DSGVO-Löschpflichten und Backups: Löschkonzept, Fristen und Restore-Prozess für Admins

Die DSGVO verlangt, personenbezogene Daten zu löschen, sobald sie für ihren Zweck nicht mehr nötig sind oder eine betroffene Person die Löschung berechtigt verlangt. Backups sind davon nicht ausgenommen, lassen sich aber meist nicht gezielt bearbeiten, ohne ihre Integrität zu gefährden. Diese Anleitung zeigt Administratoren und Datenschutzverantwortlichen in KMU, wie Sie Aufbewahrungsfristen, Backup-Rotation und Löschanfragen so zusammenbringen, dass Sie gegenüber der Aufsichtsbehörde nachweisen können, was mit gelöschten Daten in Sicherungen passiert. Grundlage sind der Gesetzestext und veröffentlichte Positionen der Aufsichtsbehörden. Stand: 14. Oktober 2026.

Voraussetzungen

Dieser Beitrag ist keine Rechtsberatung. Stimmen Sie Löschkonzept und Fristen mit Ihrem Datenschutzbeauftragten und für steuerliche Fristen mit Ihrer Steuerberatung ab. Sie brauchen:

• Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, das nach Abs. 1 Buchst. f „wenn möglich“ die vorgesehenen Löschfristen enthält.
• Backup-Übersicht: welche Systeme wie oft gesichert werden, mit welchem Werkzeug, wohin und wie lange Sicherungen aufbewahrt werden.
• Zugriff auf die Konfiguration der Backup-Software (Aufbewahrungsregeln, Verschlüsselung, Wiederherstellung) mit Administratorrechten.
• Eine Testumgebung für Wiederherstellungen, die vom Produktivsystem getrennt ist. Ein Rücksichern auf das Produktivsystem ist für diese Übung nicht nötig.
• Ablageort für Löschkonzept und Löschregister, etwa ein Wiki oder eine zugriffsgeschützte Tabelle.

Schritt 1: Rechtsgrundlagen und Fristen festhalten

Die Pflicht ergibt sich aus mehreren Normen, die Sie im Löschkonzept zitieren sollten:

Norm	Inhalt
Art. 5 Abs. 1 Buchst. e DSGVO	Speicherbegrenzung: nur so lange identifizierbar speichern, wie es der Zweck erfordert
Art. 17 Abs. 1 DSGVO	Löschung unverzüglich, etwa wenn der Zweck entfallen ist oder eine Einwilligung widerrufen wurde
Art. 17 Abs. 3 Buchst. b DSGVO	keine Löschung, soweit eine rechtliche Verpflichtung die Aufbewahrung verlangt
Art. 12 Abs. 3 DSGVO	Information über die Maßnahmen innerhalb eines Monats nach Eingang des Antrags, Verlängerung um zwei Monate möglich
Art. 18 DSGVO, § 35 BDSG	Einschränkung der Verarbeitung statt Löschung in bestimmten Fällen, etwa bei vertraglichen Aufbewahrungsfristen (§ 35 Abs. 3 BDSG)
Art. 32 Abs. 1 Buchst. c DSGVO	Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen

Art. 32 verlangt also funktionierende Backups, Art. 17 die Löschung. Beides müssen Sie im Konzept miteinander vereinbaren. Für die häufigsten gesetzlichen Aufbewahrungsfristen gilt seit dem 1. Januar 2025 (Viertes Bürokratieentlastungsgesetz):

Unterlagen	Frist	Rechtsgrundlage
Bücher, Inventare, Jahresabschlüsse, Lageberichte, Eröffnungsbilanz	10 Jahre	§ 147 Abs. 3 AO, § 257 Abs. 4 HGB
Buchungsbelege (zum Beispiel Rechnungen)	8 Jahre	§ 147 Abs. 3 AO, § 257 Abs. 4 HGB
empfangene und abgesandte Handels- und Geschäftsbriefe, sonstige steuerlich relevante Unterlagen	6 Jahre	§ 147 Abs. 3 AO, § 257 Abs. 4 HGB
Lohnkonten	bis Ende des 6. Kalenderjahres nach der letzten Lohnzahlung	§ 41 Abs. 1 Satz 9 EStG

Die Fristen beginnen nach § 147 Abs. 4 AO und § 257 Abs. 5 HGB mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Eine Rechnung vom März 2026 darf also bis zum 31. Dezember 2034 nicht gelöscht werden. Für Kreditinstitute, Versicherungen und Wertpapierinstitute gelten für Buchungsbelege nach § 257 Abs. 4 Satz 2 HGB weiterhin zehn Jahre. Nach § 147 Abs. 3 Satz 5 AO läuft die Frist außerdem nicht ab, solange die Festsetzungsfrist einer Steuer noch offen ist.

Verifizieren: Im Verzeichnis von Verarbeitungstätigkeiten steht für jede Datenkategorie eine Löschfrist mit Rechtsgrundlage und Startzeitpunkt. Keine Buchungsbeleg-Kategorie nennt mehr pauschal zehn Jahre, sofern Sie kein Finanzinstitut sind.

Schritt 2: Backup-Aufbewahrung begrenzen und dokumentieren

Eine gesetzliche Maximaldauer für Backups gibt es nicht. Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) verlangt in seinem 30. Tätigkeitsbericht (Nr. 12.5), dass sich die Löschfrequenz im Backup-System nach dem Schutzbedarf der Daten richtet und in einem Datensicherungskonzept nachgewiesen wird, das Sicherungsverfahren und Generationenprinzip beschreibt. Er verweist dafür auf den BSI-Grundschutzbaustein CON.3 „Datensicherungskonzept“. Laut EDSA-Bericht zur koordinierten Durchsetzungsaktion 2025 konnte eine Aufsichtsbehörde bei Löschverfahren in langen Zeitabständen nicht feststellen, ob Löschanfragen unverzüglich nach Art. 17 Abs. 1 DSGVO umgesetzt werden.

Legen Sie daher je Backup-Satz eine feste Aufbewahrung fest und begründen Sie sie mit dem Wiederherstellungsbedarf, nicht mit „so lange der Speicher reicht“. Die Aufbewahrung konfigurieren Sie in der Backup-Software. Ein Beispiel für restic, das tägliche Sicherungen sieben Tage, wöchentliche vier Wochen und monatliche sechs Monate behält:

restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune
restic snapshots

Dokumentieren Sie die Werte im Datensicherungskonzept, zum Beispiel so:

Backup-Satz: Dateiserver und Datenbank Warenwirtschaft
Verfahren: inkrementell, täglich 22:00, verschlüsselt (AES-256 durch restic)
Aufbewahrung: 7 täglich, 4 wöchentlich, 6 monatlich
Längste Verweildauer eines gelöschten Datensatzes: etwa 6 Monate
Begründung: Wiederherstellung nach unbemerkter Verschlüsselung oder Fehlbedienung
Zugriff: nur Rolle Backup-Admin, Wiederherstellung nur über restic restore
Geprüft: ____  am: ____

Langzeitarchive für die Aufbewahrung nach AO und HGB trennen Sie von Betriebs-Backups. Das Archiv hält die Unterlagen bis zum Fristende, das Backup nur so lange, wie Sie für die Wiederherstellung brauchen.

Verifizieren: Die Snapshot-Liste der Backup-Software zeigt keine Sicherung, die älter ist als die dokumentierte längste Aufbewahrung. Das Datensicherungskonzept nennt für jeden Backup-Satz Aufbewahrung und Begründung.

