DSGVO Löschkonzept Deutschland

Das DSGVO Löschkonzept in Deutschland ist ein internes Steuerungsdokument, das Unternehmen und Organisationen dabei unterstützt, personenbezogene Daten systematisch und rechtssicher zu löschen oder zu sperren. Rechtsgrundlage bilden DSGVO Art. 17 (Recht auf Löschung, auch »Recht auf Vergessenwerden«) und DSGVO Art. 5 Abs. 1 lit. e (Speicherbegrenzungsgrundsatz: Daten dürfen nicht länger gespeichert werden, als es für den Verarbeitungszweck erforderlich ist). Das Bundesdatenschutzgesetz (BDSG §35) konkretisiert diese Pflichten für Deutschland und regelt insbesondere die Löschung bei automatisierter Verarbeitung.

Ein Löschkonzept ist kein optionales Dokument, sondern Bestandteil der Rechenschaftspflicht nach DSGVO Art. 5 Abs. 2: Verantwortliche müssen nachweisen können, dass sie die Grundsätze der Datenverarbeitung einhalten. Der Europäische Datenschutzausschuss (EDSA) und die deutschen Landesdatenschutzbehörden (z.B. Bayerisches Landesamt für Datenschutzaufsicht, LDA; Berliner Beauftragte für Datenschutz und Informationsfreiheit) verlangen im Rahmen von Datenschutzprüfungen und -aufsichten regelmäßig die Vorlage eines Löschkonzepts.

Das Löschkonzept umfasst drei Kernelemente: Erstens die Löschfristen für alle Datenkategorien (wann müssen welche Daten gelöscht werden?), zweitens den Löschprozess (wie und durch wen wird die Löschung technisch durchgeführt?), und drittens die Löschnachweise (wie wird die Löschung dokumentiert?). Ein professionelles Löschkonzept richtet sich nach dem Standard DIN 66398 (»Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten«), der von deutschen Datenschutzbehörden als Best Practice anerkannt ist.

Datenschutzverletzungen durch fehlende Löschkonzepte wurden von deutschen Behörden bereits sanktioniert: Die Berliner Beauftragte für Datenschutz und Informationsfreiheit verhängte Bußgelder, weil Unternehmen Kundendaten über den zulässigen Zeitraum hinaus aufbewahrt hatten. Die DSGVO sieht Bußgelder bis zu 20 Mio. € oder 4% des weltweiten Jahresumsatzes vor (Art. 83 Abs. 5 DSGVO). forms-legal.com stellt eine vollständige Löschkonzept-Vorlage für alle Unternehmensgrößen in Deutschland bereit.

Abgrenzung: Das Löschkonzept ist Teil des umfassenden Datenschutzmanagementsystems (DSMS). Es ergänzt das Verarbeitungsverzeichnis (DSGVO Art. 30), die Datenschutz-Folgenabschätzung (DSFA, DSGVO Art. 35) und die Datenschutzerklärung (DSGVO Art. 13/14). Für jede im Verarbeitungsverzeichnis gelistete Datenverarbeitung sollte das Löschkonzept eine konkrete Löschfrist und einen Löschprozess vorsehen.

Ein DSGVO Löschkonzept Deutschland ist in folgenden Situationen zwingend erforderlich:

**Unternehmen jeder Größe (DSGVO Art. 5 Abs. 2):** Grundsätzlich sind alle Verantwortlichen nach DSGVO verpflichtet, die Einhaltung der Datenschutzgrundsätze nachzuweisen. Für Unternehmen mit mehr als 20 Mitarbeitern oder mit automatisierter Datenverarbeitung ist ein schriftliches Löschkonzept faktisch unerlässlich, um die Rechenschaftspflicht zu erfüllen.

**Betriebe mit großem Kundenstamm (CRM-Systeme):** Unternehmen, die Kundendaten in CRM-Systemen (Salesforce, HubSpot, SAP CRM) verwalten, müssen definieren, wann Kundenkonten nach Beendigung der Geschäftsbeziehung gelöscht werden. Steuerliche Aufbewahrungsfristen (HGB §257: 10 Jahre für Buchungsbelege, AO §147: 10 Jahre für steuerrelevante Unterlagen) stehen oft in Konflikt mit dem Löschrecht nach DSGVO Art. 17.

**Arbeitgeber mit Personalakten:** Personenbezogene Beschäftigtendaten unterliegen nach BDSG §26 besonderen Löschregeln. Bewerberdaten: Löschung nach 6 Monaten nach Ablehnung (BAG 8 AZR 1013/13); Personalakten ausgeschiedener Mitarbeiter: branchenüblich 10 Jahre nach Ausscheiden (steuerliche Gründe).

