Löschkonzept nach DSGVO erstellen: Muster, Fristen und Löschregeln in der Praxis

Was ist ein Löschkonzept nach DSGVO?

Ein Löschkonzept nach der DSGVO ist ein unternehmensinternes Regelwerk, das systematisch festlegt, wie personenbezogene Daten gelöscht werden, sobald deren Verarbeitung nicht mehr erforderlich oder zulässig ist. Es dient der praktischen Umsetzung der datenschutzrechtlichen Löschpflichten gemäß Art. 17 DSGVO und dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO.

Zweck und rechtliche Grundlage:

• Art. 17 DSGVO verpflichtet zur Löschung personenbezogener Daten, wenn der Zweck der Verarbeitung entfällt oder andere Löschgründe wie zum Beispiel der Widerruf einer Einwilligung vorliegen.
• Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung) fordert, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.
• Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) verlangt, dass Verantwortliche die Einhaltung der DSGVO nachweisen können, wozu auch ein dokumentiertes Löschkonzept beiträgt.

Wie erstellt man ein Löschkonzept?

Ein praxisgerechtes Löschkonzept nach DSGVO besteht aus mehreren strukturierten Komponenten, die systematisch aufeinander aufbauen. Die DIN EN ISO/IEC 27555 (vormals DIN 66398) dient unter anderem als etablierte Leitlinie für die Entwicklung solcher Konzepte.

1. Dateninventur und Kategorisierung

Zunächst erfolgt eine vollständige Erfassung aller personenbezogenen Daten im Unternehmen. Diese werden in Datenarten (zum Beispiel Kundendaten, Mitarbeiterdaten) unterteilt und zu Löschklassen zusammengefasst, die gemeinsame Löschregeln und Fristen teilen.

2. Festlegung von Löschfristen und Startzeitpunkten

Für jede Löschklasse werden spezifische Löschfristen definiert, basierend auf gesetzlichen Aufbewahrungspflichten (zum Beispiel HGB, AO) oder internen Richtlinien. Den Startzeitpunkt der Frist, etwa das Vertragsende oder den letzten Kontakt, bestimmen Sie klar.

3. Definition von Löschregeln und Umsetzungsmaßnahmen

Sie legen konkrete Löschregeln für jede Löschklasse fest, einschließlich der Methoden zur sicheren Datenlöschung (zum Beispiel Überschreiben, Schreddern, Anonymisierung) und unter Berücksichtigung verschiedener Datenträger, digital wie physisch. Die Verantwortlichkeiten für die Implementierung und Überwachung des Löschkonzepts weisen Sie klar zu.

4. Integration in das Datenschutzmanagement

Das Löschkonzept wird in das bestehende Datenschutzmanagementsystem integriert, insbesondere in das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO. Dies gewährleistet eine konsistente Anwendung und erleichtert die Nachweisführung gegenüber Aufsichtsbehörden.

5. Dokumentation und Nachweisführung

Alle Löschvorgänge werden dokumentiert, einschließlich Zeitpunkt, Art der Löschung und verantwortlicher Person. Diese Protokolle dienen der Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO und ermöglichen eine transparente Nachverfolgung.

6. Regelmäßige Überprüfung und Aktualisierung

Das Löschkonzept wird regelmäßig überprüft und bei Bedarf aktualisiert, um Veränderungen in gesetzlichen Anforderungen oder internen Prozessen Rechnung zu tragen. Dies stellt sicher, dass das Konzept stets aktuell und wirksam bleibt.

Diese sechs Schritte ergeben zusammen die inhaltliche Basis für ein Löschkonzept, das sich direkt in eine Dokumentvorlage übertragen lässt.

So ist ein Löschkonzept aufgebaut: Muster-Gliederung zum Übernehmen

Ein Löschkonzept lässt sich als Dokument in sieben Kapiteln aufbauen, die den zuvor beschriebenen Schritten folgen. Diese Gliederung können Sie direkt als Vorlage für Ihr eigenes Löschkonzept übernehmen, ohne bei null anzufangen.

