Löschkonzept nach DSGVO: was es regeln muss

Welche Pflichten stehen hinter dem Löschkonzept?

Das Wort Löschkonzept steht nicht in der DSGVO, die Pflichten dahinter schon. Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die Personen erkennbar macht, „wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“ (Art. 5 Abs. 1 Buchst. e).

Art. 17 Abs. 1 verpflichtet Ihr Unternehmen, Daten unverzüglich zu löschen, wenn ein dort genannter Grund vorliegt, etwa wenn sie für ihren Zweck nicht mehr notwendig sind oder eine Einwilligung widerrufen wurde. Das gilt auf Verlangen und, wie die Datenschutzkonferenz (DSK) in ihrem Kurzpapier Nr. 11 schreibt, auch ohne Verlangen.

Ausnahmen nennt Art. 17 Abs. 3, etwa eine rechtliche Pflicht zur Aufbewahrung (Buchst. b) oder die Verteidigung von Rechtsansprüchen (Buchst. e). Nach der DSK erlauben auch sie keine zeitlich unbegrenzte Speicherung: Ist ihr Zweck erreicht, wird gelöscht.

Art. 5 Abs. 1 Buchst. e · Art. 17 Abs. 1 und 3 DSGVO

Was ein Löschkonzept regeln muss

Im Kern ist es eine Löschregel je Datenart: die Frist, das Ereignis, ab dem sie läuft, und die Grundlage. Der Europäische Datenschutzausschuss (EDSA) nennt als gute Praxis einzelner Unternehmen eine Tabelle, die Datenart, Rechtsgrundlage und Frist zusammenführt.

Das Standard-Datenschutzmodell (SDM) der DSK regelt das Löschen in seinem Baustein 60. Danach legen Sie fest, wer Löschungen prüft, anordnet und durchführt. Schnellformatieren oder die bloße Zusage, Daten nicht mehr zu nutzen, reichen dort ausdrücklich nicht aus.

Gelöscht ist ein Datum nach dem SDM erst, wenn auch keine Kopie mehr bei Ihnen oder einem Auftragsverarbeiter liegt. Auftragsverarbeiter löschen nach Vertragsende die Daten oder geben sie zurück und löschen vorhandene Kopien (Art. 28 Abs. 3 Buchst. g). Empfängern teilen Sie jede Löschung mit, soweit das möglich und verhältnismäßig ist (Art. 19).

Art. 19 · Art. 28 Abs. 3 Buchst. g DSGVO

Was gilt für Datensicherungen?

Eine Datensicherung ist eine Kopie. Nach dem SDM Baustein 60 betrifft die Löschpflicht grundsätzlich auch Sicherungskopien, aber nicht zwingend im selben Moment wie im laufenden System. Dauert ein sicheres Löschen im Backup so lange, dass es ohnehin mit dem planmäßigen Überschreiben zusammenfiele, kann es in diesem Zuge geschehen.

Die entscheidende Regel betrifft die Rücksicherung. Spielt Ihre IT Daten aus einer Sicherung zurück, kommen bereits gelöschte Daten wieder. Das SDM verlangt, sie danach unmittelbar erneut zu löschen, und Prozesse, die das überwachen.

Der EDSA hält es nicht immer für ratsam, Sicherungen zu ändern, weil sie vor Angriffen wie Ransomware schützen. Dann braucht es nach seinem Bericht vom Februar 2026 ein Verfahren, das Löschanträge festhält und auf wiederhergestellten Systemen umsetzt. Die Hälfte der antwortenden Aufsichtsbehörden äußerte dort Bedenken beim Löschen in Sicherungen.

Ihr Löschkonzept nennt deshalb für jedes Sicherungssystem, wie lange Kopien liegen, und führt eine Liste der Löschungen, die nach einer Rücksicherung erneut abgearbeitet wird. Die Liste nennt, welcher Datensatz zu löschen ist, etwa über eine Kundennummer. Für die Dokumentation von Löschungen verlangt das SDM, dass sie keine Inhaltsdaten enthält, die zu löschen sind.

Beispiel: eine Löschregel und eine Rücksicherung

Die Muster Metall GmbH, ein erfundener Betrieb mit 80 Beschäftigten, bewahrt Schriftverkehr zu Aufträgen als Handelsbriefe sechs Jahre auf (§ 257 Abs. 1 und 4 HGB). Die Frist beginnt mit dem Ende des Kalenderjahres, in dem der Brief kam oder ging (Abs. 5). Eine E-Mail vom März 2026 bleibt also bis Ende 2032.

Ihre tägliche Sicherung hält sie im Beispiel 30 Tage. Nach einem Angriff spielt ihre IT den Stand von vor zwei Wochen zurück. Vor dem Neustart arbeitet sie die Löschliste dieser zwei Wochen erneut ab; dort steht etwa die Kundennummer einer Kundin, die ihre Einwilligung zum Newsletter widerrufen hatte, und ihre Adresse ist danach wieder gelöscht.

Welche Fehler Sie beim Löschkonzept vermeiden sollten

Setzen Sie nicht eine Frist für alles, nur weil sie sicher klingt. Daten ohne Aufbewahrungspflicht bleiben dann zu lange, und ein allgemeiner Verweis auf Aufbewahrungspflichten genügt nach der DSK nicht.

Löschen Sie nicht nur im Hauptsystem. Kopien können auch in Postfächern, auf mobilen Geräten und in Clouddiensten liegen; das SDM verlangt Prozesse, die alle Kopien erfassen. Für ausgemusterte Geräte sieht Punkt 10.1 des NIS 2 Durchgangs sicheres Löschen oder Vernichten vor.

Aufbewahren heißt nicht weiter nutzen. Die Ausnahme in Art. 17 Abs. 3 Buchst. b gilt nur, „soweit“ die Verarbeitung für die rechtliche Pflicht erforderlich ist.

Art. 17 Abs. 3 Buchst. b DSGVO

Mit einem KI Assistenten: was er für das Löschkonzept vorbereiten kann

Ein KI Assistent wie Claude, ChatGPT oder Copilot kann aus Ihrem Verzeichnis von Verarbeitungstätigkeiten eine Tabelle aller Datenarten anlegen und je Datenart eine Löschregel vorschlagen. Über MCP (Model Context Protocol), einen offenen Standard, liest er auch, was der NIS 2 Durchgang zu Ihren Sicherungssystemen festhält.

Prüfen Sie jede vorgeschlagene Frist im aktuellen Gesetzestext. § 257 Abs. 4 HGB etwa gilt seit dem 1. Januar 2025 in neuer Fassung und nennt für Buchungsbelege acht Jahre. Welche Frist gilt, entscheidet Ihr Unternehmen als Verantwortlicher.

Löschlisten können personenbezogene Daten enthalten, die dann auch der Anbieter des Assistenten verarbeitet. Handelt er als Auftragsverarbeiter, braucht es einen Vertrag nach Art. 28 Abs. 3 DSGVO. Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang.