Löschkonzept im Datenschutz: Daten richtig und nachweisbar löschen

Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Verantwortliche dazu, Daten nur so lange aufzubewahren, wie es für den jeweiligen Zweck erforderlich ist. Ein Löschkonzept hilft dabei, diese Vorgabe systematisch umzusetzen. Es legt fest, welche Daten wann, auf welcher Grundlage und auf welche Weise gelöscht oder anonymisiert werden.

Was ist ein Löschkonzept?

Ein Löschkonzept ist eine dokumentierte Regelung für den gesamten Lebenszyklus personenbezogener Daten. Es beschreibt, wo Daten gespeichert sind, welche Aufbewahrungsfristen gelten und was nach Ablauf dieser Fristen geschieht. Dazu gehören beispielsweise Daten in Kundendatenbanken, Personalakten, E-Mail-Systemen, Papierarchiven und bei externen Dienstleistern.

Ein gutes Konzept beschränkt sich nicht auf eine Liste von Fristen. Es enthält auch Zuständigkeiten, technische und organisatorische Maßnahmen sowie Verfahren für Ausnahmen, etwa bei gesetzlichen Aufbewahrungspflichten oder laufenden Rechtsstreitigkeiten.

Warum ist ein Löschkonzept wichtig?

Nach dem Grundsatz der Speicherbegrenzung aus Artikel 5 Absatz 1 Buchstabe e DSGVO müssen personenbezogene Daten gelöscht oder anonymisiert werden, sobald sie für den Zweck ihrer Verarbeitung nicht mehr benötigt werden und keine andere Rechtsgrundlage für die weitere Speicherung besteht. Ein Löschkonzept unterstützt Unternehmen dabei, diese Pflicht in nachvollziehbare Prozesse zu übersetzen.

• Datenschutz: Nicht mehr benötigte Daten werden nicht unnötig weiter vorgehalten.
• Rechtssicherheit: Aufbewahrungs- und Löschentscheidungen lassen sich anhand festgelegter Kriterien begründen.
• Übersicht: Unternehmen erhalten einen besseren Überblick über Datenbestände und Speicherorte.
• Effizienz: Regelmäßige Löschroutinen können Speicher und Verwaltungsaufwand reduzieren.
• Nachweisbarkeit: Zuständigkeiten und durchgeführte Maßnahmen können dokumentiert werden.

Welche Daten und Systeme muss das Konzept berücksichtigen?

Zu Beginn sollte ermittelt werden, welche personenbezogenen Daten verarbeitet werden und in welchen Systemen sie liegen. Dazu zählen nicht nur zentrale Datenbanken, sondern auch weniger offensichtliche Speicherorte. Ein Löschkonzept kann unter anderem folgende Bereiche umfassen:

• Kunden-, Interessenten- und Lieferantendaten
• Personal- und Bewerbungsunterlagen
• Rechnungen, Verträge und Geschäftskorrespondenz
• E-Mail-Postfächer und gemeinsam genutzte Laufwerke
• Protokoll- und Nutzungsdaten
• Papierakten und externe Archivsysteme
• Cloud-Dienste und Systeme von Auftragsverarbeitern
• Backups und andere Sicherungskopien

Die Erfassung sollte an das Verzeichnis der Verarbeitungstätigkeiten und die tatsächliche IT-Landschaft anknüpfen. Entscheidend ist, dass auch Kopien und Daten bei Dienstleistern berücksichtigt werden.

So erstellen Sie ein Löschkonzept

Verarbeitungen und Speicherorte erfassen

Erstellen Sie zunächst eine Übersicht der Datenarten, Verarbeitungszwecke, betroffenen Personengruppen und Systeme. Dokumentieren Sie außerdem, wer für die jeweilige Verarbeitung verantwortlich ist und ob externe Dienstleister beteiligt sind.

Lösch- und Aufbewahrungsfristen festlegen

Für jede Datenkategorie sollte geprüft werden, wie lange die Daten für ihren ursprünglichen Zweck benötigt werden und ob gesetzliche Aufbewahrungspflichten oder andere Gründe für eine längere Speicherung bestehen. Es gibt keine einheitliche Frist für alle personenbezogenen Daten. Die Frist hängt unter anderem von der Datenart, dem Verarbeitungszweck und den einschlägigen gesetzlichen Vorgaben ab.

