Ein DSGVO-Löschkonzept ist das organisatorische Steuerungsinstrument, mit dem Sie nachweisbar regeln, welche personenbezogenen Daten Ihr Unternehmen wann, von wem und auf welchem Weg löscht. Es setzt Speicherbegrenzung (Art. 5 Abs. 1 lit. e), Recht auf Löschung (Art. 17) und Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) um. Die Anleitung richtet sich an IT-Verantwortliche, Datenschutzbeauftragte und Geschäftsführung im Mittelstand und liefert ein Vorgehen in sieben Schritten, Tabellen-Vorlagen und konkrete Fristen. Es geht ausschließlich um das organisatorische Konzept, nicht um das technisch sichere Löschen von Datenträgern.

Voraussetzungen

Ein aktuelles Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO als Datengrundlage – darin stehen Zwecke, Datenkategorien und Empfänger.
Überblick über alle Speicherorte: Fachanwendungen, Datenbanken, Dateiablagen, E-Mail-Postfächer, Cloud-Dienste, Backups und Archive.
Eingebundener Datenschutzbeauftragter (intern oder extern) und Rückendeckung der Geschäftsführung für verbindliche Vorgaben.
Kenntnis der relevanten Aufbewahrungspflichten aus HGB, AO, EStG und ggf. SGB sowie der Fristen nach § 15 Abs. 4 AGG und § 61b Abs. 1 ArbGG.
Liste der Auftragsverarbeiter nach Art. 28 DSGVO (Cloud, externe Dienstleister), deren Löschverpflichtungen vertraglich greifen müssen.

Ist Ihr Verzeichnis nach Art. 30 lückenhaft, ergänzen Sie es zuerst; ohne es erhalten Sie keine vollständige Liste der Datenarten.

Hintergrund: Was ein Löschkonzept leisten muss

Die DSGVO verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e). Entfällt der Zweck und besteht keine Aufbewahrungspflicht, sind die Daten unverzüglich zu löschen.

Der methodische Standard dafür war lange die DIN 66398:2016 (Leitlinie zur Entwicklung eines Löschkonzepts). Sie wurde im September 2025 zurückgezogen und durch die DIN EN ISO/IEC 27555:2025-09 abgelöst, die dieselbe Vorgehensweise beschreibt. Verweisen Sie in neuen Dokumenten auf die DIN EN ISO/IEC 27555.

Schritt 1: Datenarten aus dem Verzeichnis ableiten

Eine Datenart ist eine Gruppe von Datenobjekten mit einheitlichem Verarbeitungszweck. Gehen Sie Ihr Verzeichnis nach Art. 30 DSGVO durch und listen Sie jede Datenart einzeln auf, mit allen Orten, an denen dieselben Daten liegen.

Typische Datenarten im Mittelstand:

Buchhaltungsdaten und Buchungsbelege (Rechnungen, Kontoauszüge)
Bücher, Inventare, Bilanzen, Jahresabschlüsse
Handels- und Geschäftsbriefe (inklusive geschäftlicher E-Mails)
Kunden- und Vertragsstammdaten
Beschäftigtendaten und Lohnkonten
Bewerberdaten
Newsletter- und Marketing-Einwilligungen
Logfiles, Zugriffsprotokolle und Support-Tickets

Achten Sie besonders auf Schattendaten: Exporte, lokale Kopien auf Notebooks, E-Mail-Postfächer, Test- und Entwicklungssysteme. Sie gehören ebenso in die Liste und später in die Löschregeln.

Verifizieren: Jede Verarbeitungstätigkeit im Verzeichnis nach Art. 30 ist mindestens einer Datenart zugeordnet, und jede Datenart nennt alle Speicherorte einschließlich Backup.

Schritt 2: Datenarten zu Löschklassen bündeln

Eine Löschklasse fasst alle Datenarten zusammen, die dieselbe Löschfrist und denselben Startzeitpunkt haben. So pflegen Sie wenige Klassen statt einer Regel je Datenart.

