft helfen Branchenempfehlungen oder Standards (wie DIN 66398) bei der Ableitung geeigneter Fristen. Letztlich genehmigt die Geschäftsführung oder der Verantwortliche die Löschfristen als Teil des Löschkonzepts. Wichtig ist, dass diese Fristen dokumentiert und für Mitarbeiter verbindlich gemacht werden. Kurzum: Das Unternehmen selbst legt die Löschfristen fest, basierend auf den gesetzlichen Anforderungen und den eigenen betrieblichen Erfordernissen, und hält sie im Löschkonzept fest.

Wer löscht die Daten?

Die Verantwortung für die Durchführung der Datenlöschung liegt beim Verantwortlichen im Sinne der DSGVO, also dem Unternehmen. Praktisch sollte jedoch im Löschkonzept genau bestimmt werden, welche Person oder Stelle die Löschung vornimmt. Oft ist dies aufgeteilt nach Datenkategorien: Beispielsweise kümmert sich die Personalabteilung um die Löschung von Personalakten, die IT-Abteilung um die Löschung in zentralen Systemen oder Backups, und Fachabteilungen um die Löschung projektbezogener Daten. Es hat sich bewährt, einen Löschbeauftragten zu benennen – eine Person, die zentral koordiniert, dass Löschroutinen eingehalten werden – sowie einen Stellvertreter. Diese koordinieren die Umsetzung, erinnern an Fristen und dokumentieren die erfolgte Löschung. Einzelne Löschungen können dann von den jeweils Datenverarbeitenden durchgeführt werden (etwa löscht der HR-Mitarbeiter die Daten eines ausgeschiedenen Kollegen aus dem HR-System, während der Administrator die zugehörigen Zugänge entfernt und Backups behandelt). Wichtig ist, dass im Konzept klar geregelt ist, wer für welchen Schritt verantwortlich ist – von der Prüfung, ob die Voraussetzungen für eine Löschung vorliegen, bis zur endgültigen technischen Vernichtung der Daten. So wird sichergestellt, dass nichts „durchrutscht“ und die Löschpflichten zeitnah erfüllt werden. Letztlich trägt das Unternehmen als Verantwortlicher die Verantwortung, sollte aber intern eindeutige Verantwortlichkeiten definieren.

Wie oft muss das Löschkonzept aktualisiert werden?

Ein Löschkonzept sollte laufend gepflegt werden. Die Praxis zeigt, dass eine jährliche Überprüfung sinnvoll ist. Mindestens einmal pro Jahr – besser noch kontinuierlich – sollte geprüft werden, ob die im Konzept festgelegten Löschfristen noch stimmen, ob alle neuen Datenverarbeitungen abgedeckt sind und ob sich gesetzlich etwas geändert hat. Darüber hinaus muss das Löschkonzept anlassbezogen aktualisiert werden: Immer, wenn es bedeutende Änderungen in der Datenverarbeitung gibt (z. B. Einführung einer neuen Software, neue Arten von personenbezogenen Daten, geänderte Geschäftsprozesse) oder wenn neue Gesetze/Urteile andere Aufbewahrungsfristen vorgeben, ist eine sofortige Anpassung nötig. Auch Erkenntnisse aus Audits oder Vorfällen (z. B. wenn festgestellt wird, dass eine Löschroutine nicht funktioniert hat) sollten zeitnah ins Konzept einfließen. Die Aktualisierung umfasst sowohl inhaltliche Änderungen (z. B. neue Fristen, neue Verfahren) als auch organisatorische Aspekte (z. B. andere Verantwortliche). Es empfiehlt sich, jede Überprüfung und Änderung zu dokumentieren, damit nachvollziehbar bleibt, wann das Konzept zuletzt geprüft wurde. Durch diese regelmäßige Aktualisierung stellt man sicher, dass das Löschkonzept immer auf dem neuesten Stand ist und den aktuellen gesetzlichen sowie technischen Anforderungen entspricht.

Wie muss die Löschung personenbezogener Daten dokumentiert werden?

Die DSGVO verlangt, dass der Verantwortliche die Löschung personenbezogener Daten nachweisen kann. Daher muss jede Löschung angemessen dokumentiert werden. In der Regel wird hierfür ein Löschprotokoll geführt. Darin sollte festgehalten sein: Welche Daten (oder Datensätze) wurden gelöscht, wann die Löschung erfolgte, auf wessen Veranlassung bzw. durch wen und auf welche Weise (z. B. „automatisch gelöscht nach 6 Monaten Inaktivität“ oder „manuell gelöscht am Datum X durch Mitarbeiter Y“). Bei automatisierten Löschvorgängen können System-Logs diese Funktion erfüllen, sofern sie die relevanten Informationen enthalten. Bei manuellen Löschungen empfiehlt es sich, ein Formular oder Ticketsystem zu nutzen, in dem der Verantwortliche die Löschung einträgt. Wichtig ist, dass die Dokumentation fälschungssicher und nachvollziehbar ist – idealerweise werden Einträge versioniert und zentral aufbewahrt.

Das Löschkonzept selbst sollte vorgeben, wie diese Dokumentation zu erfolgen hat. Beispielsweise kann festgelegt sein, dass für jede quartalsweise Löschaktion ein Bericht erstellt wird oder dass Löschungen von besonders sensiblen Daten zusätzlich vom Datenschutzbeauftragten gegengezeichnet werden. Zudem müssen Löschanfragen von Betroffenen dokumentiert werden: Hier sollte sowohl die Anfrage als solche, die Entscheidung (gelöscht ja/nein inkl. Begründung) und der Zeitpunkt der Umsetzung protokolliert werden. Die Dokumentation kann digitalen oder papierbasierten Prüfern standhalten – Hauptsache, sie ist im Ernstfall abrufbar und verständlich. Kommt es nämlich zu einer Überprüfung durch die Aufsichtsbehörde, wird man verlangen, das Löschkonzept und Nachweise zu sehen.

Zusammengefasst:

Jede personenbezogene Datenlöschung muss schriftlich festgehalten werden, sodass das Unternehmen jederzeit belegen kann, dass es seinen Löschpflichten ordnungsgemäß nachgekommen ist.