Löschkonzept in der Praxis: von der Aufbewahrungsfrist zum funktionierenden Verfahren

Wer in einem gewachsenen Unternehmen fragt, wann die Daten eines vor sechs Jahren ausgeschiedenen Mitarbeiters zu löschen sind, bekommt meist eine brauchbare Antwort. Das Lohnkonto läuft sechs Jahre, die Beitragsunterlagen hängen an der nächsten Betriebsprüfung, der Arbeitsvertrag steckt in der Personalakte. Die Fristen stehen in Gesetzen, sie sind nachlesbar, und sie lassen sich in einer Tabelle notieren.

Wer anschließend fragt, an wie vielen Stellen dieser Mitarbeiter tatsächlich gespeichert ist, bekommt keine Antwort mehr. Im Personalsystem, sicher. Im Zeiterfassungssystem, im Ticketsystem, im Verteiler des ehemaligen Teams, in vier Jahren Postfachhistorie der Vorgesetzten, in den Zugriffsprotokollen der Firewall, in einer Excel-Auswertung auf einem Gruppenlaufwerk, in einem Testsystem, das mit einer Produktivkopie befüllt wurde, und in jedem Vollbackup seit 2019. Genau an dieser Lücke — nicht an den Fristen — scheitern Löschkonzepte in der Praxis.

Was das Recht verlangt — und was es offenlässt

Die Löschpflicht ergibt sich aus zwei Vorschriften, die unterschiedlich funktionieren. Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung: personenbezogene Daten dürfen nur so lange in identifizierbarer Form vorliegen, wie es der Zweck erfordert. Diese Pflicht wirkt von selbst, ohne dass jemand sie geltend macht. Art. 17 DSGVO gibt der betroffenen Person zusätzlich ein Recht, die Löschung zu verlangen — mit engen Ausnahmen, unter anderem für gesetzliche Aufbewahrungspflichten nach Art. 17 Abs. 3 lit. b.

Was die Verordnung nicht liefert, sind Fristen. Sie nennt keinen einzigen Zeitraum, definiert den Begriff „Löschen" nicht und beschreibt kein Verfahren. Sie verlangt über Art. 5 Abs. 2 lediglich, dass die Einhaltung nachweisbar ist. Damit verlagert sich die gesamte Arbeit auf den Verantwortlichen: Er muss Zwecke bestimmen, Fristen ableiten, Zuständigkeiten festlegen und dokumentieren, dass die Löschung tatsächlich stattfindet. Ein Löschkonzept ist der Nachweis, dass diese Ableitung stattgefunden hat.

Die maßgebliche Norm hat gewechselt

Zwei Jahrzehnte lang war die DIN 66398 „Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten" der deutsche Referenzpunkt. Sie ist es nicht mehr. Im September 2025 wurde sie formal zurückgezogen und durch die DIN EN ISO/IEC 27555 abgelöst, die europäische Übernahme der 2021 veröffentlichten ISO/IEC 27555. Ratgeber und Musterkonzepte, die weiter auf die DIN 66398 verweisen, benennen damit eine zurückgezogene Norm.

Inhaltlich ändert das wenig, und das ist der beruhigende Teil. Die ISO/IEC 27555 wurde aus der englischen Sprachfassung der DIN 66398 abgeleitet und beschreibt dieselbe Vorgehensweise; bestehende Konzepte müssen nicht neu gebaut, sondern nur umbenannt werden. Ein Detail verdient trotzdem Beachtung: Die internationale Norm definiert „Löschen" risikoorientiert als Veränderung, nach der die Daten nur noch mit unverhältnismäßigem Aufwand rekonstruierbar sind — nicht mehr als sicheres Überschreiben. Für moderne Speichersysteme ist das realistisch. Für die Frage, was mit „ziemlich gelöschten" Daten datenschutzrechtlich passiert, ist es eine offene Flanke; die Norm wird derzeit in einer vorgezogenen Revision überarbeitet.

Datenarten, Löschklassen, Startzeitpunkt

Die Methode beider Normen ist bewusst schlicht. Der Datenbestand wird nicht nach Systemen zerlegt, sondern nach Datenarten — fachlich zusammengehörenden Bündeln wie „Bewerbungsunterlagen", „Rechnungen an Geschäftskunden", „Zugriffsprotokolle". Für jede Datenart wird eine Löschregel gebildet, und diese Regel besteht aus zwei Teilen: einem Startzeitpunkt (das Ereignis, das die Uhr in Gang setzt) und einer Regellöschfrist (die Dauer danach).

Diese Zweiteilung ist der Punkt, an dem viele Konzepte auseinanderfallen. „Zehn Jahre" ist keine Löschregel, solange nicht feststeht, ab wann. Das Steuerrecht rechnet nicht ab dem Belegdatum, sondern ab dem Schluss des Kalenderjahrs, in dem der Beleg entstanden ist (§ 147 Abs. 4 AO, gleichlautend § 257 Abs. 5 HGB) — eine Rechnung vom Januar wird also faktisch elf Jahre alt. Kommen mehrere Fristbeiträge zusammen, gilt der längste. Wiederkehrende Kombinationen aus Startzeitpunkt und Frist lassen sich zu Löschklassen bündeln, sodass nicht jede Datenart einzeln verhandelt werden muss. Löschregeln werden dabei technikunabhängig formuliert; welches System sie wie ausführt, gehört auf die Umsetzungsebene.

Die Fristen, die tatsächlich gelten

Die häufigste Fehlannahme in Löschkonzepten ist die pauschale Zehnjahresfrist für alles Kaufmännische. Sie war schon vor 2025 falsch und ist es seither noch deutlicher. Das Vierte Bürokratieentlastungsgesetz hat die Aufbewahrungsfrist für Buchungsbelege mit Wirkung zum 1. Januar 2025 von zehn auf acht Jahre verkürzt — in § 147 Abs. 3 Satz 1 AO und § 257 Abs. 4 Satz 1 HGB gleichermaßen. Für Kredit-, Versicherungs- und Wertpapierinstitute bleibt es nach § 257 Abs. 4 Satz 2 HGB bei zehn Jahren.

Acht Jahre statt zehn: eine Entlastung mit Nebenwirkung

Die Verkürzung war als Bürokratieabbau gedacht, erzeugt in Löschkonzepten aber zunächst Mehrarbeit. Bis Ende 2024 kam ein Unternehmen mit zwei kaufmännischen Fristen aus: zehn Jahre für fast alles, sechs Jahre für Geschäftsbriefe. Seither sind es drei Stufen — zehn, acht und sechs Jahre —, und die Zuordnung entscheidet über zwei volle Jahre Speicherdauer.

Damit rückt eine Abgrenzung in den Vordergrund, die vorher folgenlos war: Ist ein Dokument ein Buchungsbeleg oder ein Geschäftsbrief? Eine per E-Mail eingegangene Rechnung ist beides zugleich; sie ist als Beleg acht Jahre aufzubewahren, als empfangener Geschäftsbrief sechs. Ein nicht angenommenes Angebot ist überhaupt kein aufbewahrungspflichtiger Handelsbrief. Wer diese Einordnung nicht im Löschkonzept trifft, trifft sie faktisch im Archivsystem — und dort meist zugunsten der längsten Frist. Das ist bequem, aber es ist genau der Reflex, den die Speicherbegrenzung untersagt: Vorsorglich länger aufbewahren ist keine neutrale Entscheidung, sondern eine begründungsbedürftige Verarbeitung.

Der eigentliche Engpass: die Landkarte fehlt

Bis hierher ist alles Papierarbeit, und Papierarbeit gelingt. Der Bruch kommt beim Übergang in die Systeme. Der Europäische Datenschutzausschuss hat 2025 eine europaweit koordinierte Prüfaktion zum Recht auf Löschung durchgeführt; 764 Verantwortliche aus 32 Ländern beantworteten die Fragebögen, der Abschlussbericht erschien am 18. Februar 2026. Unter den sieben wiederkehrenden Problemfeldern steht eines, das die Fristendebatte in ein anderes Licht rückt: Verantwortliche finden ihre eigenen Daten nicht.

Der Bericht benennt die Ursache ausdrücklich als fehlenden strukturierten Prozess zur Kartierung der Datenbestände. Einzelne Verantwortliche hielten E-Mails grundsätzlich für nicht vom Löschanspruch erfasst; viele nahmen Backups pauschal aus, ohne das zu begründen. Andere hielten das Löschen eines Benutzerkontos bereits für die Erfüllung des Löschanspruchs, während die Daten im Hintergrundsystem weiterliefen.

