Löschfristen, die nicht am System scheitern
Der schwierige Teil ist nicht die Frist, sondern der Startzeitpunkt und die Frage, was mit Sicherungen, Archiven und Papierablagen passiert.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Gelöscht wird, wenn der Platz knapp wird
In den meisten Häusern gibt es keine Löschentscheidung, sondern eine Ansammlung von Gewohnheiten. Das Warenwirtschaftssystem löscht nichts, weil niemand weiß, was raus darf. Postfächer wachsen, bis eine Größenbeschränkung greift. Auf dem Dateiablagesystem liegen Ordner aus Projekten, die vor Jahren beendet wurden. Und irgendwo existiert eine Tabelle mit Bewerbungsunterlagen, die jemand als Sicherheitskopie angelegt hat.
Die verbreitete Begründung dafür lautet, man dürfe wegen der Aufbewahrungspflichten ohnehin nichts löschen. Das stimmt für einen kleinen Teil der Daten und für einen begrenzten Zeitraum. Es stimmt nicht für den Rest, und die Vermischung beider Fälle ist der eigentliche Grund, warum Löschkonzepte scheitern: Wenn die Aufbewahrungspflicht für Rechnungen als Argument für den gesamten Datenbestand herhält, ist jede Frist unbegründbar.
Auffällig wird das bei einem Löschverlangen oder einer Auskunft. Dann muss innerhalb eines Monats feststehen, wo Daten zu einer Person liegen, was davon gelöscht werden kann und was aus welchem Grund bleiben muss. Wer diese Frage erst dann beantwortet, beantwortet sie für jeden Fall neu. Wer sie einmal je Datenart beantwortet hat, liest sie ab.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Sechs Schritte zu einer Regel, die auch greift
Der Ablauf hält sich an eine Reihenfolge, die verhindert, dass am Ende dieselbe Datenart in zwei Systemen zwei verschiedene Fristen hat. Die ersten drei Schritte kosten die meiste Zeit, danach ist der Rest Übertragungsarbeit.
- 1
Datenarten aus dem Verzeichnis ziehen
Nimm die Kategorien personenbezogener Daten aus dem Verarbeitungsverzeichnis als Ausgangsliste, denn dort stehen sie schon. Fass zusammen, was demselben Zweck und derselben Frist folgt, und trenn, was sich unterscheidet. Bewerbungsunterlagen, Personalstammdaten, Abrechnungsdaten und Zeiterfassungsdaten sind vier Datenarten, auch wenn sie in einem System liegen.
Geschafft, wenn: Eine Liste von Datenarten steht, ohne dass ein Systemname darin vorkommt.
- 2
Je Datenart den Startzeitpunkt festlegen
Bestimm das Ereignis, ab dem die Frist läuft. Bei Vertragsdaten ist es meist das Vertragsende, bei Abrechnungsunterlagen der Schluss des Kalenderjahrs, bei Bewerbungsunterlagen die Absage, bei Zugangsprotokollen der Zeitpunkt der Aufzeichnung. Der Startzeitpunkt muss aus dem System auslesbar sein, sonst ist die Regel technisch nicht umsetzbar.
Geschafft, wenn: Zu jeder Datenart gehört ein Ereignis, das sich im System als Datum wiederfindet.
- 3
Aufbewahrungspflicht und Löschgebot gegenüberstellen
Prüf je Datenart, ob eine handels- oder steuerrechtliche Aufbewahrungspflicht greift. Wo sie greift, tritt die Löschung bis zum Ablauf der Aufbewahrungsfrist zurück und die Unterlage bleibt, allerdings nur für den Aufbewahrungszweck. Wo sie nicht greift, richtet sich die Frist nach Zweck und Verjährung. Halte beides getrennt fest, weil sonst später niemand weiß, worauf die Frist beruht.
Geschafft, wenn: Je Datenart steht, ob die Frist aus einer Pflicht, aus dem Zweck oder aus einer Verjährung folgt.
- 4
Löschklassen bilden
Fass Datenarten mit gleichem Startzeitpunkt und gleicher Frist zu Klassen zusammen. Aus zwanzig Datenarten werden so meist fünf bis acht Klassen, und die technische Umsetzung wird dadurch überhaupt erst machbar. Die Klasse ist das, was später als Regel in einem System hinterlegt wird.
Geschafft, wenn: Die Zahl der umzusetzenden Regeln liegt deutlich unter der Zahl der Datenarten.
- 5
Fundorte durchgehen und die Regel überall verankern
Geh je Klasse durch, wo die Daten tatsächlich liegen: Fachsystem, Postfächer, Dateiablage, Auswertungsdatenbank, Archiv, Papierordner, Sicherungen. Für jeden Ort klärst du, ob die Regel automatisch greifen kann oder ob sie eine Handlung braucht. Wo sie eine Handlung braucht, gehört ein Termin und eine Person dazu.
Geschafft, wenn: Zu jeder Klasse ist je Fundort festgelegt, ob automatisch oder per Aufgabe gelöscht wird.
- 6
Einen Nachweis erzeugen
Leg fest, was ein Löschlauf protokolliert: Datum, Klasse, betroffene Datenart, Anzahl der Sätze, ausführende Stelle. Personenbezogene Angaben gehören nicht in dieses Protokoll, sonst schaffst du eine neue Verarbeitung. Sinnvoll ist außerdem, den ersten Lauf im Testsystem vorzunehmen, weil dabei regelmäßig Verknüpfungen auffallen, die niemand erwartet hat.
Geschafft, wenn: Für jeden Lauf existiert ein Nachweis ohne Personenbezug.
Fünf Angaben je Datenart, und die Regel steht
- 01 Die Datenart benennt, worum es geht, etwa Bewerbungsunterlagen.
- 02 Der Startzeitpunkt legt fest, ab welchem Ereignis die Frist läuft.
- 03 Die Frist ergibt sich aus Zweck, Verjährung oder Aufbewahrungspflicht.
- 04 Die Fundorte nennen jedes System, in dem die Datenart tatsächlich liegt.
- 05 Die zuständige Stelle sorgt dafür, dass die Regel auch angewendet wird.
Was du danach je Datenart in einem Satz sagen kannst
Am Ende steht keine Vorschriftensammlung, sondern eine überschaubare Tabelle: Datenart, Startzeitpunkt, Frist, Fundorte, zuständige Stelle. Wenn sie steht, ist jede einzelne Löschentscheidung eine Ableseaufgabe statt einer Recherche.
Datenarten statt Systeme zum Ausgangspunkt machen
Dieselbe Datenart liegt im Fachsystem, im Postfach und in einer Ablage. Wenn die Regel am System hängt, gilt sie nur an einem der drei Orte. Hängt sie an der Datenart, deckt sie alle drei ab.
Den Startzeitpunkt vor der Frist bestimmen
Die Frist ist meist schnell gefunden, der Auslöser nicht. Vertragsende, letzte Zahlung, Ablauf des Kalenderjahres oder das Ende eines Beschäftigungsverhältnisses führen zu sehr unterschiedlichen Löschterminen für dieselbe Frist.
Aufbewahrungspflicht und Nutzungserlaubnis trennen
Eine handels- oder steuerrechtliche Aufbewahrungspflicht verlangt, die Unterlage vorzuhalten. Sie erlaubt nicht, mit denselben Daten weiter zu werben oder auszuwerten. Für diesen Zwischenzustand gibt es die Einschränkung der Verarbeitung.
Die Pflicht auf die Unterlage beziehen, nicht auf den Datensatz
Aufzubewahren ist der Buchungsbeleg, nicht das vollständige Kundenprofil. Wer die Frist auf den ganzen Datensatz überträgt, hält Kaufhistorien und Kontaktverläufe jahrelang vor, für die keine Pflicht besteht.
Sicherungen und Archive mitregeln
Eine Löschung im Produktivsystem sagt nichts über die Sicherungsläufe. Üblich und begründbar ist, Sicherungen im regulären Zyklus auslaufen zu lassen und festzuhalten, dass nach einer Wiederherstellung erneut gelöscht wird.
Die Umsetzung nachweisbar machen
Ohne Protokoll bleibt offen, ob eine Regel je gegriffen hat. Ein Löschlauf, der Datum, Datenart und Anzahl festhält, ist der Nachweis, den die Rechenschaftspflicht aus Artikel 5 Absatz 2 verlangt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Warum das Konzept bei Datenarten anfängt und nicht bei Systemen
Der systemorientierte Zuschnitt ist naheliegend, weil Systeme sichtbar sind. Er führt aber zuverlässig zu Lücken, denn dieselbe Datenart liegt fast nie nur an einem Ort. Eine Bewerbung liegt im Bewerbungsportal, als Anhang im Postfach der Fachabteilung, häufig als Ausdruck im Vorstellungsgespräch und manchmal als Kopie in einer Auswertungstabelle. Eine Regel, die im Portal hinterlegt ist, erfasst genau einen dieser vier Orte.
Beim Zuschnitt nach Datenarten dreht sich die Reihenfolge um. Zuerst steht die Regel für Bewerbungsunterlagen fest, danach klärst du, wo diese Datenart überall liegt und wie die Regel dort umgesetzt wird. Der Aufwand verschiebt sich damit an die Stelle, an der er nützlich ist: Die Suche nach den Fundorten deckt regelmäßig Bestände auf, von denen in der IT niemand wusste.
Für die technische Umsetzung fasst man Datenarten anschließend zu Löschklassen zusammen, also zu Gruppen mit gleichem Startzeitpunkt und gleicher Frist. Diese Zweiteilung in Löschregel und Klasse ist auch der Kern der DIN 66398, einer Leitlinie zur Entwicklung eines Löschkonzepts. Sie ist keine Vorschrift und wird von der Verordnung nicht verlangt, liefert aber ein Vokabular, das die Abstimmung zwischen Fachbereich und IT erheblich abkürzt.
Der Startzeitpunkt entscheidet, nicht die Frist
Fristen sind schnell recherchiert, Startzeitpunkte nicht. Zwei Häuser mit identischen Fristen kommen zu völlig verschiedenen Löschterminen, wenn eines ab Vertragsschluss und das andere ab letzter Zahlung rechnet. Deshalb gehört der Auslöser in die Regel, und zwar so formuliert, dass er sich in einem System als Datum wiederfindet.
Bei den handels- und steuerrechtlichen Fristen ist der Auslöser gesetzlich festgelegt und wird trotzdem häufig falsch verstanden. Nach § 257 Absatz 5 HGB und § 147 Absatz 4 AO beginnt die Frist mit dem Schluss des Kalenderjahrs, in dem die letzte Eintragung gemacht, der Abschluss festgestellt, der Geschäftsbrief empfangen oder abgesandt oder der Buchungsbeleg entstanden ist. Eine Rechnung vom 3. Januar und eine vom 20. Dezember desselben Jahres haben damit denselben Fristbeginn und denselben Löschtermin. Das ist eine Erleichterung, weil sich Löschläufe an Jahresgrenzen bündeln lassen.
Bei den nicht gesetzlich vorgegebenen Fristen ist die Verjährung der übliche Anker. Wo eine Frist aus einer möglichen Auseinandersetzung folgt, gehört diese Begründung in die Tabelle, sonst wird sie beim nächsten Durchgang nicht mehr nachvollzogen und vorsichtshalber verlängert. Genau so entstehen die Fristen, die niemand mehr begründen kann und die deshalb nie kürzer werden.
Aufbewahrungspflicht und Löschgebot schließen sich seltener aus, als es scheint
Artikel 5 Absatz 1 Buchstabe e verlangt, personenbezogene Daten nur so lange in identifizierbarer Form zu speichern, wie es für die Zwecke erforderlich ist. Artikel 17 Absatz 1 Buchstabe a gibt betroffenen Personen einen Löschanspruch, sobald die Daten für ihren Zweck nicht mehr notwendig sind. Artikel 17 Absatz 3 Buchstabe b nimmt davon aus, was zur Erfüllung einer rechtlichen Verpflichtung weiter verarbeitet werden muss. Genau hier greifen die Aufbewahrungspflichten ein, und zwar als Ausnahme mit begrenzter Reichweite.
Die Reichweite hat zwei Grenzen, und beide werden regelmäßig überdehnt. Die erste ist gegenständlich: Aufzubewahren ist die Unterlage, also der Buchungsbeleg, der Jahresabschluss, der Handelsbrief. Aus der Pflicht, eine Rechnung aufzubewahren, folgt keine Erlaubnis, das vollständige Kundenprofil mit Kaufhistorie, Kontaktverläufen und Interessenmerkmalen für denselben Zeitraum vorzuhalten. Die zweite Grenze ist die Zweckbindung: In der Aufbewahrungsphase dürfen die Daten für den Aufbewahrungszweck verwendet werden, nicht mehr für Werbung, Auswertung oder Kundenbetreuung. Für diesen Zwischenzustand ist die Einschränkung der Verarbeitung das passende Mittel, praktisch also ein gesperrter Bestand ohne Zugriff aus den Fachanwendungen.
Das Bundesdatenschutzgesetz kennt dafür eine eigene Regelung. Nach § 35 Absatz 1 tritt die Einschränkung der Verarbeitung an die Stelle der Löschung, wenn eine Löschung bei nicht automatisierter Verarbeitung wegen der Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich wäre und das Interesse der betroffenen Person gering ist. Absatz 3 nennt zusätzlich satzungsgemäße oder vertragliche Aufbewahrungsfristen. Beide Vorschriften sind kein Freibrief, sondern beschreiben einen Zustand mit deutlich engeren Nutzungsmöglichkeiten als vorher.
Die Zahlen, die in alten Konzepten falsch stehen
Die handels- und steuerrechtlichen Aufbewahrungsfristen sind gestaffelt und wurden zuletzt geändert. Nach § 257 Absatz 4 HGB und § 147 Absatz 3 AO gilt: zehn Jahre für Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse und die zugehörigen Unterlagen, acht Jahre für Buchungsbelege und sechs Jahre für empfangene und abgesandte Handels- und Geschäftsbriefe sowie sonstige Unterlagen von steuerlicher Bedeutung.
Die acht Jahre für Buchungsbelege sind der Punkt, an dem viele Löschkonzepte veraltet sind, denn früher galten dafür ebenfalls zehn Jahre. Für bestimmte beaufsichtigte Unternehmen, etwa Kreditinstitute und Wertpapierinstitute, bleibt es bei zehn Jahren, das steht ausdrücklich in § 257 Absatz 4 HGB. Wer die Verkürzung übernimmt, sollte diese Ausnahme also mitprüfen, statt die Zahl pauschal zu ersetzen.
Eine dritte Angabe wird häufiger falsch verwendet als beide Fristen zusammen: die Frist läuft nicht ab dem Belegdatum, sondern ab dem Schluss des Kalenderjahrs. Ein Beleg aus dem Jahr 2026 fällt damit erst zum Ende des Jahres 2034 aus der achtjährigen Aufbewahrung, nicht acht Jahre nach seinem Datum. Wer das im Konzept sauber notiert, spart sich die wiederkehrende Diskussion darüber, warum ein Löschlauf im März nichts findet.
Wo die Regel im Betrieb hängen bleibt
Der erste Ort sind Sicherungen. Eine Löschung im Produktivsystem sagt nichts über die Sicherungsläufe, und ein gezieltes Herauslöschen einzelner Sätze aus Sicherungsbeständen ist technisch aufwendig und häufig unmöglich, ohne die Sicherung selbst zu entwerten. Verbreitet und begründbar ist deshalb, Sicherungen im regulären Zyklus auslaufen zu lassen und im Konzept festzuhalten, dass nach einer Wiederherstellung die zwischenzeitlich fälligen Löschungen erneut ausgeführt werden. Wichtig ist, dass der Zyklus überschaubar bleibt und dokumentiert ist, denn eine Sicherung, die dreißig Jahre aufgehoben wird, ist ein zweiter Datenbestand.
Der zweite Ort sind Postfächer und Dateiablagen. Dort liegen Daten in Kopien, die keiner Regel folgen, und automatische Löschregeln greifen nur, wenn die Ablage strukturiert ist. Wirksamer als eine Regel ist hier meist eine Vorgabe, wohin Unterlagen gehören und dass Anhänge nicht dauerhaft im Postfach verbleiben, denn eine Kopie, die nie entsteht, muss nie gelöscht werden.
Der dritte Ort ist die Papierablage. Sie wird beim Aufbau des Konzepts oft vergessen, weil sie in keiner Systemliste auftaucht, und sie enthält zugleich die ältesten Unterlagen im Haus. Hier hilft nur eine Ordnung nach Jahrgängen, denn dann fällt der Löschtermin mit der Jahresgrenze zusammen und der Vorgang wird zu einer wiederkehrenden Aufgabe statt zu einer Recherche in jedem einzelnen Ordner.
Dazu passende Kurse
Wer die Abwägung nicht am Schreibtisch allein treffen will, kann Löschfristen an eigenen Beispielen durchspielen und die strittigen Fälle mitbringen.
Weil die meisten Löschprobleme aus unsortierten Ablagen kommen, helfen daneben die Kurse rund um Ordnung in Datenbeständen .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Häufige Fragen
Müssen Daten aus Sicherungen einzeln gelöscht werden?
Dürfen wir Daten aufheben, weil es später zu einem Rechtsstreit kommen könnte?
Was ist der Unterschied zwischen Löschen und Einschränken der Verarbeitung?
Reicht es, wenn wir ein Löschkonzept schriftlich haben?
Quellen
Passt thematisch dazu
Steht die Tabelle aus Datenart, Startzeitpunkt und Frist, folgt die Umsetzung im System, und wie eine Frist dort tatsächlich greift, zeigen Aufbewahrungsrichtlinien und Bezeichnungen in Microsoft Purview .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Datenschutz-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Löschfristen, die den ersten Praxistest überstehen
Wie du Datenarten bündelst, Startzeitpunkte festlegst und den Streit zwischen Aufbewahrung und Löschung auflöst, gehst du bei cmt an eigenen Beständen durch.