Löschkonzept DSGVO: Pflicht, Fristen & Umsetzung

Ein Kunde ruft an, weil ein früherer Bewerber die Löschung „aller Daten" verlangt. Ein anderer hat den Newsletter abbestellt und fragt sich, warum er drei Wochen später wieder eine Mail bekommt. Und in deinem eigenen Backup schlummern noch die Kontaktformular-Einträge eines Projekts, das seit zwei Jahren offline ist. Drei alltägliche Situationen, ein gemeinsamer Nenner: Irgendwo müssen personenbezogene Daten gelöscht werden – und niemand weiß so genau, wo überall und bis wann.

Genau diese Lücke schließt ein Löschkonzept. Es ist das unscheinbare Gegenstück zum Auskunftsrecht: Während bei einem Auskunftsersuchen nach Art. 15 DSGVO jemand aktiv nachfragt, verlangt die Löschpflicht, dass du auch ohne Anfrage aufräumst. Für kleine Agenturen, die für viele Kunden Formulare, Newsletter-Tools und Datenbanken betreuen, ist das kein Papiertiger, sondern eine konkrete Betriebsaufgabe. Dieser Beitrag zeigt dir, was die DSGVO wirklich verlangt, welche Fristen gelten, warum du 2025 umdenken musst und wie ein praxistaugliches Löschkonzept aussieht. Das ist eine journalistische Einordnung, keine Rechtsberatung.

Löschkonzept DSGVO: Warum es viele Kunden brauchen

Die Pflicht zum Löschen hat zwei Wurzeln, und beide werden oft übersehen. Die erste ist das Prinzip der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO: Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die eine Identifizierung erlaubt, wie es für den Zweck der Verarbeitung nötig ist. Das ist eine Dauerpflicht, die unabhängig davon gilt, ob jemand einen Antrag stellt. Wer Daten sammelt und nie wieder anfasst, verstößt schon dagegen.

Die zweite Wurzel ist das Recht auf Löschung aus Art. 17 DSGVO, umgangssprachlich das „Recht auf Vergessenwerden". Es greift unter anderem, wenn die Daten für ihren ursprünglichen Zweck nicht mehr benötigt werden, wenn eine erteilte Einwilligung widerrufen wird und keine andere Rechtsgrundlage bleibt, wenn die betroffene Person nach Art. 21 der Verarbeitung widerspricht, wenn Daten unrechtmäßig verarbeitet wurden oder wenn eine rechtliche Löschpflicht besteht. In der Agentur-Praxis ist der häufigste Auslöser der schlichte Zweckentfall: Das Projekt ist beendet, der Bewerber wurde nicht eingestellt, der Interessent hat nie gekauft.

Für deine Kunden ist das riskant, weil sie meist gar nicht wissen, wo ihre Daten liegen. Sie liegen im WordPress-Formular-Plugin, im Newsletter-Dienst, in der Kundendatenbank, in den Server-Logs, im E-Mail-Postfach und in jedem Backup. Und weil du diese Systeme aufgebaut hast und betreust, bist du oft die einzige Instanz, die überhaupt sagen kann, wo überall gelöscht werden muss. Das ist Verantwortung – und zugleich der Beleg, wie wertvoll deine Betreuung ist.

Die Falle: Löschen ist nicht immer erlaubt

Das größte Missverständnis lautet: „Kunde will Löschung, also lösche ich alles." Das kann sogar rechtswidrig sein. Denn Art. 17 Abs. 3 DSGVO kennt Ausnahmen, und die wichtigste für den Geschäftsalltag ist die gesetzliche Aufbewahrungspflicht. Eine Rechnung, die aus steuer- und handelsrechtlichen Gründen aufbewahrt werden muss, darfst du nicht löschen, nur weil der Kunde das wünscht.

