Eine Löschfrist bezeichnet den Zeitraum, nach dessen Ablauf ein Verantwortlicher personenbezogene Daten löscht, die für die Zwecke ihrer Verarbeitung nicht mehr notwendig sind, soweit keine Ausnahme oder Aufbewahrungspflicht entgegensteht.
Auf einen Blick
Die Speicherbegrenzung nach Artikel 5 Absatz 1 Buchstabe e DSGVO knüpft die Dauer der identifizierbaren Speicherung an den Zweck; für Archiv-, Forschungs- und statistische Zwecke gilt unter Bedingungen eine Ausnahme.
Das Verzeichnis von Verarbeitungstätigkeiten des Verantwortlichen enthält nach Artikel 30 DSGVO, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien.
Das Recht auf Löschung nach Artikel 17 DSGVO und eine rechtliche Verpflichtung zur Speicherung sind von der Löschfrist zu unterscheiden; Artikel 17 Absatz 3 nennt Ausnahmen, soweit die Verarbeitung erforderlich ist.
Was ist eine Löschfrist?
Löschfristen orientieren sich am Grundsatz der Speicherbegrenzung: Artikel 5 Absatz 1 Buchstabe e DSGVO verlangt eine Speicherform, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke der Verarbeitung erforderlich ist. Laut Artikel 5 Absatz 1 Buchstabe e DSGVO dürfen personenbezogene Daten länger gespeichert werden, soweit sie vorbehaltlich geeigneter technischer und organisatorischer Maßnahmen ausschließlich für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden. Maßgeblich ist damit der Zweck der Verarbeitung, sofern diese Ausnahme nicht greift.
Trägt ein Versicherer in sein Verzeichnis von Verarbeitungstätigkeiten Löschfristen ein, folgt er Artikel 30 DSGVO, wonach das Verzeichnis, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien enthält. Das Recht auf Löschung ist davon getrennt: Die betroffene Person kann die unverzügliche Löschung sie betreffender personenbezogener Daten verlangen, sofern einer der Gründe des Artikels 17 Absatz 1 zutrifft. Eine Aufbewahrungsfrist ist davon zu unterscheiden: Die Absätze 1 und 2 des Artikels 17 gelten nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten erfordert.
Was passiert, wenn eine Löschfrist abläuft?
Läuft eine Löschfrist ab, kommt es darauf an, ob die Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind, denn dies ist einer der Gründe, bei deren Zutreffen der Verantwortliche nach Artikel 17 Absatz 1 DSGVO verpflichtet ist, die Daten unverzüglich zu löschen, soweit nicht Absatz 3 entgegensteht. Die Absätze 1 und 2 gelten nach Absatz 3 nicht, soweit die Verarbeitung erforderlich ist, darunter zur Erfüllung einer rechtlichen Verpflichtung.
Für Unterlagen nach § 147 AO sind die in Absatz 1 Nummer 1 und 4a aufgeführten Unterlagen zehn Jahre, die in Nummer 4 aufgeführten Unterlagen acht Jahre und die sonstigen in Absatz 1 aufgeführten Unterlagen sechs Jahre aufzubewahren, sofern nicht in anderen Steuergesetzen kürzere Aufbewahrungsfristen zugelassen sind. Die Frist beginnt mit dem Schluss des Kalenderjahrs, in dem etwa der Buchungsbeleg entstanden ist. Kürzere Aufbewahrungsfristen nach außersteuerlichen Gesetzen lassen sie unberührt; sie läuft nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für welche die Festsetzungsfrist noch nicht abgelaufen ist.
Löschfrist im Vergleich
| Kriterium | Löschfrist | Recht auf Löschung |
|---|---|---|
| Gegenstand | Zeitraum, nach dessen Ablauf Daten gelöscht werden; die vorgesehenen Fristen enthält das Verzeichnis von Verarbeitungstätigkeiten, wenn möglich (Artikel 30). | Anspruch der betroffenen Person, vom Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden (Artikel 17 Absatz 1). |
| Auslöser | Maßstab für die Dauer der identifizierbaren Speicherung ist der Zweck der Verarbeitung (Artikel 5 Absatz 1 Buchstabe e). | Einer der Gründe des Artikels 17 Absatz 1, unter anderem dass die Daten für die Zwecke, für die sie erhoben oder verarbeitet wurden, nicht mehr notwendig sind. |
| Wer wird tätig | Der Verantwortliche, der ein Verzeichnis nach Artikel 30 führt, nennt darin, wenn möglich, die vorgesehenen Fristen. | Der Verantwortliche ist bei Vorliegen eines Löschgrundes nach Artikel 17 Absatz 1 DSGVO grundsätzlich auch ohne Antrag der betroffenen Person zur unverzüglichen Löschung verpflichtet, soweit keine Ausnahme nach Absatz 3 greift. Die betroffene Person kann die Löschung außerdem ausdrücklich verlangen. |
| Grenzen | Laut Artikel 5 Absatz 1 Buchstabe e dürfen Daten länger gespeichert werden, soweit sie vorbehaltlich geeigneter technischer und organisatorischer Maßnahmen ausschließlich für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden. | Artikel 17 Absatz 3: Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist, unter anderem zur Erfüllung einer rechtlichen Verpflichtung. |
Wie werden Löschfristen festgelegt und dokumentiert?
| Merkmal | Worauf es ankommt |
|---|---|
| Speicherdauer nach Zweck (Artikel 5 Absatz 1 Buchstabe e) | Laut Artikel 5 Absatz 1 Buchstabe e ermöglicht die Speicherform die Identifizierung der betroffenen Personen nur so lange, wie es für die Zwecke der Verarbeitung erforderlich ist; länger gespeichert werden dürfen Daten, soweit sie vorbehaltlich geeigneter technischer und organisatorischer Maßnahmen ausschließlich für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden. |
| Festlegung und Dokumentation im Verzeichnis (Artikel 30) | Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten; es enthält, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien. Die in den Absätzen 1 und 2 genannten Pflichten gelten nach Artikel 30 Absatz 5 nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, sofern die von ihnen vorgenommene Verarbeitung nicht ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nicht nur gelegentlich erfolgt oder nicht die Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10 einschließt. |
| Löschgrund bei Wegfall des Zwecks (Artikel 17 Absatz 1 Buchstabe a) | Sind die Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig, trifft einer der Gründe zu, bei deren Zutreffen die Daten unverzüglich zu löschen sind; weitere Gründe nennt Artikel 17 Absatz 1. |
| Gegenläufige Pflichten (Artikel 17 Absatz 3) | Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist, unter anderem zur Erfüllung einer rechtlichen Verpflichtung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. |
Schutz im Ernstfall
Vorbeugen
- Die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien, wenn möglich, im Verzeichnis von Verarbeitungstätigkeiten des Verantwortlichen nach Artikel 30 DSGVO angeben.
- Die Speicherung am Zweck der Verarbeitung ausrichten: Laut Artikel 5 Absatz 1 Buchstabe e DSGVO ist eine Speicherform erforderlich, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke der Verarbeitung erforderlich ist; länger gespeichert werden dürfen Daten, soweit sie vorbehaltlich geeigneter technischer und organisatorischer Maßnahmen ausschließlich für Archivzwecke im öffentlichen Interesse, für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden.
- Rechtliche Verpflichtungen nach dem Recht der Union oder der Mitgliedstaaten berücksichtigen, weil sie der Löschung nach Artikel 17 Absatz 3 DSGVO entgegenstehen können, soweit die Verarbeitung zu ihrer Erfüllung erforderlich ist.
Was tun im Ernstfall
- Sind die Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig, besteht ein Löschgrund nach Artikel 17 Absatz 1 Buchstabe a DSGVO; der Verantwortliche ist verpflichtet, die Daten unverzüglich zu löschen, sofern einer der Gründe zutrifft.
- Die Absätze 1 und 2 des Artikels 17 gelten nach Absatz 3 nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten erfordert.
- Die Absätze 1 und 2 des Artikels 17 gelten nach Absatz 3 ebenfalls nicht, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
Beispiele aus der Praxis
- Sind personenbezogene Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig, kann dies nach Artikel 17 Absatz 1 Buchstabe a DSGVO ein Löschgrund sein, sofern keine Ausnahme des Absatzes 3 greift.
- Für Buchungsbelege sieht § 147 AO eine Aufbewahrungsfrist von acht Jahren vor, die mit dem Schluss des Kalenderjahrs beginnt, in dem der Buchungsbeleg entstanden ist, sofern nicht in anderen Steuergesetzen kürzere Aufbewahrungsfristen zugelassen sind; sie läuft nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für welche die Festsetzungsfrist noch nicht abgelaufen ist; solange eine rechtliche Verpflichtung die Verarbeitung erfordert, kann Artikel 17 Absatz 3 DSGVO der Löschung entgegenstehen.
- Ein Versicherer führt sein Verzeichnis aller Verarbeitungstätigkeiten und gibt darin, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien an.
