Datenschutz: Wann müssen Daten gelöscht werden?

Warum Datenlöschung mehr ist als digitale Aufräumarbeit

Die Frage nach der Datenlöschung beschäftigt Unternehmen täglich: Wann müssen Bewerbungsunterlagen entsorgt werden? Wie lange dürfen Kundendaten gespeichert bleiben? Was geschieht mit E-Mails ehemaliger Mitarbeiter?

Die DSGVO hat die Löschung personenbezogener Daten von einer gelegentlichen Aufräumaktion zu einer rechtlichen Kernpflicht gemacht. Unternehmen, die ihre Löschpflichten missachten, riskieren nicht nur Bußgelder, sondern auch Vertrauensverlust bei Kunden und Geschäftspartnern.

Gleichzeitig stehen Unternehmen vor einem Dilemma: Während das Datenschutzrecht zur Löschung drängt, verlangen andere Gesetze die Aufbewahrung derselben Daten. Diese Spannung zwischen Löschpflicht und Aufbewahrungspflicht gehört zu den komplexesten Herausforderungen im Datenschutzalltag.

Rechtliche Grundlagen: Die Löschpflicht nach Art. 17 DSGVO

Das Recht auf Löschung – häufig als „Recht auf Vergessenwerden“ bezeichnet – ist in Art. 17 DSGVO geregelt. Diese Vorschrift verpflichtet Unternehmen unter bestimmten Voraussetzungen zur unverzüglichen Löschung personenbezogener Daten.

Die sechs Löschgründe der DSGVO

Zweckerreichung: Wenn die Daten für den ursprünglichen Verarbeitungszweck nicht mehr erforderlich sind, entfällt die Grundlage für ihre Speicherung. 

Widerruf der Einwilligung: Beruhte die Verarbeitung ausschließlich auf einer Einwilligung und wird diese widerrufen, müssen die Daten gelöscht werden – vorausgesetzt, es existiert keine andere Rechtsgrundlage für die weitere Speicherung.

Widerspruch: Widerspricht eine betroffene Person der Verarbeitung ihrer Daten und liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, greift die Löschpflicht.

Unrechtmäßige Verarbeitung: Wurden Daten von Anfang an rechtswidrig verarbeitet, müssen sie gelöscht werden. Dies betrifft etwa Daten, die ohne jede Rechtsgrundlage erhoben wurden.

Rechtliche Verpflichtung: Wenn eine spezifische Rechtsnorm die Löschung vorschreibt, muss dieser Pflicht nachgekommen werden.

Daten von Kindern: Wurden Daten von Kindern im Zusammenhang mit Diensten der Informationsgesellschaft unrechtmäßig erhoben, besteht eine besondere Löschpflicht.

Ausnahmen von der Löschpflicht

Die DSGVO sieht in Art. 17 Abs. 3 wichtige Ausnahmen vor, die einer Löschung entgegenstehen können:

Die Ausübung des Rechts auf freie Meinungsäußerung und Information, die Erfüllung rechtlicher Verpflichtungen, die Wahrnehmung von Aufgaben im öffentlichen Interesse, die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen sowie Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit können eine weitere Speicherung rechtfertigen.

Besonders relevant für Unternehmen ist die Ausnahme für die Geltendmachung von Rechtsansprüchen: Solange rechtliche Auseinandersetzungen möglich oder anhängig sind, dürfen relevante Daten aufbewahrt werden.

Speicherdauer: Die Grundregel der Zweckbindung

Die zentrale Maxime für die Speicherdauer ergibt sich aus dem Grundsatz der Speicherbegrenzung in Art. 5 Abs. 1 lit. e DSGVO: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.

Zweckerreichung als Löschauslöser

Die Zweckerreichung markiert den entscheidenden Zeitpunkt: Sobald der Grund für die Datenerhebung entfallen ist, beginnt die Löschpflicht. Bei einem abgeschlossenen Kaufvertrag ist der Zweck mit der vollständigen Vertragsabwicklung und dem Ablauf etwaiger Gewährleistungsfristen grundsätzlich erreicht.