Der saubere Weg heißt deshalb nicht „löschen oder behalten", sondern oft „einschränken". Daten, die wegen einer Aufbewahrungsfrist nicht gelöscht werden dürfen, aber für den laufenden Betrieb nicht mehr gebraucht werden, werden nach Art. 18 DSGVO in ihrer Verarbeitung eingeschränkt – früher sprach man von Sperren. Sie werden also aus dem aktiven Zugriff genommen und erst gelöscht, wenn die Frist abgelaufen ist. Wer diesen Unterschied nicht kennt, produziert entweder Datenschutzverstöße oder verletzt Aufbewahrungspflichten. Beides ist vermeidbar.

Die anderen Ausnahmen in Art. 17 Abs. 3 sind seltener, aber wichtig zu kennen: Daten dürfen behalten werden, soweit sie zur Ausübung der Meinungs- und Informationsfreiheit, zur Erfüllung einer rechtlichen Verpflichtung, im öffentlichen Interesse oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind. Der letzte Punkt erklärt, warum ein Unternehmen Daten aus einem laufenden Streit nicht einfach löschen muss.

Fristen 2025: Was sich gerade geändert hat

Wer ein Löschkonzept aufsetzt, muss die gesetzlichen Aufbewahrungsfristen kennen, denn sie geben vor, wann eine Löschung frühestens erfolgen darf. Und genau hier hat sich zum 1. Januar 2025 etwas Grundlegendes verändert. Das Vierte Bürokratieentlastungsgesetz hat die Aufbewahrungsfrist für Buchungsbelege von zehn auf acht Jahre verkürzt. Die neuen Regelungen finden sich in § 147 Abs. 1 Nr. 4 in Verbindung mit Abs. 3 der Abgabenordnung und in § 257 Abs. 1 Nr. 4 in Verbindung mit Abs. 4 des Handelsgesetzbuchs. Betroffen sind vor allem Rechnungen und Kostenbelege, deren zehnjährige Frist am 1. Januar 2025 noch nicht abgelaufen war.

Wichtig ist die Abgrenzung, denn nicht alles wurde kürzer. Weiterhin zehn Jahre gelten für Jahresabschlüsse, Handelsbücher, Inventare, Bilanzen und die zugehörigen Organisationsunterlagen. Bei sechs Jahren bleiben Geschäfts- und Handelsbriefe, soweit sie keine Buchungsbelege sind, etwa Lieferscheine. Der Fristbeginn ist dabei nicht das Rechnungsdatum, sondern der Ablauf des Kalenderjahres, in dem die letzte Eintragung erfolgte oder das Dokument entstand.

Für dich heißt das zweierlei. Erstens ist jedes Löschkonzept, das noch pauschal von „zehn Jahren für Belege" ausgeht, seit 2025 veraltet und muss überarbeitet werden. Zweitens ist genau diese Aktualisierung eine konkrete, abrechenbare Leistung, die du deinen Kunden anbieten kannst – so wie wir es beim 72-Stunden-Notfallplan für Datenpannen für den Ernstfall beschrieben haben, gilt hier für den Normalbetrieb.

Ein Löschkonzept, das funktioniert: die DIN 66398

Du musst das Rad nicht neu erfinden. Für die Struktur eines Löschkonzepts gibt es seit Mai 2016 eine anerkannte Norm: die DIN 66398 mit dem sperrigen, aber präzisen Titel „Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten". Sie liefert kein fertiges Konzept, aber ein bewährtes Denkmodell, das den Aufsichtsbehörden vertraut ist.

Der Grundgedanke ist bestechend einfach. Statt jedes einzelne Datenfeld einzeln zu betrachten, fasst die Norm Daten zu Datenarten zusammen und ordnet ihnen Löschklassen zu. Jede Löschklasse besteht aus zwei Bausteinen: einer Regellöschfrist – wie lange die Daten aufbewahrt werden – und einem Startzeitpunkt, ab dem diese Frist zu laufen beginnt. Bewerberdaten etwa gehören in eine andere Klasse als Rechnungen, und ein Newsletter-Abonnent wird nach anderen Regeln behandelt als ein aktiver Vertragskunde.

In der Praxis läuft der Aufbau in überschaubaren Schritten ab. Zunächst identifizierst du, welche Datenarten überhaupt vorkommen und in welchen Systemen sie liegen – das ist die mühsamste, aber wichtigste Phase. Dann gruppierst du sie in Löschklassen und legst für jede eine Löschregel fest: Regellöschfrist plus Startzeitpunkt. Anschließend definierst du, wie und von wem gelöscht wird, und hältst die Verantwortlichkeiten schriftlich fest. Das Ergebnis ist ein Dokument, das aus der abstrakten Pflicht einen wiederkehrenden, überprüfbaren Prozess macht.

Wo Agenturen selbst in der Pflicht stehen

Ein Punkt wird bei Kundenprojekten gern übersehen: Als Agentur bist du für viele Systeme nicht der Verantwortliche, sondern der Auftragsverarbeiter. Und für dich gilt eine eigene Löschpflicht. Nach Art. 28 Abs. 3 lit. g DSGVO musst du nach Abschluss der Verarbeitung sämtliche personenbezogenen Daten nach Wahl des Kunden entweder löschen oder zurückgeben und vorhandene Kopien entfernen. Wie du diese Lücke im Vertragswerk schließt, haben wir im Beitrag zum AVV für KI-Tools beleuchtet – die Löschpflicht ist ein zentraler Baustein jedes Auftragsverarbeitungsvertrags.

Konkret heißt das: Wenn ein Kundenprojekt endet, gehört die Löschung der Daten aus deinen Systemen zur ordentlichen Übergabe. Das betrifft Datenbank-Dumps auf deinem Entwicklungsrechner, Zugangsdaten in deinem Passwortmanager, Exporte in deiner Cloud und, besonders tückisch, deine eigenen Backups. Ein Backup, das monatelang aufbewahrt wird, kann längst gelöschte Daten wieder auferstehen lassen. Ein gutes Löschkonzept regelt deshalb ausdrücklich, wie mit Sicherungskopien umgegangen wird.

Auch die Fristen für Betroffenenanfragen gelten hier: Verlangt eine Person die Löschung, muss der Verantwortliche grundsätzlich innerhalb eines Monats reagieren – dieselbe Frist wie beim Auskunftsrecht. Wenn ein Chatbot oder ein Formular auf einer Kundenseite personenbezogene Daten erfasst, sollte von Anfang an klar sein, wie lange diese gespeichert und wann sie automatisch gelöscht werden. Ein europäisch gehostetes, sauber konfiguriertes System wie Ragnova macht das leichter, weil sich Speicherdauer und Löschung zentral steuern lassen, statt in verstreuten Logs zu versickern.

Aus der Pflicht ein Angebot machen

Die Bußgeldandrohung ist real: Verstöße gegen die Löschgrundsätze fallen unter den oberen Bußgeldrahmen des Art. 83 DSGVO mit bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, und Betroffene können nach Art. 82 Schadensersatz verlangen. Für kleine Unternehmen ist das selten die realistische Höhe, aber Beschwerden bei der Aufsichtsbehörde und der Reputationsschaden sind es sehr wohl.

Der klügere Blick ist der nach vorn. Ein Löschkonzept ist keine einmalige Fleißarbeit, sondern ein Prozess, der gepflegt werden muss – Systeme ändern sich, Fristen ändern sich, wie die Verkürzung 2025 gezeigt hat. Genau darin liegt die Chance für kleine Agenturen: Wer für seine Kunden ein Löschkonzept erstellt, die Systeme entsprechend konfiguriert und die jährliche Überprüfung übernimmt, macht aus einer lästigen Pflicht ein wiederkehrendes Standbein. Du kennst die Systeme ohnehin am besten. Die Frage ist nur, ob du das Aufräumen dem Zufall überlässt – oder es zu einem Teil deines Angebots machst.