Löschkonzept nach DSGVO: Aufbau, Fristenlogik und Muster-Tabelle

Warum es ohne Löschkonzept nicht geht

Die DSGVO verlangt zwei Dinge, die sich zu widersprechen scheinen. Nach Art. 5 Abs. 1 lit. e dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck nötig ist. Nach Art. 5 Abs. 2 müssen Sie die Einhaltung dieses Grundsatzes nachweisen können. Gleichzeitig verpflichten Handelsrecht und Steuerrecht dazu, bestimmte Unterlagen jahrelang aufzubewahren.

Beides zusammen ergibt keinen Widerspruch, sondern eine Aufgabe: Für jede Datenart muss festgelegt sein, wie lange sie bleibt, warum sie so lange bleibt und wann sie verschwindet. Genau das ist ein Löschkonzept. Es ist nicht ausdrücklich vorgeschrieben — aber es ist der praktikabelste Weg, die Rechenschaftspflicht zu erfüllen, und in Prüfungen die erste Frage nach dem Verarbeitungsverzeichnis.

Der Aufbau: vier Spalten genügen

Ein Löschkonzept muss nicht dick sein. Sein Kern ist eine Tabelle, die für jede Datenart vier Fragen beantwortet. Alles andere — Verantwortlichkeiten, Verfahren, Protokollierung — ergänzt diese Tabelle.

Der Aufbau folgt einer einfachen Logik: Jede Zeile beschreibt eine Datenart so genau, dass eine dritte Person sie im System wiederfinden könnte. „Kundendaten“ genügt dafür nicht — gemeint sind konkrete Bestände wie die Stammdaten im Warenwirtschaftssystem, die Rechnungen im Buchhaltungsarchiv oder die Bewerbungsunterlagen im Postfach der Personalabteilung.

Wie viele Zeilen ein Konzept braucht, hängt vom Betrieb ab. Für ein Handwerksunternehmen mit Buchhaltung, Personal und Kundenverwaltung sind fünfzehn bis zwanzig Zeilen realistisch. Wer damit anfängt, sollte nicht auf Vollständigkeit im ersten Anlauf zielen: Ein Konzept mit fünfzehn belastbaren Zeilen ist mehr wert als eine leere Vorlage mit sechzig Feldern.

Die dritte Spalte ist die anspruchsvollste. Steuerliche Fristen beginnen zum Kalenderjahresende, arbeitsrechtliche mit dem Austritt, medizinische mit dem Abschluss der Behandlung, vertragliche mit dem Ende der Laufzeit. Wer alles über einen Kamm schert, löscht entweder zu früh oder schleppt Bestände jahrelang mit. Die Anknüpfungspunkte je Unterlagenart stehen im Fristen-Rechner, der zu jeder Art auch die Rechtsgrundlage nennt.

Die Regel, an der sich alles entscheidet

Trifft auf einen Datensatz mehr als eine Frist zu, gilt die längste. Das klingt banal, ist aber der Grund für die meisten Fehler im Löschkonzept — weil selten jemand alle zutreffenden Fristen zusammensucht.

Ein Beispiel: Die Lohnabrechnung eines ausgeschiedenen Mitarbeiters. Als Buchungsbeleg unterliegt sie acht Jahren nach § 147 AO. Das Lohnkonto dahinter sechs Jahren nach § 41 EStG. Für die Sozialversicherung gilt die Frist bis zum Ablauf des Kalenderjahres, das der letzten Prüfung folgt. Und wenn Ansprüche aus der betrieblichen Altersversorgung im Spiel sind, können es dreißig Jahre werden. Gelöscht wird erst, wenn die längste dieser Fristen abgelaufen ist — vorher wäre die Löschung ein Verstoß gegen die Aufbewahrungspflicht.

Umgekehrt gilt genauso: Ist die längste Frist abgelaufen und kein weiterer Zweck ersichtlich, muss gelöscht werden. Ein „könnte man noch brauchen“ ist kein Zweck im Sinne der Verordnung. Die Ausnahme ist ein konkretes, benennbares Interesse — etwa die Beweissicherung bei laufender oder absehbarer Auseinandersetzung. Dann gehört dieses Interesse ins Konzept, nicht in einen ungeschriebenen Vorbehalt.

In der Praxis führt diese Regel zu einer Frage, die selten gestellt wird: Wer entscheidet eigentlich, ob ein Zweck entfallen ist? Bei einer Rechnung ist das klar geregelt, bei einer Kundenakte nicht. Deshalb gehört zu jeder Zeile im Konzept eine Person — nicht eine Abteilung, sondern ein Name. Ohne Zuständigkeit bleibt die Entscheidung liegen, und liegen gebliebene Entscheidungen sind der eigentliche Grund für zwanzig Jahre alte Bestände.

• Steuerrechtliche Fristen gehen einer früheren Löschung vor — § 147 Abs. 3 Satz 5 AO verlängert sie zusätzlich, solange eine Steuerfestsetzung offen ist.
• Laufende oder absehbare Rechtsstreitigkeiten hemmen die Löschung, solange sie andauern.
• Ein Auskunftsersuchen nach Art. 15 DSGVO ändert nichts an der Frist, verlangt aber, dass Sie wissen, was Sie haben.
• Sicherungskopien gehören mitbedacht: Was aus dem Livesystem gelöscht wird, liegt oft noch im Backup — mit einer eigenen, kürzeren Aufbewahrungsdauer.

Von der Tabelle zur tatsächlichen Löschung

Ein Konzept, das nur beschreibt, erfüllt seinen Zweck nicht. Nachweisen lässt sich die Einhaltung erst, wenn Löschungen tatsächlich stattfinden und dokumentiert werden. Der praktikable Weg ist ein fester Termin im Jahr, nicht ein Vorgang bei Bedarf.

Bewährt hat sich die Verbindung mit dem Jahresabschluss: Wenn ohnehin nach Jahrgängen sortiert wird, ist der Aufwand für die Fristenprüfung gering. Bei Papierbeständen fällt dann eine Menge an, die sich in einem Vorgang vernichten lässt — mit einem Zertifikat je Abholung als Nachweis. Bei digitalen Beständen braucht es eine Löschroutine im System und ein Protokoll darüber, was wann entfernt wurde.

1. Datenarten erfassen — sinnvollerweise aus dem Verarbeitungsverzeichnis übernehmen, statt neu zu beginnen.
2. Je Datenart alle zutreffenden Fristen zusammensuchen und die längste eintragen.
3. Startpunkt der Frist festlegen: Jahresende, Vertragsende, Austritt, Behandlungsabschluss.
4. Löschtermin und Zuständigkeit benennen — mit Namen, nicht mit Abteilung.
5. Löschung durchführen und protokollieren: Datum, Datenart, Umfang, bei Papier die Sicherheitsstufe.
6. Konzept jährlich prüfen, insbesondere nach Gesetzesänderungen wie der Fristverkürzung von 2025.

Die fünf häufigsten Fehler

Wer ein bestehendes Konzept prüft, findet meist einen dieser Punkte. Sie sind alle mit wenig Aufwand behebbar — im Gegensatz zu der Frage, warum zwanzig Jahre nicht gelöscht wurde.

Ein sechster Punkt gehört seit 2025 dazu: Konzepte, die für Buchungsbelege noch zehn Jahre vorsehen. Das Vierte Bürokratieentlastungsgesetz hat die Frist auf acht Jahre verkürzt — wer sein Konzept seither nicht angepasst hat, speichert länger als erlaubt. Die Einzelheiten stehen im Beitrag zur Aufbewahrungsfrist für Rechnungen.