Ein Löschkonzept, das ohne Datenschutzbeauftragten funktioniert

Art. 5 Abs. 1 lit. e DSGVO verlangt, dass personenbezogene Daten nur so lange in einer Form gespeichert werden, die die Identifizierung ermöglicht, wie es für den Zweck erforderlich ist. Das ist der Grundsatz der Speicherbegrenzung, und er ist die einzige Datenschutzpflicht, die von selbst verletzt wird: Wer nichts tut, verletzt sie mit jedem Tag ein Stück mehr.

Dazu kommt Art. 5 Abs. 2, die Rechenschaftspflicht. Du musst die Einhaltung nicht nur schaffen, sondern auch nachweisen können. Beides zusammen ergibt genau das, was ein Löschkonzept ist: eine schriftliche Antwort auf die Frage, wann welche Daten warum verschwinden. Der folgende Aufbau ist eine Orientierung — welche Fristen in Deinem Markt gelten und wie sie sich im Einzelfall überlagern, klären die zuständige Aufsichtsbehörde, die Steuerberatung oder eine Rechtsberatung.

In den meisten kleinen Betrieben gibt es eine faktische Löschregel, sie ist nur nirgends aufgeschrieben: gelöscht wird, wenn ein System wechselt, wenn ein Ordner zu voll wird oder wenn jemand ausdrücklich darum bittet. Alle drei Auslöser haben dasselbe Problem — sie haben nichts mit dem Zweck der Daten zu tun.

Der Zweck ist die einzige Uhr, die die Verordnung kennt. Art. 17 Abs. 1 lit. a formuliert es als Löschpflicht: Sind die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig, sind sie unverzüglich zu löschen. Diese Pflicht besteht unabhängig davon, ob jemand danach fragt. Das Recht auf Löschung ist die Kehrseite, nicht die Voraussetzung.

Genau deshalb ist ein Löschkonzept kein Formalismus, sondern eine Entlastung. Es beantwortet einmal, was sonst bei jedem Einzelfall neu diskutiert wird, und es lässt sich vorzeigen. Eine Seite genügt. Sie hat vier Spalten und pro Datenart eine Zeile.

Was nicht hineingehört: Meinungen darüber, wie lange „man das so macht“. Jede Zeile braucht einen Grund, und der Grund ist entweder ein Zweck, den Du benennen kannst, oder eine Pflicht, die jemand nachschlagen kann.

So sieht die Seite aus. Die Beispielzeilen passen auf einen Dienstleistungsbetrieb; die Fristen der zweiten Gruppe hängen vom nationalen Steuer- und Handelsrecht ab und stehen hier bewusst ohne Zahl.

Die dritte Spalte macht die Arbeit, die vierte macht den Unterschied. Eine Uhr ohne Auslöser läuft nie los: „drei Jahre“ ist erst dann eine Regel, wenn dabeisteht, ab wann. Und der Auslöser muss ein Ereignis sein, das in Deinen Daten sichtbar ist — der letzte Termin steht im Kalender, das Ende einer Geschäftsbeziehung dagegen nirgends. Deshalb ist „letzter Termin plus Frist“ die praktikablere Formulierung.

Jemand bittet um Löschung. Die Kundenkartei kannst Du löschen — die Rechnungen nicht, denn für sie läuft eine steuer- oder handelsrechtliche Aufbewahrungsfrist. Was nun?

Die Verordnung hat diesen Fall vorgesehen. Art. 17 Abs. 3 lit. b nimmt Verarbeitungen aus der Löschpflicht aus, soweit sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind, der Du unterliegst. Lit. e nimmt zusätzlich aus, was zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen gebraucht wird. Die Antwort lautet also nicht „geht nicht“, sondern: für diesen einen Zweck bleibt es, für alle anderen nicht.

Der praktische Name dafür ist Einschränkung der Verarbeitung. Art. 4 Nr. 3 definiert sie als Markierung gespeicherter Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken. Erwägungsgrund 67 nennt die Wege: Übertragung in ein anderes System, Sperrung für Nutzende, vorübergehende Entfernung von einer Website — und die Anforderung, dass die Einschränkung im System unmissverständlich erkennbar ist.