1. Geltungsbereich und Ziele: Für welche Unternehmensbereiche, Systeme und Datenarten das Löschkonzept gilt und welches Schutzniveau es sicherstellen soll.
2. Dateninventur und Datenarten: Vollständige Auflistung aller personenbezogenen Datenarten im Unternehmen, sortiert nach Herkunft und Verarbeitungszweck.
3. Löschklassen mit Fristen und Startzeitpunkten: Zusammenfassung der Datenarten nach ISO/IEC 27555 zu Löschklassen mit einheitlicher Frist und einheitlichem Startzeitpunkt.
4. Löschregeln und technische Umsetzung: Konkrete Regeln je Löschklasse, inklusive der Löschmethode für digitale und physische Datenträger.
5. Verantwortlichkeiten: Klare Zuweisung, wer die Löschung durchführt, wer sie überwacht und wer bei Ausnahmen entscheidet.
6. Einbindung ins Datenschutzmanagement: Verknüpfung mit dem Verzeichnis von Verarbeitungstätigkeiten und weiteren Bausteinen des Datenschutzmanagementsystems.
7. Dokumentation, Nachweis und Überprüfung: Protokollierung durchgeführter Löschvorgänge sowie ein fester Turnus zur Aktualisierung des Konzepts.

Wie sich diese Struktur mit konkreten Werten füllen lässt, zeigt ein Beispiel-Eintrag aus der bestehenden Fristenübersicht dieses Artikels:

Mit dieser Gliederung und passenden Löschklassen-Beispielen wie diesem steht die dokumentarische Basis für ein prüfungsfestes Löschkonzept, das sich an einer anerkannten Norm orientiert.

Was ist die ISO/IEC 27555 (vormals DIN 66398)?

Die DIN EN ISO/IEC 27555:2025-09 trägt den Titel „Information security, cybersecurity and privacy protection – Guidelines on personally identifiable information deletion" und legt eine strukturierte Vorgehensweise zur Erstellung eines Löschkonzepts fest, das den Anforderungen der Datenschutz-Grundverordnung entspricht. Sie hat im September 2025 die bisherige DIN 66398:2016-05 abgelöst, die offiziell zurückgezogen wurde. Methodisch übernimmt die neue Norm die Vorgehensweise der DIN 66398 nahezu unverändert, sodass bestehende Löschkonzepte nach DIN 66398 nicht neu entwickelt, sondern in der Regel nur begrifflich angepasst werden müssen.

Kernbestandteile der ISO/IEC 27555

1. Datenarten: Definition von Gruppen von Datenobjekten, die zu einem einheitlichen Zweck verarbeitet werden.
2. Löschklassen: Zusammenfassung von Datenarten mit identischen Löschfristen und Startzeitpunkten.
3. Löschregeln: Festlegung von Regeln für jede Löschklasse, die die Löschfrist und den Startzeitpunkt definieren.
4. Umsetzungsvorgaben: Konkrete Anweisungen zur technischen und organisatorischen Umsetzung der Löschregeln.
5. Verantwortlichkeiten: Bestimmung der Zuständigkeiten für die Erstellung, Pflege und Umsetzung des Löschkonzepts.
6. Dokumentation: Empfehlung einer Struktur zur Dokumentation des Löschkonzepts und der durchgeführten Löschvorgänge.

Beispiel eines Eintrags nach ISO/IEC 27555

Wann müssen personenbezogene Daten gelöscht werden?

Eine Löschung der personenbezogenen Daten der betroffenen Personen hat zu erfolgen, sofern

• die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind (Art. 17 Abs. 1 lit. a DSGVO),
• die Einwilligung in die Datenverarbeitung widerrufen wurde und es an einer anderen Rechtsgrundlage zur Verarbeitung fehlt (Art. 17 Abs. 1 lit. b DSGVO),
• die betroffene Person Widerspruch gegen die Verarbeitung eingelegt hat (Art. 17 Abs. 1 lit. c DSGVO),
• die Verarbeitung unrechtmäßig war (Art. 17 Abs. 1 lit. d DSGVO),
• die Löschung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung nach Unionsrecht oder Recht des Mitgliedstaats erforderlich ist (Art. 17 Abs. 1 lit. e DSGVO), oder
• die personenbezogenen Daten in Bezug auf angebotene Dienste einer Informationsgesellschaft gemäß Art. 8 Abs. 1 DSGVO erhoben wurden (Art. 17 Abs. 1 lit. f DSGVO).

