Warum ein Löschkonzept?
Nach Art. 5 Abs. 1 Buchstabe e dürfen personenbezogene Daten in einer Form, die die Identifizierung der Betroffenen ermöglicht, nur so lange gespeichert werden, „wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“. Nach Art. 17 Abs. 1 müssen Sie Daten unverzüglich löschen, wenn zum Beispiel:
- die Daten für den Zweck nicht mehr notwendig sind,
- die betroffene Person ihre Einwilligung widerruft und es keine andere Rechtsgrundlage gibt,
- die Person Widerspruch einlegt und keine vorrangigen berechtigten Gründe bestehen,
- die Daten unrechtmäßig verarbeitet wurden oder
- die Löschung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.
Art. 5 Abs. 2 verpflichtet Sie außerdem, die Einhaltung nachweisen zu können („Rechenschaftspflicht“). Ohne Konzept gelingt das kaum: Daten sammeln sich in Postfächern, Dateiablagen und Archiven an, und niemand weiß, wann sie hätten verschwinden müssen.
Wann Löschung nicht erlaubt ist
Das Recht auf Löschung gilt nicht, soweit die Verarbeitung erforderlich ist, um eine rechtliche Verpflichtung zu erfüllen, die die Verarbeitung nach Unionsrecht oder dem Recht der Mitgliedstaaten verlangt, oder um Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen (Art. 17 Abs. 3). Typisches Beispiel sind gesetzliche Aufbewahrungspflichten. Solange sie laufen, dürfen Sie die Daten nicht löschen, sollten aber den Zugriff auf diejenigen beschränken, die sie brauchen.
Gesetzliche Aufbewahrungsfristen
Die wichtigsten Fristen für Unternehmen stehen im Handelsgesetzbuch (§ 257) und in der Abgabenordnung (§ 147). Nach dem Wortlaut beider Vorschriften, wie er am 05.10.2026 auf gesetze-im-internet.de veröffentlicht ist, gilt:
| Unterlage | Aufbewahrungsfrist |
|---|---|
| Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Lageberichte, Konzernabschlüsse und zugehörige Arbeitsanweisungen | 10 Jahre |
| Buchungsbelege | 8 Jahre (Institute nach Kreditwesengesetz, Versicherer und Wertpapierinstitute: 10 Jahre nach § 257 HGB) |
| Empfangene Handelsbriefe, Wiedergaben abgesandter Handelsbriefe und sonstige Unterlagen nach § 257 Abs. 1 | 6 Jahre |
| Sonstige Unterlagen, die für die Besteuerung von Bedeutung sind (§ 147 Abs. 1 Nr. 5 AO) | 6 Jahre |
Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem zum Beispiel der Beleg entstanden oder der Handelsbrief empfangen oder abgesandt worden ist. Nach § 147 Abs. 3 Satz 5 AO läuft die Frist außerdem nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für die die Festsetzungsfrist noch nicht abgelaufen ist. Prüfen Sie Fristen vor der Anwendung immer am aktuellen Gesetzestext, sie wurden in der Vergangenheit geändert. Für weitere Unterlagen, etwa aus dem Personalbereich, gelten eigene Regeln, die Sie mit Ihrem Datenschutzbeauftragten oder Steuerberater klären sollten.
Aufbau eines Löschkonzepts nach DIN 66398
Die DIN 66398 ist eine „Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten“. Sie schlägt einen Aufbau vor, nach dem Sie Löschregeln ableiten. Ein praxistaugliches Konzept für ein kleines oder mittleres Unternehmen besteht aus fünf Schritten:
- Datenarten erfassen: Welche Daten verarbeiten Sie? Die Grundlage liefert das Verzeichnis von Verarbeitungstätigkeiten.
- Fristen festlegen: Je Datenart die Frist, nach der der Zweck entfällt oder die gesetzliche Aufbewahrungsfrist endet.
- Startpunkt bestimmen: Wann beginnt die Frist? Zum Beispiel mit Vertragsende, Ausscheiden eines Mitarbeiters oder Ende des Kalenderjahres.
- Verantwortliche und Verfahren benennen: Wer löscht wann, mit welchem Werkzeug, und wie wird die Löschung dokumentiert?
- Regelmäßig prüfen: Fristen und Verfahren jährlich und bei neuen Verfahren aktualisieren.
Umsetzung im Alltag
- Technisch: Software mit Löschfunktionen und automatischen Löschläufen bevorzugen. Prüfen Sie Backups und Archive, in denen Daten länger liegen können.
- Organisatorisch: Feste Termine, zum Beispiel jährliche Löschläufe, und klare Zuständigkeit je Bereich.
- Papier und Geräte: Akten datenschutzgerecht vernichten, ausgemusterte Datenträger sicher löschen oder zerstören.
- Dienstleister: Der Auftragsverarbeiter löscht oder gibt Daten nach Ende der Leistung zurück (Art. 28 Abs. 3 Buchstabe g). Lassen Sie sich die Löschung bestätigen, siehe auch das Urteil zur AVV-Haftung.
Löschkonzept erstellen lassen
Ein externer Datenschutzbeauftragter erstellt Ihr Löschkonzept mit Ihnen und prüft, welche Fristen für Ihre Unterlagen gelten. Unsere Datenschutzmanagement-Software hält Löschfristen im Verzeichnis fest.