Schritt 3: Voraussetzungen für die zeitversetzte Löschung schaffen

Nach dem BayLfD darf die Löschung in der Datensicherung nur dann später erfolgen als im Primärsystem, wenn alle fünf Bedingungen erfüllt sind:

1. Technische Unmöglichkeit oder Unzumutbarkeit: Die gleichzeitige Löschung im Backup ist technisch nicht möglich oder im Verhältnis zum Schutzbedarf unverhältnismäßig aufwendig. Das begründen Sie schriftlich.
2. Löschfrequenz nach Schutzbedarf: siehe Schritt 2.
3. Verfügbarkeit nur über die Wiederherstellung: Sicherungen lassen sich nur über die vorgesehene Wiederherstellungsfunktion auslesen, abgesichert insbesondere durch Verschlüsselung (BSI CON.3.A13).
4. Löschung bei Wiederherstellung: Daten, die im Primärsystem bereits aus Datenschutzgründen gelöscht wurden, werden bei einem Restore nicht wiederhergestellt oder sofort danach erneut gelöscht.
5. Dokumentation: Jede Wiederherstellung wird mit Grund und durchgeführter Nachlöschung protokolliert.

Der EDSA sieht es ähnlich: Je nach technischer Ausgestaltung und Risiko ist es nicht immer ratsam, Daten direkt in Backups zu ändern. Verantwortliche sollen dann aber Verfahren haben, um Löschanfragen nachzuverfolgen und auf wiederhergestellten Systemen umzusetzen. Für Daten mit hohem Schutzbedarf beschreibt der Baustein „Löschen und Vernichten“ des Standard-Datenschutzmodells auch ein außerplanmäßiges Bereinigen: Sicherung in ein separates System einspielen, gezielt löschen, neu sichern.

Verifizieren: Ein Versuch, eine Sicherung ohne Schlüssel oder Passwort zu öffnen, scheitert. Das Löschkonzept enthält zu jeder der fünf Bedingungen einen Absatz mit Begründung.

Schritt 4: Löschregister für Anfragen und Fristabläufe führen

Damit Bedingung 4 technisch funktioniert, brauchen Sie eine Liste der gelöschten Datensätze, die selbst keine unnötigen personenbezogenen Daten enthält. Bewährt hat sich ein Register mit internen Kennungen statt Klarnamen:

Nr. | Eingang | Grund (Art. 17 Abs. 1 Buchst. __ / Fristablauf)
System | interne Kennung (Kunden-Nr., Ticket-ID) | gelöscht am | durch
Ausnahme nach Art. 17 Abs. 3 geprüft: ja/nein, Ergebnis
Antwort an betroffene Person am | Backup-Hinweis: enthalten bis ca. ____

Die Zeile „Backup-Hinweis“ ergibt sich aus der längsten Aufbewahrung in Schritt 2. Sie ist zugleich die Information, die Sie der betroffenen Person in der Antwort nach Art. 12 Abs. 3 geben: Die Daten sind im Produktivsystem gelöscht und verbleiben bis spätestens zu einem bestimmten Datum in verschlüsselten Sicherungen, die nicht für die Verarbeitung genutzt werden. Lehnen Sie eine Löschung wegen einer Aufbewahrungspflicht ab, halten Sie die Rechtsgrundlage fest und schränken die Verarbeitung ein.

Verifizieren: Für die letzten drei Löschanfragen existiert je ein Registereintrag mit Datum, Grund, Prüfung der Ausnahmen und Backup-Hinweis. Die Antwort an die betroffene Person ging innerhalb eines Monats hinaus.

Schritt 5: Restore mit Nachlöschung testen

Üben Sie den Ablauf mindestens einmal in einer Testumgebung. So prüfen Sie Wiederherstellbarkeit nach Art. 32 und Nachlöschung nach Art. 17 zugleich:

1. Stellen Sie einen Stand aus der Zeit vor einer Löschung aus dem Register in der Testumgebung wieder her.
2. Gleichen Sie die internen Kennungen aus dem Register gegen den wiederhergestellten Bestand ab.
3. Löschen Sie gefundene Reliktdaten und protokollieren Sie Restore-Grund, Umfang und Nachlöschung.

Für eine SQL-Datenbank kann der Abgleich so aussehen (Tabellen- und Spaltennamen anpassen):

-- Kennungen aus dem Löschregister als Tabelle loeschregister(kunden_nr) importiert
SELECT k.kunden_nr FROM kunden k JOIN loeschregister l ON l.kunden_nr = k.kunden_nr;
DELETE FROM kunden WHERE kunden_nr IN (SELECT kunden_nr FROM loeschregister);

Nehmen Sie den Schritt „Abgleich mit Löschregister“ fest in die Wiederherstellungsanleitung Ihres Notfallhandbuchs auf, damit er im Ernstfall nicht vergessen wird.

Verifizieren: Die erste Abfrage liefert nach der Nachlöschung null Zeilen. Das Restore-Protokoll nennt Grund, Datum, Anzahl nachgelöschter Datensätze und die ausführende Person.

Typische Fehler

• Veraltete Fristen: Buchungsbelege werden noch zehn Jahre aufbewahrt. Seit 2025 gelten acht Jahre, außer für Finanzinstitute.
• Falsche Normen: § 35 SGB I regelt das Sozialgeheimnis und ist keine Aufbewahrungsfrist für Personalakten. § 41 EStG betrifft Lohnkonten, nicht Lohnsteueranmeldungen.
• Backups pauschal ausgenommen: Die DSGVO kennt keine Backup-Ausnahme, und der EDSA beanstandet, dass Verantwortliche Backups ohne Begründung ausnehmen. Es braucht Begründung und Verfahren.
• Unverschlüsselte Sicherungen: Für Bedingung 3 nennt der BayLfD insbesondere kryptografische Verfahren; ohne Verschlüsselung fehlt die wichtigste Schutzmaßnahme.
• Restore ohne Abgleich: Gelöschte Kundendaten tauchen nach einer Wiederherstellung wieder im Newsletter-Verteiler auf.
• Löschregister mit Klarnamen und Anfragetext: Das Register speichert dann mehr, als für den Zweck nötig ist.

Häufige Fragen

Muss ich einzelne Datensätze aus jedem Backup entfernen?

Nicht in jedem Fall sofort. Unter den Bedingungen aus Schritt 3 akzeptiert der BayLfD die Löschung mit dem planmäßigen Ablauf der Sicherung. Bei hohem Schutzbedarf kann ein außerplanmäßiges Bereinigen nötig sein.

Gibt es eine feste Höchstdauer für Backups?

Das Gesetz nennt keine. Die Dauer muss sich am Zweck und Schutzbedarf orientieren und dokumentiert sein.

Gilt das auch für Logfiles?

Ja. Protokolle mit IP-Adressen oder Benutzernamen sind personenbezogen und brauchen eine eigene Löschfrist nach ihrem Zweck, etwa Fehlersuche oder Sicherheitsanalyse. Rotieren Sie sie automatisch, zum Beispiel mit logrotate oder der Aufbewahrungseinstellung von journald.

Was gilt bei Cloud-Backups eines Dienstleisters?

Der Dienstleister ist Auftragsverarbeiter. Regeln Sie Aufbewahrung und Löschung im Vertrag nach Art. 28 DSGVO, siehe TOMs und Auftragsverarbeitung.

Fazit

Die Löschpflicht endet nicht am Produktivsystem. Mit einer begründeten, kurzen Backup-Aufbewahrung, verschlüsselten Sicherungen, einem datensparsamen Löschregister und einem geübten Restore mit Nachlöschung erfüllen Sie die Anforderungen, die Aufsichtsbehörden formuliert haben, ohne die Integrität Ihrer Backups zu gefährden.

Weiterführende Anleitungen und Quellen

• DSGVO-Praxis: TOMs dokumentieren und Auftragsverarbeitung regeln
• Immutable Backups gegen Ransomware mit restic
• IT-Notfallhandbuch nach BSI 200-4 erstellen
• Datenschutz-Grundverordnung (EU) 2016/679 auf EUR-Lex
• § 147 AO: Aufbewahrung von Unterlagen
• § 257 HGB: Aufbewahrungsfristen
• § 35 BDSG: Recht auf Löschung
• BayLfD, 30. Tätigkeitsbericht, Kapitel 12 (Nr. 12.5 Backups)
• EDSA: Bericht zur koordinierten Durchsetzung des Rechts auf Löschung
• Standard-Datenschutzmodell, Baustein 60 „Löschen und Vernichten“