¶ Lösch- und Aufbewahrungskonzept
Beispieldokument: Diese Seite ist ein nicht freigegebener Musterrahmen für die fiktive „Muster GmbH“. Sie enthält keine geprüften gesetzlichen Fristen, realen Datenbestände, Systeme, Löschläufe oder Nachweise.
Fristenregel: Aufbewahrungsdauern werden je Zweck, Datenkategorie und auslösendem Ereignis ermittelt. Eine pauschale Frist für ganze Anwendungen oder Abteilungen ist regelmäßig zu ungenau.
Nachweisregel: „Frist festgelegt“, „Löschfunktion vorhanden“, „Löschlauf ausgeführt“ und „Löschung wirksam geprüft“ sind verschiedene Zustände.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-05-05 |
| Dokumentenart | Musterkonzept und Registerrahmen für Aufbewahrung, Einschränkung und Löschung |
| Wiki.js-Pfad | /DSGVO/05-Risiken-DSFA-und-TOM/Loesch-und-Aufbewahrungskonzept |
| Verantwortlich | festzulegender Prozesseigner mit Datenschutzkoordination, Records Management und IT |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Recht/Steuern, Informationssicherheit, IT, Archiv und betroffene Fachrollen |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – Fristen, Ereignisse, Systeme, Ausnahmen, Löschmethoden und Nachweise nicht organisationsbezogen bestätigt |
| Version | 0.1 |
| Stand | 08.08.2026 |
| Gültig ab | Nach vollständiger Bestandsaufnahme, Rechtsprüfung, technischer Erprobung und formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie bei Rechts-, Prozess-, System-, Vertrags- oder Zweckänderungen |
| Schutzklasse | Intern; Systemdetails, Rechtsfälle, Sperrlisten, Löschprotokolle und Beweismittel geschützt |
| DSGVO-Bezug | Artikel 5 Absatz 1 Buchstabe e, 5 Absatz 2, 17, 18, 19, 25, 28, 30 Absatz 1 Buchstabe f und 32 DSGVO |
| Schnittstellen | VVT, Betroffenenrechte, Rechtskataster, Informationspflichten, TOM, Backups, Lieferanten, Vorfälle und Dokumentenlenkung |
Eine vollständige Löschregel verbindet Datenkategorie, Zweck, Fristbeginn, Dauer, Löschereignis, technische Umsetzung, Ausnahme und Nachweis. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Das Konzept steuert, wie personenbezogene Daten über ihren Lebenszyklus aufbewahrt, eingeschränkt, archiviert, anonymisiert oder gelöscht werden. Es verbindet rechtliche Fristen mit realen Datenbeständen, Systemen, Kopien, Dienstleistern und überprüfbaren Löschhandlungen.
Ziel ist keine möglichst schnelle Löschung um jeden Preis, sondern eine rechtmäßige, nachvollziehbare und technisch wirksame Behandlung: nicht länger als erforderlich, nicht vor Ende bindender Pflichten und nicht ohne kontrollierte Ausnahmen.
¶ 2. Begriffe und Abgrenzungen
| Begriff | Bedeutung im Verfahren |
|---|---|
| Aufbewahrung | zulässige weitere Speicherung für einen bestimmten Zweck oder eine Pflicht |
| Löschung | personenbezogene Daten werden so beseitigt, dass sie nicht mehr verarbeitet oder wiederhergestellt werden können, soweit dies nach Methode und Kontext erreichbar ist |
| Einschränkung | Daten werden gekennzeichnet und grundsätzlich nur noch in den zulässigen Grenzen verarbeitet |
| Anonymisierung | Personenbezug wird unter Berücksichtigung vernünftigerweise einsetzbarer Mittel dauerhaft aufgehoben; die Bewertung ist zu dokumentieren |
| Pseudonymisierung | Zuordnung ist nur mit gesonderten Zusatzinformationen möglich; die Daten bleiben personenbezogen |
| Archivierung | kontrollierte Aufbewahrung in einem gesonderten Zweck- und Zugriffskontext; kein Synonym für unbegrenzte Speicherung |
| Legal Hold / Löschsperre | dokumentierte, zeitlich überprüfte Aussetzung einer regulären Löschung für einen konkreten Rechts- oder Beweisgrund |
Die bloße Entfernung aus einer Oberfläche, Verschiebung in den Papierkorb, Deaktivierung eines Kontos oder Kennzeichnung als „archiviert“ ist nicht automatisch eine wirksame Löschung.
