- Löschpflicht nach DSGVO: Personenbezogene Daten müssen gelöscht werden, sobald der Verarbeitungszweck wegfällt – es sei denn, gesetzliche Aufbewahrungspflichten stehen dem entgegen
- Aufbewahrungsfristen beachten: Handels- und steuerrechtliche Vorschriften wie die GoBD verlangen oft eine Speicherung von bis zu acht Jahren, was die datenschutzrechtliche Löschung überlagert
- Dokumentationspflicht: Unternehmen müssen nachweisen können, wann und warum Daten gelöscht oder aufbewahrt wurden – ein strukturiertes Löschkonzept ist unverzichtbar
Zwischen Löschpflicht und Aufbewahrungspflicht
Die Frage, wann Daten gelöscht werden müssen, gehört zu den häufigsten Herausforderungen im betrieblichen Datenschutz. Unternehmen bewegen sich in einem Spannungsfeld: Einerseits verlangt die Datenschutz-Grundverordnung die zügige Löschung personenbezogener Daten, wenn diese nicht mehr benötigt werden. Andererseits schreiben Handelsgesetzbuch, Abgabenordnung und weitere Vorschriften die Aufbewahrung bestimmter Dokumente über Jahre hinweg vor.
Diese Balance ist nicht nur eine rechtliche Pflichtübung. Fehlerhafte Löschungen können zu Bußgeldern durch Aufsichtsbehörden führen, zu langes Speichern ebenfalls. Zudem entstehen wirtschaftliche Risiken: Bei Betriebsprüfungen drohen Sanktionen, wenn relevante Unterlagen vorschnell vernichtet wurden.
Rechtliche Grundlagen: DSGVO und nationale Vorschriften
Löschpflicht nach Art. 17 DSGVO
Die Datenschutz-Grundverordnung regelt in Art. 17 das Recht auf Löschung, das sog. „Recht auf Vergessenwerden“. Demnach müssen personenbezogene Daten unverzüglich gelöscht werden, wenn einer der folgenden Gründe zutrifft:
- Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig. Ein Beispiel: Bewerbungsunterlagen eines abgelehnten Kandidaten müssen nach Abschluss des Auswahlverfahrens gelöscht werden, sofern keine rechtliche Aufbewahrungspflicht besteht.
- Die betroffene Person widerruft ihre Einwilligung und es existiert keine andere Rechtsgrundlage für die Verarbeitung.
- Die betroffene Person legt Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Weiterverarbeitung vor. Hierunter fallen etwa Widersprüche gegen Direktwerbung.
- Die Daten wurden unrechtmäßig verarbeitet. Wenn nachträglich festgestellt wird, dass eine Datenverarbeitung ohne Rechtsgrundlage erfolgte, ist die sofortige Löschung geboten.
- Die Löschung der personenbezogenen Daten ist erforderlich, damit die rechtliche Verpflichtung nach dem Unionsrecht oder nach dem Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfüllt wird.
Der Grundsatz der Speicherbegrenzung
Art. 5 Abs. 1 lit. e DSGVO verankert den Grundsatz der Speicherbegrenzung als eines der zentralen Datenschutzprinzipien. Personenbezogene Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für die Verarbeitungszwecke erforderlich ist. Dieser Grundsatz verpflichtet Unternehmen zur regelmäßigen Überprüfung ihrer Datenbestände.
Handels- und steuerrechtliche Aufbewahrungspflichten
Die datenschutzrechtliche Löschpflicht steht häufig im Konflikt mit Aufbewahrungspflichten aus anderen Rechtsgebieten. Das Handelsgesetzbuch und die Abgabenordnung verpflichten Unternehmen zur Archivierung bestimmter Dokumente.
Nach § 257 HGB müssen Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Lageberichte und Konzernabschlüsse zehn Jahre aufbewahrt werden. Empfangene Handels- und Geschäftsbriefe sowie Kopien abgesandter Briefe unterliegen einer sechsjährigen Aufbewahrungsfrist.
Die Abgabenordnung fordert in § 147 AO ebenfalls eine zehnjährige Aufbewahrung für Bücher und Aufzeichnungen, Jahresabschlüsse, Inventare sowie Buchungsbelege.
Für andere Unterlagen gilt eine acht- bzw. sechsjährige Frist.
