Daten unbegrenzt zu behalten ist ein Risiko. Das Datenschutzrecht verlangt, dass du Daten löschst, wenn du sie nicht mehr brauchst. Dieses Kapitel behandelt Aufbewahrungsregeln (wie lange du Daten behältst) und Löschprozesse (wie du Löschanfragen von Nutzern und die Bereinigung deiner Systeme angehst).
Warum Regeln zur Datenaufbewahrung wichtig sind
Gesetzliche Pflicht
Die DSGVO und ähnliche Gesetze verlangen Regeln zur Datenaufbewahrung. Du musst Daten löschen, sobald du den genannten Zweck erreicht hast. Daten für alle Fälle für immer zu behalten verstösst gegen den Grundsatz der Datenminimierung und kann mit Bussgeldern geahndet werden.
Vorteil im Betrieb
Ältere Daten sind weniger nützlich. Ein Ereignis von vor 2 Jahren beeinflusst aktuelle Entscheidungen selten. Wenn du alte Daten löschst, sinken die Speicherkosten, Backups werden einfacher, und bei einer Datenpanne ist weniger offengelegt (ein kleinerer Datensatz).
Erwartungen der Nutzer
Nutzer erwarten, dass du ihre Daten löschst, wenn du sie nicht mehr brauchst. Eine Cloud-App für To-do-Listen sollte deine Aufgaben löschen, wenn du dein Konto schliesst, und sie nicht unbegrenzt behalten. Klare Löschregeln schaffen Vertrauen.
Regeln zur Aufbewahrung festlegen
Welche Daten? Wie lange?
Verschiedene Datenarten brauchen unterschiedlich lange Aufbewahrung:
Analyseereignisse: 12 Monate sind üblich. Nach einem Jahr werden alte Ereignisse selten ausgewertet. Wenn du länger brauchst, sind 24 Monate vertretbar. Behalte sie nicht für immer.
Kundenkontodaten: Behalte sie, solange das Konto aktiv ist. Lösche sie 90 Tage nach der Schliessung des Kontos (so bleibt Zeit für eine Wiederherstellung). Behalte sie nicht unbegrenzt.
Support-Tickets: 2 bis 3 Jahre behalten (Verjährungsfrist bei Streitfällen). Danach löschen.
Finanzunterlagen: 7 Jahre behalten (steuerliche und rechtliche Vorgaben). Danach löschen.
Marketing-Listen: Behalte sie, solange der Kunde auf der Liste steht. Lösche sie 30 Tage nach der Abmeldung.
Längere Aufbewahrung in besonderen Fällen
Manche Daten brauchen eine längere Aufbewahrung: Betrugserkennung (als Nachweis für Prüfungen), Rechtsstreitigkeiten (bis zur Klärung), gesetzliche Vorgaben (je nach Branche verschieden). Das sind Ausnahmen. Die Regel sollte sein: löschen, sobald die Daten nicht mehr nützlich sind.
Deine Regel dokumentieren
Schreibe deine Regel zur Aufbewahrung auf: welche Datenarten, wie lange jeweils, auf welcher Rechtsgrundlage. Mach sie Nutzern in deiner Datenschutzerklärung zugänglich. Wir behalten deine Daten X Monate und löschen sie dann. Transparenz schafft Vertrauen.
Automatisches Löschen einrichten
Geplante Löschaufgaben
Richte automatische Aufgaben ein, die nach Plan laufen (monatlich, vierteljährlich) und Daten löschen, deren Aufbewahrungsfrist abgelaufen ist. Beispiel: eine Aufgabe, die alle Analyseereignisse löscht, die älter als 12 Monate sind. Lass sie automatisch laufen, damit das Löschen nicht von Hand erfolgt oder vergessen wird.
Löschen nach Ereignis
Manches Löschen wird durch ein Ereignis ausgelöst: Wenn ein Nutzer sein Konto schliesst, lösche seine Daten. Wenn ein Nutzer sich abmeldet, lösche seine E-Mail-Adresse. Richte automatische Abläufe ein, die bei bestimmten Ereignissen löschen.