Kritisch wird es, wenn Unternehmen Daten „auf Vorrat“ speichern. Die bloße Möglichkeit, dass Daten irgendwann noch einmal nützlich sein könnten, reicht nicht aus. Es bedarf konkreter, nachvollziehbarer Gründe für die weitere Speicherung.

Berechtigte Interessen als Aufbewahrungsgrund

Art. 6 DSGVO erlaubt die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen. Dies kann auch die Aufbewahrung über die unmittelbare Zweckerreichung hinaus rechtfertigen – etwa zur Beweissicherung für mögliche Rechtsstreitigkeiten.

Allerdings muss stets eine Interessenabwägung erfolgen: Die Interessen des Unternehmens dürfen nicht die Rechte und Freiheiten der betroffenen Person überwiegen. Mit zunehmendem Zeitablauf wird diese Rechtfertigung schwächer.

Viele Unternehmen orientieren sich an der zivilrechtlichen Verjährung: Die regelmäßige Verjährungsfrist von drei Jahren (§ 195 BGB) bietet einen praktikablen Orientierungsrahmen, ist aber keine automatische Rechtfertigung für die Datenspeicherung über diesen Zeitraum.

Konflikt zwischen Löschpflicht und Aufbewahrungspflicht

Eine der größten Herausforderungen in der Praxis entsteht durch den Konflikt zwischen datenschutzrechtlicher Löschpflicht und gesetzlichen Aufbewahrungspflichten aus anderen Rechtsbereichen.

Steuerrechtliche Aufbewahrungsfristen

Die Abgabenordnung (AO) schreibt umfassende Aufbewahrungspflichten vor. Bücher und Aufzeichnungen, Inventare, Jahresabschlüsse und Lageberichte müssen zehn Jahre aufbewahrt werden. Empfangene Handels- oder Geschäftsbriefe und Wiedergaben abgesandter Handelsbriefe unterliegen einer sechsjährigen Aufbewahrungsfrist.

Diese Unterlagen enthalten häufig personenbezogene Daten – etwa von Kunden, Lieferanten oder Mitarbeitern. 

Handelsrechtliche Aufbewahrungsfristen

Das HGB enthält vergleichbare Regelungen. Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Lageberichte und Konzernabschlüsse müssen zehn Jahre aufbewahrt werden. Für empfangene Handelsbriefe und Wiedergaben abgesandter Handelsbriefe gilt eine Frist von sechs Jahren. Die handelsrechtlichen Fristen laufen parallel zu den steuerrechtlichen und führen in der Regel zum gleichen Ergebnis.

Weitere Aufbewahrungspflichten

Je nach Branche können zusätzliche Aufbewahrungspflichten bestehen: Im Arbeitsrecht etwa für Arbeitszeitnachweise, im Produkthaftungsrecht für technische Dokumentationen oder im Sozialversicherungsrecht für Meldungen und Beitragsnachweise.

Medizinische Dokumentationen unterliegen besonderen Aufbewahrungsfristen nach Landesrecht und Berufsordnungen – teilweise bis zu 30 Jahre.

Praktische Lösung: Einschränkung der Verarbeitung

Wenn eine Aufbewahrungspflicht der Löschung entgegensteht, der ursprüngliche Verarbeitungszweck aber weggefallen ist, bietet sich die Einschränkung der Verarbeitung nach Art. 18 DSGVO an.

Die Daten werden dann nicht gelöscht, aber auch nicht mehr aktiv genutzt. Sie werden quasi „eingefroren“ und nur noch für den Aufbewahrungszweck gespeichert. Technisch lässt sich dies durch Verschiebung in separate Archivierungssysteme mit eingeschränkten Zugriffsrechten umsetzen.

Falls Sie Unterstützung bei der Entwicklung eines rechtssicheren Löschkonzepts benötigen, das Aufbewahrungspflichten und Datenschutzanforderungen in Einklang bringt, stehe ich Ihnen gerne zur Verfügung.

Typische Fallkonstellationen in der Unternehmenspraxis

Die Löschpflichten stellen sich in verschiedenen Unternehmensbereichen unterschiedlich dar. Ich erläutere die wichtigsten Konstellationen:

Bewerbungsunterlagen

Bewerbungsunterlagen müssen nach Abschluss des Bewerbungsverfahrens grundsätzlich unverzüglich gelöscht werden. 

