Löschkonzept
Wann welche Daten gelöscht werden – abgeleitet aus Ihrem Verzeichnis, bestätigt von Ihnen, belegt für jede Prüfung.
Personenbezogene Daten dürfen nur so lange gespeichert werden, wie sie für ihren Zweck nötig sind (Art. 5 Abs. 1 lit. e DSGVO). Sie müssen außerdem nachweisen können, dass Sie sich daran halten (Art. 5 Abs. 2 DSGVO). Das Löschkonzept ist dieser Nachweis: Es legt fest, wann welche Daten gelöscht werden, und protokolliert, wer das bestätigt und freigegeben hat.
In KlarKonform müssen Sie dafür keine Fristentabelle von Hand pflegen. Die Löschfristen werden aus Ihren Verarbeitungstätigkeiten und Anwendungen abgeleitet. Sie bestätigen nur die offenen Punkte.
Diese Seite erklärt, wie das Produkt arbeitet. Sie ist keine Rechtsberatung. Ob eine Frist für Ihren Betrieb passt, entscheiden Sie als Verantwortlicher, bei Bedarf zusammen mit Ihrem Datenschutzbeauftragten oder Ihrer Steuerberatung.
Das Wichtigste in Kürze
- Datenbestände entstehen von selbst. Jede Kombination aus einer Verarbeitungstätigkeit und einer Anwendung, in der deren Daten liegen, ist ein Datenbestand. Ein Beispiel: „Lohnabrechnung in DATEV“.
- Sie bestätigen die Frist. Für jeden Datenbestand schlägt KlarKonform eine Löschregel vor. Sie oder die verantwortliche Person bestätigen sie mit einem Klick.
- Gelöscht wird nur nach Ihrer Freigabe. Ist die Frist abgelaufen, sammelt KlarKonform die fälligen Daten in einem Löschlauf. Erst wenn Sie ihn freigeben, wird gelöscht. Nichts verschwindet unbemerkt.
- Das Gesetz hat Vorrang. Unterlagen, die nach Handels- oder Steuerrecht aufbewahrt werden müssen, kommen vor Ablauf dieser Pflicht in keinen Löschlauf. Das gilt auch dann, wenn Ihre eigene Regel kürzer wäre.
Begriffe
| Begriff | Bedeutung |
|---|---|
| Datenbestand | Die Daten einer Verarbeitungstätigkeit in einer Anwendung, z. B. „Kundenanfragen im Website-Formular“. |
| Löschregel / Frist | Wie lange der Datenbestand nach dem Ende seines Zwecks aufbewahrt wird und welche Rechtsgrundlage dafür gilt. |
| Verantwortliche Person | Die Person in Ihrem Unternehmen, die sich fachlich um die Löschung dieses Datenbestands kümmert. Ist niemand gewählt, übernimmt die Administration. |
| Löschlauf | Eine Sammlung fälliger Daten, die Sie mit einer Bestätigung freigeben. Sie müssen nicht jedes Dokument einzeln bestätigen. |
| Sperre | Ein Grund, aus dem Daten vorerst nicht gelöscht werden dürfen, obwohl ihre Frist abgelaufen ist, z. B. eine laufende Betriebsprüfung. |
Aufbau der Seite
Sie finden das Löschkonzept unter DSGVO → Löschkonzept.
| Bereich | Was Sie dort sehen und tun |
|---|---|
| Offene Punkte prüfen (Zahl) | Die Hauptschaltfläche oben rechts. Sie springt zu „Als Nächstes“. Gibt es nichts zu tun, steht dort „Keine offenen Punkte“. |
| Als PDF herunterladen | Der aktuelle Stand Ihres Löschkonzepts als Dokument, z. B. für eine Prüfung. |
| Als Nächstes | Die Punkte, um die Sie sich jetzt kümmern sollten: eine Regel bestätigen, eine Regel festlegen, Verantwortliche zuweisen oder einen Löschlauf freigeben. |
| Ihre Fristen | Alle Datenbestände mit ihrer Frist. Ein Filter zeigt „Bestätigung nötig“, „Ohne Regel“ oder „Ohne verantwortliche Person“. Ein Klick auf eine Zeile öffnet die Details. Das § am Zeilenende erklärt die Rechtsgrundlage. |
| Löschlauf (rechte Spalte) | Ob ein Löschlauf auf Ihre Freigabe wartet und bis wann, wie viele Datenbestände fällig oder gesperrt sind, wann das Löschkonzept zuletzt überprüft wurde, und der Hinweis zur Betriebsprüfung. |
Grün markierte Zeilen sind erledigt. Orange (bernsteinfarben) markierte Zeilen brauchen noch eine Entscheidung von Ihnen.
Schritt für Schritt
1. Grundlage schaffen: Verzeichnis und Anwendungen
Das Löschkonzept kann nur so gut sein wie Ihr Verzeichnis. Datenbestände entstehen aus:
- Ihren Verarbeitungstätigkeiten, insbesondere den Datenkategorien und der Speicherdauer, und
- den Anwendungen, die Sie einer Tätigkeit zuordnen.
Steht unter „Ihre Fristen“ noch nichts, fehlt meist diese Zuordnung.
2. Löschregel bestätigen
Öffnen Sie einen Datenbestand mit dem Hinweis „Bestätigung nötig“. Sie sehen die vorgeschlagene Frist, ihre Rechtsgrundlage und die Anwendung. Mit Regel bestätigen übernehmen Sie die Frist in Ihr Löschkonzept.
- Bestätigen dürfen die Administration und die verantwortliche Person dieses Datenbestands.
- Bestätigt wird genau die Fassung, die Sie sehen. Hat sie sich zwischenzeitlich geändert, werden Sie gebeten, neu zu bestätigen.
- Ändert sich später die Frist der Tätigkeit, erscheint der Datenbestand mit „Bitte neu bestätigen“ wieder unter „Als Nächstes“.
3. Verantwortliche Person festlegen
Im Detail eines Datenbestands wählt die Administration unter Verantwortliche Person aus, wer sich um die Löschung kümmert. Diese Person bekommt die zugehörigen Aufgaben und gibt später ihre eigenen Löschläufe frei. Wird die Zuständigkeit geändert, wandert eine offene Aufgabe mit. Die Frist der Aufgabe verlängert sich dadurch nicht.
4. Festlegen, wie gelöscht wird
Je Datenbestand ist hinterlegt, wer die Löschung ausführt:
| Einstellung | Bedeutung |
|---|---|
| KlarKonform löscht nach Ihrer Freigabe | Die fälligen Daten kommen in einen Löschlauf. Gelöscht wird erst nach Ihrer Freigabe. |
| Die Anwendung löscht selbst nach Ihrer Einstellung | Die Anwendung löscht selbst, z. B. über eine Aufbewahrungsrichtlinie. Ihre Bestätigung dokumentiert die Weisung an den Dienstleister (Art. 28 Abs. 3 lit. g DSGVO). KlarKonform legt dafür eine jährliche Prüfaufgabe an. |
| Von Hand durch die verantwortliche Person | Die verantwortliche Person löscht selbst in der Anwendung. KlarKonform erinnert daran. |
Eine Einstellung, die früher löscht, als das Gesetz Aufbewahrung verlangt, wird abgelehnt.
5. Löschlauf freigeben
Läuft bei Daten die Frist ab, sammelt KlarKonform sie in einem Löschlauf, und zwar einen je verantwortlicher Person. Unter Löschläufe ansehen sehen Sie vor der Freigabe:
- wie viele Daten aus welchem Datenbestand betroffen sind,
- nach welcher Regel und Rechtsgrundlage sie fällig sind und
- auf welchem Weg sie gelöscht werden.
Sie haben dann drei Möglichkeiten:
- Freigeben: Eine Bestätigung gilt für den ganzen Lauf. Freigegeben wird genau die Anzahl, die Sie gesehen haben. Hat sich der Lauf inzwischen verändert, wird er nicht freigegeben, und Sie sehen den neuen Stand.
- Einzelne Positionen herausnehmen: Das geht nur mit einer Begründung. Die Position bleibt fällig und kommt im nächsten Lauf wieder, mit einem Hinweis. Wer Daten länger behalten muss, setzt eine Sperre.
- Nichts tun: Dann wird nicht gelöscht. Nach Ablauf der Bestätigungsfrist (Standard 14 Tage, einstellbar zwischen 3 und 60 Tagen) wird die Aufgabe eskaliert, zuletzt an die Administration.
Unmittelbar vor der Freigabe prüft KlarKonform noch einmal alle Sperren. Was gesperrt ist, fällt aus dem Lauf.
6. Regelmäßig überprüfen
Unter Löschlauf → Einstellungen legen Sie fest, wie oft Sie Ihr Löschkonzept überprüfen (Standard: jährlich). KlarKonform erinnert Sie daran. „Letzte Überprüfung“ zeigt, wann eine Person aus Ihrem Unternehmen das Löschkonzept zuletzt geöffnet hat.
Der Lebenslauf eines Datenbestands
In Nutzung ──(Zweck entfällt)──► Gesperrt – nur noch für Prüfer ──(Pflicht abgelaufen)──► Zur Löschung fällig ──(Ihre Freigabe)──► Gelöscht
└──────────── (keine Aufbewahrungspflicht) ─────────────────────────────►┘| Zustand | Bedeutung |
|---|---|
| In Nutzung | Der Zweck besteht, die Daten werden genutzt. |
| Gesperrt – nur noch für Prüfer | Der Zweck ist entfallen, aber eine gesetzliche Aufbewahrungspflicht läuft noch. Die Daten werden nur noch für diese Pflicht aufbewahrt (Art. 18 DSGVO, § 35 Abs. 3 BDSG). |
| Zur Löschung fällig | Zweck entfallen, keine Pflicht mehr: Die Daten sind zu löschen (Art. 17 Abs. 1 lit. a DSGVO). Sie kommen in den nächsten Löschlauf. |
| Gelöscht | Gelöscht und protokolliert. |
Einen Weg zurück gibt es nicht. Ein gesperrter Bestand wird nicht wieder „In Nutzung“. So lässt sich jederzeit am Zustand ablesen, wo ein Datenbestand steht.
Wann beginnt die Frist? Mit dem fachlichen Ereignis, also z. B. mit dem Vertragsende, dem Austritt, der Absage an Bewerbende oder dem Widerruf einer Einwilligung. Das Datum, an dem der Datensatz angelegt wurde, zählt nicht. Die Fachmodule melden dieses Ereignis an das Löschkonzept.
Gesetzliche Untergrenze: Handels- und Steuerrecht
Manche Unterlagen müssen aufbewahrt werden. Bis zum Ende dieser Pflicht werden sie nicht gelöscht, sondern gesperrt (Art. 17 Abs. 3 lit. b DSGVO). KlarKonform prüft diese Untergrenze für jedes einzelne Dokument, und zwar unabhängig von der Regel seines Datenbestands.
| Unterlagen | Aufbewahrung | Rechtsgrundlage |
|---|---|---|
| Handels- und Geschäftsbriefe, z. B. E-Mails mit Geschäftsbezug | 6 Jahre | § 257 Abs. 1 Nr. 2–3, Abs. 4 HGB |
| Geschäftsdokumente, z. B. Verträge, Angebote, Lieferscheine | 6 Jahre | § 257 Abs. 1 Nr. 2–3, Abs. 4 HGB |
| Buchungsbelege, z. B. Rechnungen, Gutschriften, Lohnbelege | 8 Jahre | § 257 Abs. 1 Nr. 4, Abs. 4 HGB; § 147 Abs. 1 Nr. 4, Abs. 3 AO |
| Bücher, Jahresabschlüsse, Inventare | 10 Jahre | § 257 Abs. 1 Nr. 1, Abs. 4 HGB; § 147 Abs. 1 Nr. 1, Abs. 3 AO |
So rechnet KlarKonform:
- Die Frist beginnt am Ende des Kalenderjahres, in dem die Unterlage entstanden ist oder zuletzt fortgeschrieben wurde (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO). Eine Rechnung vom März 2026 darf also frühestens nach dem 31.12.2034 gelöscht werden.
- Die längste Pflicht gewinnt. Berücksichtigt werden der Dokumenttyp, die Herkunft (z. B. Rechnungen aus der Buchhaltung) und die Datenkategorien von Tätigkeit, Anwendung und Datenbestand. Zu lange aufzubewahren lässt sich korrigieren, zu früh zu löschen nicht.
- Im Zweifel wird nicht gelöscht. Ist ein Dokumenttyp unbekannt, fehlt das Datum, ab dem die Frist läuft, oder ist eine Datenkategorie nicht zuzuordnen, bleibt das Dokument aus dem Löschlauf. Der Grund steht im Löschlauf, z. B. „Aufbewahrungspflichtig, aber ohne Bezugsdatum – Fristende nicht berechenbar“.
- Beaufsichtigte Institute (z. B. Banken und Versicherungen) können für Buchungsbelege längere Fristen haben. KlarKonform führt dafür eine eigene 10-Jahres-Regel.
Weil die Datenkategorien einer Anwendung für alle ihre Datenbestände gelten, bewahrt KlarKonform in Einzelfällen länger auf als nötig. Ein Beispiel: Nennt eine Anwendung auch Zahlungsdaten, werden Website-Anfragen in derselben Anwendung vorerst wie Buchungsbelege behandelt. Das ist eine bewusste Vorsichtsregel und wird verfeinert.
Sperren: wenn Daten vorerst bleiben müssen
Eine Sperre hält die Löschung an, auch wenn die Frist abgelaufen ist. Gesperrte Daten fallen aus jedem Löschlauf.
| Sperre | Wann | Wie |
|---|---|---|
| Betriebsprüfung | Eine steuerliche Außenprüfung läuft oder ist angekündigt. Die Aufbewahrungsfrist läuft dann nicht ab (§ 147 Abs. 3 AO i. V. m. § 171 Abs. 4 AO). | Rechte Spalte → Prüfung eintragen. Zum Aufheben ist eine zweite Person nötig (Vier-Augen-Prinzip). |
| Offene Betroffenenanfrage | Eine Person hat Auskunft, Löschung oder Einschränkung beantragt (Art. 12 Abs. 3, Art. 15–22 DSGVO). Was die Antwort braucht, darf bis dahin nicht verschwinden. | Wird automatisch gesetzt und mit dem Abschluss der Anfrage wieder aufgehoben. Von Hand lässt sie sich weder setzen noch aufheben. |
| Rechtsstreit | Unterlagen werden für ein laufendes oder absehbares Verfahren gebraucht (Art. 17 Abs. 3 lit. e DSGVO). | Mit Begründung. |
| Möglicher Rechtsanspruch | Gegen eine bestimmte Person ist ein Anspruch konkret möglich, z. B. eine offene Gewährleistung (Art. 17 Abs. 3 lit. e DSGVO). | Nur für genau eine Person, nur mit Begründung und immer mit Enddatum. Das Enddatum liegt höchstens am Ende der Verjährung (§§ 195, 199 BGB). Nie automatisch. |
| Aufsicht / Sonstiges | z. B. eine Anfrage der Aufsichtsbehörde. | Mit Begründung. |
Verjährung ist keine Aufbewahrungspflicht. Dass ein Anspruch theoretisch noch nicht verjährt ist, erlaubt für sich genommen kein Aufbewahren. Erst wenn ein Anspruch konkret möglich ist, setzt die verantwortliche Person eine Sperre „Möglicher Rechtsanspruch“. Dafür entscheidet die verantwortliche Person; das Produkt setzt diese Sperre nie selbst.
Die Eingabe der Sperren „Rechtsstreit“, „Möglicher Rechtsanspruch“ und „Aufsicht/Sonstiges“ auf der Löschkonzept-Seite ist in Vorbereitung. Gesetzte Sperren berücksichtigt KlarKonform schon jetzt, im Löschlauf ebenso wie beim Löschen eines Kontakts.
Daten, die nicht verändert werden dürfen
Einige Daten werden revisionssicher und damit unveränderlich gespeichert, z. B. in Archiven und Sicherungen (§ 146 Abs. 4 AO). Diese Daten werden nicht überschrieben, sondern unlesbar gemacht. Sie sind verschlüsselt gespeichert, und beim Löschen wird ihr Schlüssel vernichtet („Crypto-Shredding“, Art. 17 und Art. 32 Abs. 1 lit. a DSGVO).
Nachweis für Prüfungen
- Jede Entscheidung wird protokolliert: bestätigte Regel, zugewiesene Person, Löscheinstellung, Freigabe eines Löschlaufs, herausgenommene Position und gesetzte oder aufgehobene Sperre. Gespeichert werden Person, Zeitpunkt und Inhalt. Die Einträge sind manipulationssicher verkettet: Jeder Eintrag enthält einen Prüfwert des vorherigen (Hash-Kette). Eine nachträgliche Änderung fällt deshalb auf.
- Kein Eintrag ohne Änderung. Wer zweimal dasselbe bestätigt, erzeugt keinen zweiten Eintrag. Sie sehen dann „Keine Änderung – das war bereits so hinterlegt.“
- Der Löschlauf belegt, was gelöscht wurde: Er hält fest, welche Datenbestände mit wie vielen Dokumenten, nach welcher Regel und auf welchem Weg gelöscht wurden. Die Inhalte selbst stehen nicht darin.
- Als PDF herunterladen liefert den Stand Ihres Löschkonzepts mit Datum. Die Gliederung des Dokuments nach DIN 66398 wird noch ausgebaut.
Wer darf was?
| Administration | Verantwortliche Person | Externer Datenschutzbeauftragter | |
|---|---|---|---|
| Löschkonzept ansehen, PDF herunterladen | ja | ja | ja (nur lesend, Details) |
| Löschregel bestätigen | ja | für den eigenen Datenbestand | nein |
| Verantwortliche Person festlegen | ja | nein | nein |
| Löscheinstellung bestätigen | ja | nein | nein |
| Löschlauf freigeben, Positionen herausnehmen | Läufe ohne Person und nach Eskalation | den eigenen Lauf | nein |
| Betriebsprüfung eintragen, Überprüfungstakt, Bestätigungsfrist | ja | nein | nein |
Der externe Datenschutzbeauftragte berät und überwacht, entscheidet aber nicht für Sie (Art. 38 Abs. 6, Art. 39 Abs. 1 DSGVO). Deshalb sieht er die Entscheidungsknöpfe gar nicht erst.
Häufige Fragen
Löscht KlarKonform automatisch? Nein. KlarKonform sammelt fällige Daten und schlägt einen Löschlauf vor. Gelöscht wird erst nach der Freigabe durch eine berechtigte Person. Die Ausnahme sind Anwendungen, für die Sie bestätigt haben, dass die Anwendung selbst löscht.
Was passiert, wenn niemand freigibt? Dann wird nicht gelöscht. Die Aufgabe wird nach der Bestätigungsfrist eskaliert. Bedenken Sie: Fällige Daten sind unverzüglich zu löschen (Art. 17 Abs. 1 DSGVO). Liegenlassen ist also auch keine Lösung.
Kann ich eine kürzere Frist einstellen als das Gesetz? Nein. Unterlagen mit gesetzlicher Aufbewahrungspflicht kommen vor Ablauf dieser Pflicht in keinen Löschlauf. Eine Löscheinstellung, die früher löschen würde, wird abgelehnt.
Wo sind die „Löschklassen“ geblieben? Früher haben Sie Löschklassen von Hand angelegt und Tätigkeiten zugeordnet. Diese Arbeit übernimmt jetzt die Ableitung aus Tätigkeit und Anwendung. Alte Adressen der Löschklassen-Seiten leiten auf das Löschkonzept weiter.