Viele Unternehmen unterschätzen noch immer, wie ernst die Datenschutz-Grundverordnung (DSGVO) das Thema „Löschung“ nimmt. Häufig wird angenommen, dass das Ausblendenoder Deaktivieren von Datensätzen in Systemen bereits ausreicht, um den Datenschutzanforderungen zu genügen. Doch das ist ein gefährlicher Irrtum:
Die Datenlöschung nach DSGVO verlangt echtes Entfernen – also das unwiderrufliche, nicht wiederherstellbare Löschen personenbezogener Daten aus allen Systemen und Datensicherungen.
Das betrifft jedes Unternehmen, das personenbezogene Daten verarbeitet – vom kleinen Handwerksbetrieb mit digitaler Kundenkartei bis zum Konzern mit komplexer IT‑Landschaft. Wer keine echte bzw. DSGVO‑konforme Datenlöschung sicherstellt, riskiert Bußgelder und Vertrauensverlust.
Das Prinzip der Speicherbegrenzung – Grundlage jeder DSGVO‑konformen Datenlöschung
Das Prinzip der Speicherbegrenzung ist in Artikel 5 Abs. 1 lit. e DSGVO festgeschrieben. Es verpflichtet Unternehmen dazu, personenbezogene Daten nur so lange zu speichern, wie sie für den jeweiligen Zweck erforderlich sind. Sobald dieser Zweck entfällt, müssen die Daten entweder gelöscht oder pseudonymisiert werden.
In der Praxis bedeutet das:
-
Daten dürfen nicht unbegrenzt aufbewahrt werden, sondern müssen regelmäßig überprüft und bei Wegfall des Zwecks gelöscht werden.
-
Eine längere Speicherung ist nur erlaubt, wenn gesetzliche Aufbewahrungsfristen bestehen.
-
Unternehmen müssen jederzeit nachweisen können, dass ihre Datenlöschung DSGVO‑konform erfolgt.
Gerade im digitalen Alltag mit Cloud‑Diensten, Backups und Archivsystemen wird diese Forderung schnell komplex – doch sie ist zentral, um Datenschutz nachhaltig umzusetzen.
Lesen Sie gerne auch ergänzend unseren Artikel zum Thema Inhalte Auftragsverarbeitungsvertrag im Überblick.
Typische Schwachstellen bei der Datenlöschung
Die Datenschutzaufsichten in Europa stellen regelmäßig fest, dass es bei der Datenlöschung nach DSGVO ähnliche Lücken gibt:
- Unklare Verantwortlichkeiten: Niemand ist dezidiert für Löschung zuständig.
- Unterschiedliche Speicherfristen: Systeme speichern Daten länger, als der Zweck es erlaubt.
- Veraltete Software: Alte Systeme lassen keine vollständige Entfernung von Datensätzen zu.
- Unvollständige Umsetzung: Betroffene werden nicht transparent über den Löschstatus informiert.
Diese Probleme führen schnell zu DSGVO‑Verstößen – selbst dann, wenn keine Datenpanne vorliegt. Entscheidend ist nicht nur ob, sondern wie gelöscht wird.
Wie sieht ein praxistaugliches Löschkonzept aus?
Ein praxistaugliches Löschkonzept umfasst fünf zentrale Schritte:
- Bestandsaufnahme und Dateninventar:
Erfassen Sie, wo personenbezogene Daten liegen – von CRM‑Systemen und HR‑Software bis zu Backups und E‑Mail‑Archiven. - Fristen und Zwecke definieren:
Legen Sie fest, wann welche Daten gelöscht werden müssen. Eine DSGVO‑konforme Datenlöschung erfordert klare, dokumentierte Regeln. - Technische Löschroutinen einrichten:
Nutzen Sie Systeme, die automatisiert löschen oder klare Workflows ermöglichen. Wenn das technisch nicht geht, definieren Sie manuelle Verfahren. - Backups berücksichtigen:
Auch Sicherungskopien müssen Teil des Löschkonzepts sein – sonst bleibt die Datenlöschung unvollständig. - Schulungen & Nachweise:
Nur geschulte Mitarbeitende können dafür sorgen, dass Löschvorgaben im Alltag tatsächlich umgesetzt werden.
Praxisbeispiele für erfolgreiche Datenlöschung nach DSGVO
- Im HR‑Bereich: Bewerbungsunterlagen müssen nach Abschluss des Verfahrens gelöscht oder anonymisiert werden.
- Im Vertrieb: Daten in CRM‑Systemen sollten regelmäßig auf inaktive Kund:innen geprüft und bei Bedarf gelöscht werden.
- In der IT: Alte Protokolldaten oder Testumgebungen enthalten oft personenbezogene Infos – sie gehören in jeden Löschplan.
Checkliste: 5 Punkte für DSGVO‑konforme Datenlöschung
- Alle Datenspeicher erfassen: Wo liegen personenbezogene Daten genau?
- Löschfristen definieren: Wann entfällt der Zweck der Speicherung?
- Technische Umsetzung prüfen: Kann die Software wirklich löschen?
- Löschprozess dokumentieren: Entscheidungen und Nachweise festhalten.
- Regelmäßig prüfen und schulen: Prozesse aktuell halten und Mitarbeitende sensibilisieren.
Fazit
Die Datenlöschung nach DSGVO ist mehr als nur ein formaler Schritt – sie ist Voraussetzung für Datenschutz auf allen Ebenen.
Unternehmen, die Speicherbegrenzung ernst nehmen, ihre Systeme regelmäßig prüfen und Prozesse dokumentieren, sichern sich nicht nur rechtlich ab, sondern stärken auch ihre Glaubwürdigkeit gegenüber Kunden und Behörden.
Jetzt ist der richtige Zeitpunkt, um bestehende Verfahren zu überprüfen und echte, technisch nachvollziehbare Löschprozesse zu etablieren.