Halten Sie fest, wann die Frist beginnt. Das kann beispielsweise das Ende eines Vertrags, der Abschluss eines Vorgangs oder der letzte Kontakt sein. Prüfen Sie die maßgeblichen Fristen für Ihren konkreten Fall und berücksichtigen Sie, dass einzelne Daten innerhalb eines Datensatzes unterschiedlichen Regeln unterliegen können.

Löschregeln und Verantwortlichkeiten bestimmen

Legen Sie fest, wer die Löschung veranlasst, wer sie technisch ausführt und wer die Umsetzung kontrolliert. Beschreiben Sie außerdem, ob die Löschung automatisiert, regelmäßig manuell oder anlassbezogen erfolgt. Klare Zuständigkeiten helfen, dass festgelegte Fristen im Arbeitsalltag tatsächlich eingehalten werden.

Geeignete Löschverfahren auswählen

Die Methode muss zum Datenträger und zum Risiko passen. In digitalen Systemen kann eine Löschung beispielsweise durch das Entfernen eines Datensatzes, das Überschreiben von Speicherbereichen oder geeignete Verfahren zur Vernichtung von Datenträgern erfolgen. Bei Papierunterlagen ist eine sichere Vernichtung erforderlich. Das bloße Verschieben in einen Papierkorb oder das Entfernen einer Datei aus einer Benutzeransicht bedeutet nicht in jedem Fall, dass die Daten dauerhaft gelöscht wurden.

Ausnahmen und Sperrungen regeln

Manchmal dürfen Daten trotz abgelaufenem ursprünglichem Zweck nicht sofort gelöscht werden, etwa weil gesetzliche Aufbewahrungspflichten bestehen oder ein Rechtsanspruch geltend gemacht, ausgeübt oder verteidigt werden muss. In solchen Fällen sollten die Daten auf das notwendige Maß beschränkt, gegen eine anderweitige Nutzung geschützt und nach Wegfall des Grundes gelöscht werden.

Umsetzung dokumentieren und regelmäßig überprüfen

Dokumentieren Sie die vorgesehenen Regeln sowie wesentliche Löschläufe und Ausnahmen angemessen. Das Protokoll sollte nicht selbst unnötig viele personenbezogene Daten enthalten. Überprüfen Sie das Konzept regelmäßig und aktualisieren Sie es, wenn sich Prozesse, Systeme, Zuständigkeiten oder rechtliche Anforderungen ändern.

Löschen, Sperren oder Anonymisieren?

Diese Maßnahmen sind nicht gleichbedeutend:

• Löschen: Personenbezogene Daten werden so entfernt, dass sie nicht mehr verfügbar oder wiederherstellbar sind, soweit dies nach den eingesetzten Systemen und Verfahren möglich und erforderlich ist.
• Einschränken oder Sperren: Daten bleiben erhalten, dürfen aber nur noch für bestimmte Zwecke verarbeitet werden, beispielsweise zur Erfüllung einer Aufbewahrungspflicht.
• Anonymisieren: Der Personenbezug wird so beseitigt, dass eine Identifizierung der betroffenen Person nicht mehr möglich ist. Werden Daten lediglich pseudonymisiert, bleiben sie grundsätzlich personenbezogen.

Was gilt für Backups und Sicherungskopien?

Backups stellen Unternehmen vor besondere Herausforderungen, weil einzelne Datensätze darin oft nicht ohne Weiteres separat entfernt werden können. Das Löschkonzept sollte beschreiben, wie mit solchen Sicherungskopien umgegangen wird. Möglich sind etwa festgelegte Überschreibungszyklen, beschränkte Zugriffsrechte und Verfahren, die verhindern, dass bereits gelöschte Daten bei einer Wiederherstellung dauerhaft wieder in den Produktivbetrieb gelangen.

Die konkrete Lösung hängt von der technischen Architektur und den geltenden Pflichten ab. Sie sollte so gestaltet sein, dass Daten nicht länger als nötig in Sicherungskopien verbleiben und bei einer Wiederherstellung die Löschregeln erneut angewendet werden.

Zusammenarbeit mit Dienstleistern

Werden personenbezogene Daten durch Auftragsverarbeiter verarbeitet, sollte auch deren Umgang mit Löschungen berücksichtigt werden. Vereinbarungen und Prozesse sollten klären, wie Löschanweisungen umgesetzt werden, welche Fristen für Sicherungskopien gelten und wie die Löschung nach Ende der Zusammenarbeit erfolgt. Unternehmen sollten zudem prüfen, ob die vereinbarten Verfahren zu den eigenen Löschregeln passen.