¶ 3. Grundsätze
- Jede Datenkategorie besitzt einen festgelegten Zweck und eine begründete Aufbewahrungsregel.
- Die Frist beginnt mit einem eindeutig erkennbaren Ereignis.
- Daten in Produktivsystemen, Dateien, E-Mails, Exporten, Protokollen, Backups und bei Dienstleistern werden betrachtet.
- Gesetzliche oder vertragliche Pflichten werden nicht pauschal auf alle Daten übertragen.
- Löschsperren sind einzelfallbezogen, befugt, dokumentiert und regelmäßig überprüft.
- Löschung, Einschränkung und Anonymisierung werden nach geeigneten Kriterien getestet.
- Nachweise enthalten keine unnötigen Kopien der gelöschten personenbezogenen Daten.
¶ 4. Quellenhierarchie für Aufbewahrungsregeln
Eine Regel wird aus nachvollziehbaren Quellen abgeleitet:
- bindende gesetzliche Aufbewahrungs- oder Löschpflicht,
- konkrete vertragliche Pflicht oder behördliche Anordnung,
- Erforderlichkeit zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen,
- fortbestehender Verarbeitungszweck und tragfähige Rechtsgrundlage,
- dokumentierte fachliche Notwendigkeit innerhalb dieser Grenzen.
Fristen und Rechtsauslegung werden durch zuständige Fachrollen geprüft. Das Muster-Wiki gibt keine allgemeingültigen Fristen vor.
¶ 5. Bestandsaufnahme
Ausgehend vom VVT werden erfasst:
- Daten- und Dokumentkategorien einschließlich Metadaten,
- betroffene Personengruppen und besondere Schutzbedarfe,
- Zwecke und Rechtsgrundlagen je Lebenszyklusphase,
- führende Systeme, Nebenablagen, Schnittstellen und Exporte,
- Papierakten, E-Mail, Kollaboration, lokale Laufwerke und mobile Geräte,
- Protokolle, Caches, Suchindizes, temporäre Dateien und Vorschaudaten,
- Sicherungen, Replikate, Archive und Notfallkopien,
- Auftragsverarbeiter, Unterauftragnehmer und Empfänger,
- Verantwortliche für Fristentscheidung, technische Umsetzung und Kontrolle.
Eine Anwendung kann mehrere Löschklassen enthalten. Umgekehrt kann eine Löschklasse mehrere technische Speicherorte betreffen.
¶ 6. Löschregel und Registerfelder
| Feld | Mindestinhalt |
|---|---|
| Regel-ID | eindeutige Kennung, zum Beispiel LOE-YYYY-NNN |
| VVT-/Datenkategorie | Verarbeitung, Datenart und betroffene Personen |
| Zweck / Rechtsgrundlage | Zweck während aktiver Nutzung und gegebenenfalls Aufbewahrung |
| Quelle | Rechtsnorm, Vertrag, Rechtsanspruch oder bestätigte Fachanforderung |
| Fristbeginn | konkret messbares Ereignis, zum Beispiel Vertragsende oder Abschluss des Vorgangs |
| Dauer / Prüffrist | Zeitraum oder dokumentiertes Prüfintervall |
| Löschereignis | berechnetes oder ausgelöstes Fälligkeitsereignis |
| Methode | automatische Löschung, manuelle Freigabe, Überschreiben, Vernichtung oder belastbar bewertete Anonymisierung |
| Speicherorte | Systeme, Kopien, Exporte, Papier, Backups und Dienstleister |
| Owner / Ausführung | fachliche Entscheidung und technische Durchführung |
| Ausnahme / Hold | Grund, Umfang, Befugnis, Beginn, Review und Ende |
| Nachweis | Lauf, Stichprobe, Fehler, Korrektur und geschützte Referenz |
| Review | letzter Test, nächste Prüfung und Änderungsauslöser |
¶ 7. Fristbeginn bestimmen
Der Fristbeginn muss aus verfügbaren Daten ableitbar sein. Beispiele sind Vertragsende, Ende des Kalender- oder Geschäftsjahres, Abschluss eines Vorgangs, letzte Aktivität, Widerruf, Zweckerreichung oder Wegfall einer Berechtigung.
Fehlt das auslösende Datum im System, wird eine technische oder organisatorische Quelle geschaffen. Eine Frist, die mangels Ereignis nie startet, ist nicht wirksam umgesetzt.
