Datenvernichtung nach der DSGVO: Methoden, Fristen und Nachweis

Du musst personenbezogene Daten löschen bzw. vernichten, sobald der Zweck entfällt und keine Aufbewahrungspflicht entgegensteht (Art. 5 Abs. 1 lit. e, Art. 17 DSGVO). Welche Methode du wählst, hängt vom Datenträger ab; die DSGVO schreibt keine bestimmte Methode vor, Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind.

Alte Bewerbungen im Papierkorb, verstaubte Datenbanken oder vergessene Cloud-Backups – beim Thema Datenvernichtung übersehen viele Unternehmen, wie wichtig der „richtige“ Umgang mit personenbezogenen Daten ist. Denn laut DSGVO dürfen Daten nur so lange gespeichert werden, wie sie wirklich gebraucht werden – danach müssen sie gelöscht oder vernichtet werden. Doch was bedeutet das konkret?
In diesem Artikel erfährst du, wann eine Datenvernichtung notwendig ist, welche Methoden DSGVO-konform sind und welche Fehler du unbedingt vermeiden solltest. Mit praxisnahen Tipps, einer Checkliste und Hinweisen zu Löschkonzepten bist du bestens vorbereitet – digital wie analog.

Was passiert mit deinen Daten, wenn sie "weg" sind?

Ob Kundendaten auf einem alten Laptop, Bewerbungsunterlagen im Papierkorb oder Cloud-Backups – Daten sind schnell gespeichert, aber das "richtige" Löschen wird oft vergessen. Dabei geht es nicht nur um Ordnung oder Speicherplatz. Wenn personenbezogene Daten unvollständig oder unsachgemäß gelöscht werden, riskierst du gravierende Datenschutzverstöße.

Die DSGVO schreibt vor, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie sie für einen legitimen Zweck benötigt werden. Sobald dieser Zweck entfällt, müssen die Daten gelöscht oder vernichtet werden – DSGVO-konform, nachvollziehbar und nachweisbar.

Viele Unternehmen scheitern jedoch genau an diesem Punkt: Backups werden nicht berücksichtigt, Papierakten bleiben im Archiv liegen oder veraltete Datenbanken werden ignoriert. Dabei ist die Datenvernichtung ein zentraler Bestandteil eines funktionierenden Datenschutzmanagements.

Was sagt die DSGVO zur Datenvernichtung?

Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen zur Datenminimierung und zur Speicherbegrenzung (Art. 5 Abs. 1 lit. c und e DSGVO). Sobald Daten nicht mehr für den ursprünglichen Zweck benötigt werden, müssen sie gelöscht werden – und zwar sicher.

Recht auf Löschung (Art. 17 DSGVO): 

Betroffene haben das Recht, die unverzügliche Löschung ihrer Daten zu verlangen, wenn einer dieser Gründe zutrifft (Art. 17 Abs. 1 DSGVO):

• der Zweck der Verarbeitung entfällt,
• die Einwilligung wurde widerrufen und es gibt keine andere Rechtsgrundlage,
• die betroffene Person legt Widerspruch nach Art. 21 ein (bei Art. 21 Abs. 1 nur, wenn keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen),
• die Daten wurden unrechtmäßig verarbeitet,
• oder eine rechtliche Pflicht zur Löschung besteht.

Das Recht gilt nicht, soweit die Verarbeitung erforderlich ist, etwa zur Erfüllung einer rechtlichen Verpflichtung, zum Beispiel einer gesetzlichen Aufbewahrungspflicht, oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 lit. b und e DSGVO). Den Wortlaut findest du bei gdpr-info.eu (Art. 17 DSGVO). Wie sich das Recht auf Löschung bei KI-Modellen auswirkt, erklärt der Beitrag Recht auf Vergessenwerden bei KI-Modellen.

Löschen, vernichten, anonymisieren: Was ist der Unterschied?

Die drei Begriffe unterscheiden sich darin, was mit den Daten oder dem Datenträger passiert:

• Löschung: Daten sind nicht mehr auffindbar oder rekonstruierbar.
• Vernichtung: Daten werden so physisch oder technisch zerstört, dass sie nicht mehr wiederhergestellt werden können (z. B. durch Schreddern oder sichere Löschsoftware).
• Anonymisierung: Daten werden so verändert, dass sie keiner Person mehr zugeordnet werden können.

Nur Löschen reicht oft nicht aus – bei besonders sensiblen Daten oder physischen Trägern ist eine Vernichtung notwendig.

Wann musst du Daten löschen oder vernichten?

Du musst Daten löschen oder vernichten, wenn der Zweck entfallen ist und keine Aufbewahrungspflicht mehr besteht (Art. 5 Abs. 1 lit. e DSGVO) oder wenn ein Löschanspruch nach Art. 17 DSGVO besteht. Hier sind die wichtigsten Situationen im Detail erklärt:

1. Nach Ablauf gesetzlicher Aufbewahrungsfristen
Viele Daten, insbesondere aus der Buchhaltung, müssen aus steuer- oder handelsrechtlichen Gründen für einen bestimmten Zeitraum gespeichert werden (je nach Unterlage 6, 8 oder 10 Jahre, siehe die Tabelle unten). Nach Ablauf dieser Fristen besteht keine Pflicht zur Aufbewahrung mehr. Brauchst du die Daten auch für keinen anderen Zweck, musst du sie löschen (Art. 5 Abs. 1 lit. e, Art. 17 Abs. 1 lit. a DSGVO); werden sie ohne Grund weiter gespeichert, verstößt das gegen den Grundsatz der Speicherbegrenzung.

2. Bei Widerruf der Einwilligung
Hat eine betroffene Person ihre Einwilligung zur Verarbeitung personenbezogener Daten gegeben, kann sie diese jederzeit widerrufen. Ab diesem Zeitpunkt dürfen die Daten nicht weiterverarbeitet werden und müssen – sofern keine anderen rechtlichen Grundlagen bestehen – gelöscht oder vernichtet werden.

3. Bei Zweckentfall
Wenn die Daten ihren ursprünglichen Verwendungszweck erfüllt haben, z. B. nach Abschluss eines Projekts oder einer Bewerbung, ist ihre Speicherung nicht mehr gerechtfertigt. Sie müssen daher gelöscht oder vernichtet werden. Ein gutes Datenmanagement sorgt dafür, dass solche Fälle regelmäßig erkannt und automatisiert verarbeitet werden.

4. Bei einem berechtigten Löschverlangen
Betroffene Personen können unter den Voraussetzungen des Art. 17 Abs. 1 DSGVO die unverzügliche Löschung ihrer Daten verlangen. Ein Auskunftsverlangen nach Art. 15 DSGVO führt dagegen nicht zur Löschung: Es gibt der betroffenen Person das Recht auf Auskunft über die gespeicherten Daten und auf Informationen, unter anderem über das Bestehen des Rechts auf Löschung. Besteht ein Löschanspruch, müssen Unternehmen die betreffenden Daten vollständig und sicher löschen bzw. vernichten – auch aus Backups, sofern technisch möglich. Mehr zum Auskunftsrecht findest du im Beitrag DSGVO-Auskunftsrecht.

5. Bei einem Wechsel des Datenverarbeitungsdienstleisters
Wird ein Cloud-Dienst, eine HR-Software oder ein anderer externer Anbieter gewechselt, müssen personenbezogene Daten beim bisherigen Dienstleister gelöscht oder vernichtet werden. Wichtig: Das sollte im Auftragsverarbeitungsvertrag (AVV) geregelt und auch nachprüfbar dokumentiert sein.

Welche Aufbewahrungsfristen gelten, bevor du löschst?

Vor der Vernichtung gelten gesetzliche Aufbewahrungsfristen: 10 Jahre für Bücher, Inventare und Jahresabschlüsse, 8 Jahre für Buchungsbelege und 6 Jahre für Handels- und Geschäftsbriefe (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Eine gesetzliche Aufbewahrungspflicht ist eine rechtliche Verpflichtung, die dem Löschanspruch nach Art. 17 Abs. 3 lit. b DSGVO entgegenstehen kann.

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der jeweilige Vorgang abgeschlossen wurde, zum Beispiel der Beleg entstanden oder der Brief empfangen wurde. Nach der Abgabenordnung läuft die Frist nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist.

Wie vernichtest du Papier, Festplatten und SSDs?

Die DSGVO schreibt keine bestimmte Methode vor; Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind. Das BSI nennt im Baustein CON.6 Löschen und Vernichten (Edition 2023) Mindestverfahren je Datenträgerart. Die Auswahl im Überblick:

1. Physische Träger (Papier, USB, Festplatten):

• Schreddern nach ISO/IEC 21964 (baut auf DIN 66399 auf)
• Entmagnetisieren
• Thermische Vernichtung

2. Digitale Daten:

• Vollständiges Überschreiben mit Zufallswerten oder, bei verschlüsselten Datenträgern, sicheres Löschen des Schlüssels (BSI CON.6.A12)
• Vollständige Löschung von Backups
• Kein einfaches "Löschen" per Papierkorb oder Formatierung

Die Normenreihe ISO/IEC 21964 baut laut BSI auf der DIN 66399 auf. Prüfe für Schutzklassen und Partikelgrößen die jeweils gültige Norm. Dokumentiere die gewählten Verfahren als Teil deiner technischen und organisatorischen Maßnahmen (Art. 32 DSGVO).

Wie löschst du in Cloud und Backups?

In der Cloud und bei externen Anbietern regelst du die Löschung vertraglich: Nach Art. 28 Abs. 3 lit. g DSGVO entscheidet der Verantwortliche, ob der Auftragsverarbeiter nach Abschluss der Leistungen alle personenbezogenen Daten löscht oder zurückgibt; vorhandene Kopien sind zu löschen, es sei denn, eine Rechtsvorschrift verlangt die Speicherung. Backups musst du in den Löschprozess einbeziehen, wenn das erforderlich ist (BSI CON.6.A2).

