---
title: "Löschkonzept nach DSGVO: Fristen und DIN 66398"
description: "Wann personenbezogene Daten zu löschen sind, wie Aufbewahrungsfristen dagegenstehen und was ein Löschkonzept nach DIN 66398 leisten muss."
canonical: "https://www.dsb-datenschutz.de/datenschutz/beratung-loeschkonzept/"
---

# Löschkonzept

Daten aufzubewahren ist einfach, sie rechtzeitig loszuwerden nicht. Ein **Löschkonzept** legt fest, wann welche Daten verschwinden müssen – und wo eine gesetzliche Aufbewahrungspflicht dem entgegensteht. Wir erstellen es und bilden Ihre Fristen darin ab.

[Pauschalpakete ansehen](https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/kosten/)

## Was ein Löschkonzept regelt

Es ist ein Regelwerk für den gesamten Lebenszyklus der Daten – von der ersten Erfassung bis zur endgültigen Vernichtung. Für jede Datenkategorie hält es fest, wann sie zu löschen ist und wer das veranlasst.

Zwei Vorschriften begründen die Pflicht. Die **Speicherbegrenzung** nach Art. 5 DSGVO untersagt es, Daten länger vorzuhalten, als der Zweck es erfordert. Und Art. 17 DSGVO verschafft der betroffenen Person einen Löschungsanspruch, den sie **vor Gericht durchsetzen** kann.

Ein Löschkonzept ist damit keine Kür. Sie müssen Löschregeln festlegen **und** deren Einhaltung nachweisbar dokumentieren – unabhängig von Größe und Branche, also auch als Verein, Freiberufler oder gemeinnützige Organisation.

Als Strukturvorgabe hat sich die **DIN 66398** etabliert, die mit Löschklassen arbeitet: Datenkategorien mit gleicher Frist und gleichem Auslöser werden zusammengefasst, statt jeden Einzelfall gesondert zu regeln.

## Drei Auslöser der Löschpflicht

**Verlangen der betroffenen Person.** Macht jemand sein [Recht auf Löschung](https://www.dsb-datenschutz.de/datenschutz/beratung-betroffenenrechte/) nach Art. 17 DSGVO geltend, müssen Sie binnen eines Monats reagieren. Vorrang hat allein eine Aufbewahrungspflicht, die sich aus einem Gesetz ergibt.

**Wegfall des Zwecks.** Entfällt der Grund, aus dem die Daten erhoben wurden, dürfen sie nicht länger gespeichert bleiben. Das klassische Beispiel: Mit dem Abschluss eines Bewerbungsverfahrens endet der Zweck für die Bewerberdaten.

**Ablauf einer Frist.** Läuft eine gesetzliche oder interne Frist aus, setzt die Löschpflicht automatisch ein – vorausgesetzt, keine andere Rechtsgrundlage rechtfertigt die weitere Speicherung.

## Was Löschen technisch bedeutet

Hier liegt ein verbreiteter Irrtum. Löschen heißt: Daten **dauerhaft und nicht wiederherstellbar** unkenntlich machen.

Eine Datei in den Papierkorb zu verschieben genügt dafür nicht. Auch nach dem Leeren des Papierkorbs bleibt der Inhalt physisch auf dem Datenträger, bis er überschrieben wird – und ist bis dahin mit einfachen Mitteln wiederherstellbar. Dasselbe gilt für Backups, Archivsysteme und Kopien in Cloud-Diensten, die bei Löschvorgängen regelmäßig übersehen werden.

Welche Verfahren dafür geeignet sind, gehört zu den [technischen und organisatorischen Maßnahmen](https://www.dsb-datenschutz.de/datenschutz/beratung-technisch-organisatorische-massnahmen/).

## Aufbewahrungsfristen und ihr Verhältnis zur Löschpflicht

Nicht alles darf gelöscht werden, was gelöscht werden könnte. Steuer- und handelsrechtliche Vorschriften – vor allem § 147 Abgabenordnung und § 257 HGB – verpflichten Sie, bestimmte Unterlagen über festgelegte Zeiträume aufzubewahren.

| Unterlagen | Wie lange | Woraus folgt das |
|---|---|---|
| Handels- und Geschäftsbriefe | sechs Jahre | § 257 HGB |

In Ihrem Konzept muss zu **jeder** Datenkategorie stehen, welche Aufbewahrungspflicht auf sie zutrifft. Der Konflikt löst sich nicht dadurch auf, dass eine Seite gewinnt: Während der Aufbewahrungsfrist bleiben die Daten erhalten, ihre Verwendung wird aber auf den Zweck der Aufbewahrung beschränkt. Erst mit Fristablauf greift die Löschpflicht.

Die Zuordnung setzt voraus, dass Sie wissen, welche Daten Sie überhaupt führen. Grundlage ist deshalb Ihr [Verzeichnis von Verarbeitungstätigkeiten](https://www.dsb-datenschutz.de/datenschutz/beratung-verarbeitungsverzeichnis/); die Fristen und ihre Überwachung laufen anschließend über das [Datenschutzmanagementsystem](https://www.dsb-datenschutz.de/datenschutz/dsms/).

Am deutlichsten wird der Konflikt beim E-Mail-Verkehr: Handels- und Geschäftsbriefe sind aufzubewahren, das Postfach ist dafür aber der falsche Ort – dort löscht irgendwann jemand. Eine [E-Mail-Archivierung](https://www.dsb-datenschutz.de/managed-services/e-mail-archivierung/) trennt die Aufbewahrung vom täglichen Arbeiten und macht beide Seiten nachweisbar.

## Kontakt

Sie haben Fristen im Kopf, aber nicht im System? Genau dort setzen wir an.

- Telefon: [+49 6188 99 04 36](tel:+496188990436)
- E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de)
- Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns)
- [Alle Beratungsthemen](https://www.dsb-datenschutz.de/datenschutz/beratung/)