Rechtsfrage

Löschen, aufbewahren und beides begründen

Löschpflichten hängen nicht von einem Löschungsverlangen ab, sondern ergeben sich unmittelbar aus dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e DSGVO. Die einschlägigen Aufbewahrungsfristen betragen je nach Datenkategorie sechs, acht oder zehn Jahre und nicht pauschal zehn Jahre. Bestehen Altsysteme fort, erfolgt die Löschung nicht von selbst.

Ein Löschverlangen, mehrere Systeme

Eine ehemalige Kundin verlangt die Löschung ihrer Daten. Das Kundenverwaltungssystem findet sie sofort. Ob sie auch im Newslettersystem liegt, im Ticketsystem, in der Sicherung des vorigen Jahres und in der Testumgebung, weiß niemand. Die Frist läuft.

Ein Löschverlangen trifft die Frage nach den Speicherorten

Der Umgang mit einem Löschungsverlangen ist rechtlich meist der einfachere Fall. Liegt einer der in Art. 17 Abs. 1 DSGVO genannten Löschungsgründe vor, besteht ein Anspruch auf Löschung. Die Antwort hat innerhalb eines Monats zu erfolgen. Nach Art. 12 Abs. 3 DSGVO kann die Frist um bis zu zwei Monate verlängert werden.

Vier Schritte innerhalb der Frist

Identität und Umfang klären
Art. 12 Abs. 6 DSGVO erlaubt zusätzliche Angaben bei begründeten Zweifeln. Zugleich ist zu bestimmen, welche Verarbeitungen das Verlangen erfasst.
Gründe prüfen
Art. 17 Abs. 1 DSGVO nennt sechs Gründe, Absatz 3 fünf Gegengründe. Eine gesetzliche Aufbewahrungspflicht steht der Löschung entgegen und führt zur Einschränkung der Verarbeitung gemäß Art. 18 DSGVO.
In allen Systemen umsetzen
Der Anspruch richtet sich gegen den Verantwortlichen und nicht gegen ein System. Sicherungen, Auftragsverarbeiter und Testumgebungen gehören dazu.
Empfänger unterrichten
Art. 19 DSGVO verlangt die Mitteilung an alle Empfänger, denen die Daten offengelegt wurden, soweit das nicht unmöglich oder unverhältnismäßig ist.

Am dritten Schritt scheitert es. Ohne eine Liste der Speicherorte je Verarbeitungstätigkeit lässt sich die Vollständigkeit einer Löschung nicht belegen. In der Antwort an die betroffene Person steht sie trotzdem.

Die Pflicht zu löschen besteht ohne Verlangen

Ob Daten ohne Antrag der betroffenen Person zu löschen sind, ergibt sich bereits aus Art. 5 Abs. 1 Buchst. e DSGVO. Die zulässige Speicherdauer endet mit dem Wegfall des Verarbeitungszwecks. Der Europäische Gerichtshof hat mit Urteil vom 20.10.2022 klargestellt, dass der Verantwortliche die Dauer der Speicherung begründen und nachweisen können muss.

Daraus folgt die Richtung eines Löschkonzepts. Es hält fest, wann zu löschen ist und woraus sich die Dauer ergibt. Die Felder dafür stehen im Verzeichnis der Verarbeitungstätigkeiten, wo Art. 30 Abs. 1 Buchst. f DSGVO die vorgesehenen Fristen verlangt.

Zehn Jahre gelten nicht für alles

Wie lange Unterlagen aufzubewahren sind, wird meist mit zehn Jahren beantwortet. Die beiden einschlägigen Vorschriften staffeln nach Unterlagenart.

Die Fristen des § 257 HGB und des § 147 AO

Zehn Jahre

Handelsbücher, Inventare, Eröffnungsbilanzen, Jahres- und Konzernabschlüsse, Lageberichte sowie die zu ihrem Verständnis erforderlichen Organisationsunterlagen.

Acht Jahre

Buchungsbelege. Für Kreditinstitute, Versicherungen und Wertpapierinstitute bleiben sie nach § 257 Abs. 4 Satz 2 HGB bei zehn Jahren.

Sechs Jahre

Empfangene und abgesandte Handelsbriefe sowie die sonstigen Unterlagen, soweit sie für die Besteuerung von Bedeutung sind.

Wann die Frist beginnt und wann sie sich verlängert

Der Lauf beginnt mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden oder der Abschluss festgestellt wurde. Nach § 147 Abs. 3 Satz 5 AO endet die Frist nicht, solange die Festsetzungsfrist läuft.

