Löschkonzept: Warum Aufbewahren und Löschen sich widersprechen
Die DSGVO verlangt, Daten zu löschen, sobald der Zweck erfüllt ist. Handels- und Steuerrecht verlangen, dieselben Daten jahrelang aufzubewahren. Ein Löschkonzept ist die Stelle, an der ein Betrieb diesen Widerspruch je Datenart auflöst — und festhält, wie er ihn aufgelöst hat.
Der Grundsatz steht in Art. 5 Absatz 1 Buchstabe e DSGVO und heißt Speicherbegrenzung: Personenbezogene Daten sind in einer Form zu speichern, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Daneben steht Art. 17, das Recht auf Löschung, das die betroffene Person selbst geltend machen kann. Und daneben stehen Aufbewahrungspflichten aus ganz anderen Gesetzen, die dasselbe Dokument für Jahre festhalten. Ein Löschkonzept ist kein Datenschutz-Formular, sondern die Entscheidung, welche dieser Kräfte bei welcher Datenart gewinnt.
Zwei Pflichten, die in verschiedene Richtungen ziehen
Die konkreten Fristen stehen nicht in der DSGVO. Wer sein Löschkonzept auf eine Fristentabelle aus dem Netz stützt, übernimmt deren Fehler mit.
Art. 5 Absatz 1 Buchstabe e verlangt, dass Daten nur so lange in identifizierbarer Form gespeichert werden, wie es für die Zwecke erforderlich ist. Die Verordnung nennt dafür keine Zahl. Sie knüpft an den Zweck an, und der endet irgendwann.
Gleichzeitig verlangen andere Gesetze das Gegenteil. Handels- und steuerrechtliche Aufbewahrungspflichten halten Buchungsbelege, Rechnungen und Geschäftsbriefe für Jahre fest, und diese Unterlagen enthalten regelmäßig personenbezogene Daten. Wer sie im Namen des Datenschutzes löscht, verletzt eine andere Pflicht.
Der Widerspruch ist auflösbar, aber nicht pauschal. Er wird je Datenart aufgelöst, und genau das ist die Arbeit, die ein Löschkonzept leistet: Für jede Kategorie steht darin, wozu die Daten erhoben wurden, wann dieser Zweck endet, welche Aufbewahrungspflicht daneben besteht und was nach deren Ablauf passiert.
Löschfristen, die von selbst fällig werden Im Musterbetrieb ansehen oder 14 Tage kostenlos testen. Der Text geht darunter weiter.
Wann Art. 17 die Löschung verlangt
Art. 17 Absatz 1 verpflichtet zur unverzüglichen Löschung, sofern einer der dort genannten Gründe zutrifft. Vier davon begegnen einem Mittelständler regelmäßig.
| Buchstabe | Grund | Typischer Fall im Betrieb |
|---|---|---|
| a | Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig | Bewerbungsunterlagen nach abgeschlossenem Verfahren |
| b | Die betroffene Person widerruft ihre Einwilligung und es fehlt an einer anderweitigen Rechtsgrundlage | Abmeldung vom Newsletter |
| c | Widerspruch nach Art. 21 ohne vorrangige berechtigte Gründe | Widerspruch gegen Direktwerbung |
| d | Die Daten wurden unrechtmäßig verarbeitet | Daten ohne Rechtsgrundlage erhoben |
Die Tabelle gibt vier der in Art. 17 Absatz 1 genannten Gründe wieder. Art. 17 Absatz 3 nennt Ausnahmen, unter anderem zur Erfüllung einer rechtlichen Verpflichtung; genau dort greifen die Aufbewahrungspflichten.
Was ein Löschkonzept enthalten muss, damit es trägt
Die DSGVO schreibt für das Löschkonzept keine Form vor. Sie verlangt in Art. 5 Absatz 2 aber, dass der Verantwortliche die Einhaltung der Grundsätze nachweisen kann, und die Speicherbegrenzung ist einer davon. Das Konzept ist also der Nachweis, dass die Löschung nicht dem Zufall überlassen ist.
Tragfähig wird es, wenn je Datenkategorie vier Dinge feststehen: der Zweck, das Ereignis, mit dem dieser Zweck endet, die Aufbewahrungspflicht, die danach noch läuft, und die Handlung am Ende. Das Ereignis ist dabei der Teil, der am häufigsten fehlt. Eine Frist ohne Startpunkt ist keine Frist.
