Das Wichtigste im Überblick
- Löschpflicht nach DSGVO: Personenbezogene Daten müssen gelöscht werden, sobald der Verarbeitungszweck wegfällt – es sei denn, gesetzliche Aufbewahrungspflichten stehen dem entgegen.
- Aufbewahrungsfristen beachten: Handels- und steuerrechtliche Vorschriften wie die GoBD verlangen oft eine Speicherung von bis zu acht Jahren, was die datenschutzrechtliche Löschung überlagert.
- Dokumentationspflicht: Unternehmen müssen nachweisen können, wann und warum Daten gelöscht oder aufbewahrt wurden – ein strukturiertes Löschkonzept ist unverzichtbar.
Zwischen Löschpflicht und Aufbewahrungspflicht
Die Frage, wann Daten gelöscht werden müssen, gehört zu den häufigsten Herausforderungen im betrieblichen Datenschutz. Unternehmen bewegen sich in einem Spannungsfeld: Einerseits verlangt die Datenschutz-Grundverordnung die zügige Löschung personenbezogener Daten, wenn diese nicht mehr benötigt werden. Andererseits schreiben Handelsgesetzbuch, Abgabenordnung und weitere Vorschriften die Aufbewahrung bestimmter Dokumente über Jahre hinweg vor.
Diese Balance ist nicht nur eine rechtliche Pflichtübung. Fehlerhafte Löschungen können zu Bußgeldern durch Aufsichtsbehörden führen, zu langes Speichern ebenfalls. Zudem entstehen wirtschaftliche Risiken: Bei Betriebsprüfungen drohen Sanktionen, wenn relevante Unterlagen vorschnell vernichtet wurden.
Rechtliche Grundlagen: DSGVO und nationale Vorschriften
Löschpflicht nach Art. 17 DSGVO
Die Datenschutz-Grundverordnung regelt in Art. 17 das Recht auf Löschung, das sog. „Recht auf Vergessenwerden“. Demnach müssen personenbezogene Daten unverzüglich gelöscht werden, wenn einer der folgenden Gründe zutrifft:
- Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig. Ein Beispiel: Bewerbungsunterlagen eines abgelehnten Kandidaten müssen nach Abschluss des Auswahlverfahrens gelöscht werden, sofern keine rechtliche Aufbewahrungspflicht besteht.
- Die betroffene Person widerruft ihre Einwilligung und es existiert keine andere Rechtsgrundlage für die Verarbeitung.
- Die betroffene Person legt Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Weiterverarbeitung vor. Hierunter fallen etwa Widersprüche gegen Direktwerbung.
- Die Daten wurden unrechtmäßig verarbeitet. Wenn nachträglich festgestellt wird, dass eine Datenverarbeitung ohne Rechtsgrundlage erfolgte, ist die sofortige Löschung geboten.
- Die Löschung der personenbezogenen Daten ist erforderlich, damit die rechtliche Verpflichtung nach dem Unionsrecht oder nach dem Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfüllt wird.
Der Grundsatz der Speicherbegrenzung
Art. 5 Abs. 1 lit. e DSGVO verankert den Grundsatz der Speicherbegrenzung als eines der zentralen Datenschutzprinzipien. Personenbezogene Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für die Verarbeitungszwecke erforderlich ist. Dieser Grundsatz verpflichtet Unternehmen zur regelmäßigen Überprüfung ihrer Datenbestände.
Handels- und steuerrechtliche Aufbewahrungspflichten
Die datenschutzrechtliche Löschpflicht steht häufig im Konflikt mit Aufbewahrungspflichten aus anderen Rechtsgebieten. Das Handelsgesetzbuch und die Abgabenordnung verpflichten Unternehmen zur Archivierung bestimmter Dokumente.
Nach § 257 HGB müssen Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Lageberichte und Konzernabschlüsse zehn Jahre aufbewahrt werden. Empfangene Handels- und Geschäftsbriefe sowie Kopien abgesandter Briefe unterliegen einer sechsjährigen Aufbewahrungsfrist.
Die Abgabenordnung fordert in § 147 AO ebenfalls eine zehnjährige Aufbewahrung für Bücher und Aufzeichnungen, Jahresabschlüsse, Inventare sowie Buchungsbelege.
Für andere Unterlagen gilt eine acht- bzw. sechsjährige Frist.
Die Grundsätze ordnungsmäßiger Buchführung (GoBD)
Mit den GoBD wird präzisiert, welche Anforderungen an die elektronische Buchführung und Aufbewahrung steuerrelevanter Daten bestehen. Diese Grundsätze verlangen nicht nur die bloße Speicherung, sondern auch die Unveränderbarkeit, Nachvollziehbarkeit und Prüfbarkeit der archivierten Daten.
Für den Datenschutz bedeutsam ist insbesondere: Die GoBD akzeptieren auch die Speicherung in verschlüsselter oder pseudonymisierter Form, sofern die steuerliche Auswertbarkeit gewährleistet bleibt. Unternehmen können somit datenschutzfreundliche Archivierungsmethoden wählen, solange die Finanzverwaltung bei Bedarf auf die Originaldaten zugreifen kann.
Hauptaspekte: Wann gilt die Löschpflicht und wann nicht?
Der Vorrang gesetzlicher Aufbewahrungspflichten
Die DSGVO erkennt ausdrücklich an, dass Aufbewahrungspflichten aus anderen Rechtsbereichen der Löschpflicht vorgehen. Art. 17 Abs. 3 lit. b DSGVO nennt die Erfüllung einer rechtlichen Verpflichtung als Ausnahme vom Löschungsanspruch.
In der Praxis bedeutet dies: Solange eine handels- oder steuerrechtliche Aufbewahrungspflicht besteht, dürfen und müssen die betroffenen Daten gespeichert bleiben. Erst nach Ablauf dieser Fristen greift die datenschutzrechtliche Löschpflicht wieder vollständig durch.
Entscheidend ist hierbei die genaue Bestimmung, welche Daten tatsächlich unter die Aufbewahrungspflicht fallen. Nicht jedes Dokument, das personenbezogene Daten enthält, ist aufbewahrungspflichtig. E-Mails mit rein privatem Austausch ohne geschäftliche Relevanz müssen beispielsweise nicht archiviert werden, auch wenn sie zwischen Geschäftspartnern ausgetauscht wurden.
Berechtigte Interessen als Aufbewahrungsgrund
Neben gesetzlichen Pflichten können auch berechtigte Interessen des Verantwortlichen eine weitere Speicherung rechtfertigen. Art. 6 Abs. 1 lit. f DSGVO erlaubt die Verarbeitung, wenn sie zur Wahrung berechtigter Interessen erforderlich ist, sofern nicht die Interessen der betroffenen Person überwiegen.
Typische Beispiele sind die Aufbewahrung zur Beweissicherung bei drohenden Rechtsstreitigkeiten oder zur Dokumentation von Vertragsabwicklungen über die gesetzliche Gewährleistungsfrist hinaus. Auch die Abwehr von Haftungsansprüchen kann eine verlängerte Speicherung begründen.
Allerdings erfordert die Berufung auf berechtigte Interessen stets eine Interessenabwägung im Einzelfall. Diese muss dokumentiert werden und nachvollziehbar darlegen, warum das Aufbewahrungsinteresse schwerer wiegt als das Löschungsinteresse der betroffenen Person.
Praktische Tipps für ein rechtssicheres Löschkonzept
Erstellen Sie ein umfassendes Löschkonzept
Ein Löschkonzept dokumentiert systematisch, welche Daten zu welchen Zeitpunkten gelöscht werden müssen. Es sollte alle Verarbeitungstätigkeiten des Unternehmens umfassen und folgende Elemente enthalten:
- Identifikation aller Datenbestände und Verarbeitungsvorgänge, idealerweise auf Basis des Verzeichnisses von Verarbeitungstätigkeiten.
- Festlegung der Speicherdauer für jede Datenkategorie unter Berücksichtigung des Verarbeitungzwecks, gesetzlicher Aufbewahrungsfristen und berechtigter Interessen.
- Definition der Löschkriterien, also der Ereignisse, die den Beginn der Löschfrist auslösen.
- Beschreibung der technischen und organisatorischen Maßnahmen zur Umsetzung der Löschung.
- Benennung der verantwortlichen Personen und Ablaufprozesse.
Implementieren Sie automatisierte Löschprozesse
Manuelle Löschvorgänge sind fehleranfällig und in größeren Datenbeständen kaum praktikabel. Moderne Datenbanksysteme und Dokumentenmanagementsysteme bieten Funktionen zur automatischen Löschung nach Ablauf definierter Fristen.
Richten Sie Workflow-Systeme ein, die bei Eintritt bestimmter Ereignisse – etwa Vertragsende oder Fristablauf – automatisch Löschvorgänge anstoßen. Implementieren Sie Warnmechanismen, die vor Ablauf kritischer Fristen auf notwendige Entscheidungen hinweisen.
Bei der Archivierung sollten Metadaten mitgeführt werden, die das geplante Löschdatum enthalten. So lassen sich auch Jahre später Datenbestände identifizieren, deren Aufbewahrungsfrist abgelaufen ist.
Differenzieren Sie zwischen Aufbewahrungspflicht und Aufbewahrungsmöglichkeit
Nicht jede Speicherung, die rechtlich zulässig ist, ist auch datenschutzrechtlich geboten. Trennen Sie in Ihrem Löschkonzept zwischen Daten, die aufgrund gesetzlicher Pflichten aufbewahrt werden müssen, und solchen, für die lediglich berechtigte Interessen bestehen.