Beispiel: Ein Kunde erteilt einem Unternehmen die Einwilligung, seine E-Mail-Adresse zum Versenden von Newslettern zu nutzen. Er hat allerdings jederzeit das Recht, diese Einwilligung mit Wirkung für die Zukunft zu widerrufen. Im Falle eines Widerrufs entfällt die Rechtsgrundlage für die Verarbeitung und Speicherung der personenbezogenen Daten (Art. 17 Abs. 1 lit. b DSGVO), und das Unternehmen muss die E-Mail-Adresse löschen. Entsprechendes gilt, wenn von vornherein keine Einwilligung zum Newsletterversand vorlag (Art. 17 Abs. 1 lit. d DSGVO).

Ausnahmen nach Art. 17 Abs. 3 DSGVO

Gemäß Art. 17 Abs. 3 DSGVO bestehen Ausnahmen vom Recht auf Löschung personenbezogener Daten. Diese Ausnahmen gelten, wenn die Verarbeitung aus bestimmten Gründen weiterhin erforderlich ist. Die DSGVO nennt folgende Ausnahmen:

• Ausübung des Rechts auf freie Meinungsäußerung und Information
• Erfüllung einer rechtlichen Verpflichtung oder Wahrnehmung einer Aufgabe im öffentlichen Interesse
• Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit
• Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen

Aufbewahrungspflichten und Löschfristen im Überblick

Auch gesetzliche Aufbewahrungsfristen außerhalb der DSGVO können einer Löschung entgegenstehen. Die folgende Übersicht zeigt ausgewählte Löschfristen und Aufbewahrungspflichten:

Was gilt als Löschen?

Der Begriff des Löschens ist in der DSGVO nicht legaldefiniert. Löschen ist in Art. 4 Nr. 2 DSGVO lediglich als eine Form der Datenverarbeitung erwähnt. Es ist abzuleiten, dass „Löschen" das vollständige und irreversible Entfernen personenbezogener Daten bedeutet, sodass eine Wiederherstellung mit vertretbarem Aufwand nicht mehr möglich ist. Dies umfasst sowohl digitale als auch physische Daten.

Technische Umsetzung

• Digitale Daten: Die Löschung erfolgt durch sichere Methoden wie das Überschreiben der Daten mit Zufallswerten oder die physikalische Zerstörung der Speichermedien.
• Physische Daten: Papierakten vernichten Sie mittels Aktenvernichter, wobei sich Schutzklasse und Sicherheitsstufe nach der Datenträgervernichtungsnorm DIN 66399 richten.

Anonymisierung als Alternative

Anstelle der Löschung kann eine Anonymisierung erfolgen, bei der der Personenbezug der Daten dauerhaft entfernt wird. Dies ist jedoch nur zulässig, wenn die Anonymisierung vollständig und irreversibel ist, was sich in der Praxis oft nur schwer umsetzen lässt.

Die EDSA-Leitlinien 02/2026 zur Anonymisierung, angenommen am 7. Juli 2026, konkretisieren diese Anforderung und legen die Hürde höher, als es das EuGH-Urteil zum relativen Personenbezug vom September 2025 (C-413/23 P, EDSB/SRB) zunächst erwarten ließ. Technisch gelten Daten nur dann als anonym, wenn sie weder herausgreifbar noch verknüpfbar sind noch Rückschlüsse auf eine einzelne Person zulassen. Rechtlich bleiben Daten zudem personenbezogen, solange irgendeine „maßgebliche Stelle", worunter auch unbefugte Dritte fallen können, sie mit vertretbarem Aufwand re-identifizieren könnte.

