Löschkonzept DSGVO 2026: Vorlage nach DIN 66398 + Muster-Löschregeln

In einem Satz. Ein Löschkonzept ist die systematische Umsetzung der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) und des Rechts auf Löschung (Art. 17) — es ordnet jede Datenart einer Löschklasse mit definierter Aufbewahrungs- und Löschfrist zu und folgt in Deutschland meist der Methodik der DIN 66398.

Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck erforderlich sind. Ohne Löschkonzept sammeln sich Altdaten an — genau der Verstoß, der Deutsche Wohnen 2019 14,5 Mio. € gekostet hat. Diese Vorlage strukturiert Ihre Löschregeln nach DIN 66398. Rechtlicher Rahmen im Beitrag zur Speicherbegrenzung und zum Recht auf Löschung.

Wichtige Punkte

• Pflicht aus Art. 5 Abs. 1 lit. e und Art. 17 DSGVO.
• DIN 66398 liefert die anerkannte Methodik (Löschklassen, Löschregeln).
• Löschfrist = Aufbewahrungsdauer + Löschregel (Start + Frist + Umsetzung).
• Aufbewahrungspflichten (HGB, AO) begrenzen die Löschung.
• Bußgeld bis 20 Mio. € / 4 % (Art. 83 Abs. 5).

Die Vorlage: Löschklassen

DIN 66398 arbeitet mit Löschklassen, die einen Startzeitpunkt und eine Regelfrist kombinieren:

Die Vorlage: Löschregeln (Auszug)

So passen Sie das Muster an

1. An das Verarbeitungsverzeichnis koppeln. Jede Verarbeitung im Verarbeitungsverzeichnis braucht eine Löschfrist — das Löschkonzept liefert deren Begründung.
2. Aufbewahrungspflichten prüfen. Handels- und steuerrechtliche Fristen (§ 257 HGB, § 147 AO) gehen dem Löschgebot vor. Achtung: Nach Fristablauf besteht eine Löschpflicht, kein Aufbewahrungsrecht.
3. Löschregel je Datenart definieren. Startzeitpunkt (Ereignis), Frist und Umsetzungsweg (automatisch/manuell) festlegen.
4. Verantwortlichkeiten zuweisen. Wer löscht, wer kontrolliert? Ohne benannte Rolle bleibt das Konzept Theorie.
5. Auftragsverarbeiter einbeziehen. Nach Vertragsende müssen auch Dienstleister löschen (§ 10 des AVV).

Aufbau eines Löschkonzepts nach DIN 66398

Die DIN 66398 gibt eine klare Systematik vor, die sich in vier Bausteinen zusammenfassen lässt. Erstens werden Datenarten definiert — nicht einzelne Felder, sondern funktional zusammengehörige Datenbestände (etwa „Bewerberunterlagen" oder „Buchungsbelege"). Zweitens erhält jede Datenart eine Löschklasse, die aus einem Startzeitpunkt (dem auslösenden Ereignis) und einer Regelfrist besteht. Drittens werden Löschregeln formuliert, die Datenart und Löschklasse verbinden und die Umsetzung beschreiben — automatisch oder manuell, im Produktivsystem und in allen Kopien. Viertens legt das Konzept Verantwortlichkeiten fest: Wer stößt die Löschung an, wer kontrolliert sie, wer dokumentiert?

Der Charme dieser Methodik liegt in der Wiederverwendbarkeit: Statt für jede der hunderten Datenarten eine eigene Frist zu erfinden, ordnen Sie sie einer überschaubaren Zahl von Löschklassen zu. So bleibt das Konzept auch bei wachsender Datenlandschaft handhabbar. Die Löschklassen aus der Vorlage oben lassen sich für die meisten Unternehmen unverändert übernehmen; individuell ist vor allem die Zuordnung der konkreten Datenarten.

Zusammenspiel mit Betroffenenrechten

Ein Löschkonzept regelt die routinemäßige Löschung nach Fristablauf. Davon zu unterscheiden ist die anlassbezogene Löschung auf Antrag nach Art. 17 — dem Recht auf Vergessenwerden. Verlangt eine betroffene Person die Löschung ihrer Daten, müssen Sie prüfen, ob ein Löschgrund vorliegt (etwa Zweckwegfall oder Widerruf der Einwilligung) und ob Ausnahmen greifen (insbesondere gesetzliche Aufbewahrungspflichten nach Art. 17 Abs. 3 lit. b). Besteht eine Aufbewahrungspflicht, werden die Daten nicht gelöscht, sondern für die weitere Nutzung gesperrt und erst nach Fristablauf endgültig entfernt. Ein gutes Löschkonzept bildet beide Wege ab und verweist auf den Prozess zur Bearbeitung von Auskunfts- und Löschanträgen.

Häufige Fehler

• Aufbewahrungspflicht mit Aufbewahrungsrecht verwechseln. Nach Ablauf der 10-Jahres-Frist müssen Belege gelöscht werden — sie dürfen nicht „vorsorglich" bleiben. Deutsche Wohnen scheiterte genau hier: ein Archivsystem ohne Löschmöglichkeit, sanktioniert mit 14,5 Mio. €.
• Nur Produktivsystem betrachten. Backups, Archive, E-Mail-Postfächer und Exporte enthalten oft dieselben Daten und werden vergessen.
• Keine Löschprotokolle. Die Löschung muss nachweisbar sein (Art. 5 Abs. 2). Ohne Protokoll fehlt der Nachweis.
• Fristen nie starten. Eine Frist ohne definierten Startzeitpunkt („nach Vertragsende") läuft nie an. DIN 66398 verlangt ein konkretes Startereignis.
• Löschung von Auskunftsrecht abkoppeln. Ein Löschantrag nach Art. 17 muss auch dann greifen, wenn die Regelfrist noch nicht abgelaufen ist — sofern keine Aufbewahrungspflicht entgegensteht.

Die Umsetzung scheitert selten am Konzept, sondern an der Durchführung. Legiscope hinterlegt je Verarbeitung die Löschklasse, erinnert an fällige Löschungen und dokumentiert sie revisionssicher.

FAQ

Ist ein Löschkonzept Pflicht?

Ein Löschkonzept als solches wird von der DSGVO nicht namentlich verlangt, wohl aber sein Ergebnis: Die Speicherbegrenzung (Art. 5 Abs. 1 lit. e) und die Rechenschaftspflicht (Art. 5 Abs. 2) verlangen, dass Sie Löschfristen definieren und einhalten. In der Aufsichtspraxis ist ein dokumentiertes Löschkonzept faktisch der erwartete Nachweis.

Was regelt DIN 66398?

Die DIN 66398 „Leitlinie zur Entwicklung eines Löschkonzepts" liefert eine Methodik: Datenarten werden Löschklassen zugeordnet, die aus einem Startzeitpunkt und einer Regelfrist bestehen. Sie ist kein Gesetz, aber der anerkannte Standard, an dem sich deutsche Datenschützer orientieren.

Wie gehe ich mit Aufbewahrungspflichten um?

Aufbewahrungspflichten aus HGB und AO (6 bzw. 10 Jahre) sind Rechtsgrundlagen für die weitere Speicherung (Art. 6 Abs. 1 lit. c). Solange sie laufen, darf und muss aufbewahrt werden. Nach Fristablauf entfällt die Rechtsgrundlage und die Daten sind zu löschen.

Muss ich Löschungen protokollieren?

Ja, aus der Rechenschaftspflicht (Art. 5 Abs. 2) folgt, dass Sie die Umsetzung Ihres Löschkonzepts nachweisen können müssen. Ein Löschprotokoll dokumentiert, welche Datenart wann und durch wen gelöscht wurde. Das Protokoll selbst darf dabei keine überflüssigen personenbezogenen Details enthalten — es genügt der Nachweis von Datenart, Löschklasse, Zeitpunkt und Verantwortlichem. Ohne solche Nachweise bleibt selbst ein sauber formuliertes Konzept im Aufsichtsverfahren wertlos.

Wie gehe ich mit Backups und Archiven um?

Backups und Archive sind der blinde Fleck vieler Löschkonzepte. Rechtlich gilt: Auch dort gespeicherte personenbezogene Daten unterliegen der Löschpflicht. Praktisch ist eine gezielte Einzellöschung aus einem Backup jedoch oft technisch unmöglich oder unverhältnismäßig. Die anerkannte Lösung besteht darin, Backups mit klaren, kurzen Aufbewahrungszyklen zu betreiben, sodass gelöschte Daten spätestens nach dem nächsten Rotationszyklus auch aus dem Backup verschwinden. Solange die Daten noch im Backup liegen, müssen sie für die aktive Nutzung gesperrt sein und dürfen nur im Wiederherstellungsfall verarbeitet werden. Dokumentieren Sie diese Backup-Löschregel ausdrücklich im Konzept — sie ist bei einer Aufsichtsprüfung ein häufiger Nachfragepunkt und zeigt, dass Sie das Thema durchdacht haben.

Fazit

Ein Löschkonzept macht aus dem abstrakten Grundsatz der Speicherbegrenzung ein prüfbares System aus Löschklassen und Löschregeln. Nutzen Sie die Vorlage nach DIN 66398, koppeln Sie jede Frist an Ihr Verarbeitungsverzeichnis und protokollieren Sie die Löschungen. So vermeiden Sie den teuersten aller Datenschutzfehler: Daten zu behalten, die längst hätten gelöscht sein müssen. Den Normtext lesen Sie bei EUR-Lex, Praxishinweise bietet der BfDI.