Eine längere Aufbewahrung ist nur mit ausdrücklicher Einwilligung des Bewerbers zulässig – etwa für künftige Stellenausschreibungen. Diese Einwilligung muss freiwillig, konkret und dokumentiert sein. Zudem ist eine zeitlich befristete Aufbewahrung zur eventuellen Verteidigung gegen AGG-Klagen empfohlen.

Kundendaten

Bei Kundendaten endet der primäre Verarbeitungszweck mit vollständiger Vertragsabwicklung. Allerdings können verschiedene Gründe eine weitere Speicherung rechtfertigen:

Gewährleistungs- und Garantieansprüche rechtfertigen eine Speicherung bis zum Ablauf der Verjährungsfristen. Für Marketingzwecke dürfen Kundendaten nur mit separater Einwilligung oder auf Basis berechtigter Interessen gespeichert werden – wobei letzteres bei Bestandskunden unter engen Voraussetzungen möglich ist.

E-Mail-Kommunikation

E-Mails stellen eine besondere Herausforderung dar: Geschäftliche E-Mails unterliegen oft den handels- und steuerrechtlichen Aufbewahrungsfristen, wenn sie Geschäftsbriefe oder aufbewahrungspflichtige Dokumente enthalten oder als solche angesehen werden.

Private E-Mails von Mitarbeitern sollten sich in geschäftlich genutzten Mailkonten gar nicht erst finden lassen. Hier empfiehlt sich ein Verbot über eine Richtlinie zu erwirken.

Protokolldaten und Logfiles

Protokolldaten, die aus IT-Sicherheitsgründen erstellt werden, dürfen nur so lange gespeichert werden, wie es für den Sicherheitszweck erforderlich ist. Üblich sind Fristen zwischen wenigen Tagen und drei Monaten.

Werden Protokolldaten zur Aufklärung von Sicherheitsvorfällen benötigt, dürfen sie länger gespeichert werden – aber auch hier gilt: nur so lange wie nötig.

Praktische Tipps für die Umsetzung

Die rechtskonforme Umsetzung von Löschpflichten erfordert systematisches Vorgehen. Folgende Schritte haben sich in der Praxis bewährt:

Erstellung eines Löschkonzepts

Entwickeln Sie ein unternehmensweites Löschkonzept, das alle Verarbeitungstätigkeiten erfasst. Dieses Konzept sollte für jede Datenart festlegen: Zweck der Verarbeitung, Rechtsgrundlage, Speicherdauer, Löschkriterien und Verantwortlichkeiten.

Ein strukturiertes Löschkonzept schafft Rechtssicherheit und erleichtert den Nachweis der Rechtmäßigkeit gegenüber Aufsichtsbehörden.

Integration in das Verzeichnis von Verarbeitungstätigkeiten

Das Löschkonzept sollte im Verzeichnis der Verarbeitungstätigkeiten dokumentiert sein. Für jede Verarbeitungstätigkeit sind die Löschfristen anzugeben. Dies ermöglicht eine übersichtliche Dokumentation und erleichtert die regelmäßige Überprüfung und Aktualisierung.

Technische Umsetzung

Moderne Softwaresysteme bieten oft Funktionen für automatisierte Löschungen. Nutzen Sie diese Möglichkeiten, um manuelle Prozesse zu minimieren und Fehlerquellen zu reduzieren.

Implementieren Sie Status-Kennzeichnungen für Daten, deren Löschfrist abläuft, aber die noch aufgrund gesetzlicher Verpflichtungen aufbewahrt werden müssen. Diese Daten sollten für die normale Verarbeitung gesperrt sein.

Regelmäßige Überprüfung

Etablieren Sie einen regelmäßigen Überprüfungsprozess – mindestens jährlich. Prüfen Sie dabei: Sind die festgelegten Löschfristen noch angemessen? Wurden Löschungen tatsächlich durchgeführt? Gibt es neue gesetzliche Anforderungen?

