„Können wir das nicht einfach alles behalten? Speicher kostet doch nichts.” Dieser Satz fällt in fast jedem Erstgespräch — und er beschreibt ziemlich genau, warum das Löschkonzept in vielen Unternehmen das am längsten aufgeschobene Datenschutz-Dokument ist. Aufbewahren fühlt sich sicher an, Löschen fühlt sich riskant an. Rechtlich ist es genau umgekehrt: Wer personenbezogene Daten ohne Rechtsgrundlage weiter vorhält, verstößt gegen die Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO — und zwar dauerhaft, jeden Tag aufs Neue.
Der scheinbare Widerspruch: Löschpflicht trifft Aufbewahrungspflicht
Die DSGVO verlangt in Art. 17, personenbezogene Daten zu löschen, sobald der Zweck der Verarbeitung entfällt. Gleichzeitig verlangen Handelsgesetzbuch und Abgabenordnung, geschäftliche Unterlagen sechs bzw. acht bis zehn Jahre aufzubewahren — Buchungsbelege, Handelsbriefe, Jahresabschlüsse. Beides gilt parallel, und genau dieses Nebeneinander löst ein Löschkonzept auf: Solange eine gesetzliche Aufbewahrungspflicht läuft, ist sie die Rechtsgrundlage für die weitere Speicherung (Art. 17 Abs. 3 lit. b DSGVO). Läuft sie ab, kippt die Lage — aus der erlaubten Aufbewahrung wird eine Löschpflicht.
Der praktische Fehler liegt selten darin, dass Unternehmen zu früh löschen. Er liegt darin, dass nie gelöscht wird: Bewerbungsunterlagen von 2019, ausgeschiedene Kunden im CRM, Newsletter-Verteiler mit Adressen, die seit Jahren jede Zustellung verweigern, Backups, die niemand je wieder eingespielt hat.
Vom Verarbeitungsverzeichnis zum Löschkonzept
Wer sein Verarbeitungsverzeichnis sauber aufgebaut hat, hat den schwersten Teil des Löschkonzepts bereits erledigt. Denn Art. 30 DSGVO verlangt ohnehin, für jede Verarbeitungstätigkeit die „vorgesehenen Fristen für die Löschung” zu dokumentieren. Das Löschkonzept macht daraus ein umsetzbares Regelwerk in vier Schritten:
1. Löschklassen bilden. Nicht jede Datenart einzeln betrachten, sondern Gruppen mit gleicher Fristenlogik: Bewerberdaten, Beschäftigtendaten, Kundenstammdaten, Buchhaltungsbelege, Kommunikationsdaten, Protokolldaten. In der Praxis kommen die meisten Mittelständler mit 10 bis 20 Löschklassen aus.
2. Fristen und Startzeitpunkte zuordnen. Die Frist ist nur die halbe Wahrheit — entscheidend ist der Auslöser, ab dem sie läuft: Ende des Bewerbungsverfahrens, Austritt des Beschäftigten, Ende des Kalenderjahres der letzten Buchung, letzte aktive Kundenbeziehung. Ohne definierten Startzeitpunkt bleibt jede Frist Theorie.
3. Verantwortliche und Verfahren benennen. Wer löscht, wo, womit — und wer kontrolliert es? Ein Löschkonzept ohne Zuständigkeit ist ein Wunschzettel. Bewährt hat sich ein fester Löschtermin pro Quartal oder Jahr je Fachbereich, protokolliert mit Datum und Umfang.
4. Technisch verankern. Die besten Fristen nützen nichts, wenn das CRM keine Löschfunktion kennt oder Altdaten in Excel-Exporten auf Netzlaufwerken weiterleben. Hier zahlt sich ein Blick in jedes einzelne System aus — inklusive der unbequemen Frage nach Backups und Archiven. Für Backups gilt pragmatisch: Sie müssen nicht sofort bereinigt werden, aber das Konzept muss regeln, dass gelöschte Daten bei einer Wiederherstellung nicht wieder produktiv werden.
Die häufigsten Stolperfallen
Bewerberdaten sind der Klassiker: Nach Abschluss des Verfahrens ist die Speicherung nur noch für die Dauer möglicher AGG-Ansprüche zu rechtfertigen — üblich sind sechs Monate. Wer Unterlagen für den Talentpool behalten will, braucht eine Einwilligung.
E-Mail-Postfächer sind das ungelöste Problem vieler Unternehmen: Sie enthalten alles gleichzeitig — aufbewahrungspflichtige Handelsbriefe neben längst löschpflichtiger Korrespondenz. Eine geordnete Ablage- und Archivierungsstruktur ist hier die Voraussetzung dafür, dass ein Löschkonzept überhaupt greifen kann.
Auskunfts- und Löschersuchen betroffener Personen laufen ins Leere, wenn niemand weiß, wo die Daten überall liegen. Wie man solche Anfragen souverän beantwortet, haben wir im Beitrag zur Auskunftsanfrage nach Art. 15 beschrieben — das Löschkonzept ist das Gegenstück auf der Umsetzungsseite.
Die Bußgeldseite ist real: Aufsichtsbehörden haben wiederholt empfindliche Bußgelder verhängt, weil Altdaten ohne Rechtsgrundlage vorgehalten wurden — prominent etwa gegen einen Immobilienkonzern, der Mieterdaten jahrelang in einem Archivsystem ohne Löschmöglichkeit speicherte. Der Vorwurf lautete nicht „falsch gelöscht”, sondern „nie gelöscht”.
Klein anfangen schlägt perfekt planen
Ein Löschkonzept muss nicht als hundertseitiges Werk nach DIN 66398 starten. Für den Einstieg reicht eine Tabelle: Löschklasse, Rechtsgrundlage, Frist, Startzeitpunkt, System, Verantwortlicher, Löschverfahren. Wichtiger als Vollständigkeit im ersten Wurf ist, dass tatsächlich gelöscht wird — nachweisbar und regelmäßig. Ein Konzept, das zu 80 Prozent umgesetzt wird, schützt mehr als eines, das zu 100 Prozent im Ordner liegt.
Eine ausführliche Schritt-für-Schritt-Anleitung mit Fristentabelle für die wichtigsten Datenarten bietet unser Portal-Beitrag zum Löschkonzept nach DSGVO; welche Aufbewahrungs- und Löschfristen im Detail gelten, ist dort ebenfalls aufgeschlüsselt.
Fazit
Das Löschkonzept ist kein Selbstzweck, sondern die operative Antwort auf eine Frage, die jede Aufsichtsbehörde und jeder Auskunftsersuchende stellen kann: „Warum haben Sie diese Daten noch?” Wer darauf mit Löschklassen, Fristen und Löschprotokollen antworten kann, hat aus einem Dauerrisiko einen kontrollierten Prozess gemacht — und nebenbei Systeme, die schlanker, übersichtlicher und günstiger zu betreiben sind.