Aufbewahrungspflicht und Löschpflicht

Aufbewahrungspflicht	Merkmal	Löschpflicht
§ 257 HGB, § 147 AODazu Sonderregeln, etwa aus dem Sozial- und Berufsrecht.	Quelle	Art. 5 Abs. 1 Buchst. e DSGVODazu Art. 17 DSGVO auf Verlangen.
Bestimmte UnterlagenBücher, Belege, Handelsbriefe. Nicht jeder Datensatz, der davon berührt ist.	Gegenstand	Jede VerarbeitungAuch Sicherungen, Protokolle und Testbestände.
Zehn, acht, sechs JahreZehn für Bücher und Abschlüsse, acht für Buchungsbelege, sechs für das Übrige.	Dauer	So lange wie erforderlichNachzuweisen vom Verantwortlichen, nicht zu vermuten.
Verdrängt die LöschungArt. 17 Abs. 3 Buchst. b DSGVO, aber nur für die betroffene Unterlage.	Wirkung im Konflikt	Greift für alles ÜbrigeDer übrige Datensatz bleibt zu löschen oder nach Art. 18 DSGVO einzuschränken.

Eine Aufbewahrungspflicht rechtfertigt die Aufbewahrung der Unterlage und nicht den Weiterbetrieb des Systems, in dem sie liegt. Diese Unterscheidung ist der Kern eines brauchbaren Löschkonzepts.

Im Altsystem endet keine Frist von selbst

Was mit den Daten eines abgelösten Systems geschieht, wird selten bewusst entschieden und häufig durch bloßes Fortbestehenlassen bestimmt. Mit der Ablösung endet regelmäßig der ursprüngliche Verarbeitungszweck, bestehende Aufbewahrungspflichten gelten jedoch fort. Dazwischen entsteht ein Datenbestand, für den oft keine klare Verantwortung mehr wahrgenommen wird.

Was bei einer Ablösung zu entscheiden ist

Welche Unterlagen einer Aufbewahrungspflicht unterliegen und in welcher Form sie vorzuhalten sind
Ob § 147 Abs. 6 AO greift, der bei einem Systemwechsel nach fünf Jahren einen maschinell auswertbaren Datenträger genügen lässt, solange keine Außenprüfung begonnen hat
Welche Daten in der Migration mitgehen und welche im Altbestand bleiben, mit einer Begründung für beides
Wer die Sicherungen des Altsystems löscht und wann
Ob eine Testumgebung mit Echtdaten besteht und wie sie endet

So unterstützen wir Sie beim Löschkonzept

Ein Löschkonzept basiert auf derselben Grundlage wie das Verzeichnis der Verarbeitungstätigkeiten. Für jede Verarbeitung sind die Löschfrist, der Beginn ihres Fristenlaufs und die für die Umsetzung zuständige Stelle festzulegen. Fehlt die Zuordnung einer Verantwortlichkeit, bleibt das Konzept ohne praktische Wirkung.

Wie lange Unterlagen zur Abwehr zivilrechtlicher Ansprüche zu halten sind, richtet sich nach der Verjährung und damit nicht nach dem Datenschutzrecht. Diese Prüfung und die Frage, welche Nachweise ein Prozess verlangt, laufen über die angegliederte Kanzlei.

Häufige Fragen

Muss ohne Löschverlangen gelöscht werden?

Ja. Art. 5 Abs. 1 Buchst. e DSGVO begrenzt die Speicherung auf die Dauer der Zweckerreichung, unabhängig davon, ob jemand etwas verlangt. Der Gerichtshof hat am 20.10.2022 hinzugefügt, dass der Verantwortliche diese Dauer nachweisen können muss.

Gelten immer zehn Jahre?

Nein. § 257 Abs. 4 HGB und § 147 Abs. 3 AO staffeln nach Unterlagenart: zehn Jahre für Bücher, Inventare und Abschlüsse, acht Jahre für Buchungsbelege, sechs Jahre für das Übrige. Für Institute und Versicherungen bleiben Buchungsbelege bei zehn Jahren.

Was gilt für ein abgelöstes System?

Die Zwecke der ursprünglichen Verarbeitung enden mit der Ablösung, die Aufbewahrungspflichten nicht. § 147 Abs. 6 AO lässt es bei einem Systemwechsel genügen, die Daten nach Ablauf des fünften Kalenderjahres nur noch auf einem maschinell auswertbaren Datenträger zu halten, sofern keine Außenprüfung begonnen hat.

Genügt das Sperren statt des Löschens?

Nur wo eine Aufbewahrungspflicht der Löschung entgegensteht. Dann tritt die Einschränkung der Verarbeitung nach Art. 18 DSGVO an ihre Stelle. Der Zugriff ist auf die Erfüllung dieser Pflicht zu begrenzen. Ein Sperrvermerk ohne technische Wirkung erfüllt das nicht.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.