In einem Satz. Ein Löschkonzept ist die systematische Umsetzung der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) und des Rechts auf Löschung (Art. 17) — es ordnet jede Datenart einer Löschklasse mit definierter Aufbewahrungs- und Löschfrist zu und folgt in Deutschland meist der Methodik der DIN 66398.
Wichtige Punkte
- Pflicht aus Art. 5 Abs. 1 lit. e und Art. 17 DSGVO.
- DIN 66398 liefert die anerkannte Methodik (Löschklassen, Löschregeln).
- Löschfrist = Aufbewahrungsdauer + Löschregel (Start + Frist + Umsetzung).
- Aufbewahrungspflichten (HGB, AO) begrenzen die Löschung.
- Bußgeld bis 20 Mio. € / 4 % (Art. 83 Abs. 5).
Die Vorlage: Löschklassen
DIN 66398 arbeitet mit Löschklassen, die einen Startzeitpunkt und eine Regelfrist kombinieren:
| Löschklasse | Startzeitpunkt | Regelfrist |
|---|---|---|
| LK-1 | Ende des Kontakts | 3 Monate |
| LK-2 | Ende Vertragsbeziehung | 3 Jahre (Verjährung) |
| LK-3 | Ende Geschäftsjahr | 6 Jahre (§ 257 HGB) |
| LK-4 | Ende Geschäftsjahr | 10 Jahre (§ 147 AO, § 257 HGB) |
| LK-5 | Zweckwegfall | sofort / 30 Tage |
Die Vorlage: Löschregeln (Auszug)
| Datenart | Löschklasse | Frist | Rechtsgrundlage der Frist |
|---|---|---|---|
| Bewerberunterlagen (Absage) | LK-1 | 6 Monate | AGG-Klagefrist |
| Interessenten ohne Vertrag | LK-1 | 6–12 Monate | Zweckwegfall |
| Kundenstammdaten | LK-2 | 3 Jahre nach Vertragsende | Verjährung §§ 195, 199 BGB |
| Rechnungen / Buchungsbelege | LK-4 | 10 Jahre | § 147 AO, § 257 HGB |
| Handelsbriefe | LK-3 | 6 Jahre | § 257 HGB |
| Lohn-/Gehaltsunterlagen | LK-4 | 10 Jahre | steuer-/sozialrechtlich |
| Server-Logfiles | LK-5 | 7–90 Tage | Zweckbindung, Art. 6 (1) f |
| Newsletter (nach Widerruf) | LK-5 | sofort (Sperrliste) | Widerruf Art. 7 (3) |
| Bewerber (Einwilligung Talentpool) | LK-2 | bis Widerruf, max. 2 Jahre | Einwilligung |
So passen Sie das Muster an
Aufbau eines Löschkonzepts nach DIN 66398
Die DIN 66398 gibt eine klare Systematik vor, die sich in vier Bausteinen zusammenfassen lässt. Erstens werden Datenarten definiert — nicht einzelne Felder, sondern funktional zusammengehörige Datenbestände (etwa „Bewerberunterlagen" oder „Buchungsbelege"). Zweitens erhält jede Datenart eine Löschklasse, die aus einem Startzeitpunkt (dem auslösenden Ereignis) und einer Regelfrist besteht. Drittens werden Löschregeln formuliert, die Datenart und Löschklasse verbinden und die Umsetzung beschreiben — automatisch oder manuell, im Produktivsystem und in allen Kopien. Viertens legt das Konzept Verantwortlichkeiten fest: Wer stößt die Löschung an, wer kontrolliert sie, wer dokumentiert?
Der Charme dieser Methodik liegt in der Wiederverwendbarkeit: Statt für jede der hunderten Datenarten eine eigene Frist zu erfinden, ordnen Sie sie einer überschaubaren Zahl von Löschklassen zu. So bleibt das Konzept auch bei wachsender Datenlandschaft handhabbar. Die Löschklassen aus der Vorlage oben lassen sich für die meisten Unternehmen unverändert übernehmen; individuell ist vor allem die Zuordnung der konkreten Datenarten.
Entscheidend ist der Übergang von der Theorie in die technische Umsetzung. Ein Löschkonzept, das nur auf Papier existiert, ist im Aufsichtsverfahren wertlos — genau das war der Kern der Deutsche-Wohnen-Sanktion (Berliner Beauftragte für Datenschutz und Informationsfreiheit, 2019): Das eingesetzte Archivsystem sah schlicht keine Möglichkeit vor, nicht mehr benötigte Mieterdaten zu löschen. Für die Umsetzung heißt das konkret: Jede Löschregel braucht einen definierten Umsetzungsweg. Bei strukturierten Systemen (CRM, ERP) sollte die Löschung automatisiert über zeitgesteuerte Jobs erfolgen, die anhand des Startereignisses und der Regelfrist fällige Datensätze identifizieren. Bei unstrukturierten Beständen (Dateiablagen, E-Mail-Postfächer) genügt oft nur ein manueller, aber terminierter Prüfprozess mit klarer Zuständigkeit. Wichtig ist, den Löschlauf in allen Instanzen anzustoßen: Produktivsystem, Repliken, Data-Warehouse-Auszüge und Schnittstellen zu Drittsystemen. Wird eine Datenart an mehrere Empfänger übermittelt, muss das Konzept auch deren Löschung nachhalten — bei Auftragsverarbeitern über die vertragliche Löschpflicht, bei eigenständig Verantwortlichen über eine Mitteilung nach Art. 17 Abs. 2 DSGVO.
