Was ist ein Löschkonzept und wozu dient es?
Ein Löschkonzept ist die schriftliche, systematische Festlegung, wann welche Dokumente und Daten in einer Organisation gelöscht oder vernichtet werden müssen. Es setzt den datenschutzrechtlichen Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO um: Personenbezogene Daten dürfen nicht länger gespeichert werden, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Gleichzeitig muss das Löschkonzept die zahlreichen gesetzlichen Aufbewahrungspflichten berücksichtigen, die eine Löschung vor Fristablauf ausdrücklich verbieten.
Für digitale Aktenarchive ist ein Löschkonzept keine Kür, sondern eine Voraussetzung für ein rechtssicheres System: Ohne klar definierte Löschregeln wachsen Archive unkontrolliert, was sowohl datenschutzrechtliche Risiken als auch Kosten und Unübersichtlichkeit erhöht.
Ein häufiges Missverständnis ist, ein Löschkonzept diene in erster Linie dem Datenschutz und sei damit vor allem eine Pflicht gegenüber Betroffenen. In der Praxis profitieren Organisationen mindestens ebenso stark vom internen Nutzen: Ein sauber gepflegtes Archiv ohne unnötigen Datenballast lässt sich schneller durchsuchen, verursacht geringere Speicherkosten und reduziert die Angriffsfläche im Falle eines Sicherheitsvorfalls, weil schlicht weniger sensible Daten überhaupt vorgehalten werden.
Wie werden Aufbewahrungs- und Löschfristen zusammengeführt?
Die zentrale Herausforderung eines Löschkonzepts liegt darin, für jede Dokumentenklasse die richtige Frist zu bestimmen – und zwar nicht die Löschfrist isoliert, sondern das Ende der jeweils längsten einschlägigen Aufbewahrungspflicht. Typisches Vorgehen:
- Dokumentenklassen bilden: Rechnungen, Verträge, Personalunterlagen, Mandantenakten, Bauakten – jede Klasse hat eigene rechtliche Rahmenbedingungen.
- Maßgebliche Fristen ermitteln: Handels- und steuerrechtliche Fristen (§§ 257 HGB, 147 AO), berufsrechtliche Fristen etwa für Kanzleien, arbeitsrechtliche Fristen für Personalunterlagen, vertragliche und verjährungsrechtliche Erwägungen.
- Fristbeginn festlegen: Häufig das Ende des Kalenderjahres, in dem die letzte Eintragung erfolgte oder der Vertrag beendet wurde – nicht das Erstellungsdatum des Dokuments.
- Löschregel je Klasse dokumentieren: Konkrete Frist in Jahren, Ausnahmen und Verlängerungsgründe wie laufende Rechtsstreitigkeiten.
Erst wenn die längste einschlägige Frist abgelaufen ist und kein anderer Grund für weitere Speicherung besteht – etwa ein laufendes Verfahren –, darf tatsächlich gelöscht werden.
Ein praktisches Beispiel verdeutlicht die Komplexität: Ein Personaldokument kann gleichzeitig einer sechsjährigen handelsrechtlichen Aufbewahrungspflicht, einer verlängerten zehnjährigen Frist wegen enthaltener Rechnungsdaten und einer arbeitsrechtlich begründeten Aufbewahrungsempfehlung von bis zu drei Jahren nach Beendigung des Arbeitsverhältnisses unterliegen. Maßgeblich ist stets die längste einschlägige Frist, nicht ein pauschaler Standardwert für die gesamte Dokumentenklasse.
Welche Rolle spielt das Löschkonzept beim Scannen und Archivieren?
Bei der Digitalisierung von Papierakten betrifft das Löschkonzept zwei getrennte Ebenen:
- Die Papieroriginale: Nach erfolgreichem, dokumentiertem ersetzenden Scannen dürfen sie nach GoBD- bzw. DIN-66399-konformer Vernichtung entsorgt werden, sofern keine Gründe für Originalerhalt bestehen.
- Die Digitalisate im Archiv: Sie unterliegen denselben Löschfristen wie das ursprüngliche Papierdokument und müssen im DMS oder Archivsystem entsprechend markiert und nach Fristablauf gelöscht werden.
Ein gut konfiguriertes Archivsystem verknüpft jede Dokumentenklasse bei der Indexierung automatisch mit der passenden Aufbewahrungs- und Löschregel, sodass Fristen nicht manuell überwacht werden müssen. Das reduziert sowohl das Risiko verspäteter als auch vorzeitiger Löschung.
Besonders bei der Migration eines bestehenden Papierarchivs in ein neues DMS lohnt sich ein sorgfältiger Blick auf historische Bestände: Häufig lagern in gewachsenen Archiven Dokumente, deren Aufbewahrungsfrist längst abgelaufen ist, ohne dass dies bislang systematisch erfasst wurde. Die Digitalisierung bietet die Gelegenheit, solche Altbestände im selben Projektschritt zu bewerten und gegebenenfalls fachgerecht zu vernichten, statt sie unnötig ins neue digitale Archiv zu überführen.
Wie wird die Löschung technisch und organisatorisch abgesichert?
Damit ein Löschkonzept nicht nur auf dem Papier existiert, braucht es technische Umsetzung und Kontrolle:
- Automatisierte Fristüberwachung: Das Archivsystem markiert Dokumente bei Fristablauf zur Löschung.
- Freigabeschleife: Eine verantwortliche Person prüft vor der endgültigen Löschung, ob wirklich keine Ausnahme greift, etwa ein laufender Rechtsstreit oder eine behördliche Anfrage.
- Protokollierung im Audit-Trail: Jede Löschung wird nachvollziehbar dokumentiert – wann, welches Dokument, auf welcher Rechtsgrundlage.
- Sichere Löschung: Bei elektronischen Daten reicht ein einfaches „Löschen" oft nicht aus; je nach Speichermedium sind kryptografisches Löschen oder mehrfaches Überschreiben nötig, um Wiederherstellung auszuschließen.
Wie unterscheidet sich das Löschkonzept vom Auftragsverarbeitungsvertrag?
Der Auftragsverarbeitungsvertrag regelt unter anderem, dass der Dienstleister nach Projektende zur Löschung oder Rückgabe der Daten verpflichtet ist – er verweist also auf das Löschkonzept, ersetzt es aber nicht. Das Löschkonzept selbst ist eine unternehmensweite, dokumentenklassenübergreifende Regelung, die unabhängig davon gilt, ob die Verarbeitung intern oder durch einen externen Scandienstleister erfolgt.
Praktisch bedeutet das für ein Scanprojekt: Der AVV legt fest, dass der Dienstleister Zwischenkopien, temporäre Arbeitsdateien und gescannte Rohdaten nach Abschluss und erfolgreicher Übergabe an den Auftraggeber löschen muss – meist innerhalb einer klar definierten kurzen Frist von wenigen Wochen. Das Löschkonzept des Auftraggebers regelt dagegen, wie lange das fertige Digitalisat selbst im eigenen Archiv verbleiben darf, bevor es Jahre später nach Ablauf der jeweiligen Aufbewahrungsfrist gelöscht wird.
Wie starten Organisationen mit einem Löschkonzept?
Ein pragmatischer Einstieg gliedert sich in drei Schritte: Erstens eine Bestandsaufnahme der vorhandenen Dokumentenklassen und ihrer jeweiligen Aufbewahrungspflichten. Zweitens die Festlegung konkreter Löschregeln je Klasse, idealerweise gemeinsam mit dem Datenschutzbeauftragten. Drittens die technische Umsetzung im Archivsystem, damit Fristen automatisiert überwacht statt manuell nachgehalten werden.
Für Kanzleien, Architekturbüros und Behörden mit heterogenen Aktenbeständen empfiehlt sich zusätzlich, das Löschkonzept nicht als einmaliges Projekt, sondern als laufenden Prozess zu verstehen: Neue Dokumentenklassen, geänderte gesetzliche Fristen oder neue Software erfordern regelmäßige Anpassungen. Eine feste Zuständigkeit, etwa im Datenschutzteam oder in der IT-Abteilung, stellt sicher, dass das Löschkonzept nicht veraltet, während sich das Archiv weiterentwickelt. Wer ein neues digitales Archiv aufbaut, sollte das Löschkonzept von Beginn an mitplanen – Details zur Systemauswahl liefert unser Leitfaden zur DMS-Einführung, individuelle Fragen klärt unser Team über die Kontaktseite.