Die Handlung am Ende ist nicht immer die Löschung. Art. 5 Absatz 1 Buchstabe e spricht davon, dass die Identifizierung nur so lange möglich sein darf wie nötig. Wo eine Aufbewahrungspflicht die Löschung verbietet, ist die Einschränkung der Verarbeitung der übliche Weg: Die Unterlage bleibt, der Zugriff wird eingeschränkt.
Löschen heißt auch: aus den Sicherungen
Der Punkt, an dem viele Konzepte still scheitern, sind die Datensicherungen. Ein Datensatz, der im Betriebssystem gelöscht wurde und in der Sicherung von vorletzter Woche weiterlebt, ist nicht gelöscht.
Praktisch handhabbar wird das über den Umgang mit der Sicherung selbst: begrenzte Aufbewahrung der Sicherungsstände und eine festgehaltene Regel, dass wiederhergestellte Daten vor der Weiterverwendung erneut gegen das Löschkonzept geprüft werden. Wichtig ist, dass diese Regel im Konzept steht und nicht im Kopf der IT.
Wo das Löschkonzept an die übrige Dokumentation andockt
Der natürliche Ausgangspunkt ist das Verzeichnis von Verarbeitungstätigkeiten. Art. 30 Absatz 1 Buchstabe f verlangt darin wenn möglich die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien. Wer sein Verzeichnis führt, hat den Rahmen für das Löschkonzept bereits geschrieben.
Bei Auftragsverarbeitern reicht das eigene Konzept nicht. Art. 28 Absatz 3 Buchstabe g verlangt, dass der Auftragsverarbeiter die Daten nach Abschluss der Erbringung der Leistungen nach Wahl des Verantwortlichen löscht oder zurückgibt. Das gehört in den Vertrag und in die Liste der Dienstleister, sonst löscht der Betrieb sauber und die Daten liegen weiter beim Dienstleister.
Verwandte Themen
Löschfristen, die von selbst fällig werden
In Sicherio hängt die Löschregel an der Datenkategorie im Verarbeitungsverzeichnis: Zweck, auslösendes Ereignis, Aufbewahrungspflicht und die Handlung am Ende stehen an einer Stelle, und fällige Löschungen tauchen auf, statt vergessen zu werden. 14 Tage kostenlos testen.
Häufige Fragen
Zum Mitnehmen
Bestandsaufnahme Datenschutz
Die Fragen, die beim Lieferantencheck und bei einer Anfrage der Aufsicht zuerst kommen. Zum Durchgehen, bevor jemand anderes sie stellt.
PDF, 3 Seiten, Fragen in 5 Bereichen
- Was im Verzeichnis der Verarbeitungstätigkeiten steht und was fehlt
- Welche Auftragsverarbeiter erfasst sind
- Wie eine Betroffenenanfrage im Haus abläuft
- Woran auffällt, dass das Verzeichnis nicht mehr stimmt
Öffnet das PDF direkt. Oder unten eintragen, dann kommt die ausfüllbare Fassung per Mail.
Zum Inhalt dieser Seite
Diese Seite gibt den Wortlaut der Artikel 5 und 17 DSGVO wieder und beschreibt die Systematik eines Löschkonzepts. Die konkreten Aufbewahrungsfristen stammen aus Handels-, Steuer-, Sozial- und Arbeitsrecht und sind hier bewusst nicht genannt, weil sie je Datenart und Sachverhalt unterschiedlich ausfallen. Welche Frist für Ihre Unterlagen gilt, klären Sie mit Ihrer Steuerberatung und Ihrer oder Ihrem Datenschutzbeauftragten.
Die hier dargestellten Informationen beruhen auf einer sorgfältigen Auswertung öffentlich zugänglicher Rechts- und Fachquellen zum Stand vom 3. September 2026. Sie sollen einen ersten Überblick über die jeweilige Fachthematik geben und die eigenverantwortliche Orientierung erleichtern.
Die Inhalte stellen keine Rechts- oder Fachberatung im Einzelfall dar und ersetzen nicht die Prüfung durch eine qualifizierte Fachkraft — etwa einen Datenschutzbeauftragten oder eine qualifizierte Fachberatung. Für die konkrete Anwendung auf Ihren Betrieb ist eine individuelle fachliche Bewertung erforderlich.
Trotz sorgfältiger Recherche können sich Gesetzeslagen, Normen und behördliche Auslegungen ändern. Wir übernehmen keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der dargestellten Informationen.
Hinweise auf Fehler oder veraltete Angaben nehmen wir gerne unter kontakt@sicherio.de entgegen.
Mehr zu unserem Vorgehen: Redaktionelle Grundsätze