Zusammenspiel mit Betroffenenrechten
Häufige Fehler
- Aufbewahrungspflicht mit Aufbewahrungsrecht verwechseln. Nach Ablauf der 10-Jahres-Frist müssen Belege gelöscht werden — sie dürfen nicht „vorsorglich" bleiben. Deutsche Wohnen scheiterte genau hier: ein Archivsystem ohne Löschmöglichkeit, sanktioniert mit 14,5 Mio. €.
- Nur Produktivsystem betrachten. Backups, Archive, E-Mail-Postfächer und Exporte enthalten oft dieselben Daten und werden vergessen.
- Keine Löschprotokolle. Die Löschung muss nachweisbar sein (Art. 5 Abs. 2). Ohne Protokoll fehlt der Nachweis.
- Fristen nie starten. Eine Frist ohne definierten Startzeitpunkt („nach Vertragsende") läuft nie an. DIN 66398 verlangt ein konkretes Startereignis.
- Löschung von Auskunftsrecht abkoppeln. Ein Löschantrag nach Art. 17 muss auch dann greifen, wenn die Regelfrist noch nicht abgelaufen ist — sofern keine Aufbewahrungspflicht entgegensteht.
FAQ
Ist ein Löschkonzept Pflicht?
Ein Löschkonzept als solches wird von der DSGVO nicht namentlich verlangt, wohl aber sein Ergebnis: Die Speicherbegrenzung (Art. 5 Abs. 1 lit. e) und die Rechenschaftspflicht (Art. 5 Abs. 2) verlangen, dass Sie Löschfristen definieren und einhalten. In der Aufsichtspraxis ist ein dokumentiertes Löschkonzept faktisch der erwartete Nachweis.
Was regelt DIN 66398?
Die DIN 66398 „Leitlinie zur Entwicklung eines Löschkonzepts" liefert eine Methodik: Datenarten werden Löschklassen zugeordnet, die aus einem Startzeitpunkt und einer Regelfrist bestehen. Sie ist kein Gesetz, aber der anerkannte Standard, an dem sich deutsche Datenschützer orientieren.
Wie gehe ich mit Aufbewahrungspflichten um?
Aufbewahrungspflichten aus HGB und AO (6 bzw. 10 Jahre) sind Rechtsgrundlagen für die weitere Speicherung (Art. 6 Abs. 1 lit. c). Solange sie laufen, darf und muss aufbewahrt werden. Nach Fristablauf entfällt die Rechtsgrundlage und die Daten sind zu löschen.
Muss ich Löschungen protokollieren?
Ja, aus der Rechenschaftspflicht (Art. 5 Abs. 2) folgt, dass Sie die Umsetzung Ihres Löschkonzepts nachweisen können müssen. Ein Löschprotokoll dokumentiert, welche Datenart wann und durch wen gelöscht wurde. Das Protokoll selbst darf dabei keine überflüssigen personenbezogenen Details enthalten — es genügt der Nachweis von Datenart, Löschklasse, Zeitpunkt und Verantwortlichem. Ohne solche Nachweise bleibt selbst ein sauber formuliertes Konzept im Aufsichtsverfahren wertlos.
Wie gehe ich mit Backups und Archiven um?
Backups und Archive sind der blinde Fleck vieler Löschkonzepte. Rechtlich gilt: Auch dort gespeicherte personenbezogene Daten unterliegen der Löschpflicht. Praktisch ist eine gezielte Einzellöschung aus einem Backup jedoch oft technisch unmöglich oder unverhältnismäßig. Die anerkannte Lösung besteht darin, Backups mit klaren, kurzen Aufbewahrungszyklen zu betreiben, sodass gelöschte Daten spätestens nach dem nächsten Rotationszyklus auch aus dem Backup verschwinden. Solange die Daten noch im Backup liegen, müssen sie für die aktive Nutzung gesperrt sein und dürfen nur im Wiederherstellungsfall verarbeitet werden. Dokumentieren Sie diese Backup-Löschregel ausdrücklich im Konzept — sie ist bei einer Aufsichtsprüfung ein häufiger Nachfragepunkt und zeigt, dass Sie das Thema durchdacht haben.
Fazit
Ein Löschkonzept macht aus dem abstrakten Grundsatz der Speicherbegrenzung ein prüfbares System aus Löschklassen und Löschregeln. Nutzen Sie die Vorlage nach DIN 66398, koppeln Sie jede Frist an Ihr Verarbeitungsverzeichnis und protokollieren Sie die Löschungen. So vermeiden Sie den teuersten aller Datenschutzfehler: Daten zu behalten, die längst hätten gelöscht sein müssen. Den Normtext lesen Sie bei EUR-Lex, Praxishinweise bietet der BfDI.