Der Ordner „Kunden alt" liegt seit zwölf Jahren auf dem Server. Die Bewerbungen aus dem vorletzten Verfahren auch. Und das Postfach der Kollegin, die vor Jahren gegangen ist, steht noch, weil vielleicht noch etwas darin ist.
Das gilt vielerorts als die vorsichtige Variante. Es ist die riskante.
Die Datenschutz-Grundverordnung kennt keinen neutralen Zustand des Aufhebens. Daten zu speichern ist eine Verarbeitung, und jede Verarbeitung braucht einen Zweck. Fällt der Zweck weg und verlangt kein Gesetz das Gegenteil, muss gelöscht werden — ohne dass jemand danach fragt.
Das Werkzeug dafür heißt Löschkonzept. Es ist keine Software und kein Gutachten, sondern eine Liste: welche Daten, wie lange, ab wann gerechnet.
Aufheben ist eine Entscheidung, keine Vorsicht
Artikel 5 Absatz 1 Buchstabe e der DSGVO nennt den Grundsatz „Speicherbegrenzung". Personenbezogene Daten müssen danach „in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist".
Das ist kein Programmsatz, sondern eine Pflicht mit Bußgeldrahmen. Artikel 83 Absatz 5 Buchstabe a ordnet Verstöße gegen die Grundsätze aus Artikel 5 der oberen Stufe zu: bis zu 20 Millionen Euro oder 4 Prozent des weltweit erzielten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist.
Artikel 25 Absatz 2 zieht die technische Konsequenz. Der Verantwortliche muss durch Voreinstellung sicherstellen, dass nur die für den Zweck erforderlichen Daten verarbeitet werden, und diese Pflicht gilt ausdrücklich „für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit".
Die Löschpflicht wartet nicht auf einen Antrag
Der bekannte Artikel 17 heißt „Recht auf Löschung" und wird deshalb meist als Betroffenenrecht gelesen: Jemand schreibt, und dann muss man handeln.
Der erste Löschgrund in Absatz 1 Buchstabe a kommt aber ohne Antrag aus. Zu löschen ist, wenn die Daten „für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig" sind. Der Landesbeauftragte für den Datenschutz Niedersachsen stellt genau das klar: Die Gründe des Artikels 17 Absatz 1 beziehen sich sowohl „auf eine Verpflichtung des Verantwortlichen zur (antragsunabhängigen) Prüfung und Umsetzung (Löschkonzept)" als auch auf das Verlangen Betroffener.
Dieselbe Behörde leitet daraus drei Pflichten ab: die vorgesehenen Löschfristen ins Verzeichnis der Verarbeitungstätigkeiten aufzunehmen (Artikel 30 Absatz 1 Buchstabe f), den Betroffenen die Speicherdauer oder die Kriterien dafür mitzuteilen (Artikel 13 Absatz 2 Buchstabe a) und technisch-organisatorische Maßnahmen zu treffen, die die Speicherung auf das Erforderliche begrenzen. Ihr Fazit steht in einem Satz: „Die Erstellung eines Löschkonzeptes wird daher regelmäßig notwendig sein, um der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO nachzukommen."
Wie diese Spalte entsteht, steht unter Verzeichnis von Verarbeitungstätigkeiten.
Was du nicht löschen darfst
Vor der Frist steht die Gegenfrist. Artikel 17 Absatz 3 Buchstabe b nimmt Verarbeitungen aus, die „zur Erfüllung einer rechtlichen Verpflichtung" erforderlich sind. Für einen Betrieb sind das vor allem zwei Vorschriften.
§ 147 Absatz 3 AO und § 257 Absatz 4 HGB setzen dieselben drei Stufen: zehn Jahre für Bücher, Inventare, Jahresabschlüsse und Eröffnungsbilanz, acht Jahre für Buchungsbelege, sechs Jahre für die übrigen Unterlagen — also die empfangenen und abgesandten Handels- oder Geschäftsbriefe.
Ein Punkt in § 147 Absatz 3 AO wird dabei regelmäßig übersehen. Die Frist „läuft jedoch nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für welche die Festsetzungsfrist noch nicht abgelaufen ist". Acht Jahre sind damit die Untergrenze, nicht der Löschtermin.
Ergänzend regelt § 35 BDSG, was gilt, wenn nicht gelöscht werden kann. Stehen satzungsgemäße oder vertragliche Aufbewahrungsfristen entgegen, oder ist eine Löschung bei nicht automatisierter Verarbeitung nur mit unverhältnismäßig hohem Aufwand möglich, tritt an ihre Stelle die Einschränkung der Verarbeitung nach Artikel 18 DSGVO. Also: aussortieren, sperren, nicht mehr benutzen.
Welche Mails davon überhaupt erfasst sind und warum das Postfach dafür der falsche Ort ist, steht unter E-Mail-Archivierung und GoBD.