Bei der zweiten Kategorie sollten Sie regelmäßig überprüfen, ob die Interessenabwägung weiterhin zugunsten der Speicherung ausfällt. Ändern sich die Umstände, kann eine ursprünglich gerechtfertigte Speicherung unzulässig werden.
Dokumentieren Sie alle Interessenabwägungen schriftlich. Im Fall einer Datenschutzkontrolle oder bei Ausübung von Betroffenenrechten müssen Sie Ihre Entscheidungen nachvollziehbar begründen können.
Schulen Sie Ihre Mitarbeiter
Ein Löschkonzept ist nur so gut wie seine Umsetzung. Sensibilisieren Sie Ihre Mitarbeiter für die Bedeutung datenschutzkonformer Löschung. Schulungen sollten vermitteln, welche Daten wann zu löschen sind und wie die Löschung technisch durchzuführen ist.
Besonders wichtig ist die Aufklärung über das Spannungsverhältnis zwischen Aufbewahrungs- und Löschpflichten. Mitarbeiter müssen verstehen, dass eine Löschung nicht automatisch „gut“ und eine Speicherung nicht automatisch „schlecht“ ist.
Etablieren Sie klare Zuständigkeiten und Meldewege. Wenn ein Mitarbeiter unsicher ist, ob Daten gelöscht werden dürfen, muss er wissen, an wen er sich wenden kann.
Dokumentieren Sie alle Löschvorgänge
Die DSGVO verlangt in Art. 5 Abs. 2 die Rechenschaftspflicht: Sie müssen nachweisen können, dass Sie datenschutzkonform handeln. Dokumentieren Sie daher alle durchgeführten Löschungen mit Datum, Art der gelöschten Daten und Grund der Löschung.
Diese Dokumentation dient nicht nur der Compliance, sondern schützt auch vor ungerechtfertigten Vorwürfen. Wenn ein Betroffener behauptet, Sie hätten seine Daten entgegen seiner Forderung nicht gelöscht, können Sie anhand der Protokolle das Gegenteil belegen.
Umgekehrt müssen Sie bei einer Betriebsprüfung durch die Finanzverwaltung nachweisen können, dass aufbewahrungspflichtige Dokumente nicht vorschnell gelöscht wurden. Eine lückenlose Dokumentation schafft hier Rechtssicherheit.
Checkliste: Ihr Weg zum rechtssicheren Löschkonzept
Bestandsaufnahme:
- Erstellen Sie eine Übersicht aller Verarbeitungstätigkeiten
- Identifizieren Sie alle Datenbestände und deren Speicherorte
- Erfassen Sie bereits vorhandene Löschfristen und -routinen
Rechtliche Prüfung:
- Ermitteln Sie für jede Datenkategorie den Verarbeitungszweck
- Prüfen Sie gesetzliche Aufbewahrungspflichten (HGB, AO, weitere)
- Bewerten Sie berechtigte Interessen für weitere Speicherung
- Führen Sie Interessenabwägungen durch und dokumentieren Sie diese
Fristenbestimmung:
- Legen Sie konkrete Löschfristen für jede Datenkategorie fest
- Definieren Sie Ereignisse, die den Fristbeginn auslösen
- Berücksichtigen Sie Übergangsfristen und Pufferzeiten
- Erstellen Sie eine übersichtliche Fristentabelle
Technische Umsetzung:
- Implementieren Sie automatisierte Löschprozesse wo möglich
- Richten Sie Erinnerungsfunktionen für manuelle Löschungen ein
- Stellen Sie sichere Löschverfahren sicher
- Testen Sie die Funktionsfähigkeit der Löschmechanismen
Organisation:
- Benennen Sie Verantwortliche für Löschvorgänge
- Erstellen Sie Arbeitsanweisungen und Prozessbeschreibungen
- Schulen Sie alle betroffenen Mitarbeiter
- Etablieren Sie Kontrollmechanismen
Dokumentation:
- Halten Sie das Löschkonzept schriftlich fest
- Protokollieren Sie alle durchgeführten Löschungen
- Aktualisieren Sie die Dokumentation bei Änderungen
- Archivieren Sie Nachweise für die Rechenschaftspflicht
Regelmäßige Überprüfung:
- Planen Sie jährliche Konzeptüberprüfungen ein
- Passen Sie Fristen an geänderte Rechtslagen an
- Reagieren Sie auf neue Aufsichtsbehördenempfehlungen
- Optimieren Sie Prozesse aufgrund gewonnener Erfahrungen
Zwischen Pflicht und Pragmatismus
Die Frage, wann Daten gelöscht werden müssen, lässt sich nicht pauschal beantworten. Jedes Unternehmen muss ein individuelles Löschkonzept entwickeln, das die spezifischen Verarbeitungstätigkeiten, branchen- und unternehmensspezifischen Besonderheiten sowie die komplexen rechtlichen Rahmenbedingungen berücksichtigt.
Das Spannungsverhältnis zwischen datenschutzrechtlicher Löschpflicht und handelsrechtlicher Aufbewahrungspflicht erfordert differenzierte Lösungen. Pauschale Speicherungen „auf Vorrat“ sind ebenso problematisch wie vorschnelle Löschungen steuerrelevanter Dokumente.
Ein durchdachtes Löschkonzept schützt nicht nur vor Datenschutzverstößen und Bußgeldern, sondern reduziert auch Haftungsrisiken bei Betriebsprüfungen. Es schafft Transparenz über vorhandene Datenbestände und erleichtert die Erfüllung von Betroffenenrechten.
Die Investition in ein strukturiertes Datenmanagement mit klaren Lösch- und Aufbewahrungsfristen zahlt sich mehrfach aus: rechtlich, organisatorisch und nicht zuletzt auch wirtschaftlich durch reduzierten Speicherbedarf und effizientere Prozesse.
Sie sind unsicher, ob Ihr Löschkonzept den aktuellen Anforderungen entspricht? Wir unterstützen Sie bei der Entwicklung praxisnaher Lösungen, die rechtliche Sicherheit mit betrieblicher Praktikabilität verbinden. Vereinbaren Sie ein Beratungsgespräch, um Ihre individuelle Situation zu analysieren.
Häufig gestellte Fragen
Eine vorschnelle Löschung aufbewahrungspflichtiger Unterlagen kann zu steuerrechtlichen Sanktionen führen. Die Finanzverwaltung kann die Ordnungsmäßigkeit der Buchführung verwerfen und Schätzungen vornehmen. In schweren Fällen drohen ggf. sogar strafrechtliche Konsequenzen wegen Steuerhinterziehung. Zudem können Sie in Rechtsstreitigkeiten beweisfällig werden, wenn relevante Dokumente nicht mehr vorhanden sind.
Ja, die DSGVO ist medienunabhängig für alle personenbezogenen Daten, egal ob digital oder auf Papier gespeichert. Auch physische Akten müssen nach Ablauf der Speicherfristen vernichtet werden, wobei datenschutzkonforme Entsorgungsmethoden zu wählen sind. Dokumente mit personenbezogenen Daten sollten geschreddert oder über zertifizierte Entsorgungsunternehmen vernichtet werden.
Nicht in jedem Fall. Wenn gesetzliche Aufbewahrungspflichten bestehen oder berechtigte Interessen die weitere Speicherung rechtfertigen, kann die Löschung abgelehnt werden. Der Kunde ist dann über die Gründe zu informieren. Bei reinen Marketingdaten ohne Aufbewahrungspflicht muss der Löschung jedoch unverzüglich nachgekommen werden.
Nach Abschluss des Bewerbungsverfahrens sollten Unterlagen abgelehnter Bewerber grundsätzlich innerhalb von sechs Monaten gelöscht werden. Diese Frist berücksichtigt mögliche Ansprüche nach dem AGG. Bei eingestellten Bewerbern werden die Unterlagen Teil der Personalakte und unterliegen dann den Aufbewahrungsfristen für Mitarbeiterdaten. Eine längere Speicherung für den Bewerberpool ist nur mit ausdrücklicher Einwilligung zulässig.
Ja, auch Daten über Geschäftspartner unterliegen der DSGVO. Nach Beendigung der Geschäftsbeziehung sind dieselben Grundsätze anzuwenden wie bei Kundendaten. Aufbewahrungspflichtige Dokumente wie Rechnungen müssen archiviert werden, darüber hinausgehende Kontakthistorien oder Präferenzen sollten gelöscht werden, sofern keine berechtigten Interessen an der Speicherung bestehen.
Eine Löschdokumentation sollte mindestens folgende Angaben enthalten: Datum der Löschung, Art und Umfang der gelöschten Daten, Grund der Löschung, durchführende Person. Bei automatisierten Löschungen genügt ein Protokoll des Systems mit entsprechenden Zeitstempeln. Wichtig ist, dass Sie bei Bedarf nachweisen können, dass bestimmte Daten tatsächlich gelöscht wurden.
Bei der Nutzung von Cloud-Diensten bleiben Sie als Verantwortlicher für die datenschutzkonforme Löschung zuständig. Der Auftragsverarbeitungsvertrag mit dem Cloud-Anbieter muss regeln, wie und wann Daten gelöscht werden. Prüfen Sie, ob der Anbieter technisch in der Lage ist, Ihre Löschvorgaben umzusetzen. Besondere Vorsicht ist bei Datenreplikationen über mehrere Rechenzentren geboten – hier muss sichergestellt sein, dass Löschungen tatsächlich alle Kopien erfassen.
German 
English