Für Deinen Betrieb heißt das konkret: Der Datensatz verlässt die aktive Kartei. Er taucht nicht mehr in der Terminsuche auf, nicht im Newsletter, nicht in der Statistik. Er liegt im Rechnungsarchiv, zugänglich für die Buchhaltung und für den Fall einer Prüfung, und wird gelöscht, sobald die Frist abgelaufen ist. Diese Trennung ist der Kern eines funktionierenden Löschkonzepts.

Davon zu unterscheiden ist Art. 18 DSGVO: Dort hat die betroffene Person selbst das Recht, in vier benannten Fällen eine Einschränkung zu verlangen — etwa während geprüft wird, ob bestrittene Daten richtig sind. Das ist ein Recht der anderen Seite, kein Ersatz für Deine eigene Löschpflicht. Beides benutzt dieselbe technische Maßnahme aus unterschiedlichem Anlass.

Eine Löschung, die nur die Hauptdatenbank erreicht, ist keine. Vier Orte werden regelmäßig übersehen:

1. Papier. Aufnahmebögen, Zettel am Empfang, ausgedruckte Terminlisten. Sie unterliegen denselben Regeln und brauchen einen eigenen Auslöser.
2. Kopien in Nebensystemen. Die Newsletter-Liste, die Tabelle für die Weihnachtskarten, der Export, den jemand einmal für eine Auswertung gezogen hat.
3. Backups. Sie lassen sich nicht sinnvoll einzeln bereinigen. Der übliche Weg: Die Löschung wirkt sofort im Produktivsystem, das Backup fällt durch seinen eigenen Aufbewahrungszyklus heraus, und dieser Zyklus ist im Konzept benannt.
4. Dienstleister. Wer für Dich verarbeitet, muss die Löschung mitvollziehen. Art. 28 Abs. 3 lit. g verlangt genau das im Vertrag: nach Ende der Leistung löschen oder zurückgeben, samt vorhandener Kopien.

Ein Wort zur Anonymisierung, weil sie oft als Ausweg genannt wird. Wenn ein Datensatz so verändert wird, dass sich keine Person mehr zuordnen lässt, ist es kein personenbezogenes Datum mehr — die Verordnung greift nicht mehr, und Auswertungen bleiben möglich. Das ist ein sauberer Weg für Statistiken. Er verlangt aber echte Nichtzuordenbarkeit; ein entfernter Nachname bei erhaltener Kundennummer ist Pseudonymisierung (Art. 4 Nr. 5) und bleibt personenbezogen.

Wo Rechnungen ohnehin systemseitig archiviert werden, erledigt sich Punkt drei der Liste fast von selbst — die Werkstatt-Software etwa trennt Auftrag und Rechnungsarchiv, statt beides in derselben Ansicht zu halten.

Ein Löschkonzept, das nur existiert, ist ein Dokument. Ein Löschkonzept, das läuft, braucht drei Dinge — und keines davon ist aufwendig.

Einen Termin. Einmal im Jahr, am besten gekoppelt an einen Vorgang, der ohnehin stattfindet. Eine Stunde genügt: Zeilen durchgehen, fällige Datenarten löschen, das Datum notieren. Dieses Datum ist Dein Nachweis nach Art. 5 Abs. 2.

Eine Zuständigkeit. Eine benannte Person, nicht „das Team“. In einem Betrieb mit fünf Leuten ist das meist die Person, die auch die Software verwaltet.

Eine Regel für Neuzugänge. Jede neue Datenart bekommt beim Anlegen eine Zeile im Konzept — nicht später. Das ist der Punkt, an dem Konzepte veralten: nicht durch Fehler, sondern durch neue Felder, die niemand nachgetragen hat.

Wo Deine Software Fristen selbst kennt, nimm sie. Automatische Löschung ist der Regel überlegen, an die sich jemand erinnern muss. Wo sie fehlt, ist die jährliche Stunde der ehrliche Ersatz — deutlich besser als der Vorsatz, „laufend aufzuräumen“, den in der Praxis niemand einlöst.