¶ 8. Löschklassen
Sinnvolle Löschklassen bündeln nur Daten mit vergleichbarem Zweck, Fristbeginn, Dauer, Methode und Ausnahmebehandlung. Jede Klasse wird auf abweichende gesetzliche Pflichten, Schutzbedarfe und Systemgrenzen geprüft.
| Beispielklasse | Fristbeginn | Aktion |
|---|---|---|
| laufender Vorgang | fachlich bestätigter Abschluss | Prüfung auf Folgepflicht, anschließend Löschung oder Überführung |
| beendete Vertragsbeziehung | Vertragsende plus bestätigte Abwicklung | abgestufte Einschränkung und Löschung je Datenkategorie |
| Einwilligungszweck | Widerruf oder Zweckerreichung | Verarbeitung stoppen; weitere Aufbewahrung nur mit eigener Grundlage |
| Bewerbungsprozess | Abschluss des Auswahlverfahrens | fristgerechte Löschung, sofern keine dokumentierte Ausnahme besteht |
| technische Protokolle | Erzeugung oder festgelegtes Ereignis | automatisierte Rotation und kontrollierte Ausnahme |
Dies sind keine freigegebenen Fristen für eine Organisation.
¶ 9. Technische Umsetzung
- Regeln werden möglichst automatisiert und versionskontrolliert umgesetzt.
- Abhängigkeiten zwischen Hauptobjekt, Anhängen, Historien, Suchindex und Schnittstellen werden berücksichtigt.
- Fehler, nicht verarbeitete Objekte und Ausnahmen werden protokolliert und eskaliert.
- Manuelle Löschungen benötigen Vier-Augen-Prinzip oder risikobasierte Kontrolle.
- Datenträger und Papier werden entsprechend Schutzbedarf sicher vernichtet.
- Verschlüsseltes Löschen durch Schlüsselvernichtung wird nur bei belastbarer Architektur- und Schlüsselbewertung eingesetzt.
- Test- und Migrationskopien erhalten eigene kurze Fristen und einen verantwortlichen Owner.
¶ 10. Einschränkung und Legal Hold
Bei zulässiger Einschränkung werden Daten technisch oder organisatorisch gekennzeichnet, Zugriffe reduziert und unzulässige Folgeverarbeitung verhindert. Empfängerpflichten nach Artikel 19 werden geprüft.
Ein Legal Hold dokumentiert:
- konkreten Rechts- oder Beweisgrund,
- betroffene Daten und Systeme,
- anordnende befugte Rolle,
- Beginn und erwartete Dauer,
- zulässige Zugriffe und Verarbeitungen,
- regelmäßigen Review,
- Aufhebung und anschließende Löschhandlung.
Eine vorsorgliche allgemeine Dauer-Sperre ist kein Ersatz für ein Fristenkonzept.
¶ 11. Backups und Wiederherstellung
Backups werden nicht ignoriert, aber risikogerecht behandelt:
- Sicherungszweck, Zyklus, Aufbewahrung und Überschreibung sind dokumentiert.
- Backups sind gegen reguläre Nutzung und unbefugten Zugriff abgeschottet.
- Einzelne Löschung im unveränderlichen Backup wird auf technische Möglichkeit und Verhältnismäßigkeit geprüft.
- Wiederherstellungen enthalten einen Prozess, mit dem zwischenzeitlich fällige Löschungen und Einschränkungen erneut angewendet werden.
- Ausgelaufene Sicherungen werden kontrolliert überschrieben oder vernichtet.
- Restore-Tests prüfen auch die datenschutzgerechte Nachbearbeitung.
¶ 12. Dienstleister und Empfänger
Verträge und Weisungen regeln Rückgabe, Löschung, Backups, Unterauftragnehmer, Nachweise und Exit. Löschbestätigungen werden auf Geltungsbereich, Ausnahmen und Aussagekraft geprüft.
Mitteilungen an Empfänger nach Artikel 19 werden behandelt, soweit erforderlich und möglich. Der Verantwortliche behält die Steuerungs- und Nachweispflicht.
¶ 13. Löschlauf und Wirksamkeitsprüfung
- fällige Objekte anhand der freigegebenen Regel ermitteln,
- Holds, Einschränkungen und technische Abhängigkeiten prüfen,
- Löschung oder zulässige Alternativaktion ausführen,
- Fehler und nicht erreichbare Speicherorte erfassen,
- risikobasierte Stichprobe einschließlich Oberfläche, API, Suche und Export prüfen,
- Dienstleister- und Backupbehandlung kontrollieren,
- Ergebnis, Abweichungen, Korrektur und nächsten Lauf dokumentieren.
