Eine Bewerbung aus dem vergangenen Jahr, Kontaktdaten eines ehemaligen Kunden, Projektunterlagen in mehreren Dateiablagen: In Unternehmen bleiben viele personenbezogene Daten länger gespeichert, als sie tatsächlich gebraucht werden. Ein Löschkonzept mit klaren Regeln hilft, den Überblick zu behalten und Datenschutzrisiken zu reduzieren.

„Vielleicht brauchen wir das noch.“ Dieser Satz erklärt vermutlich einen beträchtlichen Teil der Datenbestände in Unternehmen. Eine E-Mail bleibt im Postfach, eine Kundenliste auf dem Laufwerk, eine Bewerbung zusätzlich bei der Führungskraft. Die Speicherung passiert nebenbei. Ob die Daten später noch benötigt werden, prüft häufig niemand.

So wachsen über Jahre Bestände, deren ursprünglicher Zweck längst entfallen ist. Für die Geschäftsführung stellt sich deshalb eine praktische Frage: Wer entscheidet eigentlich, was bleiben muss – und was gelöscht werden sollte?

Personenbezogene Daten dürfen grundsätzlich nur so lange gespeichert werden, wie es für ihren Verarbeitungszweck erforderlich ist. Entfällt dieser Zweck und besteht kein anderer rechtlicher Grund für die weitere Speicherung, sind die Daten zu löschen. Dafür braucht es keine ausdrückliche Aufforderung der betroffenen Person.

Gleichzeitig können gesetzliche Aufbewahrungspflichten oder die notwendige Geltendmachung beziehungsweise Verteidigung von Rechtsansprüchen einer Löschung entgegenstehen. Entscheidend ist deshalb eine Prüfung nach Datenart und Zweck. Eine einheitliche Frist für sämtliche Unternehmensdaten wird diesen Anforderungen nicht gerecht.

Abgeschlossene Bewerbungen: Die Stelle ist besetzt, doch Lebensläufe und Zeugnisse befinden sich weiterhin im Bewerbungssystem, in E-Mail-Postfächern und in lokalen Downloads. Unternehmen sollten festlegen, wann diese Unterlagen nach Abschluss des Verfahrens zu löschen sind. Eine zeitweise Aufbewahrung zur Verteidigung gegen mögliche Ansprüche ist gesondert zu berücksichtigen. Auch ein Bewerberpool braucht eine passende Rechtsgrundlage und eine festgelegte Speicherdauer.

Ehemalige Kundenkontakte: Rechnungen, Vertragsunterlagen und eine alte Vertriebsliste erfüllen unterschiedliche Zwecke. Dass bestimmte Unterlagen aufbewahrt werden müssen, rechtfertigt nicht automatisch die weitere Speicherung sämtlicher Informationen über einen Kunden.

Alte E-Mails und doppelte Ablagen: Ein Dokument liegt im zentralen System, als E-Mail-Anhang und als Kopie auf dem Desktop. Wird nur das Original gelöscht, bleiben die übrigen Fassungen bestehen. Ein Löschkonzept sollte deshalb auch die tatsächlichen Speicherorte berücksichtigen.

Ein umfangreiches Dokument allein löst das Problem nicht. Beschäftigte brauchen verständliche Regeln, die sich auf ihre Arbeit übertragen lassen.

Für jede relevante Datenkategorie sollten fünf Punkte geklärt sein:

• Zweck: Warum werden die Daten benötigt?
• Speicherort: In welchen Systemen und Ablagen befinden sie sich?
• Frist und Fristbeginn: Wie lange werden die Daten benötigt – und welches Ereignis setzt die Frist in Gang?
• Verantwortung: Wer prüft und veranlasst die Löschung?
• Ausnahmen: Wann muss eine geplante Löschung ausgesetzt werden, etwa wegen eines laufenden Rechtsstreits?

Gerade der Fristbeginn verdient Aufmerksamkeit. Ob eine Frist ab Eingang einer Bewerbung, Abschluss eines Verfahrens oder Ende eines Kalenderjahres berechnet wird, kann einen erheblichen Unterschied machen. Die Regeln sollten deshalb gemeinsam mit den zuständigen Fachbereichen, der IT und der Datenschutzberatung festgelegt werden.

Wo Systeme automatische Löschregeln ermöglichen, können diese den manuellen Aufwand verringern. Voraussetzung ist, dass Fristen, Ausnahmen und Zuständigkeiten vorher geklärt wurden.

Zusätzlich sollten Unternehmen prüfen, ob ihre Regeln auch gemeinsam genutzte Postfächer, lokale Dateien und externe Dienstleister erfassen. Datensicherungen gehören ebenfalls in die Planung: Für sie braucht es geregelte Aufbewahrungszyklen und einen Ablauf, der verhindert, dass bereits gelöschte Daten nach einer Wiederherstellung dauerhaft in die aktive Nutzung zurückkehren.

Unternehmen müssen nicht sämtliche Datenbestände auf einmal ordnen. Ein sinnvoller Anfang ist ein klar abgegrenzter Bereich, etwa das Bewerbungsverfahren oder die Kundenverwaltung.

Dort lässt sich erfassen, welche Daten entstehen, wo sie gespeichert werden und welche Regeln gelten sollen. Einen guten Ausgangspunkt bietet das Verzeichnis von Verarbeitungstätigkeiten: Dort sollen die vorgesehenen Löschfristen ohnehin hinterlegt sein. Anschließend wird geprüft, ob die Löschung tatsächlich funktioniert. Die Erfahrungen helfen, weitere Bereiche systematisch einzubeziehen.

Welche personenbezogenen Daten braucht Ihr Unternehmen noch – und bei welchen fehlt inzwischen der Grund für die Speicherung? Wer diese Frage regelmäßig beantwortet, schafft die Grundlage für einen kontrollierten und nachvollziehbaren Umgang mit Daten.