Häufige Fehler beim Löschkonzept

• Es werden Fristen festgelegt, ohne Speicherorte und Kopien zu erfassen.
• Alle Daten eines Systems erhalten dieselbe Frist, obwohl Zwecke und Rechtsgrundlagen verschieden sind.
• Es bleibt unklar, wer Löschungen ausführt und kontrolliert.
• Backups, E-Mail-Postfächer oder Daten bei Dienstleistern werden nicht berücksichtigt.
• Ausnahmen werden nicht dokumentiert oder nicht regelmäßig überprüft.
• Das Konzept wird erstellt, aber nicht in technische und organisatorische Abläufe überführt.

Fazit

Ein wirksames Löschkonzept verbindet rechtliche Anforderungen mit der praktischen Datenverarbeitung eines Unternehmens. Es schafft klare Regeln dafür, welche personenbezogenen Daten wie lange benötigt werden, wer für die Löschung zuständig ist und wie Ausnahmen behandelt werden. Entscheidend ist, dass das Konzept nicht nur dokumentiert, sondern regelmäßig angewendet, kontrolliert und an veränderte Prozesse angepasst wird.

Die konkreten Aufbewahrungs- und Löschfristen sollten stets anhand der jeweiligen Daten, Zwecke und gesetzlichen Anforderungen geprüft werden. Dieser Beitrag bietet allgemeine Informationen und ersetzt keine individuelle rechtliche Beratung.

 

Löschkonzept im Datenschutz: Die 8 häufigsten Fragen zur DSGVO-konformen Datenlöschung

1. Was ist ein Löschkonzept im Datenschutz?
2. Ist ein Löschkonzept nach der DSGVO verpflichtend?
3. Welche Inhalte muss ein Löschkonzept enthalten?
4. Wie legt man Lösch- und Aufbewahrungsfristen für personenbezogene Daten fest?
5. Wie oft müssen personenbezogene Daten überprüft und gelöscht werden?
6. Wie werden gesetzliche Aufbewahrungspflichten und Löschfristen miteinander vereinbart?
7. Wie müssen personenbezogene Daten in Backups und Sicherungskopien gelöscht werden?
8. Wie dokumentiert und weist man die ordnungsgemäße Löschung von Daten nach?

Was ist ein Löschkonzept im Datenschutz?

Ein Löschkonzept im Datenschutz ist eine dokumentierte Regelung, die festlegt, welche personenbezogenen Daten wann und wie gelöscht oder anonymisiert werden. Es berücksichtigt den jeweiligen Verarbeitungszweck, gesetzliche Aufbewahrungspflichten und mögliche Ausnahmen, etwa bei laufenden Rechtsstreitigkeiten. Außerdem beschreibt es Zuständigkeiten und Verfahren, damit Daten nicht länger als erforderlich gespeichert und Löschvorgänge nachvollziehbar umgesetzt werden.

Ist ein Löschkonzept nach der DSGVO verpflichtend?

Ein eigenständiges Dokument mit dem Titel „Löschkonzept“ schreibt die DSGVO nicht ausdrücklich vor. Verantwortliche müssen jedoch personenbezogene Daten auf das notwendige Maß und die erforderliche Dauer beschränken und nachweisen können, dass sie diese Pflichten einhalten. Ein dokumentiertes Löschkonzept ist daher ein wichtiges praktisches Mittel, um Löschfristen, Zuständigkeiten, Verfahren und Ausnahmen nachvollziehbar festzulegen. Welche Maßnahmen angemessen sind, hängt unter anderem von Art, Umfang und Risiko der Datenverarbeitung ab.

Welche Inhalte muss ein Löschkonzept enthalten?

Ein Löschkonzept sollte alle relevanten Datenarten und Speicherorte erfassen und für jede Verarbeitung festlegen, zu welchem Zweck die Daten genutzt werden, welche Lösch- oder Aufbewahrungsfristen gelten und wann diese beginnen. Außerdem sollte es beschreiben, wie und durch wen die Löschung, Anonymisierung oder gegebenenfalls Einschränkung der Verarbeitung erfolgt. Wichtig sind auch klare Zuständigkeiten, der Umgang mit Ausnahmen wie gesetzlichen Aufbewahrungspflichten, die Einbeziehung von Backups und Dienstleistern sowie Verfahren zur Dokumentation und regelmäßigen Überprüfung der Löschmaßnahmen.

Wie legt man Lösch- und Aufbewahrungsfristen für personenbezogene Daten fest?

Lösch- und Aufbewahrungsfristen werden für jede Datenkategorie anhand des Verarbeitungszwecks und der geltenden gesetzlichen Vorgaben festgelegt. Zunächst ist zu prüfen, wie lange die Daten für den ursprünglichen Zweck benötigt werden und ob gesetzliche Aufbewahrungspflichten oder Gründe wie die Durchsetzung beziehungsweise Abwehr von Rechtsansprüchen eine längere Speicherung erfordern. Dabei sollte auch eindeutig festgelegt werden, wann die Frist beginnt – etwa mit Vertragsende oder dem Abschluss eines Vorgangs. Sobald der Zweck entfällt und keine weitere Rechtsgrundlage für die Speicherung besteht, sind die Daten zu löschen oder, sofern geeignet, zu anonymisieren. Die Fristen und Ausnahmen sollten dokumentiert und regelmäßig überprüft werden.

Wie oft müssen personenbezogene Daten überprüft und gelöscht werden?

Personenbezogene Daten sollten regelmäßig und anlassbezogen überprüft werden – ein einheitliches Prüfintervall schreibt die DSGVO nicht vor. Legen Sie im Löschkonzept fest, wie oft die einzelnen Datenbestände kontrolliert werden und wann konkrete Löschfristen beginnen, zum Beispiel nach Vertragsende oder Abschluss eines Vorgangs. Daten sind zu löschen, sobald sie für ihren Zweck nicht mehr benötigt werden und keine Aufbewahrungspflicht oder ein anderer zulässiger Grund für die weitere Speicherung besteht. Beschränken solche Gründe die Löschung, sollten die Daten bis zum Wegfall des Grundes vor einer anderweitigen Nutzung geschützt werden.

Wie werden gesetzliche Aufbewahrungspflichten und Löschfristen miteinander vereinbart?

Gesetzliche Aufbewahrungspflichten haben Vorrang vor einer Löschung, wenn sie für bestimmte Daten gelten. Diese Daten sollten jedoch nur für den vorgeschriebenen Zweck aufbewahrt und währenddessen, soweit möglich, für andere Verarbeitungen gesperrt oder in ihrer Nutzung eingeschränkt werden. Das Löschkonzept sollte für jede Datenkategorie die maßgebliche Aufbewahrungsfrist, ihren Beginn und das anschließende Löschverfahren festlegen. Nach Ablauf der Pflicht sind die Daten zu löschen, sofern keine andere Rechtsgrundlage oder ein dokumentierter Ausnahmefall eine weitere Speicherung erfordert.

Wie müssen personenbezogene Daten in Backups und Sicherungskopien gelöscht werden?

Personenbezogene Daten in Backups müssen nach einem festgelegten Verfahren gelöscht werden, sobald sie nicht mehr benötigt werden und keine Aufbewahrungspflicht oder andere rechtliche Grundlage für die Speicherung besteht. Eine sofortige Einzel-Löschung aus jeder Sicherungskopie ist technisch nicht immer praktikabel; in diesem Fall sollten Backups besonders geschützt, nur für Wiederherstellungszwecke verwendet und nach einem klar definierten, angemessenen Ablauf überschrieben oder gelöscht werden. Wird ein Backup wiederhergestellt, müssen bereits zuvor gelöschte Daten erneut aus dem produktiven System entfernt werden. Das Löschkonzept sollte diese Abläufe, Fristen und Zuständigkeiten dokumentieren.

Wie dokumentiert und weist man die ordnungsgemäße Löschung von Daten nach?

Die ordnungsgemäße Löschung lässt sich durch ein Löschprotokoll nachweisen. Darin sollten mindestens der Zeitpunkt, die betroffenen Daten oder Datenkategorien, das verwendete Löschverfahren und die zuständige Stelle festgehalten werden. Ergänzend können automatisierte Systemmeldungen, Prüfberichte oder Bestätigungen von Auftragsverarbeitern als Nachweise dienen. Achten Sie darauf, im Protokoll selbst keine unnötigen personenbezogenen Daten zu speichern; häufig genügt eine Dokumentation auf Vorgangs- oder Kategorienebene. Legen Sie außerdem fest, wie lange Löschprotokolle aufbewahrt werden und wer darauf zugreifen darf.