Löschkonzept nach DSGVO: Aufbewahrungsfristen im Unternehmen rechtssicher steuern

17. Juli 2026

Artikel teilen

Ein Löschkonzept nach DSGVO gehört zu den am häufigsten vernachlässigten Bausteinen der betrieblichen Datenschutzorganisation, obwohl es sich um eine explizite gesetzliche Anforderung handelt. Viele Unternehmen verfügen über ein Verzeichnis von Verarbeitungstätigkeiten und technische Sicherheitsmaßnahmen, lassen personenbezogene Daten aber faktisch unbegrenzt in Systemen und Aktenordnern liegen, weil eine systematische Steuerung von Aufbewahrungsfristen und Löschterminen fehlt. Dieser Beitrag erläutert die rechtlichen Grundlagen eines Löschkonzepts, zeigt den Aufbau von Löschklassen für typische Datenarten im Mittelstand und ordnet den häufigen Konflikt zwischen datenschutzrechtlicher Löschpflicht und handels- sowie steuerrechtlicher Aufbewahrungspflicht praxisnah ein. Ergänzend werden technische Umsetzungsoptionen, Dokumentationsanforderungen gegenüber Aufsichtsbehörden sowie ein strukturiertes Vorgehen zur Einführung eines Löschkonzepts im Unternehmen vorgestellt. Auch der Umgang mit ausgelagerten Datenverarbeitungen bei Cloud-Anbietern und sonstigen Auftragsverarbeitern wird berücksichtigt, da ein rein intern gedachtes Löschkonzept in der Praxis regelmäßig zu kurz greift.

Warum ein Löschkonzept nach DSGVO mehr ist als eine Pflichtübung

Ein fehlendes oder unvollständiges Löschkonzept birgt mehrere Risiken zugleich. Aufsichtsbehörden prüfen bei Kontrollen regelmäßig, ob personenbezogene Daten über die erforderliche Dauer hinaus gespeichert werden, und ein fehlendes Löschkonzept gilt dabei als deutliches Indiz für unzureichende Datenschutzorganisation. Darüber hinaus erhöht jede unnötig lange gespeicherte Datenmenge die Angriffsfläche im Fall eines Cybervorfalls, da bei einem Datenabfluss auch Datensätze betroffen sein können, die längst hätten gelöscht werden müssen. Schließlich verursacht ein unstrukturierter Datenbestand einen erheblichen Mehraufwand bei der Beantwortung von Auskunftsersuchen betroffener Personen, weil relevante von längst überholten Daten nicht mehr zuverlässig unterschieden werden können.

Rechtliche Grundlagen: Art. 17 DSGVO und der Grundsatz der Speicherbegrenzung

Die zentrale Rechtsgrundlage bildet Art. 5 Abs. 1 lit. e DSGVO, der Grundsatz der Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die eine Identifizierung der betroffenen Personen ermöglicht, wie es für die Zwecke der Verarbeitung erforderlich ist. Art. 17 DSGVO konkretisiert dies über das Recht auf Löschung, das greift, sobald der Verarbeitungszweck entfallen ist, die betroffene Person ihre Einwilligung widerruft oder die Verarbeitung unrechtmäßig war. Ein Löschkonzept übersetzt diese abstrakten Vorgaben in konkrete, im Betrieb anwendbare Fristen je Datenkategorie.

Verhältnis zu handels- und steuerrechtlichen Aufbewahrungsfristen

In der Praxis kollidiert die datenschutzrechtliche Löschpflicht regelmäßig mit gesetzlichen Aufbewahrungspflichten. Nach § 257 HGB müssen Handelsbücher, Inventare, Jahresabschlüsse und Buchungsbelege in der Regel zehn Jahre aufbewahrt werden, § 147 AO enthält vergleichbare Fristen für steuerlich relevante Unterlagen, und die GoBD konkretisieren die Anforderungen an die Nachvollziehbarkeit und Unveränderbarkeit dieser Aufzeichnungen. Diese Aufbewahrungspflichten gehen der datenschutzrechtlichen Löschpflicht grundsätzlich vor, denn Art. 17 Abs. 3 lit. b DSGVO sieht ausdrücklich eine Ausnahme vor, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Ein Löschkonzept muss deshalb beide Fristensysteme parallel abbilden, statt sich ausschließlich an datenschutzrechtlichen Erwägungen zu orientieren.

