Ein Löschkonzept – Data Retention and Deletion Policy – ist ein dokumentiertes Framework, das für alle Kategorien personenbezogener und sonstiger Daten regelt, wie lange diese aufbewahrt werden, wann sie gelöscht werden, wie die Löschung technisch sicher umgesetzt wird und wie sie dokumentiert und nachgewiesen werden kann. Das Löschkonzept ist die operative Umsetzung des DSGVO-Grundsatzes der Speicherbegrenzung (Art. 5 Abs. 1 lit. e) und der GoBD-Anforderungen an Aufbewahrungsfristen.
Ein Löschkonzept ist kein einmaliges Dokument, sondern ein aktiv betriebener Prozess: Die definierten Löschfristen müssen technisch durchgesetzt werden, die Löschung muss protokolliert werden, und das Konzept muss bei neuen Datentypen oder geänderten Rechtslagen aktualisiert werden. „Wir löschen, wenn wir daran denken“ ist kein Löschkonzept.
Aufbewahrungsfristen nach Datentyp
30–90 Tage Operative Logs, Debugging-Daten: Systemlogs, Fehlerprotokolle ohne personenbezogenen Inhalt. Kurze Aufbewahrung ausreichend für Betriebszwecke.
1–3 Jahre Zugriffsprotokoll, Kundendaten: Nach DSGVO nur so lange wie für Vertragszweck nötig. Bei aktivem Kundenverhältnis: Dauer des Vertrags + Puffer für Nachfragen.
6 Jahre Geschäftsbriefe, E-Mails (HGB § 257): Handels- und steuerrechtliche Aufbewahrungspflicht für geschäftliche Kommunikation.
10 Jahre Buchungsbelege, Rechnungen (AO § 147): Steuerrechtliche Aufbewahrungspflicht – nach Ablauf: aktive Löschpflicht nach DSGVO.
Sofort nach Zweck Sensible personenbezogene Daten: Gesundheitsdaten, biometrische Daten – nur für definierte Dauer des spezifischen Zwecks, dann sofortige Löschung.
Technische Umsetzung des Löschkonzepts
- Automatisierte Löschpipeline: Täglicher oder wöchentlicher Job prüft Aufbewahrungsfristen und löscht oder archiviert automatisch – kein manuelles Löschen
- Sichere Löschung: Einfaches Löschen aus Datenbank lässt Daten in Backups und Logs zurück. Vollständige Löschung erfordert: Datenbankdatensatz, alle Backups, alle Logs, alle Caches
- Löschnachweis: Jede Löschung wird protokolliert: Was wurde gelöscht? Wann? Auf welcher Rechtsgrundlage? Nachweis für Datenschutz-Audits und Auskunftsanfragen
- Betroffenenrechte: Löschrecht nach Art. 17 DSGVO muss technisch umsetzbar sein – binnen 30 Tagen muss die Löschung vollständig und nachweisbar abgeschlossen sein
Praxisbeispiel
Ein Automationsdienstleister erstellt sein erstes vollständiges Löschkonzept. Datentypen und Fristen: Workflow-Execution-Logs (keine PBD): 30 Tage, dann automatisch gelöscht. Kundendaten (PBD): Vertragslaufzeit + 6 Monate Puffer, dann Lösch-Ticket an Datenschutzbeauftragten. Rechnungsdaten: 10 Jahre (GoBD), dann automatisch gelöscht. E-Mail-Inhalte aus Workflows: 90 Tage nach Verarbeitung, dann pseudonymisiert (Betreff erhalten, Absender/Empfänger ersetzt durch Hash). Technische Umsetzung: PostgreSQL-Trigger markiert Datensätze als „zur Löschung freigegeben“ wenn Frist abläuft. Nächtlicher Cronjob führt tatsächliche Löschung aus und schreibt Löschprotokoll. Backup-Rotation: Backups älter als 90 Tage werden automatisch gelöscht (kein unbegrenztes Backup-Wachstum). Erster Compliance-Effekt: Datenbankgröße nach 6 Monaten um 34 Prozent kleiner als ohne Löschkonzept.