Dass Aufsichtsbehörden diesen strengen Maßstab durchsetzen, zeigt ein Bußgeld der französischen CNIL gegen IQVIA in Höhe von 5 Millionen Euro: Trotz Pseudonymisierung stufte die Behörde die Gesundheitsdaten wegen eindeutiger Identifier und hohem Detailgrad weiterhin als personenbezogen ein. Für Ihr Löschkonzept bedeutet das: Behandeln Sie eine Anonymisierung nur dann als vollwertigen Ersatz für die Löschung, wenn Sie die Anonymität dokumentiert und interdisziplinär geprüft haben, nicht allein anhand einer technischen Einschätzung.

Sperrung als Zwischenlösung

In Fällen, in denen eine sofortige Löschung nicht möglich ist, etwa aufgrund gesetzlicher Aufbewahrungspflichten, sperren Sie die Daten. Das bedeutet, die Daten sind für die weitere Verarbeitung gesperrt und nur noch für den vorgesehenen Zweck zugänglich.

Welche Sanktionen drohen bei Nichteinhaltung des Rechts auf Löschung?

Das Fehlen eines Löschkonzepts und die daraus resultierende unterlassene oder verspätete Löschung personenbezogener Daten stellen Verstöße gegen die Datenschutz-Grundverordnung dar. Dies kann erhebliche Sanktionen nach sich ziehen. Art. 83 Abs. 5 lit. a DSGVO sieht bei Verstößen gegen die Grundsätze der Verarbeitung personenbezogener Daten Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.

Praxisbeispiele für Sanktionen

• Hamburg, 2024: Ein Unternehmen aus dem Forderungsmanagement speicherte personenbezogene Daten trotz abgelaufener Löschfristen bis zu fünf Jahre lang. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit verhängte ein Bußgeld von 900.000 Euro.
• Berlin, 2019: Gegen die Deutsche Wohnen SE wurde ein Bußgeld von 14,5 Millionen Euro verhängt, da das eingesetzte Archivsystem technisch nicht in der Lage war, nicht mehr erforderliche Daten zu löschen. Die Daten wurden ohne Prüfung der Zulässigkeit gespeichert.

Was muss bei Auftragsverarbeitung im Löschkonzept berücksichtigt werden?

Gemäß Art. 4 Nr. 7 DSGVO müssen Sie als Verantwortlicher sicherstellen, dass personenbezogene Daten rechtzeitig gelöscht werden. Diese Pflicht erstreckt sich auch auf Daten, die durch Auftragsverarbeiter verarbeitet werden. Das bedeutet, Sie müssen dafür sorgen, dass auch bei Dienstleistern eine fristgerechte Löschung erfolgt.

Nach Art. 28 Abs. 3 Satz 2 lit. g DSGVO ist der Auftragsverarbeiter verpflichtet, nach Abschluss der Verarbeitungsleistungen alle personenbezogenen Daten entweder zu löschen oder zurückzugeben, sofern keine gesetzliche Verpflichtung zur Speicherung besteht. Diese Verpflichtung sollte im Auftragsverarbeitungsvertrag klar geregelt sein.

Verstößt der Auftragsverarbeiter gegen die Löschpflichten, können Sie als Verantwortlicher grundsätzlich gemäß Art. 82 Abs. 1 DSGVO haftbar gemacht werden. Prüfen Sie deshalb regelmäßig, ob Ihre Auftragsverarbeiter die Löschpflichten ordnungsgemäß erfüllen.

So unterstützen wir Sie bei Ihrem Löschkonzept

Ein durchdachtes Löschkonzept ist unerlässlich für die DSGVO-konforme Datenverarbeitung. Als spezialisierte Datenschutzberatung unterstützen wir Sie praxisnah und rechtssicher bei der Konzeption, Umsetzung und Kontrolle.

