Was ist ein Löschkonzept?
Wie lange liegen die Bewerbungen vom letzten Jahr noch in deinem Postfach? Und die Kontaktanfragen von 2021 im CRM? Wenn du das nicht sofort beantworten kannst, fehlt dir ein Löschkonzept.
Ein Löschkonzept ist ein schriftliches Regelwerk. Es legt für jede Art personenbezogener Daten fest, wann sie gelöscht werden, ab wann die Frist läuft und wer sich darum kümmert. Die Datenschutzkonferenz, das Gremium der deutschen Aufsichtsbehörden, schreibt in ihrem Standard-Datenschutzmodell: Löschfristen müssen schriftlich festgelegt werden.
Ist ein Löschkonzept Pflicht?
Ehrlich: Das Wort steht in keinem Gesetz. Die Pflicht ergibt sich aber aus vier Stellen der DSGVO:
- Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Daten nur so lange personenbezogen speichern, wie der Zweck es erfordert.
- Rechenschaftspflicht (Art. 5 Abs. 2): Du musst nachweisen können, dass du dich daran hältst.
- Löschpflicht (Art. 17 Abs. 1 lit. a): Daten, die für den Zweck nicht mehr nötig sind, unverzüglich löschen — auch ohne Antrag.
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30): Es soll, wenn möglich, die Löschfristen nennen.
Lies das so: Ohne Löschkonzept kannst du kaum belegen, dass du die Speicherbegrenzung einhältst. Verstöße gegen die Grundsätze aus Art. 5 können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes kosten, je nachdem, was höher ist.
Was gehört hinein?
Die frühere Norm DIN 66398, inzwischen ersetzt durch DIN EN ISO/IEC 27555 von 2025, und das Standard-Datenschutzmodell der Behörden geben die Bausteine vor:
- Datenarten: Gruppen gleicher Daten, etwa Newsletter-Kontakte, Bewerbungen, Rechnungen.
- Löschregel je Datenart: Frist plus Startzeitpunkt, also das Ereignis, ab dem die Frist läuft.
- Löschklassen: Kombinationen aus Startzeitpunkt und Frist, damit nicht jede Datenart eine eigene Regel braucht.
- Umsetzung je System: CRM, Newsletter-Tool, Postfach, Analytics, Backups.
- Zuständigkeit: Wer prüft, wer ordnet an, wer löscht.
- Protokoll: Löschungen dokumentieren — ohne die gelöschten Inhalte.
Unterlage
Aufbewahrung
Bücher, Abschlüsse
10 Jahre
Buchungsbelege
8 Jahre
Geschäftsbriefe
6 Jahre
Diese Fristen aus § 147 Abgabenordnung und § 257 Handelsgesetzbuch gehen der Löschung vor. Sie beginnen jeweils mit dem Schluss des Kalenderjahres. Für Kreditinstitute und Versicherer gelten bei Belegen weiter 10 Jahre.
Beispiele aus dem Marketing
Zwei Löschregeln, wie sie in deinem Konzept stehen könnten. Die Fristen stützen sich auf Behördenangaben.
Case A · Newsletter
Abmelder aus dem Verteiler
sofort
Versand stoppen
3 Jahre
Nachweis behalten
Start: Widerruf · Frist: 3 Jahre
Laut Datenschutzkonferenz musst du die Einwilligung auch nach dem Widerruf noch nachweisen können, innerhalb der Regelverjährung von drei Jahren.
Case B · Bewerbung
Absage auf eine Marketing-Stelle
2 Monate
Frist nach AGG
6 Monate
Höchstdauer Behörde
Start: Absage · Frist: 6 Monate
Der Bayerische Landesbeauftragte für den Datenschutz löscht abgelehnte Bewerbungen selbst spätestens sechs Monate nach der Absage. Für einen Talentpool brauchst du eine Einwilligung.
Für Kontaktanfragen ohne Auftrag gibt es keine gesetzliche Frist. Du legst sie selbst fest, begründest sie und schreibst sie auf. Wird aus der Anfrage ein Auftrag, greifen die Fristen für Geschäftsbriefe und Belege.
Häufige Fehler
Fehler 1 · Nur im Hauptsystem löschen
Der Kontakt ist aus dem CRM raus, steckt aber noch in einer Excel-Liste, im Postfach und im Backup. Laut Standard-Datenschutzmodell gilt die Löschpflicht auch für Sicherungen. Dort darf sie beim planmäßigen Überschreiben passieren — nach einer Rücksicherung musst du sofort neu löschen.
Fehler 2 · Fristen ohne Startzeitpunkt
„Sechs Jahre“ allein hilft nicht. Sechs Jahre ab wann? Ab Anfrage, ab Vertragsende, ab Jahresende? Ohne Startzeitpunkt kann niemand eine Löschung auslösen.
Fehler 3 · Aufbewahrungspflicht zu weit auslegen
Die Steuerfrist gilt für Belege und Geschäftsbriefe, nicht für Tracking-Daten oder die ganze Kundenhistorie. Was nur wegen einer Frist bleibt, wird nach § 35 BDSG eingeschränkt statt gelöscht — gespeichert, aber nicht mehr genutzt.
Fehler 4 · Konzept ohne Löschlauf
Genau das wurde Deutsche Wohnen zum Verhängnis. Das Landgericht Berlin I setzte am 9. Juni 2026 eine Geldbuße von 900.000 Euro fest: Das IT-System war nicht rechtzeitig angepasst, Daten früherer Mieter wurden nicht fristgerecht gelöscht. Das Urteil ist noch nicht rechtskräftig. Ursprünglich hatte die Berliner Aufsicht 2019 rund 14,5 Millionen Euro verhängt.
So fängst du an
- Inventur: Liste alle Orte auf, an denen personenbezogene Daten liegen. Postfach und Tabellen nicht vergessen.
- Datenarten bilden: Fünf bis zehn Gruppen reichen für die meisten KMU.
- Regeln festlegen: Je Gruppe Frist, Startzeitpunkt und Grund.
- Automatisieren: Die Behörden empfehlen, Fristen über Zeitstempel automatisch zu überwachen. CRM-Workflows oder eine n8n-Automation nehmen dir das ab.
- Einmal im Jahr prüfen: Neue Tools, neue Daten, neue Regeln.
Häufige Fragen
Ist ein Löschkonzept auch für Solo-Selbstständige Pflicht?
Das Wort steht in keinem Gesetz. Aber auch Solo-Selbstständige müssen die Speicherbegrenzung einhalten und nachweisen können. Ein schlankes Löschkonzept ist dafür der einfachste Weg. Das ist keine Rechtsberatung.
Wie lange darf ich Bewerbungen nach einer Absage aufheben?
Eine gesetzliche Frist gibt es nicht. Aufsichtsbehörden halten höchstens sechs Monate nach der Absage für angemessen. Länger nur mit Einwilligung, etwa für einen Talentpool.
Muss ich Daten auch in Backups löschen?
Ja, grundsätzlich schon. Laut Standard-Datenschutzmodell darf die Löschung dort beim planmäßigen Überschreiben passieren. Nach einer Rücksicherung musst du sofort erneut löschen.
Welche Aufbewahrungsfristen gehen der Löschung vor?
Vor allem die aus Abgabenordnung und Handelsgesetzbuch: 10 Jahre für Bücher und Abschlüsse, 8 Jahre für Buchungsbelege, 6 Jahre für Geschäftsbriefe, jeweils ab Ende des Kalenderjahres.
Was droht, wenn ich nicht lösche?
Bei Verstößen gegen die Grundsätze der DSGVO bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Deutsche Wohnen bekam vom Landgericht Berlin I 900.000 Euro, noch nicht rechtskräftig.
Quellen
- Datenschutzkonferenz: SDM-Baustein Löschen und Vernichten
- Datenschutz-Grundverordnung (EUR-Lex)
- § 147 Abgabenordnung
- § 257 Handelsgesetzbuch
- § 35 Bundesdatenschutzgesetz
- Landgericht Berlin I: Pressemitteilung zu Deutsche Wohnen
- Datenschutzkonferenz: Orientierungshilfe Direktwerbung
- Bayerischer Landesbeauftragter für den Datenschutz: Hinweise für Bewerber
- § 15 Allgemeines Gleichbehandlungsgesetz