**Datengetriebene Geschäftsmodelle (E-Commerce, Apps):** Online-Shops und App-Betreiber erheben große Mengen von Nutzungsdaten (Klickverhalten, Kaufhistorie, Standortdaten). Das Löschkonzept muss differenzieren nach Datenkategorien (Marketing-Cookies: nach Widerruf sofort; Transaktionsdaten: 10 Jahre steuerrechtlich; technische Logs: 30–90 Tage).

**Gesundheitseinrichtungen (Patientendaten nach DSGVO Art. 9):** Krankenhäuser, Arztpraxen und Apotheken verarbeiten besondere Kategorien personenbezogener Daten (Gesundheitsdaten). Patientenakten: Aufbewahrungspflicht nach §10 Musterberufsordnung für Ärzte: 10 Jahre nach Abschluss der Behandlung; danach Löschpflicht, sofern keine spezialgesetzliche Ausnahme.

**Banken und Finanzdienstleister (KWG, GwG):** Banken unterliegen dem Geldwäschegesetz (GwG §8) und müssen Kundendaten und Transaktionsnachweise 5 Jahre nach Geschäftsbeziehungsende aufbewahren. Nach Ablauf dieser Frist sind diese Daten nach DSGVO zu löschen.

Ein vollständiges DSGVO Löschkonzept Deutschland nach Art. 17 DSGVO und DIN 66398 enthält folgende Kernbestandteile:

**1. Datenkategorien und Verarbeitungszwecke:** Vollständige Auflistung aller personenbezogenen Datenkategorien: Kontaktdaten, Vertragsdaten, Zahlungsdaten, Kommunikationsdaten, Bewerberdaten, Beschäftigtendaten, Gesundheitsdaten, Webnutzungsdaten. Für jede Kategorie: Verarbeitungszweck und Rechtsgrundlage nach DSGVO Art. 6 (Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse).

**2. Löschfristen pro Datenkategorie:** Die zentrale Tabelle des Löschkonzepts: Datenkategorie → maximale Aufbewahrungsdauer → Rechtsgrundlage der Aufbewahrung. Beispiele: Rechnungen/Buchungsbelege: 10 Jahre nach HGB §257 und AO §147; Lieferverträge: 10 Jahre nach HGB §257; Personalakten: 10 Jahre nach Beendigung des Arbeitsverhältnisses; Bewerberdaten: 6 Monate nach Ablehnung; Sicherheits-Logs: 90 Tage; Marketing-Einwilligung: bis Widerruf, dann sofortige Löschung.

**3. Auslöseregeln (Triggering Events):** Wann beginnt die Löschfrist zu laufen? Vertragsende, Beendigung des Arbeitsverhältnisses, Widerruf einer Einwilligung (DSGVO Art. 7 Abs. 3), Ende der steuerlichen Aufbewahrungsfrist, Kundenwunsch nach Art. 17 DSGVO. Automatisierte vs. manuelle Löschroutinen.

**4. Löschprozesse und -methoden:** Technische Löschverfahren für verschiedene Datensysteme: Datenbanken (SQL DELETE, Anonymisierung durch Pseudonymisierung), Dateisysteme (NIST 800-88: sichere Löschmethoden für Festplatten – »Clear«, »Purge«, »Destroy«), Papierakten (DIN 66399: Sicherheitsstufen P-1 bis P-7 für Aktenvernichter; P-4 empfohlen für personenbezogene Daten), Cloud-Daten (Vertragliche Löschpflicht des Cloud-Anbieters nach DSGVO Art. 28 Abs. 3 lit. g).

**5. Verantwortlichkeiten und Zuständigkeiten:** Wer führt die Löschung durch? Wer kontrolliert die Einhaltung? Rolle des Datenschutzbeauftragten (DSB, DSGVO Art. 37–39). Abteilungsverantwortliche für IT, HR, Marketing, Rechtsabteilung. Regelung des 4-Augen-Prinzips bei sensiblen Datenkategorien (DSGVO Art. 9).

**6. Sperren als Alternative zur Löschung:** Wenn gesetzliche Aufbewahrungsfristen einer Löschung entgegenstehen, können Daten gesperrt werden (BDSG §35 Abs. 3 analog). Gesperrte Daten dürfen nur zur Erfüllung der Aufbewahrungspflicht, nicht mehr für andere Zwecke verarbeitet werden. Technische Umsetzung: separate Datenbank, Zugangsbeschränkung.

**7. Löschnachweise und Dokumentation:** Protokollierung jedes Löschvorgangs: Datum, Datenkategorie, Anzahl der gelöschten Datensätze, Löschperson, angewandte Methode. Aufbewahrung der Löschnachweise selbst: mindestens 3 Jahre (Verjährungsfrist §195 BGB). forms-legal.com stellt eine vollständige Vorlage inklusive Löschprotokollformular bereit.

**8. Ausnahmen und Konflikte mit gesetzlichen Aufbewahrungsfristen:** Systematische Auflistung aller anwendbaren Aufbewahrungspflichten: HGB §257 (10 Jahre), AO §147 (10 Jahre), GwG §8 (5 Jahre), UStG §14b (10 Jahre), SGB (sozialversicherungsrechtliche Fristen), berufsrechtliche Pflichten (Ärzte, Rechtsanwälte). Priorisierungsregel: gesetzliche Aufbewahrungspflicht bricht Löschpflicht.

**9. Regelmäßige Überprüfung:** Das Löschkonzept ist mindestens jährlich auf Aktualität zu prüfen (neue Datenverarbeitungen, neue gesetzliche Aufbewahrungsfristen, Änderungen der IT-Infrastruktur). Änderungshistorie des Dokuments mit Versionierung.

**10. Geltungsbereich und Verabschiedung:** Geltungsbereich (welche Standorte, welche Tochtergesellschaften, welche Systeme), Datum der Verabschiedung, Unterzeichnung durch Datenschutzbeauftragten und Geschäftsführung.

Das Ausfüllen des DSGVO Löschkonzepts Deutschland erfordert folgende Schritte:

**Schritt 1: Verarbeitungsverzeichnis als Grundlage nutzen** Das Löschkonzept baut auf dem Verarbeitungsverzeichnis nach DSGVO Art. 30 auf. Jede dort gelistete Datenverarbeitungstätigkeit erhält im Löschkonzept eine Löschfrist. Haben Sie noch kein Verarbeitungsverzeichnis, ist dieses zunächst zu erstellen.

**Schritt 2: Datenkategorien inventarisieren** Listen Sie alle personenbezogenen Datenkategorien auf, die Ihr Unternehmen verarbeitet. Unterscheiden Sie nach Betroffenengruppen: Kunden, Interessenten (Leads), Mitarbeiter, Bewerber, Lieferanten, Website-Besucher, Geschäftspartner.

**Schritt 3: Löschfristen je Datenkategorie bestimmen** Für jede Datenkategorie die maximale Aufbewahrungsdauer festlegen. Beginnen Sie mit den gesetzlichen Mindestaufbewahrungsfristen (HGB §257: 10 Jahre für Handelsbücher, AO §147: 10 Jahre steuerrelevante Daten) und ergänzen Sie branchen- und zweckspezifische Fristen. Wo keine gesetzliche Frist gilt (z.B. Marketingdaten), definieren Sie angemessene Fristen nach dem Grundsatz der Datensparsamkeit (DSGVO Art. 5 Abs. 1 lit. c).

**Schritt 4: Auslöseregeln dokumentieren** Für jede Datenkategorie den Auslöser (Trigger Event) der Löschfrist bestimmen: Vertragsende, Ablauf Gewährleistungsfrist, Widerruf Einwilligung, Ablauf steuerrechtlicher Aufbewahrungsfrist, Tod des Betroffenen.

**Schritt 5: Löschprozesse und Verantwortliche festlegen** Für jede Datenkategorie: Wer löscht? IT-Abteilung, HR, Marketing? Welche technische Methode? Automatisiert (Cron-Job, Retention Policy) oder manuell? Dokumentationsformat des Löschnachweises.

**Schritt 6: Ausnahmen und Sperren dokumentieren** Fälle auflisten, in denen statt Löschung eine Sperrung erfolgt (BDSG §35): z.B. wenn Daten gleichzeitig einer gesetzlichen Aufbewahrungspflicht und einem Löschersuchen nach Art. 17 DSGVO unterliegen.

**Schritt 7: Genehmigung und Inkraftsetzung** Löschkonzept vom Datenschutzbeauftragten (DSB) und der Geschäftsleitung unterzeichnen lassen. Mitarbeiter schulen. Regelmäßige Überprüfung (mindestens jährlich) planen.

Das DSGVO Löschkonzept in Deutschland unterliegt folgenden gesetzlichen Anforderungen:

**DSGVO Art. 17 (Recht auf Löschung / Recht auf Vergessenwerden):** Betroffene haben das Recht auf unverzügliche Löschung personenbezogener Daten, wenn: (a) die Daten für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind; (b) die Einwilligung widerrufen wird und keine andere Rechtsgrundlage besteht; (c) die betroffene Person Widerspruch nach Art. 21 DSGVO einlegt; (d) die Daten unrechtmäßig verarbeitet wurden; (e) eine gesetzliche Verpflichtung zur Löschung besteht.

**DSGVO Art. 5 Abs. 1 lit. e (Speicherbegrenzung):** Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für die Zwecke der Verarbeitung erforderlich ist. Das Löschkonzept ist das zentrale Instrument zur Umsetzung dieses Grundsatzes.

**BDSG §35 (Berichtigung und Löschung):** Konkretisiert Art. 17 DSGVO für Deutschland; regelt insbesondere die Sperrung als Alternative zur Löschung, wenn gesetzliche Aufbewahrungsfristen einer Löschung entgegenstehen.

**Gesetzliche Aufbewahrungsfristen (HGB §257, AO §147):** HGB §257: 10 Jahre für Handelsbücher, Inventare, Bilanzen, Jahresabschlüsse, Buchungsbelege; 6 Jahre für Handelsbriefe und sonstige Unterlagen. AO §147: 10 Jahre für Steuerunterlagen. Diese Aufbewahrungspflichten gehen der Löschpflicht nach Art. 17 DSGVO vor (Art. 17 Abs. 3 lit. b DSGVO: Aufbewahrung zur Erfüllung einer rechtlichen Verpflichtung).

**Bußgelder (DSGVO Art. 83):** Verstöße gegen Löschpflichten (Art. 17 DSGVO) und Speicherbegrenzungsgrundsatz (Art. 5 DSGVO): Bußgelder bis zu 20 Mio. € oder 4% des weltweiten Jahresumsatzes. Zusätzlich Schadensersatzansprüche Betroffener nach DSGVO Art. 82. Deutsche Behörden wie die Berliner Beauftragte für Datenschutz und Informationsfreiheit haben aktiv Bußgelder für unzureichende Löschprozesse verhängt.

**DIN 66398 (Datenlöschleitlinie):** Nicht rechtlich bindend, aber von deutschen Datenschutzbehörden als Best-Practice-Leitlinie anerkannt. Definiert Methodik zur Entwicklung eines Löschkonzepts und zur Ableitung von Löschfristen. Unternehmen, die DIN 66398 einhalten, können im Aufsichtsverfahren auf diese Übereinstimmung verweisen.

Häufige Fehler beim DSGVO Löschkonzept in Deutschland:

**Kein Löschkonzept trotz DSGVO-Pflicht:** Viele kleine und mittlere Unternehmen (KMU) haben kein schriftliches Löschkonzept. Die Rechenschaftspflicht nach DSGVO Art. 5 Abs. 2 verlangt jedoch den Nachweis der Einhaltung. Fehlt das Dokument, kann die Datenschutzbehörde bereits wegen des Fehlens allein ein Bußgeld verhängen, ohne dass es zu einer konkreten Datenpanne kommen muss.

**Pauschalfristen statt differenzierter Kategorien:** Ein Löschkonzept, das pauschal »alle Daten werden nach 3 Jahren gelöscht« vorsieht, ist unzureichend. DSGVO Art. 17 und Art. 5 Abs. 1 lit. e verlangen eine zweckbezogene Beurteilung: Jede Datenkategorie hat eigene Aufbewahrungsfristen je nach Zweck und gesetzlicher Pflicht.

**Gesetzliche Aufbewahrungsfristen nicht berücksichtigt:** Ein häufiger Fehler ist die sofortige Löschung von Rechnungen oder Buchungsbelegen auf Betroffenenwunsch hin. Dies verstößt gegen HGB §257 (10-jährige Aufbewahrungspflicht). Korrekt ist: Sperrung der Daten für alle anderen Zwecke als die steuerrechtliche Aufbewahrung, nicht Löschung.

**Fehlender technischer Löschnachweis:** Das Löschkonzept sieht Löschfristen vor, aber die tatsächliche Löschung wird nicht dokumentiert. DSGVO Art. 5 Abs. 2 (Rechenschaftspflicht) und Art. 17 DSGVO setzen voraus, dass die Löschung nachgewiesen werden kann. Ohne Protokoll kann bei einer Prüfung nicht belegt werden, dass Daten tatsächlich gelöscht wurden.

**Cloud-Anbieter nicht berücksichtigt:** Daten werden in Cloud-Diensten (AWS, Azure, Google Cloud, Microsoft 365) gespeichert; das Löschkonzept erfasst nur On-Premise-Systeme. Gemäß DSGVO Art. 28 Abs. 3 lit. g muss der Cloud-Anbieter als Auftragsverarbeiter Daten nach Vertragsende löschen. Der Löschnachweis durch den Cloud-Anbieter muss Teil des Löschkonzepts sein.

**Keine regelmäßige Aktualisierung:** Das Löschkonzept wurde einmal erstellt und nie wieder aktualisiert. Bei Einführung neuer Datenverarbeitungen (neues CRM, neues HR-System, neue Marketingtools) muss das Löschkonzept erweitert werden. Empfehlung: Jährliche Überprüfung, dokumentiert im Revisionsprotokoll.