Die Grundsätze ordnungsmäßiger Buchführung (GoBD)
Mit den GoBD wird präzisiert, welche Anforderungen an die elektronische Buchführung und Aufbewahrung steuerrelevanter Daten bestehen. Diese Grundsätze verlangen nicht nur die bloße Speicherung, sondern auch die Unveränderbarkeit, Nachvollziehbarkeit und Prüfbarkeit der archivierten Daten.
Für den Datenschutz bedeutsam ist insbesondere: Die GoBD akzeptieren auch die Speicherung in verschlüsselter oder pseudonymisierter Form, sofern die steuerliche Auswertbarkeit gewährleistet bleibt. Unternehmen können somit datenschutzfreundliche Archivierungsmethoden wählen, solange die Finanzverwaltung bei Bedarf auf die Originaldaten zugreifen kann.
Hauptaspekte: Wann gilt die Löschpflicht und wann nicht?
Der Vorrang gesetzlicher Aufbewahrungspflichten
Die DSGVO erkennt ausdrücklich an, dass Aufbewahrungspflichten aus anderen Rechtsbereichen der Löschpflicht vorgehen. Art. 17 Abs. 3 lit. b DSGVO nennt die Erfüllung einer rechtlichen Verpflichtung als Ausnahme vom Löschungsanspruch.
In der Praxis bedeutet dies: Solange eine handels- oder steuerrechtliche Aufbewahrungspflicht besteht, dürfen und müssen die betroffenen Daten gespeichert bleiben. Erst nach Ablauf dieser Fristen greift die datenschutzrechtliche Löschpflicht wieder vollständig durch.
Entscheidend ist hierbei die genaue Bestimmung, welche Daten tatsächlich unter die Aufbewahrungspflicht fallen. Nicht jedes Dokument, das personenbezogene Daten enthält, ist aufbewahrungspflichtig. E-Mails mit rein privatem Austausch ohne geschäftliche Relevanz müssen beispielsweise nicht archiviert werden, auch wenn sie zwischen Geschäftspartnern ausgetauscht wurden.
Berechtigte Interessen als Aufbewahrungsgrund
Neben gesetzlichen Pflichten können auch berechtigte Interessen des Verantwortlichen eine weitere Speicherung rechtfertigen. Art. 6 Abs. 1 lit. f DSGVO erlaubt die Verarbeitung, wenn sie zur Wahrung berechtigter Interessen erforderlich ist, sofern nicht die Interessen der betroffenen Person überwiegen.
Typische Beispiele sind die Aufbewahrung zur Beweissicherung bei drohenden Rechtsstreitigkeiten oder zur Dokumentation von Vertragsabwicklungen über die gesetzliche Gewährleistungsfrist hinaus. Auch die Abwehr von Haftungsansprüchen kann eine verlängerte Speicherung begründen.
Allerdings erfordert die Berufung auf berechtigte Interessen stets eine Interessenabwägung im Einzelfall. Diese muss dokumentiert werden und nachvollziehbar darlegen, warum das Aufbewahrungsinteresse schwerer wiegt als das Löschungsinteresse der betroffenen Person.
Praktische Tipps für ein rechtssicheres Löschkonzept
Erstellen Sie ein umfassendes Löschkonzept
Ein Löschkonzept dokumentiert systematisch, welche Daten zu welchen Zeitpunkten gelöscht werden müssen. Es sollte alle Verarbeitungstätigkeiten des Unternehmens umfassen und folgende Elemente enthalten:
- Identifikation aller Datenbestände und Verarbeitungsvorgänge, idealerweise auf Basis des Verzeichnisses von Verarbeitungstätigkeiten
- Festlegung der Speicherdauer für jede Datenkategorie unter Berücksichtigung des Verarbeitungzwecks, gesetzlicher Aufbewahrungsfristen und berechtigter Interessen
- Definition der Löschkriterien, also der Ereignisse, die den Beginn der Löschfrist auslösen
- Beschreibung der technischen und organisatorischen Maßnahmen zur Umsetzung der Löschung
- Benennung der verantwortlichen Personen und Ablaufprozesse
Implementieren Sie automatisierte Löschprozesse
Manuelle Löschvorgänge sind fehleranfällig und in größeren Datenbeständen kaum praktikabel. Moderne Datenbanksysteme und Dokumentenmanagementsysteme bieten Funktionen zur automatischen Löschung nach Ablauf definierter Fristen.
Richten Sie Workflow-Systeme ein, die bei Eintritt bestimmter Ereignisse – etwa Vertragsende oder Fristablauf – automatisch Löschvorgänge anstoßen. Implementieren Sie Warnmechanismen, die vor Ablauf kritischer Fristen auf notwendige Entscheidungen hinweisen.
Bei der Archivierung sollten Metadaten mitgeführt werden, die das geplante Löschdatum enthalten. So lassen sich auch Jahre später Datenbestände identifizieren, deren Aufbewahrungsfrist abgelaufen ist.
Differenzieren Sie zwischen Aufbewahrungspflicht und Aufbewahrungsmöglichkeit
Nicht jede Speicherung, die rechtlich zulässig ist, ist auch datenschutzrechtlich geboten. Trennen Sie in Ihrem Löschkonzept zwischen Daten, die aufgrund gesetzlicher Pflichten aufbewahrt werden müssen, und solchen, für die lediglich berechtigte Interessen bestehen.
Bei der zweiten Kategorie sollten Sie regelmäßig überprüfen, ob die Interessenabwägung weiterhin zugunsten der Speicherung ausfällt. Ändern sich die Umstände, kann eine ursprünglich gerechtfertigte Speicherung unzulässig werden.
Dokumentieren Sie alle Interessenabwägungen schriftlich. Im Fall einer Datenschutzkontrolle oder bei Ausübung von Betroffenenrechten müssen Sie Ihre Entscheidungen nachvollziehbar begründen können.
Schulen Sie Ihre Mitarbeiter
Ein Löschkonzept ist nur so gut wie seine Umsetzung. Sensibilisieren Sie Ihre Mitarbeiter für die Bedeutung datenschutzkonformer Löschung. Schulungen sollten vermitteln, welche Daten wann zu löschen sind und wie die Löschung technisch durchzuführen ist.
Besonders wichtig ist die Aufklärung über das Spannungsverhältnis zwischen Aufbewahrungs- und Löschpflichten. Mitarbeiter müssen verstehen, dass eine Löschung nicht automatisch „gut“ und eine Speicherung nicht automatisch „schlecht“ ist.
Etablieren Sie klare Zuständigkeiten und Meldewege. Wenn ein Mitarbeiter unsicher ist, ob Daten gelöscht werden dürfen, muss er wissen, an wen er sich wenden kann.
Dokumentieren Sie alle Löschvorgänge
Die DSGVO verlangt in Art. 5 Abs. 2 die Rechenschaftspflicht: Sie müssen nachweisen können, dass Sie datenschutzkonform handeln. Dokumentieren Sie daher alle durchgeführten Löschungen mit Datum, Art der gelöschten Daten und Grund der Löschung.
Diese Dokumentation dient nicht nur der Compliance, sondern schützt auch vor ungerechtfertigten Vorwürfen. Wenn ein Betroffener behauptet, Sie hätten seine Daten entgegen seiner Forderung nicht gelöscht, können Sie anhand der Protokolle das Gegenteil belegen.
Umgekehrt müssen Sie bei einer Betriebsprüfung durch die Finanzverwaltung nachweisen können, dass aufbewahrungspflichtige Dokumente nicht vorschnell gelöscht wurden. Eine lückenlose Dokumentation schafft hier Rechtssicherheit.
Zwischen Pflicht und Pragmatismus
Die Frage, wann Daten gelöscht werden müssen, lässt sich nicht pauschal beantworten. Jedes Unternehmen muss ein individuelles Löschkonzept entwickeln, das die spezifischen Verarbeitungstätigkeiten, branchen- und unternehmensspezifischen Besonderheiten sowie die komplexen rechtlichen Rahmenbedingungen berücksichtigt.
Das Spannungsverhältnis zwischen datenschutzrechtlicher Löschpflicht und handelsrechtlicher Aufbewahrungspflicht erfordert differenzierte Lösungen. Pauschale Speicherungen „auf Vorrat“ sind ebenso problematisch wie vorschnelle Löschungen steuerrelevanter Dokumente.
Ein durchdachtes Löschkonzept schützt nicht nur vor Datenschutzverstößen und Bußgeldern, sondern reduziert auch Haftungsrisiken bei Betriebsprüfungen. Es schafft Transparenz über vorhandene Datenbestände und erleichtert die Erfüllung von Betroffenenrechten.
Die Investition in ein strukturiertes Datenmanagement mit klaren Lösch- und Aufbewahrungsfristen zahlt sich mehrfach aus: rechtlich, organisatorisch und nicht zuletzt auch wirtschaftlich durch reduzierten Speicherbedarf und effizientere Prozesse.
Geschäftsführer · Rechtsanwalt · Fachanwalt für IT-Recht