Der Nachweis enthält Regel-ID, Zeitraum, Anzahl oder Kontrollsumme betroffener Objekte, Systeme, Ergebnis und Prüfer, aber grundsätzlich keine vollständigen gelöschten Datensätze.
¶ 14. Betroffenenrechte
Anträge auf Löschung oder Einschränkung werden mit dem Verfahren Löschung und Einschränkung gesteuert. Das vorliegende Konzept liefert dafür Regeln, Systeme, Zuständigkeiten und technische Verfahren.
Ein individueller Antrag und die planmäßige periodische Löschung sind getrennte Auslöser, müssen aber konsistente Ergebnisse erzeugen.
¶ 15. Rollen
| Rolle | Aufgabe |
|---|---|
| Prozesseigner | Zwecke, Datenkategorien, Fristbeginn und fachliche Entscheidung |
| Recht / Steuern / Records | bindende Quellen, Rechtsansprüche und Aufbewahrung prüfen |
| Datenschutzkoordination | Register, Konsistenz, Rechte und Reviews koordinieren |
| Datenschutzbeauftragte/r | beraten und überwachen, sofern benannt |
| IT / Systemowner | Speicherorte, Automatisierung, Fehler und technische Nachweise |
| Informationssicherheit | sichere Löschmethoden, Backups und Datenträger bewerten |
| Einkauf / Lieferantenmanagement | Verträge, Löschung, Bestätigung und Exit steuern |
| befugte Hold-Rolle | konkrete Löschsperre anordnen, prüfen und aufheben |
¶ 16. Leeres Löschregelregister
| Regel-ID | VVT / Datenkategorie | Fristbeginn | Dauer / Prüfung | Systeme / Dienstleister | Methode | Owner | Hold | letzter Lauf / Test | nächste Prüfung |
|---|---|---|---|---|---|---|---|---|---|
| – | – | – | – | – | – | – | Kein realer Eintrag im Muster-Wiki | – | – |
¶ 17. Qualitätskontrolle
- Sind alle VVT-Datenkategorien und realen Speicherorte abgedeckt?
- Hat jede Regel eine belegte Quelle und einen messbaren Fristbeginn?
- Werden Dauer, Prüfung, Einschränkung und Löschung unterschieden?
- Sind Nebenablagen, Exporte, Protokolle, Backups und Dienstleister einbezogen?
- Werden Holds konkret, befristet und befugt gesteuert?
- Sind Löschfehler sichtbar und mit Frist eskaliert?
- Prüft die Stichprobe auch Suche, API, Anhänge und Wiederherstellung?
- Vermeidet der Nachweis neue unnötige personenbezogene Daten?
- Stimmen VVT, Informationspflichten, Verträge und Systemkonfiguration überein?
¶ 18. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Verzeichnis von Verarbeitungstätigkeiten | Zwecke, Datenkategorien, Systeme und Fristen |
| Löschung und Einschränkung | Bearbeitung individueller Anträge |
| Informationspflichten | Kommunikation von Speicherdauer oder Kriterien |
| Technische und organisatorische Maßnahmen | Löschkontrollen und Wirksamkeitsnachweise |
| Privacy by Design und by Default | Fristen und Löschbarkeit bereits in der Gestaltung |
| Testdaten, Anonymisierung und Pseudonymisierung | Löschung von Testkopien und Bewertung der Anonymisierung |
| ISMS Datensicherung und Wiederherstellung | Backupzyklen, Schutz und Restoretests |
¶ 19. Offizielle Grundlagen
- DSGVO, insbesondere Artikel 5, 17, 18, 19, 25, 28, 30 und 32 – EUR-Lex
- BfDI: Löschkonzept der BfDI – organisationsbezogenes Beispiel, keine allgemeingültige Fristentabelle
- Datenschutzkonferenz: Standard-Datenschutzmodell Version 3.1
¶ 20. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Löschregeln, VVT-Zuordnung, Systemumsetzung, Kontrollen und Nachweisen
Erstgespräch unter info@smct-management.de vereinbaren
¶ 21. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 0.1 | 08.08.2026 | Musterkonzept mit Bestandsaufnahme, Löschregeln, Fristbeginn, Löschklassen, Einschränkung, Legal Hold, Backups, Dienstleistern, Löschlauf und Wirksamkeitsprüfung erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |