DSGVO-Löschpflichten und Backups: Praxis-Leitfaden für Admins

Die DSGVO verpflichtet Unternehmen, personenbezogene Daten zu löschen, sobald der Verarbeitungszweck entfällt oder die betroffene Person ein Löschverlangen nach Art. 17 stellt. In der Praxis kollidiert das mit Backups und Logfiles: Werden die Daten dort gelöscht? Wie schnell? Welche Fristen gelten? Dieser Leitfaden erklärt die Rechtslage, zeigt typische Stolperfallen und liefert ein konkretes Löschkonzept für Administratoren.

Rechtslage: Drei Artikel, die jedes Backup betreffen

Die wichtigsten DSGVO-Normen für Administratoren im Überblick:

Flankiert wird die Löschpflicht vom Grundsatz der Speicherbegrenzung nach Art. 5 DSGVO: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es der Verarbeitungszweck erfordert. Ist der Zweck entfallen, müssen sie gelöscht oder anonymisiert werden.

Muss das Backup gelöscht werden?

Die kurze Antwort: Ja, grundsätzlich schon. Die DSGVO kennt keine Backup-Ausnahme. Auch Sicherungskopien unterliegen der Löschpflicht, sobald die Aufbewahrungsfrist abgelaufen ist oder ein Betroffener die Löschung verlangt hat.

In der Praxis ist die sofortige Entfernung aus jeder Backup-Generation technisch nicht immer machbar. Die DSGVO verlangt aber, dass die Daten „unverzüglich" aus allen „realistisch beherrschbaren Datenorten" verschwinden. Was das bedeutet, hat die Datenschutzkonferenz (DSK) in ihren Auslegungen konkretisiert:

1. Aktives Produktivsystem: Löschung muss sofort erfolgen, spätestens innerhalb eines Monats nach Anfrage.
2. Backup-System: Daten müssen innerhalb einer vertretbaren Frist aus dem normalen Backup-Zyklus verschwinden. Gängige Praxis: spätestens nach der nächsten regulären Backup-Rotation.
3. Archivierte Offline-Backups: Wenn die Wiederherstellung mit unverhältnismäßigem Aufwand verbunden wäre, kann eine längere Frist gelten. Viele Datenschutzbehörden akzeptieren hier Zeiträume zwischen 14 Tagen und mehreren Monaten.

Wichtig: Sie müssen die Daten nicht aus jedem einzelnen historischen Backup-Stand löschen. Sie müssen aber dokumentieren, dass die Daten ab einem bestimmten Zeitpunkt nicht mehr produktiv wiederhergestellt werden können.

Logfiles: ein Sonderfall

Logfiles enthalten oft personenbezogene Daten: IP-Adressen, Benutzernamen, E-Mail-Adressen. Sie unterliegen ebenfalls der DSGVO. Typische Praxis:

Für jeden Log-Typ muss eine Löschregel existieren. Manüll löschen reicht nicht, weil es nicht nachweisbar ist. Besser: automatische Rotation mit Logrotate, syslog-TTL oder zentralem SIEM mit definierter Retention.

Aufbewahrungsfristen und Löschfristen

Die DSGVO schreibt keine festen Löschfristen vor. Die Fristen ergeben sich aus dem Verarbeitungszweck und konkurrierenden Aufbewahrungspflichten. Die wichtigsten:

Beispiel: Eine Rechnung vom März 2026 muss bis zum 31.12.2036 aufbewahrt werden, also 10 Jahre ab Ende des Kalenderjahres 2026 (§ 147 Abs. 4 AO).

Wichtig: Aufbewahrungspflichten gehen der Löschpflicht vor. Solange eine gesetzliche Frist läuft, dürfen die Daten gespeichert werden. Erst danach müssen sie gelöscht werden.

Das Löschkonzept in der Praxis

Die DSGVO schreibt kein Löschkonzept als eigenständiges Dokument vor. Sie verlangt aber, dass Sie nachweisen können, dass Löschungen tatsächlich und vollständig erfolgen. Genau das ist ein Löschkonzept.

Schritt 1: Datenarten katalogisieren

Listen Sie alle Datenarten auf, die in Ihrem Unternehmen verarbeitet werden. Pro Datenart:

1. Speicherort (Datenbank, Fileserver, Cloud)
2. Verarbeitungszweck
3. Rechtsgrundlage (Vertrag, Einwilligung, gesetzliche Pflicht)
4. Aufbewahrungsfrist
5. Verantwortlicher

Schritt 2: Löschklassen festlegen

Fassen Sie Datenarten zu Löschklassen zusammen. Beispiel für ein KMU:

Schritt 3: technische Umsetzung

Setzen Sie die Löschung technisch um. Vier Wege, je nach System:

1. Datenbanken: geplante SQL-Jobs (MySQL EVENT Scheduler, PostgreSQL pgAgent, MS SQL Server Agent) löschen Datensätze, deren Löschklasse abgelaufen ist — pro Tabelle ein DELETE FROM … WHERE created_at < NOW() - INTERVAL … mit gesetztem Index auf der Zeit-Spalte. Was Sie dafür brauchen: einen Scheduler (Dienst, der den Job zur festen Uhrzeit startet), eine Lösch-Log-Tabelle (speichert wann und wie viele Zeilen gelöscht wurden, sonst kein Nachweis nach Art. 32 DSGVO) und eine Teststrategie (erst SELECT mit gleichem WHERE laufen lassen, Anzahl prüfen, dann löschen).
2. Fileserver: Skripte, die nach last_accessed-Datum filtern und ältere Dateien verschieben oder löschen.
3. Cloud-Speicher: Object-Lifecycle-Rules (S3, Azure Blob, GCS) mit automatischer Löschung nach Ablauf.
4. Backup-Systeme: kurze Aufbewahrungsfristen setzen (Beispiel: 14 Tage täglich, 13 Wochen wöchentlich, 12 Monate monatlich).

Schritt 4: Backups einbeziehen

Backups sind kein Sonderfall der DSGVO. Drei Strategien:

1. Kurze Backup-Retention: Tägliche Backups nur 7 bis 14 Tage aufheben, dann automatisch löschen. Damit verschwinden gelöschte Daten schnell aus dem normalen Wiederherstellungspfad.
2. Überschreiben statt löschen: Bei inkrementellen Backups reicht es, die inkrementellen Deltas nach Ablauf nicht mehr zu behalten. Alte Vollbackups werden dann automatisch überschrieben.
3. Selektives Wiederherstellen: Definieren Sie einen Prozess für Auskunfts- und Löschanfragen: bei einer Anfrage wird das Produktivsystem gelöscht, und das Backup wird nicht für eine Wiederherstellung des gelöschten Personenbezugs verwendet.

Schritt 5: Dokumentation

Was Sie dokumentieren müssen:

1. Löschkonzept mit Datenarten, Fristen, Verantwortlichen
2. Zeitpunkt jeder Löschung (automatisch oder manüll)
3. Bestätigung der Löschung (Logs, Reports)
4. Begründung, falls eine Löschung technisch nicht möglich war (z. B. Offline-Archiv mit unverhältnismäßigem Aufwand)

Technische Beispiele für Admins

Linux: Logrotate für personenbezogene Logs

Logrotate ist das Standard-Tool auf Debian/Ubuntu/RHEL, um Logdateien täglich zu rotieren, zu komprimieren und nach einer festen Anzahl Tage automatisch zu löschen. Es läuft per Cron, prüft pro Datei ob rotiert werden muss, benennt die alte Datei um (z. B. access.log.1.gz), erstellt eine neue leere Datei und entfernt alles über der rotate-Grenze. Für DSGVO-Logs ist das in 90 % der Fälle ausreichend, weil Sie damit eine harte Obergrenze (14 Tage) ohne eigenes Skript erzwingen.

Was die Direktiven im Block unten bewirken:

Konfiguration als /etc/logrotate.d/apache2-personal (eigene Datei, damit Paket-Updates sie nicht überschreiben):

/var/log/apache2/*access.log {
    daily
    rotate 14
    compress
    delaycompress
    notifempty
    missingok
    create 0640 www-data adm
    sharedscripts
    postrotate
        systemctl reload apache2 > /dev/null 2>/dev/null || true
    endscript
}

Wichtig für die Nachweispflicht: belassen Sie rotate nicht größer als Ihre DSGVO-Löschklasse für personenbezogene Logs (in der Regel 7–30 Tage). Wer rotate 365 setzt, kann sich nicht auf Logrotate als Löschmaßnahme berufen.

MySQL: automatische Löschung alter Datensätze

Cronjob für nächtliche Löschung abgelaufener Datensätze:

DELIMITER //
CREATE EVENT purge_old_records
ON SCHEDULE EVERY 1 DAY STARTS '2026-01-01 02:00:00'
DO
BEGIN
    DELETE FROM user_activity WHERE created_at < NOW() - INTERVAL 2 YEAR;
    DELETE FROM newsletter_subscribers WHERE unsubscribed_at IS NOT NULL AND unsubscribed_at < NOW() - INTERVAL 3 YEAR;
END //
DELIMITER ;

S3: Lifecycle-Policy für personenbezogene Uploads

Bucket-Policy, die Uploads nach 90 Tagen automatisch löscht:

{
  "Rules": [
    {
      "Id": "DeletePersonalData",
      "Status": "Enabled",
      "Prefix": "user-uploads/",
      "Expiration": { "Days": 90 }
    }
  ]
}

Backup: Rotation mit kurzen Fristen

BorgBackup-Beispiel mit gestaffelten Retention-Werten:

# Tägliches Backup, 7 Tage aufbewahren, dann löschen
borg prune --list --keep-daily=7 --keep-weekly=4 --keep-monthly=6 /repo

Sicheres Löschen auf Datenträgern

Normales Löschen entfernt nur die Datei-Verweise, nicht die Daten. Für Datenträger, die ausgesondert werden, ist physische Zerstörung oder mehrfaches Überschreiben Pflicht:

Cloud-Anbieter bieten in der Regel Löschzertifikate an. Fordern Sie diese bei Vertragsende an.

Rechte der Betroffenen: Auskunfts- und Löschanfragen

Jede Person kann von Ihnen verlangen:

1. Auskunft (Art. 15): Welche Daten haben Sie über mich? Antwort innerhalb eines Monats.
2. Berichtigung (Art. 16): Falsche Daten korrigieren.
3. Löschung (Art. 17): Daten entfernen, sofern keine Aufbewahrungspflicht besteht.
4. Einschränkung (Art. 18): Daten nur noch zur Aufbewahrung nutzen, nicht mehr verarbeiten.
5. Datenübertragbarkeit (Art. 20): Daten in maschinenlesbarem Format aushändigen.

Bei Löschanfragen müssen Sie typischerweise prüfen:

1. Ist die Person tatsächlich identifiziert?
2. Gibt es eine Aufbewahrungspflicht (HGB, AO, StGB)?
3. Gibt es andere Gründe für eine Speicherung (laufende Verträge, Rechtsstreit)?

Falls keine Ausnahme greift: löschen Sie alle Daten inklusive Backups, dokumentieren Sie den Vorgang, antworten Sie der betroffenen Person innerhalb eines Monats.

Typische Fehler in der Praxis

1. Backups werden vergessen. Gelöschte Daten im Produktivsystem verschwinden nicht automatisch aus alten Backups. Lösung: kurze Backup-Retention.
2. Logfiles laufen ewig. Ohne Rotation sammeln sich personenbezogene Daten über Jahre. Lösung: Logrotate mit fester Retention.
3. Papier-Akten fehlen im Konzept. Auch physische Unterlagen unterliegen der DSGVO. Lösung: Aktenvernichter mit DIN P-4.
4. Löschung ohne Dokumentation. Wenn Sie nicht nachweisen können, was wann gelöscht wurde, gilt die Löschung als nicht erfolgt. Lösung: Lösch-Logs führen.
5. Cloud-Daten vergessen. Daten in Microsoft 365, Google Workspace oder anderen SaaS-Lösungen müssen ebenfalls gelöscht werden. Lösung: Lifecycle-Policies pro Dienst konfigurieren.
6. Daten in Test-Systemen. Produktionsdaten in Dev- oder Test-Systemen müssen denselben Schutz genießen. Lösung: Test-Systeme regelmäßig mit synthetischen Daten befüllen.

Checkliste: 10 Schritte zum DSGVO-konformen Löschkonzept

1. Verzeichnis der Verarbeitungstätigkeiten (Art. 30) prüfen und ergänzen.
2. Alle Datenarten katalogisieren, inklusive Speicherort und Verantwortlichem.
3. Löschklassen definieren, Fristen pro Datenart festlegen.
4. Automatische Löschjobs einrichten (Datenbanken, Fileserver, Cloud).
5. Logrotate und Retention für alle Logs konfigurieren.
6. Backup-Retention kurz halten, Löschstrategie dokumentieren.
7. Prozess für Auskunfts- und Löschanfragen festlegen (innerhalb eines Monats antworten).
8. Löschvorgänge automatisch protokollieren.
9. Mitarbeiter schulen, insbesondere HR und IT.
10. Löschkonzept jährlich überprüfen und anpassen.

Passende Anleitungen auf S-EDV

1. DSGVO und IT-Sicherheit: Grundlagen für kleine Unternehmen
2. Linux-Server härten: SSH, Fail2ban, Updates
3. 3-2-1-Backup-Strategie für kleine Unternehmen

Quellen

1. Heise online: Recht — DSGVO-Löschpflichten im Clinch mit Backups und Logfiles
2. PLANIT PRIMA: Löschkonzept DSGVO — Praxis-Leitfaden
3. ISMS Lite: Löschkonzept nach DSGVO
4. Proliance: DSGVO Aufbewahrungspflicht und gesetzliche Löschfristen
5. Justitia: DSGVO-Löschfristen — Pflichten und Fristen im Überblick
6. Ratgeber Recht: Löschkonzept DSGVO