Bestandsaufnahme: welche Datenarten mit welchen Fristen existieren

Der erste praktische Schritt zur Erstellung eines Löschkonzepts ist eine vollständige Bestandsaufnahme der im Unternehmen verarbeiteten Datenarten, aufbauend auf dem bereits vorhandenen Verzeichnis von Verarbeitungstätigkeiten. Für jede Datenkategorie, etwa Bewerberdaten, Personalakten, Kundendaten, Buchhaltungsunterlagen oder Protokolldaten aus IT-Systemen, muss geklärt werden, welche Aufbewahrungsfrist aus welcher Rechtsgrundlage folgt und ab welchem Zeitpunkt die Frist zu laufen beginnt (Fristbeginn), etwa mit Vertragsende, Ausscheiden aus dem Unternehmen oder Ablauf des Geschäftsjahres.

Bewerberdaten: In der Regel sechs Monate nach Abschluss des Verfahrens, orientiert an der Frist des Allgemeinen Gleichbehandlungsgesetzes für mögliche Diskriminierungsansprüche.
Personalakten: Grundsätzlich bis drei Jahre nach Beendigung des Arbeitsverhältnisses, mit Ausnahmen für Unterlagen mit steuer- oder sozialversicherungsrechtlicher Relevanz, die längeren Fristen unterliegen.
Buchhaltungsunterlagen: Zehn Jahre nach § 257 HGB und § 147 AO.
Geschäftskorrespondenz ohne steuerliche Relevanz: Sechs Jahre nach § 257 HGB.
Protokolldaten und Logfiles: Kurzfristig, häufig wenige Wochen bis Monate, orientiert am konkreten Sicherheitszweck der Protokollierung.

Diese Aufstellung ist keine abschließende Liste, sondern ein Ausgangspunkt für die individuelle Bestandsaufnahme, da Fristen je nach Branche, Unternehmensgröße und Vertragsgestaltung im Detail abweichen können. Insbesondere bei Vertragsdaten mit Kunden oder Lieferanten ist zu prüfen, ob neben der handelsrechtlichen Aufbewahrungsfrist zusätzliche vertragliche oder gewährleistungsrechtliche Gründe für eine längere Speicherung sprechen, etwa laufende Gewährleistungsfristen oder mögliche Regressansprüche, die über die gesetzliche Mindestfrist hinausreichen können.

Aufbau eines Löschkonzepts: Löschklassen und Löschregeln

Ein praxistaugliches Löschkonzept fasst einzelne Datenarten mit vergleichbarer Aufbewahrungsfrist zu Löschklassen zusammen, um die Anzahl der zu verwaltenden Regeln überschaubar zu halten. Für jede Löschklasse werden Fristbeginn, Fristdauer, verantwortliche Stelle und das konkrete Löschverfahren definiert. Diese Struktur reduziert den Pflegeaufwand erheblich gegenüber einer Einzelfallregelung je Dokumenttyp und erleichtert zugleich die technische Umsetzung, da sich Löschklassen häufig direkt auf Aktenpläne oder Ablagestrukturen in IT-Systemen abbilden lassen.

Löschklasse	Beispieldaten	Fristbeginn	Aufbewahrungsdauer
Bewerbungsunterlagen	Lebenslauf, Anschreiben, Zeugnisse	Ende Bewerbungsverfahren	6 Monate
Personalakte	Arbeitsvertrag, Beurteilungen	Ende Arbeitsverhältnis	3 Jahre (Regelfall)
Finanzbuchhaltung	Rechnungen, Belege, Kontoauszüge	Ende Geschäftsjahr	10 Jahre
Geschäftsbriefe	Angebote, Auftragsbestätigungen	Ende Geschäftsjahr	6 Jahre
Kundendaten Marketing	Newsletter-Abonnenten	Widerruf der Einwilligung	unverzüglich, ohne weitere Frist

Technische Umsetzung: automatisierte Löschroutinen versus manuelle Prozesse

Die technische Umsetzung eines Löschkonzepts unterscheidet sich deutlich je nach IT-Landschaft. In modernen ERP- und CRM-Systemen lassen sich Löschregeln häufig als automatisierte Routinen hinterlegen, die Datensätze nach Ablauf der definierten Frist markieren, sperren oder endgültig löschen. Diese Automatisierung reduziert das Risiko menschlichen Versäumnisses erheblich, setzt jedoch eine saubere Datenmodellierung voraus, da automatisierte Löschungen bei fehlerhafter Konfiguration auch noch benötigte Daten unwiderruflich entfernen können. In gewachsenen IT-Landschaften mit mehreren isolierten Fachanwendungen bleibt dagegen häufig nur ein teilweise manueller Prozess, bei dem definierte Verantwortliche in regelmäßigen Abständen, etwa quartalsweise, eine Löschprüfung anhand des Löschkonzepts durchführen und dokumentieren.

Für Papierakten empfiehlt sich ein vergleichbares Vorgehen über einen Aktenplan mit hinterlegten Vernichtungsterminen, kombiniert mit einer datenschutzkonformen Aktenvernichtung, etwa nach DIN 66399, die je nach Schutzbedarf der Daten unterschiedliche Sicherheitsstufen der Vernichtung vorsieht.

Löschkonzept und Aufbewahrungspflichten im Konflikt: praktische Lösungsansätze

Wenn eine gesetzliche Aufbewahrungspflicht länger läuft als der eigentliche Verarbeitungszweck bereits erforderlich wäre, bietet die DSGVO mit der Einschränkung der Verarbeitung nach Art. 18 DSGVO ein praxistaugliches Instrument: Statt die Daten vollständig zu löschen, werden sie gesperrt und für den laufenden Geschäftsbetrieb unzugänglich gemacht, bleiben aber für den Zweck der Erfüllung der Aufbewahrungspflicht sowie für die Verteidigung gegenüber Ansprüchen verfügbar. Diese Sperrung, technisch etwa über eingeschränkte Zugriffsrechte oder eine Archivierung in einem separaten, nur für definierte Zwecke zugänglichen System umgesetzt, löst den scheinbaren Widerspruch zwischen Löschpflicht und Aufbewahrungspflicht auf, ohne gegen eine der beiden Vorgaben zu verstoßen.

Ein Löschkonzept ist erst dann wirksam, wenn es nicht nur beschreibt, wann Daten gelöscht werden sollen, sondern auch technisch und organisatorisch sicherstellt, dass diese Löschung tatsächlich stattfindet und nachweisbar dokumentiert wird.

Löschkonzept bei Cloud-Diensten und Auftragsverarbeitern

Viele mittelständische Unternehmen lagern Teile ihrer Datenverarbeitung an Cloud-Anbieter oder sonstige Auftragsverarbeiter aus, etwa für die Personalverwaltung, das Kundenbeziehungsmanagement oder die E-Mail-Kommunikation. In diesen Fällen reicht ein internes Löschkonzept allein nicht aus, weil die tatsächliche Löschung technisch beim Auftragsverarbeiter erfolgen muss. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO sollte deshalb ausdrücklich regeln, nach welchen Fristen und auf welchem Weg der Auftragsverarbeiter personenbezogene Daten löscht oder zurückgibt, sowohl während der Vertragslaufzeit als auch nach deren Beendigung.

Ein in der Praxis häufig übersehener Punkt betrifft die Löschung bei Vertragsende: Ohne klare vertragliche Regelung besteht das Risiko, dass Daten beim ehemaligen Dienstleister faktisch unbegrenzt fortbestehen, weil weder der Auftragsverarbeiter von sich aus tätig wird noch das beauftragende Unternehmen die Löschung aktiv einfordert. Ein vollständiges Löschkonzept sollte deshalb einen festen Prozess vorsehen, der bei Beendigung jeder Auftragsverarbeitung automatisch eine Löschbestätigung des Dienstleisters einfordert und dokumentiert. Bei Cloud-Diensten mit Serverstandorten außerhalb der EU ist zusätzlich zu prüfen, ob und wie lange Datenkopien in Backup-Systemen des Anbieters über die eigentliche Löschung hinaus fortbestehen, da dies vertraglich transparent gemacht werden sollte. Ergänzend empfiehlt sich, die tatsächliche Löschpraxis des Anbieters in regelmäßigen Abständen stichprobenartig zu überprüfen, statt sich allein auf die vertragliche Zusicherung zu verlassen, insbesondere bei besonders sensiblen Datenkategorien.

Dokumentationspflichten und Nachweisbarkeit gegenüber Aufsichtsbehörden

Nach dem in Art. 5 Abs. 2 DSGVO verankerten Rechenschaftspflichtgrundsatz muss ein Unternehmen nicht nur datenschutzkonform handeln, sondern dies auch nachweisen können. Für das Löschkonzept bedeutet dies, dass sowohl die Regeln selbst als auch deren tatsächliche Umsetzung dokumentiert werden müssen, etwa über Löschprotokolle, die festhalten, welche Datensätze zu welchem Zeitpunkt aus welchem System gelöscht wurden. Diese Dokumentation ist bei einer Prüfung durch die Aufsichtsbehörde regelmäßig einer der ersten angeforderten Nachweise und sollte deshalb nicht erst im Prüfungsfall erstellt, sondern kontinuierlich im laufenden Betrieb geführt werden.

Typische Stolperfallen bei der Einführung eines Löschkonzepts

In der Beratungspraxis zeigen sich wiederkehrende Schwachstellen bei Löschkonzepten im Mittelstand. Häufig wird das Löschkonzept auf dem Papier erstellt, aber nicht in die tatsächlichen IT-Systeme und Aktenpläne überführt, sodass die dort dokumentierten Fristen faktisch folgenlos bleiben. Ein weiterer verbreiteter Fehler ist die fehlende Abstimmung zwischen Fachabteilungen, IT und Datenschutzbeauftragtem, wodurch Löschregeln entstehen, die technisch nicht umsetzbar sind oder betriebliche Anforderungen ignorieren. Auch Backup- und Archivsysteme werden bei der Konzeption oft vergessen, obwohl gelöschte Daten in Sicherungskopien noch über Monate oder Jahre fortbestehen können, wenn hierfür keine gesonderte Löschregel definiert wird.

Löschregeln nicht nur dokumentieren, sondern technisch in den produktiven Systemen umsetzen.
Fachabteilungen, IT-Verantwortliche und Datenschutzbeauftragten von Beginn an gemeinsam einbeziehen.
Backup- und Archivsysteme explizit in das Löschkonzept aufnehmen, nicht nur die produktiven Systeme.
Löschvorgänge protokollieren, um die Nachweisbarkeit gegenüber Aufsichtsbehörden sicherzustellen.

Eine weitere häufige Schwachstelle betrifft historisch gewachsene Datenbestände, die vor Einführung eines strukturierten Löschkonzepts entstanden sind. Werden diese Altbestände bei der Einführung des Konzepts nicht einmalig aufgearbeitet, bleibt ein erheblicher Teil der tatsächlich überfälligen Löschungen dauerhaft unerledigt, während das neue Konzept nur für künftig entstehende Daten greift. In der Praxis empfiehlt sich deshalb eine einmalige Bereinigungsaktion parallel zur Einführung des Löschkonzepts, bei der vorhandene Datenbestände nach den neu definierten Löschklassen geprüft und, soweit die Fristen bereits abgelaufen sind, gelöscht oder gesperrt werden. Je nach Umfang des Altbestands kann diese Bereinigung mehrere Wochen in Anspruch nehmen und sollte deshalb als eigenständiges Teilprojekt mit fester Verantwortlichkeit und Zeitplan geführt werden, statt sie als Nebentätigkeit im Tagesgeschäft zu behandeln.

