BasiQ Wissenswertes · Datenschutz
Löschen und Aufbewahren: Wie ein praktikables Löschkonzept entsteht
Kurz erklärt
Keine pauschale Frist für alle Unterlagen: Wie Sie Zweck, Aufbewahrungspflichten, Zuständigkeiten und technische Löschung zusammenbringen.
Speichern braucht einen fortbestehenden Grund
Artikel 5 DSGVO verlangt unter anderem Datenminimierung und Speicherbegrenzung. Personenbezogene Daten dürfen nicht unbegrenzt personenbezogen vorgehalten werden, nur weil Speicherplatz vorhanden ist. Artikel 17 regelt Gründe für die Löschung und Ausnahmen, etwa gesetzliche Aufbewahrungspflichten oder erforderliche Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Es gibt daher keine allgemeine DSGVO-Frist, nach der sämtliche Unterlagen nach drei, sechs oder zehn Jahren gelöscht werden müssten. Die Frist ergibt sich aus Datenart, Zweck und einschlägiger Rechtsgrundlage. Aufbewahrungspflichten für bestimmte Nachweise rechtfertigen nicht automatisch die gleich lange Speicherung sämtlicher Begleitinformationen.
Von Datenarten zu konkreten Regeln
Erfassen Sie zunächst sinnvolle Gruppen, beispielsweise Rechnungen, Vertragsunterlagen, Teilnehmernachweise, Bewerbungen, Kontaktanfragen und technische Protokolle. Bestimmen Sie je Gruppe Zweck, erforderlichen Umfang, maßgebliche Aufbewahrungspflichten und den Beginn einer Frist. Prüfen Sie auch, welche Kopien in E-Mail-Postfächern, Exporten und gemeinsamen Ordnern entstehen.
| Feld im Löschkonzept | Beispiel für die zu klärende Frage |
|---|---|
| Datenart und Verfahren | Welche Unterlagen umfasst diese Gruppe genau? |
| Zweck und Rechtsgrundlage | Wofür wird sie aktuell noch benötigt? |
| Fristbeginn | Beginnt die Frist mit einem Abschluss, einem Jahresende oder einem anderen Ereignis? |
| Aufbewahrung / Ausnahme | Welche konkrete Pflicht oder dokumentierte Ausnahme gilt? |
| Verantwortlicher und Umsetzung | Wer veranlasst die Löschung in welchem System? |
| Kontrolle | Wie wird geprüft, dass der vorgesehene Ablauf tatsächlich funktioniert? |
Ein Beispiel aus der Teilnehmerverwaltung
Nach Abschluss eines Kurses können bestimmte Nachweise weiterhin erforderlich sein. Eine beiläufige Gesprächsnotiz mit umfangreichen privaten Angaben muss deshalb nicht automatisch genauso lange aufbewahrt werden. Unser Vorschlag: Trennen Sie abrechnungs- oder nachweisrelevante Unterlagen von vorübergehenden Arbeitsnotizen und prüfen Sie die jeweiligen Zwecke getrennt.
Welche Frist konkret gilt, muss anhand der einschlägigen gesetzlichen und gegebenenfalls zulässigen vertraglichen Vorgaben bestimmt werden. Eine alte interne Tabelle sollte deshalb nicht ungeprüft als allgemeingültige Rechtsquelle übernommen werden.
Archivierung ist noch keine Löschung
Wenn Daten aus einer aktiven Liste in einen anderen Ordner verschoben werden, bleiben sie personenbezogen vorhanden. Müssen Unterlagen aufbewahrt werden, sollten Zugriffe und Nutzung auf den erforderlichen Zweck begrenzt sein. Eine bloße Kennzeichnung „inaktiv“ rechtfertigt keine unbegrenzte Speicherung.
Auch Sicherungskopien gehören in das Konzept. Legen Sie geeignete Aufbewahrungs- und Überschreibzyklen fest und verhindern Sie, dass bereits gelöschte Daten nach einer Wiederherstellung unkontrolliert wieder produktiv verwendet werden. Die konkrete technische Umsetzung ist mit IT und Datenschutz fachkundig abzustimmen.
Löschanfragen und regelmäßige Bereinigung verbinden
Richten Sie einen klaren Eingangskanal für Betroffenenanfragen ein. Prüfen Sie Identität, betroffene Daten und mögliche Ausnahmen, ohne unnötig zusätzliche Daten zu verlangen. Daneben braucht es einen regelmäßigen betrieblichen Ablauf, der abgelaufene Bestände auch ohne individuelle Anfrage erkennt.
Beginnen Sie mit einem überschaubaren Verfahren. Testen Sie an einem fiktiven oder kontrolliert ausgewählten Vorgang, ob sämtliche relevanten Speicherorte gefunden und die beschlossenen Regeln technisch umgesetzt werden können. Ein Löschkonzept ist erst dann hilfreich, wenn es ausführbar ist.
Quellen und Originaldokumente
Originalquellen zuletzt geprüft am 20.10.2026. Die verlinkten Veröffentlichungen können vom Herausgeber aktualisiert werden. Beispiele und Umsetzungsvorschläge stammen von BasiQ.
Datenschutz praktisch umsetzen
Sie möchten Zuständigkeiten, Datenverarbeitungen und Nachweise nachvollziehbar organisieren? Wir besprechen mit Ihnen die passende Beratung oder externe Datenschutzbetreuung.
Datenschutzberatung und externe Betreuung ↗ · Weiterbildung zum Datenschutzbeauftragten ↗
Über den Autor
Jan Streit
Jan Streit ist Geschäftsführer der BasiQ GmbH. Er berät Bildungsträger und Unternehmen zu AZAV, Qualitätsmanagement und Datenschutz und arbeitet als Datenschutzbeauftragter. Seine Arbeit verbindet die Gestaltung betrieblicher Abläufe mit Weiterbildung und der Vorbereitung auf Zertifizierungen.