Cloud-Dienste & externe Anbieter:

• Vertragliche Regelungen zur Datenlöschung (AV-Vertrag)
• DSGVO-konforme Anbieter wählen

Wann brauchst du einen Dienstleister für die Vernichtung?

Beauftragst du einen Dienstleister mit der Vernichtung, prüfe, ob er in deinem Auftrag personenbezogene Daten verarbeitet. Dann muss die Verarbeitung durch einen Vertrag geregelt sein (Art. 28 Abs. 3 DSGVO), den Auftragsverarbeitungsvertrag. Das BSI verlangt, dass die Verfahren des Dienstleisters mindestens deine internen Anforderungen erfüllen, und empfiehlt, ihn regelmäßig zu überprüfen (CON.6.A11).

Welche Fehler passieren häufig?

1. "Löschen" ohne echte Unwiederbringlichkeit
Viele Unternehmen verlassen sich auf das einfache Drücken der "Löschen"-Taste oder das Verschieben von Dateien in den Papierkorb. Doch solche Methoden reichen nicht aus, um Daten DSGVO-konform zu vernichten. In vielen Fällen lassen sich Daten mit wenig Aufwand wiederherstellen – ein echtes Risiko bei Datenpannen oder Prüfungen. Auch das BSI weist darauf hin, dass gewöhnliche Löschvorgänge des Betriebssystems in der Regel kein sicheres Löschen bewirken. Gelangen Daten durch unsachgemäße Entsorgung an Unbefugte, prüfe, ob eine meldepflichtige Datenpanne vorliegt (Art. 33 DSGVO): Datenpanne melden in 72 Stunden.

2. Keine Dokumentation des Löschprozesses
Die DSGVO verlangt, dass Unternehmen den Umgang mit personenbezogenen Daten nachvollziehbar gestalten. Ohne eine nachvollziehbare Dokumentation, wann, wie und durch wen Daten gelöscht wurden, fehlt im Zweifel der Nachweis über die Einhaltung der Vorschriften – ein häufiger Kritikpunkt bei Datenschutzprüfungen.

3. Datenreste in Backups oder Schatten-IT
Backups werden oft vergessen – obwohl auch dort personenbezogene Daten gespeichert sind. Werden Daten zwar im Live-System gelöscht, bleiben sie aber in Sicherungskopien oder unkontrollierten Systemen (z. B. Excel-Listen auf privaten Geräten), ist das ein Verstoß gegen das Speicherprinzip der DSGVO.

4. Kein klar definiertes Löschkonzept
Ohne strukturierte Prozesse und Verantwortlichkeiten für die Datenvernichtung entstehen Lücken im Datenschutzmanagement. Ein Löschkonzept definiert Standards, Zuständigkeiten und Löschfristen – fehlt es daran, wird die Datenvernichtung schnell zur Grauzone im Unternehmen.

Wie dokumentierst du die Vernichtung?

Du dokumentierst, welche Daten wann, mit welcher Methode und durch wen vernichtet wurden, denn du musst die Einhaltung der Grundsätze nachweisen können (Art. 5 Abs. 2 DSGVO). Das Verzeichnis von Verarbeitungstätigkeiten enthält außerdem, soweit möglich, die vorgesehenen Löschfristen je Datenkategorie (Art. 30 Abs. 1 lit. f DSGVO): Verarbeitungsverzeichnis. Die DSGVO fordert Nachvollziehbarkeit und Nachweisbarkeit. Du solltest also dokumentieren:

• Welche Daten wann gelöscht wurden
• Nach welchen Methoden
• Wer dafür verantwortlich ist
• Ob Fristen eingehalten wurden

Ein Löschkonzept legt fest, welche Daten nach welchen Fristen, von wem und mit welchem Verfahren gelöscht werden. Das BSI verlangt eine solche Regelung (CON.6.A1) und empfiehlt, sie in einer Richtlinie zu dokumentieren (CON.6.A8).

Checkliste: In 5 Schritten zur DSGVO-konformen Datenvernichtung

• Daten erfassen: Welche personenbezogenen Daten liegen wo vor?
• Aufbewahrungsfristen prüfen: Welche Daten dürfen/müssen vernichtet werden?
• Geeignete Methode auswählen: Papier, Festplatte oder Cloud?
• Löschung dokumentieren: Zeit, Methode, Verantwortliche:r
• Regelmäßig kontrollieren: Ist dein Löschkonzept aktuell und wirksam?

Weiterführend: Das BSI verweist darauf, dass die ISO/IEC 27001:2013 in Annex A.8.3 Vorgaben zur Behandlung von Medien macht, die auch das Löschen und Vernichten umfassen; das Zusammenspiel erklärt der Beitrag ISO 27001 vs. DSGVO. Für den Einstieg helfen das Whitepaper DSGVO in 30 Minuten und die Checkliste zu technischen und organisatorischen Maßnahmen. Bei Fragen zu deinem Fall unterstützt dich ein externer Datenschutzbeauftragter; einen Überblick über das Thema findest du unter DSGVO-Compliance.