Unsere Leistungen im Überblick:

• Analyse und Kategorisierung aller relevanten personenbezogenen Daten
• Entwicklung individueller Löschregeln gemäß ISO/IEC 27555
• Ableitung und Dokumentation gesetzlicher Aufbewahrungs- und Löschfristen
• Erstellung eines unternehmensspezifischen Löschkonzepts inklusive Löschklassen
• Unterstützung bei der Einbindung in das Datenschutzmanagementsystem (zum Beispiel VVT, TOMs)
• Überprüfung und Optimierung bestehender Prozesse zur Datenlöschung
• Entwicklung technischer und organisatorischer Löschmaßnahmen
• Beratung zur Löschung in Backup- und Archivsystemen
• Vertragsprüfung und Kontrolle bei Auftragsverarbeitern (Art. 28 DSGVO)
• Schulung und Sensibilisierung der Mitarbeitenden
• Regelmäßige Reviews und Aktualisierung des Löschkonzepts
• Begleitung bei behördlichen Prüfungen und Auskunftsverlangen

Wir begleiten Sie von der Risikoanalyse bis zur erfolgreichen Umsetzung, rechtssicher, transparent und praxisorientiert.

Fazit: Löschkonzept nach DSGVO – mit System zur Rechtssicherheit

Ein Löschkonzept nach DSGVO ist kein einmaliges Dokument, sondern ein laufender Prozess aus Dateninventur, Löschklassen und dokumentierten Löschregeln. Die ISO/IEC 27555 (vormals DIN 66398) gibt dafür eine anerkannte Struktur vor, die sich direkt in eine eigene Vorlage übertragen lässt. Wer die gesetzlichen Aufbewahrungsfristen kennt, die Löschregeln konkret formuliert und Löschvorgänge nachvollziehbar dokumentiert, senkt das Risiko von Bußgeldern erheblich und behält gleichzeitig den Überblick über die eigenen Datenbestände.

Häufig gestellte Fragen

Ist ein Löschkonzept nach der DSGVO gesetzlich vorgeschrieben?

Die DSGVO schreibt kein Löschkonzept als eigenständiges Dokument wörtlich vor, verlangt aber über Art. 5 Abs. 2 DSGVO den Nachweis, dass personenbezogene Daten nicht länger als nötig gespeichert werden. Ein dokumentiertes Löschkonzept ist der praktikabelste Weg, diese Rechenschaftspflicht zu erfüllen und Löschfristen unternehmensweit einheitlich umzusetzen.

Was ist der Unterschied zwischen Löschen und Anonymisieren?

Löschen entfernt personenbezogene Daten vollständig und irreversibel, sodass keine Wiederherstellung mehr möglich ist. Anonymisieren entfernt stattdessen dauerhaft den Personenbezug der Daten, während die Daten selbst erhalten bleiben. Anonymisierung ist nur dann eine zulässige Alternative zur Löschung, wenn sie vollständig und nicht umkehrbar erfolgt.

Was regelt die ISO/IEC 27555 konkret?

Die DIN EN ISO/IEC 27555 legt eine Methodik fest, mit der Unternehmen Datenarten zu Löschklassen mit einheitlicher Löschfrist und einheitlichem Startzeitpunkt zusammenfassen. Aus dieser Klassifizierung leiten sich konkrete Löschregeln, technische Umsetzungsvorgaben und Verantwortlichkeiten ab, die zusammen das Löschkonzept bilden. Die Norm hat im September 2025 die bisherige DIN 66398 abgelöst, folgt methodisch aber weiterhin deren Vorgehensweise.

Wie lange dürfen personenbezogene Daten gespeichert werden?

Personenbezogene Daten dürfen laut Art. 5 Abs. 1 lit. e DSGVO nur so lange gespeichert werden, wie es der jeweilige Verarbeitungszweck erfordert. Zusätzliche gesetzliche Aufbewahrungspflichten, etwa aus dem Handels- oder Steuerrecht, können diesen Zeitraum verlängern und stehen einer sofortigen Löschung dann entgegen.

Was passiert, wenn ein Unternehmen kein Löschkonzept hat?

Ohne Löschkonzept fehlt in der Regel der Nachweis, dass personenbezogene Daten fristgerecht gelöscht werden, was Aufsichtsbehörden als Verstoß gegen die Grundsätze der Datenverarbeitung werten können. Nach Art. 83 Abs. 5 lit. a DSGVO drohen dafür Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes.