Wenn Unternehmen heute personenbezogene Daten verarbeiten, stehen sie vor der Aufgabe, sie nicht nur ordnungsgemäß zu archivieren, sondern ebenso zuverlässig zu löschen. Die Datenschutzgrundverordnung (DSGVO) verlangt von Organisationen, Daten nur so lange aufzubewahren, wie dies für den jeweiligen Zweck erforderlich ist. Was zunächst einfach klingt, wird in der Praxis schnell komplex. Denn jede Datenart unterliegt unterschiedlichen rechtlichen, organisatorischen und fachlichen Anforderungen. Der Bedarf nach einem strukturierten Löschkonzept ist daher größer denn je.
Doch was genau ist ein Löschkonzept und wie sollte es aussehen? Welche Abteilungen sind betroffen? Und wie lassen sich die vielen verschiedenen Anforderungen in modernen Systemen umsetzen? Dieser Beitrag erklärt die zentralen Bestandteile eines fundierten Löschkonzepts und zeigt anhand praxisnaher Beispiele, wie Unternehmen gesetzliche Vorgaben erfüllen können und wie humbee sie dabei unterstützen kann.
Inhaltsverzeichnis
1. Löschfristen und Löschkonzepte
Löschfristen beschreiben, wie lange personenbezogene Daten gespeichert werden dürfen. Diese Fristen ergeben sich aus gesetzlichen Vorgaben, wie z. B. dem Handels- und Steuerrecht – oder aus dem Zweck, für den die Daten ursprünglich erhoben wurden. Ist dieser Zweck erfüllt oder fordert die betroffene Person die Löschung, müssen die Daten laut Art. 17 der DSGVO gelöscht werden, sofern keine andere Rechtsgrundlage eine weitere Aufbewahrung erlaubt oder sogar vorschreibt.
Ein Löschkonzept ist ein strukturiertes Regelwerk, das beschreibt, wie Unternehmen diese Fristen organisatorisch und technisch umsetzen. Es legt fest, welche verschiedenen Datenarten im Unternehmen verarbeitet werden, wer für die Steuerung verantwortlich ist und wie die Daten letztlich gelöscht werden. Eine entsprechende Dokumentation ist bei der Erarbeitung eines Löschkonzepts zentral: Unternehmen müssen jederzeit nachweisen können, dass sie ihre Löschpfllichten kennen, geprüft haben und zuverlässig umsetzen. Ein Löschkonzept sorgt dafür, dass diese Verpflichtung nicht dem Zufall überlassen wird.
2. Was gehört in ein vollständiges Löschkonzept?
Gesetzliche Vorgaben, wie ein Löschkonzept aussehen soll, gibt es nicht. Orientierung bietet jedoch die DIN 66398 („Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen personenbezogener Daten“). Diese Norm empfiehlt, zunächst alle personenbezogenen Daten im Unternehmen systematisch zu erfassen und anschließend in sog. Löschklassen einzuordnen. In einer Löschklasse werden Daten zusammengeführt, die denselben Erhebungszweck, dieselben Fristen und dieselben Anforderungen teilen, wie z. B. Personal-, Finanz- oder Verwaltungsunterlagen. Jede Löschklasse erhält anschließend eine definierte Frist und eine klar beschriebene Löschroutine. Diese Systematik verhindert, dass Unternehmen für jeden einzelnen Datensatz eigene Entscheidungen treffen müssen und sorgt dafür, dass Löschprozesse effizient, nachvollziehbar und konsistent sind.
Darüber hinaus beschreibt ein Löschkonzept organisatorische Zuständigkeiten. Datenschutzbeauftragte, IT-Abteilungen und Fachbereiche müssen gemeinsam definieren, wer welche Daten überwacht und wer Löschungen freigibt. Nicht weniger wichtig ist die technische Abbildung: Das Konzept enthält Prozesse, Routinen und Kontrollmechanismen, die sicherstellen, dass Daten tatsächlich gelöscht werden – nicht nur im laufenden System, sondern auch in Backups, Archiven und Dokumentmanagementsystemen.
Bei der Erstellung eines Löschkonzepts müssen somit Datenschutz, Fachwissen, IT-Architektur und betriebliche Organisation aufeinander abgestimmt sein und zusammenarbeiten. Genau an dieser Stelle wird die Umsetzung des Konzepts für viele Unternehmen zur Herausforderung.
Warum Löschkonzepte?
- Gesetzliche Pflicht (Art. 17 DSGVO, Grundsatz Speicherbegrenzung).
- Schutz vor Bußgeldern, z. B. aktueller Fall (2024): 900.000 € Bußgeld wegen versäumter Löschung durch die Datenschutzbehörde Hamburg.
- Reduzierte Angriffsfläche bei Cybervorfällen, weil weniger Alt-Daten vorhanden sind.
- Entlastung der Systeme und besseres Datenqualitätsmanagement
2.1 Löschpflichtige Daten in der Praxis
Löschpflichtige Daten begegnen Unternehmen in nahezu allen Bereichen. Im Personalwesen betrifft dies etwa Bewerbungsunterlagen, die nach einer Absage maximal 6 Monate gespeichert werden dürfen. Auch Personalakten, Abrechnungen oder arbeitsrechtliche Unterlagen müssen spätestens nach einigen Jahren vernichtet werden, sobald steuer- und handelsrechtliche Pflichten erfüllt sind.
In der Finanzbuchhaltung betreffen Löschpflichten insbesondere Rechnungen, Buchungsbelege oder Kontounterlagen, die häufig bis zu 10 Jahre aufzubewahren sind, bevor sie gelöscht werden.
Vertriebs- und Marketingabteilungen müssen besonders sorgfältig mit Daten von Interessenten umgehen: Je nach Einwilligung und Kontaktstatus dürfen diese meist nur für wenige Jahre gespeichert werden. Entsteht kein Vertragsverhältnis, müssen sie vergleichsweise schnell gelöscht werden.
IT-Abteilungen wiederum müssen darauf achten, dass Protokolle nicht zu lange gespeichert werden und Backups ordnungsgemäß überschrieben werden. Auch in der allgemeinen Verwaltung gelten klare Strukturen, etwa für E-Mail-Archivierung, die sich an handels- und steuerrechtlichen Vorgaben orientiert.
Für Haus- und Immobilienverwaltungen ergeben sich besondere Anforderungen. Sie verarbeiten während des Mieter-Onboardings zahlreiche Dokumente, darunter Ausweise, Bonitäts- oder Bewerbungsunterlagen. Entsteht kein Mietverhältnis, müssen diese Daten zeitnah gelöscht werden. Kommt es zu einer Vermietung, gelten wieder andere Fristen, die sich je nach Abrechnungstyp oder Vertragsrelevanz voneinander unterscheiden. Auch Vermittlungsprozesse wie die Wohnungsbewerbung erfordern eindeutige Löschroutinen, da diese Daten sensibel und oft nur kurz relevant sind.
2.2 Praxislisten: Löschpflichtige Daten je Abteilung
Hinweis: Fristen immer individuell mit Fachberatung prüfen – keine Rechtsberatung!
- Mieter-Bewerbungen: Bei Nichtvergabe zeitnah löschen.
- Bonitätsauskünfte: Nach Mietbeginn oder Absage (max. 3 Monate).
- Vertragsdokumente: Nach Mietende + Fristen (z. B. 10 Jahre).
2.3 Checkliste für ein vollständiges Löschkonzept
- Überblick über alle Datenarten im Unternehmen schaffen.
- Daten in Löschklassen mit gleichen Fristen und Startzeitpunkten bündeln.
- Für jede Löschklasse Löschregeln (Frist + Startzeitpunkt) definieren.
- Umsetzungsregeln je System/Technologie festlegen (DMS, Fachverfahren, Backups, E-Mail-Archiv).
- Verantwortlichkeiten in Datenschutz, IT und Fachbereichen dokumentieren.
- Prozesse zur Dokumentation, regelmäßigen Überprüfung und Aktualisierung verankern.
3. Wer erstellt ein Löschkonzept?
Die Erstellung eines Löschkonzepts ist eine interdisziplinäre Aufgabe. Zwar liegt die Verantwortung häufig beim Datenschutzbeauftragten des Unternehmens, jedoch ist die inhaltliche Arbeit ohne die Unterstützung der jeweiligen Fachabteilungen oft nicht leistbar. Jede Abteilung kennt die relevanten Daten, die in ihrem Bereich verarbeitet werden und welche fachlichen Anforderungen hiermit einhergehen. Die IT sorgt dafür, dass die Vorgaben technisch umgesetzt werden können und Löschroutinen zuverlässig funktionieren.
Ein gutes Löschkonzept entsteht somit immer im Zusammenspiel und wird im Idealfall regelmäßig überprüft, angepasst und automatisiert.
4. Risiken ohne Löschkonzept
Die DSGVO sieht vor, dass personenbezogene Daten nach Ablauf der gesetzlichen oder organisatorischen Fristen gelöscht werden müssen. Werden Daten weiterhin verarbeitet, obwohl ihr Zweck entfallen ist, gilt dies als unrechtmäßige Verarbeitung und kann von Aufsichtsbehörden sanktioniert werden. Darüber hinaus erhöht unkontrolliertes Datenwachstum die Angriffsfläche bei Cybervorfällen. Je mehr Daten unkontrolliert vorliegen, desto größer sind der potenzielle Schaden und die daraus resultierenden Pflichten, wie z. B. im Rahmen von Meldungen bei Datenschutzverletzungen
5. Löschkonzepte umsetzen: So einfach geht’s in humbee
Mit seiner Löschkonzept-Funktion bietet humbee eine technische Grundlage, um die Anforderungen an moderne Löschkonzepte automatisiert und revisionssicher umzusetzen. Vorgänge und Dokumente verfügen nun zusätzlich zum Aufbewahrungsdatum über ein eigenes Löschdatum. Ist dieses erreicht, löscht humbee das entsprechende Element automatisch.
Damit diese Löschroutine flexibel bleibt, stehen verschiedene Funktionen zur Verfügung. Ein neuer Workflowschritt erlaubt es, automatisch ein Löschdatum zu setzen. Ebenso kann das Löschdatum wieder entfernt werden, wenn ein Element aus fachlichen oder rechtlichen Gründen länger benötigt wird. So verhindert humbee, dass wichtige Informationen versehentlich gelöscht werden.
Erweitert wird diese Automatisierung um einen neuen Suchvorschlag „wird gelöscht am…“. Damit können Dashboards erstellt werden, die anstehende Löschungen übersichtlich darstellen. So erhalten Fachabteilungen die Möglichkeit, Löschvorgänge zu überwachen, Freigaben zu erteilen oder fristgerecht zu prüfen, ob einzelne Daten noch benötigt werden.
Da humbee Vorgangsbearbeitung, Dokumentenmanagement und digitale Akten in einem System vereint, greifen sämtliche Löschprozesse nahtlos ineinander. Für Unternehmen bedeutet das: Keine Insellösungen mehr, keine manuellen Prüfungen, keine unübersichtlichen Datenbestände.
So unterstützt humbee
- Automatisches Löschdatum zusätzlich zum Aufbewahrungsdatum.
- Workflow-Schritt „Löschdatum setzen/entfernen“.
- Suchvorschlag „wird gelöscht am…“ als Dashboard-Widget für Fachabteilungen.
- Integrierte Löschung über Vorgänge, Dokumente und digitale Akten hinweg.
6. Fazit: Löschkonzepte sind Pflicht, humbee macht sie praktikabel
Löschfristen sind gesetzlich vorgegeben und Löschkonzepte daher organisatorisch unverzichtbar. Unternehmen müssen jederzeit nachweisen können, dass sie personenbezogene Daten nicht länger speichern, als erforderlich. Je mehr Abteilungen beteiligt sind und je mehr unterschiedliche Datenarten verarbeitet werden, desto komplexer wird dies in der Praxis.
humbee bietet dafür eine umfassende Lösung, die nicht nur dokumentiert, sondern aktiv unterstützt: Durch automatisierte Löschdaten, transparente Suchvorschläge und integrierte Workflows lassen sich gesetzliche Vorgaben zuverlässig umsetzen; ohne zusätzlichen Aufwand für die einzelnen Fachbereiche.