Querschnittsbereiche: Postfächer, Protokolle, Testsysteme

Die Normen kennen dieses Problem und geben ihm einen Namen: Querschnittsbereiche. Gemeint sind Datenhaltungen, die quer zu allen Fachverfahren liegen und deshalb in keiner Fachabteilung jemandem gehören. Praktisch sind das fünf Kategorien: Postfächer und Gruppenlaufwerke, Protokoll- und Logdaten, Archiv- und Ablagesysteme, Test- und Entwicklungsumgebungen sowie ausgeleitete Auswertungen und Exporte in Tabellenform.

Diese Bereiche teilen eine Eigenschaft, die sie besonders zäh macht: Ihr Inhalt entsteht als Nebenprodukt, nicht als Absicht. Niemand hat entschieden, dass die Gehaltsdaten eines Mitarbeiters in einem Tabellenblatt auf einem Gruppenlaufwerk liegen sollen — sie sind dort gelandet, weil jemand 2021 eine Auswertung brauchte. Für Test- und Entwicklungssysteme empfehlen Aufsichtsbehörden deshalb ausdrücklich, ausschließlich anonymisierte oder pseudonymisierte Testdaten zu verwenden; andernfalls gelten dort dieselben Schutzanforderungen wie im Produktivsystem. Ein Löschkonzept, das die Querschnittsbereiche nicht einzeln aufführt, ist kein Löschkonzept für das Unternehmen, sondern nur für dessen Fachanwendungen.

Backups: Aufschub ja, Vergessen nein

Am hartnäckigsten hält sich die Vorstellung, aus Sicherungskopien müsse gar nicht gelöscht werden. Das ist nicht die Position der Aufsichtsbehörden, aber es ist auch nicht das Gegenteil. Der Bayerische Landesbeauftragte für den Datenschutz hat den Maßstab bereits in seinem 30. Tätigkeitsbericht formuliert: Die Löschpflicht erfasst auch die Kopien im Backup-System, weil gelöschte Daten nach Erwägungsgrund 26 DSGVO nur mit geringer Wahrscheinlichkeit wiederherstellbar sein dürfen. Zeitversetztes Löschen ist zulässig — aber nur bei kumulativer Erfüllung mehrerer Anforderungen und mit dokumentierter Begründung.

1. Unzumutbarkeit belegen Die zeitgleiche Löschung im Backup muss technisch unmöglich oder gemessen am Schutzbedarf unverhältnismäßig aufwendig sein.
2. Löschfrequenz festlegen Wie oft Sicherungskopien überschrieben oder verworfen werden, richtet sich nach dem Schutzbedarf und ist im Datensicherungskonzept nachzuweisen.
3. Zugriff verengen Die Kopien dürfen ausschließlich über die vorgesehene Wiederherstellungsfunktion auslesbar sein.
4. Nach jedem Restore nachlöschen Bereits gelöschte Daten dürfen nicht zurückkehren — oder sind unmittelbar nach der Wiederherstellung erneut zu löschen.
5. Dokumentieren Der Vorgang und seine wirksame Umsetzung sind nachzuweisen.

Der Europäische Datenschutzausschuss ist 2026 zum selben Ergebnis gekommen und hat es zusätzlich mit der Sicherheitsperspektive begründet: Je nach technischer Ausgestaltung sei es nicht immer ratsam, Informationen in Backups zu verändern oder zu löschen, weil das deren Integrität und damit die Wiederherstellbarkeit nach einem Ransomware-Vorfall gefährde. Die Gegenleistung dafür ist die vierte Anforderung — ein Verfahren, das Löschanträge mitführt und auf wiederhergestellten Systemen nachvollzieht.

Was das teuerste deutsche Löschverfahren zeigt

Der bekannteste Fall zur unterlassenen Löschung hat nach sieben Jahren einen vorläufigen Abschluss gefunden. Die Berliner Aufsichtsbehörde hatte im Oktober 2019 gegen die Deutsche Wohnen SE rund 14,5 Millionen Euro verhängt, weil ein Archivsystem für Mieterdaten schlicht keine Löschfunktion vorsah. Das Verfahren wurde 2021 wegen eines Verfahrenshindernisses eingestellt, führte über eine Vorlage des Kammergerichts zum Grundsatzurteil des EuGH vom 5. Dezember 2023 (C-807/21) — dort wurde die unmittelbare Unternehmenshaftung nach Art. 83 DSGVO bejaht, ein Verschulden aber weiterhin verlangt — und kehrte danach an das Landgericht zurück.

Am 9. Juni 2026 verhängte das Landgericht Berlin I 900.000 Euro. Die Reduktion begründete die Kammer mit der Einführungsphase der DSGVO und damit, dass externe Prüfer und IT-Fachleute eingeschaltet worden waren. Die Bewertung der Tat blieb hart: Verstoß gegen Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 lit. c und e DSGVO), begangen vorsätzlich, weil rechtzeitige Löschung zumutbar und technisch möglich gewesen wäre. Das Urteil ist nicht rechtskräftig. Der übertragbare Befund liegt ohnehin im Sachverhalt: Beanstandet wurde nicht ein Missbrauch der Daten, sondern ein System, das Löschen konstruktiv nicht vorsah.

Was ein Löschkonzept nicht leistet

Ein fertiges Dokument löscht nichts. Es ist eine Regelsammlung, deren Wirkung davon abhängt, ob die genannten Systeme die Regeln ausführen können — und ob jemand das prüft.

Für die Reihenfolge folgt daraus eine unbequeme Empfehlung: Die Bestandsaufnahme gehört an den Anfang, nicht ans Ende. Wer zuerst die Fristentabelle baut, hat nach drei Wochen ein sauberes Dokument und keinen einzigen gelöschten Datensatz. Wer zuerst erhebt, an welchen Stellen dieselbe Person liegt, hat nach drei Wochen eine unangenehme Liste — und danach ein Konzept, das etwas bewirkt.

Häufige Fragen

Gilt die DIN 66398 noch?

Nein. Die DIN 66398 wurde im September 2025 formal zurückgezogen und durch die DIN EN ISO/IEC 27555 abgelöst. Die Vorgehensweise ist identisch, weil die internationale Norm aus der DIN 66398 abgeleitet wurde. Bestehende Löschkonzepte bleiben inhaltlich tragfähig, sollten aber die zurückgezogene Norm nicht mehr als Grundlage nennen.

Wie lange müssen Buchungsbelege aufbewahrt werden?

Seit dem 1. Januar 2025 acht Jahre statt zehn, geregelt in § 147 Abs. 3 Satz 1 AO und § 257 Abs. 4 Satz 1 HGB. Die Frist beginnt erst mit dem Schluss des Kalenderjahrs, in dem der Beleg entstanden ist. Kredit-, Versicherungs- und Wertpapierinstitute bleiben nach § 257 Abs. 4 Satz 2 HGB bei zehn Jahren.

Müssen personenbezogene Daten aus Backups gelöscht werden?

Grundsätzlich ja, praktisch oft zeitversetzt. Aufsichtsbehörden akzeptieren einen Aufschub, wenn die gleichzeitige Löschung technisch unmöglich oder unverhältnismäßig ist, die Sicherungskopien nur über die Wiederherstellungsfunktion lesbar sind, ein Datensicherungskonzept die Löschfrequenz belegt und nach jedem Restore nachgelöscht wird. Alles davon ist zu dokumentieren.

Was passiert, wenn Löschpflicht und Aufbewahrungspflicht kollidieren?

Die Aufbewahrungspflicht geht vor, aber nur für den betroffenen Zweck und nur für ihre Dauer. Art. 17 Abs. 3 lit. b DSGVO erlaubt die Zurückweisung eines Löschantrags, soweit eine rechtliche Verpflichtung besteht. Die Daten sind dann für alle anderen Zwecke zu sperren beziehungsweise in der Verarbeitung einzuschränken und nach Fristablauf zu löschen.

Wo fängt man mit einem Löschkonzept an?

Mit dem Verzeichnis der Verarbeitungstätigkeiten als Gerüst und einer Erhebung der tatsächlichen Speicherorte je Datenart — einschließlich Postfächern, Protokolldaten, Archiven, Testsystemen und Exporten. Erst danach lohnt die Fristableitung, weil sonst Regeln für Systeme entstehen, die niemand in der Umsetzung berücksichtigt.