Schulung der Mitarbeiter

Sensibilisieren Sie Ihre Mitarbeiter für die Bedeutung der Datenlöschung. Oft scheitert die Umsetzung nicht an fehlenden Konzepten, sondern an mangelndem Bewusstsein in der Belegschaft.

Klären Sie über die rechtlichen Pflichten auf und schaffen Sie Verständnis dafür, warum Datenlöschung keine lästige Bürokratie, sondern eine rechtliche Notwendigkeit ist.

Checkliste: Rechtssichere Datenlöschung in 10 Schritten

1. Bestandsaufnahme durchführen: Erfassen Sie alle Datenarten, die in Ihrem Unternehmen verarbeitet werden, und identifizieren Sie, wo personenbezogene Daten gespeichert sind.
2. Verarbeitungszwecke definieren: Bestimmen Sie für jede Datenart den konkreten Verarbeitungszweck und die zugehörige Rechtsgrundlage.
3. Speicherfristen festlegen: Legen Sie für jede Datenart fest, wie lange sie gespeichert werden dürfen – unter Berücksichtigung von Aufbewahrungspflichten und berechtigten Interessen.
4. Löschkonzept entwickeln: Erstellen Sie ein schriftliches Löschkonzept, das alle Löschfristen, Verantwortlichkeiten und Prozesse dokumentiert.
5. Technische Löschprozesse implementieren: Richten Sie automatisierte Löschprozesse ein, wo immer möglich, und definieren Sie manuelle Prozesse für Ausnahmefälle.
6. Archivierungssysteme einrichten: Schaffen Sie separate Speicherbereiche für Daten, die aufgrund gesetzlicher Pflichten aufbewahrt werden müssen, aber nicht mehr aktiv verarbeitet werden dürfen.
7. Verantwortlichkeiten klären: Benennen Sie konkrete Personen, die für die Durchführung von Löschungen verantwortlich sind, und etablieren Sie Kontrollmechanismen.
8. Mitarbeiter schulen: Sensibilisieren Sie Ihre Belegschaft für die Bedeutung der Datenlöschung und die konkreten Pflichten in ihrem Arbeitsbereich.
9. Dokumentation sicherstellen: Halten Sie durchgeführte Löschungen nachweisbar fest – etwa durch Löschprotokolle oder regelmäßige Berichte.
10. Regelmäßige Überprüfung etablieren: Führen Sie mindestens jährlich eine Überprüfung Ihres Löschkonzepts durch und passen Sie es bei Bedarf an neue rechtliche oder technische Entwicklungen an.

Datenlöschung als Qualitätsmerkmal

Die systematische Umsetzung von Löschpflichten ist weit mehr als eine lästige Compliance-Aufgabe. Unternehmen, die ihre Löschprozesse professionell gestalten, profitieren mehrfach:

Sie minimieren rechtliche Risiken und vermeiden Bußgelder. Sie verbessern ihre Datenqualität, da veraltete und irrelevante Informationen regelmäßig entfernt werden. Sie schaffen Vertrauen bei Kunden und Geschäftspartnern, die sehen, dass mit ihren Daten verantwortungsvoll umgegangen wird. Und sie optimieren ihre IT-Ressourcen, da weniger Daten gespeichert und gesichert werden müssen.

Die rechtlichen Anforderungen sind komplex – insbesondere im Spannungsfeld zwischen Löschpflichten und Aufbewahrungsfristen. Doch mit einem strukturierten Ansatz und klaren Prozessen lassen sich diese Herausforderungen bewältigen.

Als erfahrener Datenschutzbeauftragter unterstütze ich Unternehmen dabei, praxistaugliche Löschkonzepte zu entwickeln, die den rechtlichen Anforderungen gerecht werden und gleichzeitig im Unternehmensalltag umsetzbar sind. Mein Ansatz verbindet juristische Expertise mit technischem Verständnis und berücksichtigt stets die individuellen Bedürfnisse Ihres Unternehmens.

Investieren Sie in ein professionelles Löschkonzept – es zahlt sich in Rechtssicherheit, Effizienz und Vertrauen aus.

Häufig gestellte Fragen