Beispiel einer Klassenstruktur für den Mittelstand:

Klasse A – 10 Jahre, ab Jahresende: Bücher, Inventare, Bilanzen, Jahresabschlüsse.
Klasse B – 8 Jahre, ab Jahresende: Buchungsbelege und Rechnungen (seit 2025 verkürzt).
Klasse C – 6 Jahre, ab Jahresende: Handels- und Geschäftsbriefe, geschäftliche E-Mails, Lohnkonten.
Klasse D – Praxiswert, z. B. 3 Jahre, ab Vertragsende/letztem Kontakt: Kunden- und Vertragsdaten ohne eigene Aufbewahrungspflicht.
Klasse E – Praxiswert, etwa 6 Monate, ab Absage: Bewerberdaten erfolgloser Bewerbungen.
Klasse F – kurzfristig: Logfiles, technische Protokolle (nach internem Bedarf, z. B. 30–90 Tage).

Die genauen Werte leiten Sie in Schritt 3 her.

Verifizieren: Jede Datenart aus Schritt 1 gehört zu genau einer Löschklasse, und innerhalb jeder Klasse stimmen Frist und Startzeitpunkt überein.

Schritt 3: Löschfristen je Datenkategorie herleiten

Wägen Sie für jede Klasse ab. Die Löschregel besteht immer aus zwei Teilen: der Regellöschfrist (Zeitraum bis zur Löschung) und dem Startzeitpunkt (Ereignis, ab dem die Frist läuft). Prüfen Sie je Datenart drei Fragen:

Ist der ursprüngliche Verarbeitungszweck entfallen?
Besteht eine gesetzliche Aufbewahrungspflicht (HGB, AO, EStG, SGB)?
Bestehen laufende oder zu erwartende Rechtsstreitigkeiten (Verjährung nach §§ 195, 199 BGB)?

Die maßgebliche Löschfrist ist die längste anwendbare Aufbewahrungspflicht. Danach ist unverzüglich zu löschen (Art. 17 Abs. 1 lit. a DSGVO), sofern kein anderer Grund nach Art. 17 Abs. 3 DSGVO greift. Während der Aufbewahrungsfrist steht die gesetzliche Pflicht der Löschung entgegen (Art. 17 Abs. 3 lit. b DSGVO). Beachten Sie außerdem § 147 Abs. 3 Satz 5 AO: Die steuerliche Frist läuft nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist.

Konkrete Fristenwerte (Stand 14.10.2026)

Datenart	Frist	Startzeitpunkt	Rechtsgrundlage
Bücher, Inventare, Bilanzen, Jahresabschlüsse	10 Jahre	Schluss des Kalenderjahrs der letzten Eintragung	§ 147 Abs. 1 Nr. 1, Abs. 3 AO; § 257 Abs. 1 Nr. 1, Abs. 4 HGB
Buchungsbelege, Rechnungen	8 Jahre	Schluss des Kalenderjahrs der Entstehung	§ 147 Abs. 3 S. 1 AO; § 257 Abs. 4 HGB; § 14b Abs. 1 UStG
Handels- und Geschäftsbriefe (inkl. E-Mails)	6 Jahre	Schluss des Kalenderjahrs	§ 147 Abs. 1 Nr. 2, 3 AO; § 257 Abs. 1 Nr. 2, 3 HGB
Lohnkonten, Lohnabrechnungen	6 Jahre	Schluss des Kalenderjahrs	§ 41 Abs. 1 S. 9 EStG
Kunden-/Vertragsdaten ohne Aufbewahrungspflicht	Praxiswert, z. B. 3 Jahre	Vertragsende / letzter Kontakt	Art. 5 Abs. 1 lit. e DSGVO; Orientierung an der Verjährung nach §§ 195, 199 BGB
Bewerberdaten (erfolglose Bewerbung)	Praxiswert, etwa 6 Monate	Abschluss des Verfahrens / Absage	Art. 5 Abs. 1 lit. e DSGVO; abgeleitet aus § 15 Abs. 4 AGG, § 61b Abs. 1 ArbGG

Zwei Punkte werden in der Praxis häufig falsch gemacht: Erstens wurde die Frist für Buchungsbelege und Rechnungen zum 01.01.2025 von 10 auf 8 Jahre verkürzt (Viertes Bürokratieentlastungsgesetz); die Verkürzung gilt für alle am 31.12.2024 noch nicht abgelaufenen Fristen (Art. 97 § 19a Abs. 2 EGAO). Für Kreditinstitute, beaufsichtigte Versicherungsunternehmen und Wertpapierinstitute bleibt es bei 10 Jahren (Art. 97 § 19a Abs. 3 EGAO, § 257 Abs. 4 Satz 2 HGB). Zweitens leiten sich bei Bewerbern die 6 Monate aus zwei Fristen ab: 2 Monate für die schriftliche Geltendmachung ab Zugang der Absage (§ 15 Abs. 4 AGG) und 3 Monate für die Klage danach (§ 61b Abs. 1 ArbGG), plus Puffer für die Zustellung. Eine gesetzliche Löschfrist für Bewerberdaten gibt es nicht; die 6 Monate sind ein Praxiswert, den Sie mit Ihrem Datenschutzbeauftragten festlegen.

Startzeitpunkt richtig bestimmen

Legen Sie den Startzeitpunkt je Klasse eindeutig fest:

Bereich	Startzeitpunkt
Buchhaltung / Belege	Schluss des Kalenderjahrs der Entstehung bzw. letzten Eintragung
Vertragsdaten	Vertragsende bzw. letzter Kontakt
Bewerber	Abschluss des Bewerbungsverfahrens / Absage
Beschäftigte	Ende des Beschäftigungsverhältnisses

Verifizieren: Jede Löschklasse hat eine Regellöschfrist, einen Startzeitpunkt und eine konkrete Rechtsgrundlage; der Datenschutzbeauftragte hat den Fristenkatalog abgezeichnet.

Schritt 4: Umsetzungsvorgaben festlegen (inkl. Backups)

Legen Sie für jede Löschklasse fest, in welchem System gelöscht wird, ob das automatisiert oder manuell geschieht und wie Backups und Archive behandelt werden.

Automatisiert vs. manuell: Wo die Fachanwendung Löschroutinen oder Aufbewahrungsregeln bietet, nutzen Sie sie; das ist zuverlässiger als manuelle Erinnerungen. Für Daten ohne automatische Löschung legen Sie einen festen Turnus fest (z. B. jährliche manuelle Prüfung) mit klarer Zuständigkeit.

Backups und Archive sind der kritischste Punkt. Ein produktiv gelöschter Datensatz lebt im Backup weiter und kehrt bei einer Wiederherstellung zurück. Damit die Löschpflicht trotzdem erfüllt ist, brauchen Sie ein Löschregister und folgende organisatorische Regel:

Backup-Restore-Regel
--------------------
1. Datensatz im produktiven System löschen.
2. Datensatz-ID + Löschdatum ins Löschregister eintragen.
3. Nach JEDER Wiederherstellung aus einem Backup:
   a) Wiederhergestellte Daten mit dem Löschregister abgleichen.
   b) Zwischenzeitlich gelöschte Datensätze umgehend erneut löschen.
   c) Nachlöschvorgang protokollieren.

Ist eine gezielte Einzellöschung im Backup technisch unmöglich, dokumentieren Sie das und nutzen Sie das Backup ausschließlich für die Notfall-Wiederherstellung (faktische Sperre). Beziehen Sie die Auftragsverarbeiter nach Art. 28 DSGVO ein: Cloud-Dienste und externe Dienstleister müssen Ihre Löschvorgaben vertraglich und technisch mit umsetzen.

Vorlage: Löschklassen-Tabelle

Pflegen Sie diese Struktur als zentrale Tabelle des Konzepts:

Datenart	Löschklasse	Rechtsgrundlage / Aufbewahrung	Regellöschfrist	Startzeitpunkt	System/Speicherort (inkl. Backup/Archiv)	Löschmethode	Verantwortlich	Letzte Prüfung
Buchungsbeleg	B	§ 147 AO / 8 J.	8 Jahre	Jahresende	ERP, Beleg-Archiv, Backup	automatisiert	Buchhaltung	2026-01
Vertragsdaten	D	Praxiswert (§§ 195, 199 BGB) / 3 J.	3 Jahre	Vertragsende	CRM, Backup	manuell (jährl.)	Vertrieb	2026-01
Bewerberdaten	E	Praxiswert (§ 15 AGG, § 61b ArbGG) / 6 Mon.	6 Monate	Absage	Recruiting-Tool, Postfach	manuell	HR	2026-01

Verifizieren: Die Löschklassen-Tabelle ist für jede Datenart vollständig ausgefüllt, einschließlich Backup/Archiv und Löschmethode; ein Probe-Restore mit anschließendem Abgleich gegen das Löschregister ist dokumentiert.

Schritt 5: Verantwortlichkeiten festlegen

Weisen Sie jeder Umsetzungsvorgabe eine verantwortliche Funktion zu, keine namentliche Person (z. B. Buchhaltung, HR, IT-Administration); so bleibt das Konzept bei Personalwechsel gültig.

Fachabteilung: kennt Zweck und Inhalt der Daten, entscheidet über fachliche Löschfreigabe.
IT-Administration: setzt automatisierte Löschungen technisch um und steuert Backups/Restores.
Datenschutzbeauftragter: prüft Konzept und Fristen, berät bei Zweifelsfällen, kontrolliert stichprobenhaft.
Geschäftsführung: trägt die Gesamtverantwortung und gibt das Konzept verbindlich frei.

Halten Sie zusätzlich fest, wer Löschungen freigibt und wer sie kontrolliert. Dieses Vier-Augen-Prinzip schützt vor versehentlichem Löschen noch benötigter Daten.

Verifizieren: Jede Zeile der Löschklassen-Tabelle nennt eine verantwortliche Funktion, und die Geschäftsführung hat das Konzept schriftlich freigegeben.

Schritt 6: Löschungen protokollieren und nachweisen

Sie müssen Löschungen auch nachweisen können. Nach Art. 5 Abs. 2 DSGVO müssen Sie die Einhaltung der Grundsätze, also auch der Speicherbegrenzung, nachweisen können. Ein Protokoll der Löschungen ist dafür der praktikable Weg. Protokollieren Sie mindestens: was gelöscht wurde, wann, durch wen, warum (Rechtsgrundlage bzw. abgelaufene Frist) und wie (Methode/System).

Vorlage: Löschprotokoll

Datum/Uhrzeit	Datenart / Datensatz-ID	Betroffene Person (bei Art. 17)	Rechtsgrundlage / abgelaufene Frist	Löschmethode / System	Backup berücksichtigt	Durchgeführt von	Freigabe/Kontrolle
2026-01-15 09:20	Buchungsbelege 2017	—	§ 147 AO, 8 J. abgelaufen	ERP-Löschlauf	ja (Register)	Buchhaltung	DSB
2026-02-03 14:05	Kunde-ID 48213	Antrag Art. 17	Zweck entfallen	CRM manuell	ja (Register)	Vertrieb	Teamleitung

Bei Anträgen auf Löschung nach Art. 17 DSGVO (Recht auf Vergessenwerden) nutzen Sie dasselbe Protokoll und ergänzen die betroffene Person. So weisen Sie gegenüber Aufsichtsbehörde und Betroffenen nach, dass Sie dem Antrag nachgekommen sind.

Verifizieren: Für eine Stichprobe fälliger Löschungen finden Sie je einen Protokolleintrag mit Datum, Datenart, Grund, Methode, Ausführendem und Freigabe.

Schritt 7: Review-Zyklus etablieren

Ein Löschkonzept ist kein einmaliges Dokument. Prüfen und versionieren Sie es mindestens jährlich sowie bei jeder relevanten Rechtsänderung. Beispiele: die Fristverkürzung für Buchungsbelege zum 01.01.2025 und die Ablösung der DIN 66398 im September 2025.

Neue Datenarten und Systeme erfassen (z. B. neu eingeführte Cloud-Tools).
Fristenkatalog gegen aktuelle Gesetzeslage abgleichen.
Stichproben: Wurden fällige Löschungen tatsächlich ausgeführt und protokolliert?
Norm-Verweis und Versionsnummer im Dokument aktualisieren.

Verifizieren: Das Konzept trägt ein Prüfdatum, das höchstens zwölf Monate zurückliegt, eine Versionsnummer und einen Termin für die nächste Prüfung.

Typische Fehler

Backups vergessen: Ohne Löschregister und Nachlöschung kehren gelöschte Daten beim Restore zurück.
Pauschal 10 Jahre aufheben: Wer alles vorsorglich behält, verstößt gegen die Speicherbegrenzung. Für Buchungsbelege gelten seit 2025 8 statt 10 Jahre.
Auftragsverarbeiter ignoriert: Löschvorgaben müssen auch bei Cloud und externen Dienstleistern greifen – vertraglich und technisch durchsetzbar.

Häufige Fragen

Schreibt die DSGVO konkrete Löschfristen vor?

Nein. Sie verlangt nur Speicherbegrenzung nach Art. 5 Abs. 1 lit. e. Die konkreten Fristen ergeben sich aus der Erforderlichkeit und den Aufbewahrungspflichten aus HGB, AO, EStG und weiteren Gesetzen.

Gilt die DIN 66398 noch?

Nein, sie wurde im September 2025 zurückgezogen und durch die DIN EN ISO/IEC 27555:2025-09 ersetzt (siehe Hintergrund). Das Vorgehen bleibt gleich.

Wie gehe ich mit Daten in Backups um?

Mit Löschregister und Nachlöschung nach jedem Restore, wie in Schritt 4 beschrieben. Ist eine Einzellöschung im Backup technisch unmöglich, dokumentieren Sie das und nutzen das Backup nur für Notfälle.

Wie lange dürfen Bewerberdaten aufbewahrt werden?

Als Faustregel sechs Monate nach Zugang der Absage (Herleitung aus § 15 Abs. 4 AGG und § 61b Abs. 1 ArbGG siehe Schritt 3). Für einen Talentpool holen Sie in der Regel eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ein, die Sie nach Art. 7 Abs. 1 DSGVO nachweisen können müssen.

Was passiert bei einem Verstoß?

Verstöße gegen Art. 5 DSGVO sind nach Art. 83 Abs. 5 lit. a mit bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes bußgeldbewehrt; maßgeblich ist der höhere Wert.

Reicht ein Löschkonzept ohne Protokoll?

In der Regel nicht. Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung nachweisen können. Ohne Löschprotokoll fehlt Ihnen dieser Nachweis, auch wenn korrekt gelöscht wurde.

Fazit

Ein DSGVO-Löschkonzept entsteht in sieben Schritten: Datenarten aus dem Verzeichnis nach Art. 30 ableiten, zu Löschklassen bündeln, Löschregeln aus Frist und Startzeitpunkt bilden, Umsetzung samt Backups festlegen, Verantwortliche benennen, jede Löschung protokollieren und das Konzept jährlich prüfen. Die Norm liefert die Methodik, die Fristen ergeben sich aus den Gesetzen.

Weiterführende Anleitungen und Quellen

Ein Löschkonzept ist Teil Ihrer technisch-organisatorischen Maßnahmen. Wie Sie diese rund um Auftragsverarbeiter strukturieren, zeigt die Anleitung zu DSGVO-TOMs und Auftragsverarbeitung in der Praxis. Weitere Beiträge zu Datenschutz und IT-Sicherheit finden Sie in der Kategorie Sicherheit.

Verwendete Quellen: die Begleitseite zur Norm (din-66398.de), § 147 AO, § 257 HGB, § 15 AGG und § 61b ArbGG, § 41 EStG, Art. 97 § 19a EGAO und die DSGVO (Verordnung (EU) 2016/679). Dieser Beitrag ist keine Rechtsberatung.