Löschkonzept: wo Ihre Daten überall liegen und wie sie wirklich weg sind

Das Wort Löschkonzept steht weder in der DSGVO noch im BDSG. Im Gesetz steht das Löschen selbst.

Nach Art. 17 DSGVO muss ein Betrieb personenbezogene Daten unverzüglich löschen, sobald sie für ihren Zweck nicht mehr nötig sind. Dafür braucht es keinen Antrag der betroffenen Person, so erläutert es auch die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit.

Ausgenommen ist unter anderem, was ein Gesetz aufzubewahren verlangt, etwa Rechnungen und Buchungsbelege. Wie lange das jeweils gilt, steht mit Vorschrift in unserer Tabelle der Aufbewahrungsfristen. Ist die Frist abgelaufen, fällt auch diese Ausnahme weg. Wie weit die Fristen schon innerhalb einer Akte auseinanderliegen, zeigt die Personalakte.

Zwei weitere Artikel gehen über das Löschen hinaus. Nach Art. 5 Abs. 2 muss der Betrieb nachweisen können, dass er sich an die Grundsätze der DSGVO hält, darunter die Speicherbegrenzung. Nach Art. 30 gehören die vorgesehenen Löschfristen, wenn möglich, in das Verzeichnis der Verarbeitungstätigkeiten.

Nach dem Standard-Datenschutzmodell der Aufsichtsbehörden legt ein Betrieb im Löschkonzept fest, wie er seine Pflicht zum Löschen erfüllt. Die Löschfristen werden danach schriftlich festgelegt und in das Verzeichnis der Verarbeitungstätigkeiten aufgenommen. Dazu kommen feste Rollen dafür, wer Löschungen prüft, anordnet und ausführt. Als Hilfe verweist das Modell auf eine Norm, die Löschregeln mit Frist und Startzeitpunkt vorschlägt. Die Datenschutzkonferenz empfiehlt den Betrieben, das Modell anzuwenden.

Wie das Löschen technisch gehen kann, beschreibt das Modell in einem eigenen Baustein zum Löschen und Vernichten aus dem Jahr 2020. Die Konferenz nennt die Maßnahmen darin gute Datenschutzpraxis. Ob eine davon im Einzelfall Pflicht ist, legt sie damit nicht fest, sie hält das aber vielfach für gegeben. Im Baustein steht auch, wann eine Löschung vollzogen ist. Das ist erst der Fall, wenn keine Kopie der Daten mehr gespeichert ist, weder beim Betrieb noch bei einem Dienstleister in seinem Auftrag.

Die Norm, auf die das Modell verweist, ist DIN 66398. Sie ist inzwischen zurückgezogen, ihre Nachfolgerin ist seit September 2025 die DIN EN ISO/IEC 27555.

Welche Fristen hineingehören und ob das Konzept im Einzelfall trägt, ist die rechtliche Hälfte. Das legt der Betrieb mit seinem Datenschutzbeauftragten, einem Datenschutzberater oder einem Anwalt fest.

Das Modell der Aufsicht nennt ausdrücklich Kopien auf mobilen Geräten und in der Cloud, dazu Sicherungen und Protokolle.

Zahl und Speicherort der Kopien werden nach dem Modell aufgeschrieben. Das passt in die IT-Dokumentation, in der alle Geräte und Systeme stehen sollten.

In Microsoft 365 regeln Aufbewahrungsrichtlinien, was mit Mails und Dateien geschieht. Microsoft kennt dafür drei Einstellungen: nur aufbewahren, nur löschen oder erst aufbewahren und dann löschen.

Nach Microsoft hat die Aufbewahrung im Normalfall Vorrang vor dem dauerhaften Löschen, und der längste Aufbewahrungszeitraum gewinnt. Löscht jemand eine Mail, die unter eine Aufbewahrung fällt, verschwindet sie nur aus seiner Ansicht. Eine Kopie bleibt im Hintergrund erhalten.

Läuft die Archivierung eines Postfachs über eine solche Aufbewahrung, bleibt im Archiv alles liegen, bis die Einstellung nach Ablauf der Frist selbst löscht.

In Microsoft 365 zählt die Löschfrist einer Aufbewahrungsrichtlinie ab dem Datum des Inhalts und nicht ab dem Tag, an dem die Richtlinie eingeschaltet wird. Bei Mails zählt das Empfangs- oder Sendedatum. Wer eine solche Richtlinie einschaltet, erfasst damit auch alles, was schon älter ist als die eingestellte Frist. Vorher sollte man laut Microsoft das Alter des Bestands ansehen und erwägen, die Benutzer zu informieren.

Die Pflicht zum Löschen erfasst nach dem Modell der Aufsicht auch Sicherungskopien. Sie müssen aber nicht am selben Tag bereinigt werden wie der laufende Bestand.

Dauert das Löschen in einer Sicherung so lange, dass es erst mit dem planmäßigen Überschreiben fertig würde, darf es nach dem Baustein damit zusammenfallen. Wie lange eine gelöschte Datei in Ihren Sicherungen weiterlebt, hängt deshalb daran, wie weit die Stände zurückreichen. Das legt Ihre Backup-Strategie fest.

Bei Daten mit hohem Risiko sieht der Baustein mehr vor, bis hin zum außerplanmäßigen Aufräumen der Sicherungen. Als Beispiele nennt er Gesundheitsdaten und Berufe mit Schweigepflicht.

Wird nach einem Ausfall eine Sicherung zurückgespielt, muss nach dem Baustein sofort wieder gelöscht werden, was im laufenden Bestand schon gelöscht war.

Das normale Löschen über das Betriebssystem löscht nach dem BSI in der Regel nicht sicher. Entfernt werden nur die Verweise auf die Dateien, der Inhalt lässt sich mit Werkzeugen wiederherstellen. Auch das Schnellformatieren reicht nach dem Modell der Aufsicht nicht.

Für Datenträger mit schützenswerten Daten nennt das BSI Mindestverfahren. Eine Festplatte oder SSD ohne Verschlüsselung wird vollständig mit Zufallswerten überschrieben. War sie verschlüsselt, wird der Schlüssel sicher gelöscht. Ein Smartphone wird auf die Werkseinstellungen zurückgesetzt. Danach soll die Einrichtung einmal durchlaufen werden.

Wie ein Betrieb alte Geräte sicher löscht, kann er bei seinen technischen und organisatorischen Maßnahmen festhalten. Landet eine Platte ungelöscht im Elektroschrott, kann daraus eine Datenpanne werden.

Bei defekten Platten beschreibt das BSI den Fall, dass eine als Garantiefall zum Hersteller geht, dort nur schnell gelöscht wird und wieder in den Handel kommt. Lässt sich ein Datenträger mit schützenswerten Daten wegen eines Defekts nicht sicher löschen, empfiehlt es, ihn zu vernichten. Alternativ vereinbart man mit dem Dienstleister, dass er das übernimmt.

Für unsere Vertragskunden läuft die Vernichtung über einen Partner, mit Nachweis am Ende. Was dabei mit alten Festplatten passiert, steht bei der IT-Sicherheit.

Das Modell der Aufsicht führt das Protokollieren von Löschungen als eigene Maßnahme. In so ein Protokoll gehört, dass gelöscht wurde. Daten, die gelöscht werden sollten, dürfen nach dem Baustein nicht darin stehen. Sonst hebt das Protokoll genau das auf, was weg sollte.

Folgt das Löschen festen Regeln, sieht der Baustein vor zu prüfen, ob es automatisch laufen kann. Ein solcher Lauf soll sich dann jederzeit gezielt anhalten lassen.

Die Rollen für das Prüfen, Anordnen und Ausführen von Löschungen gehören nach dem Modell in ein Berechtigungskonzept.

Wir kümmern uns um den IT-technischen Teil, die rechtlichen Dinge laufen über einen Datenschutzpartner.

Beim Löschen sind das Postfächer, Ablage und Fristen.

Drei Dinge, die dabei zählen, gehören zu unserer Arbeit als externe IT-Abteilung. Das sind die Archivierung der Postfächer in Microsoft 365, die Zugriffsrechte auf Ihren Systemen und die Überwachung der Sicherungen.

Die Löschfristen für Ihre Daten klären Sie mit unserem Datenschutzpartner oder Ihrem eigenen Datenschutzbeauftragten.

Endet ein Vertrag mit uns, bekommen Sie vorher Ihre Zugänge. Danach löschen wir bei uns die Zugänge, Dokumentationen und Aufzeichnungen zu Ihrem Betrieb, soweit wir sie nicht nach dem Gesetz aufbewahren müssen.

Wir sind die externe IT-Abteilung für Betriebe und Vereine im Raum Köln, die keine eigene haben.

Im Erstgespräch sehen wir uns an, wo bei Ihnen Daten liegen und wo Kopien davon entstehen.