Eine Löschregel besteht aus zwei Angaben
Eine Frist allein ist wertlos. „Drei Jahre" beantwortet nicht, ab wann. Jede Zeile im Löschkonzept braucht deshalb beides: die Dauer und den Startzeitpunkt.
Der Startzeitpunkt ist fast nie das Datum der Speicherung.
- Steuer- und Handelsrecht: § 147 Absatz 4 AO und § 257 Absatz 5 HGB lassen die Frist „mit dem Schluss des Kalenderjahrs" beginnen, in dem der Beleg entstanden oder der Brief empfangen worden ist. Eine Rechnung vom März 2026 ist damit bis Ende 2034 aufzubewahren, nicht bis März 2034.
- Ansprüche aus Verträgen: Die regelmäßige Verjährungsfrist beträgt nach § 195 BGB drei Jahre, und § 199 Absatz 1 BGB lässt sie ebenfalls „mit dem Schluss des Jahres" beginnen, in dem der Anspruch entstanden ist und der Gläubiger davon Kenntnis erlangt hat.
- Abgelehnte Bewerbungen: § 15 Absatz 4 AGG verlangt, einen Anspruch „innerhalb einer Frist von zwei Monaten schriftlich" geltend zu machen, gerechnet ab dem Zugang der Ablehnung. § 61b Absatz 1 ArbGG gibt danach drei Monate für die Klage. Fünf Monate ab der Absage sind damit die längste Spanne, in der eine Klage noch ankommen kann — die Absage selbst löst die Uhr aus, nicht der Eingang der Bewerbung.
Löschen heißt unkenntlich machen
Der Papierkorb ist keine Löschung, und das Umbenennen eines Ordners erst recht nicht. Die Aufsichtsbehörde formuliert die Schwelle knapp: „Als gelöscht gelten Daten, wenn sie unkenntlich gemacht wurden." Für die Vernichtung von Datenträgern verweist sie auf die DIN 66399 in den Teilen 1 bis 3, die fünf Sicherheitsstufen unterscheidet und dabei die Schutzwürdigkeit der Information, die Eigenschaften des Trägers und das angewandte Verfahren berücksichtigt.
Zwei Stellen bleiben im Betrieb regelmäßig übrig, wenn im Programm gelöscht wurde.
Die Sicherungen. Was aus dem Produktivsystem verschwindet, steht in den Sicherungskopien weiter. Das Löschkonzept muss deshalb beschreiben, wie lange Sicherungen vorgehalten werden und wann sie überschrieben sind — sonst behauptet es eine Löschung, die es nicht gibt. Warum Sicherung und Archiv zwei verschiedene Dinge sind, steht unter Backup ist noch keine Datensicherung.
Die Kopien nebenan. Der Export in der Tabellenkalkulation, der Anhang im Postfach, die Datei auf dem Notebook. Ein Löschkonzept, das nur das Hauptprogramm kennt, ist eine Zusage über Daten, die woanders liegen.
Wenn jemand selbst die Löschung verlangt
Kommt der Antrag von außen, läuft eine Uhr. Nach Artikel 12 Absatz 3 sind die Informationen über die ergriffenen Maßnahmen „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags" zur Verfügung zu stellen. Verlängern lässt sich das um weitere zwei Monate, wenn Komplexität oder Anzahl der Anträge es erfordern — aber die Person ist über die Verlängerung samt Gründen innerhalb des ersten Monats zu unterrichten.
Was jetzt zu tun ist
- Die Datenarten auflisten, nicht die Programme: Angebote, Rechnungen, Personalakten, Bewerbungen, Kundenstammdaten, Newsletter-Anmeldungen, Zugangsprotokolle.
- Je Datenart eine Zeile mit Zweck, Aufbewahrungsfrist, Startzeitpunkt und der Stelle, an der gelöscht wird.
- Die Gegenfristen zuerst prüfen. Was steuer- oder handelsrechtlich liegen bleiben muss, wird nicht gelöscht, sondern gesperrt.
- Einen festen Termin setzen. Einmal im Jahr, am besten im Januar, wenn die Fristen zum Jahresende gerade abgelaufen sind.
- Aufschreiben, was passiert ist. Ohne Nachweis fehlt der Teil, den die Rechenschaftspflicht verlangt.
Der technische Teil — welche Systeme automatisch aussortieren können, wie lange Sicherungen laufen, wo überall Kopien entstehen — gehört zur laufenden IT-Betreuung und lässt sich einrichten, statt ihn jedes Jahr von Hand zu erledigen.
Die verbindliche Einordnung gehört nicht hierher: Welche Frist für deine konkrete Datenart gilt, ob eine Aufbewahrungspflicht der Löschung entgegensteht und wie ein Antrag im Einzelfall zu beantworten ist, beantworten deine Steuerberatung und eine Anwältin oder ein Anwalt für Datenschutzrecht.