Schritt für Schritt: Löschkonzept im Unternehmen einführen

Die Einführung eines Löschkonzepts folgt idealerweise einem festen Ablauf. Zunächst wird auf Basis des Verzeichnisses von Verarbeitungstätigkeiten eine vollständige Bestandsaufnahme aller Datenarten und der jeweils einschlägigen Rechtsgrundlagen für die Aufbewahrungsdauer erstellt. Im zweiten Schritt werden Datenarten mit vergleichbaren Fristen zu Löschklassen zusammengefasst und für jede Klasse Fristbeginn, Dauer und Verantwortlichkeit festgelegt. Im dritten Schritt erfolgt die technische Umsetzung, wo immer möglich als automatisierte Löschroutine, andernfalls über einen dokumentierten manuellen Prüfprozess mit fester Turnusfrequenz. Im vierten Schritt werden Backup- und Archivsysteme in das Konzept einbezogen, im fünften Schritt die Mitarbeitenden in den betroffenen Abteilungen geschult, und im sechsten Schritt wird ein regelmäßiger Überprüfungsrhythmus etabliert, um das Löschkonzept an geänderte gesetzliche Fristen oder neue Datenarten anzupassen.

FAQ

Ist ein schriftliches Löschkonzept gesetzlich zwingend vorgeschrieben?
Die DSGVO schreibt kein bestimmtes Dokument namens Löschkonzept vor, verlangt über den Grundsatz der Speicherbegrenzung und die Rechenschaftspflicht aber faktisch eine nachvollziehbare Steuerung von Aufbewahrungsfristen. Ein schriftliches Löschkonzept ist der praxisübliche Weg, diese Anforderung nachweisbar zu erfüllen.

Dürfen personenbezogene Daten trotz Löschpflicht länger aufbewahrt werden?
Ja, wenn eine gesetzliche Aufbewahrungspflicht besteht, etwa nach Handels- oder Steuerrecht, geht diese der datenschutzrechtlichen Löschpflicht vor. In diesem Fall sollten die Daten für den laufenden Betrieb gesperrt und nur noch für den Zweck der Aufbewahrungspflicht zugänglich gehalten werden.

Was passiert, wenn ein Unternehmen kein Löschkonzept hat?
Ohne Löschkonzept besteht ein erhöhtes Risiko, dass Daten länger als zulässig gespeichert werden, was bei einer Prüfung durch die Aufsichtsbehörde als Verstoß gegen den Grundsatz der Speicherbegrenzung beanstandet werden kann und in der Folge zu Bußgeldern führen kann.

Müssen auch Backups in das Löschkonzept einbezogen werden?
Ja, Backup- und Archivsysteme unterliegen denselben datenschutzrechtlichen Anforderungen wie Produktivsysteme. Ein Löschkonzept sollte daher auch regeln, wie und wann Daten aus Sicherungskopien entfernt oder durch technische Maßnahmen unzugänglich gemacht werden.

Wie oft sollte ein Löschkonzept überprüft und aktualisiert werden?
In der Praxis hat sich eine jährliche Überprüfung bewährt, ergänzt um eine anlassbezogene Aktualisierung, sobald sich gesetzliche Fristen ändern oder neue Datenkategorien im Unternehmen hinzukommen.

Wer ist im Unternehmen für die Umsetzung des Löschkonzepts verantwortlich?
Die operative Verantwortung liegt bei den jeweiligen Fachabteilungen, die den Datenbestand führen, während der Datenschutzbeauftragte die Einhaltung überwacht und bei der Erstellung der Löschregeln berät.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder Ihren Datenschutzbeauftragten. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.