Was ist ein Löschkonzept?
Ein Löschkonzept ist die strukturierte Antwort auf eine einfache Frage, die viele Unternehmen ins Schwitzen bringt: Wann müssen wir welche Daten wieder loswerden? Die DSGVO verankert in Art. 5 Abs. 1 lit. e den Grundsatz der Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck nötig ist. Danach sind sie zu löschen – das ist die Kehrseite der Datenminimierung.
Ein Löschkonzept setzt diesen Grundsatz in nachvollziehbare Regeln um. Es ordnet jeder Datenart eine Aufbewahrungs- und eine Löschfrist zu, benennt den auslösenden Zeitpunkt und legt fest, wie gelöscht wird. Damit wird aus einem abstrakten Prinzip ein praktischer Ablauf, den die Verantwortlichen im Unternehmen tatsächlich umsetzen können.
Löschfristen und Aufbewahrungspflichten
Die größte Hürde beim Löschen ist der Zielkonflikt: Einerseits verlangt die DSGVO das Löschen, andererseits zwingen Handels- und Steuerrecht zur Aufbewahrung. Ein gutes Löschkonzept löst diesen Konflikt sauber auf, indem es beide Seiten zusammenführt. Typische Bausteine sind:
- Datenarten und Kategorien: Personalakten, Bewerberdaten, Kundendaten, Rechnungen, Bewerbungen, Kontaktanfragen.
- Aufbewahrungspflichten: etwa sechs oder zehn Jahre für steuerlich relevante Unterlagen nach HGB und AO.
- Löschfristen: wann eine Löschung erfolgen muss, sobald keine Pflicht mehr entgegensteht – etwa Bewerberdaten wenige Monate nach Absage.
- Löschauslöser: Vertragsende, Fristablauf, Widerruf einer Einwilligung oder ein Antrag auf Löschung.
- Löschverfahren: sicheres Löschen aus Produktivsystemen, Backups und Archiven, dokumentiert und reproduzierbar.
So setzen Sie ein Löschkonzept um
Ein Löschkonzept entsteht nicht am Reißbrett, sondern entlang der realen Datenflüsse. Grundlage ist meist das Verzeichnis von Verarbeitungstätigkeiten: Für jede Verarbeitung wird die passende Frist und der Löschauslöser ergänzt. Anschließend geht es um die technische Umsetzung – denn Daten verstecken sich gern in Backups, Exporten, E-Mail-Postfächern und alten Laufwerken.
In der Praxis ist das Löschkonzept ein fester Teil eines guten Datenschutzkonzepts und Voraussetzung dafür, Betroffenenrechte zuverlässig zu erfüllen. Wer löschen soll, muss schließlich wissen, wo die Daten überhaupt liegen. Ich integriere das Löschkonzept in Ihr laufendes DSGVO-Management, damit Löschungen nicht vom guten Willen Einzelner abhängen, sondern als Routine verankert sind.