Löschungen protokollieren
Protokolliere, wann Daten gelöscht wurden (welche Daten, wann, warum). So entsteht ein Prüfpfad. Wenn Aufsichtsbehörden fragen, warum bestimmte Daten fehlen, kannst du zeigen, dass sie nach der Regel gelöscht und nicht versteckt wurden.
Löschanfragen von Nutzern bearbeiten
Das Recht auf Vergessenwerden
Die DSGVO gibt Einzelpersonen das Recht auf Vergessenwerden. Nutzer können verlangen, dass du ihre personenbezogenen Daten löschst. Du hast 30 Tage Zeit (mit Ausnahmen für rechtliche Pflichten). Das heisst, du musst Nutzerdaten auf Anfrage löschen können.
Abläufe zum Löschen einrichten
Schritt 1: Anfrage entgegennehmen. Der Nutzer schickt die Löschanfrage über ein Support-Formular oder die Kontoeinstellungen.
Schritt 2: Identität prüfen. Bestätige, dass die Anfrage vom Kontoinhaber kommt (und keine falsche Anfrage ist).
Schritt 3: Daten finden. Finde alle Daten dieses Nutzers: Konto, Analyseereignisse, Support-Tickets, E-Mail-Listen, Backups.
Schritt 4: Löschen. Entferne die Daten aus Live-Systemen und Backups. Bestätige dem Nutzer die Löschung schriftlich.
Schritt 5: Protokollieren. Dokumentiere die Löschung: wer sie verlangt hat, wann und was gelöscht wurde.
Ausnahmen vom Löschen
Du musst nicht löschen, wenn du gesetzlich verpflichtet bist, die Daten zu behalten (Steuerunterlagen, Gerichtsbeschlüsse), du sie für einen genannten Zweck brauchst, der noch erfüllt wird, oder der Nutzer nach der Löschanfrage der weiteren Verarbeitung zugestimmt hat. Das sind aber Ausnahmen. Die Regel ist, auf Anfrage zu löschen.
Herausforderungen bei der Umsetzung
Verteilte Daten
Nutzerdaten liegen oft in mehreren Systemen: Live-Datenbank, Backups, Dienste von Dritten (Analyseanbieter, E-Mail-Anbieter), Laptops von Mitarbeitenden. Alle Daten zum Löschen zu finden ist aufwendig. Die Lösung: ein Datenverzeichnis führen. Wissen, wo Nutzerdaten liegen. Löschpflichten in Verträge mit Anbietern aufnehmen.
Aufbewahrung von Backups
Backups enthalten Nutzerdaten auch dann, wenn du sie aus den Live-Systemen gelöscht hast. Wie lange behältst du Backups? Du stellst vermutlich nicht täglich aus Backups zurück, die 3 Jahre alt sind, aber rechtliche Sperren können verlangen, dass du sie behältst. Lege fest: Backups dürfen länger aufbewahrt werden als Live-Daten, aber auch sie müssen irgendwann gelöscht werden.
Anonymisierte Daten
Wirklich anonymisierte Daten fallen nicht unter das Recht auf Löschung (es sind keine personenbezogenen Daten). Die meisten angeblich anonymisierten Daten sind aber in Wahrheit gebündelt oder pseudonymisiert (also umkehrbar). Wenn du sie wieder einer Person zuordnen kannst, sind es personenbezogene Daten, und du musst sie auf Anfrage löschen. Wisse, was du tatsächlich speicherst.
Privacy by Design: Löschen in der Architektur
Plane Systeme von Anfang an mit Blick aufs Löschen. Nutze Datenstrukturen, mit denen sich effizient löschen lässt. Vermische keine Datenarten mit unterschiedlicher Aufbewahrungsdauer. Sorge dafür, dass sich Nutzerdaten leicht abfragen und löschen lassen. Wenn du die Fähigkeit zum Löschen früh einbaust, wird die Konformität später einfacher.
Wie lange sollte ich Analysedaten je nach Art des Unternehmens aufbewahren?
Blog oder Inhaltsseite: 12 Monate reichen (kaum Bedarf an alten Daten). SaaS: 24 Monate (für Trendanalysen). Onlineshop: 24 bis 36 Monate (für Saisonanalysen und Betrugserkennung). Finanzen und Gesundheit: den Vorschriften folgen (oft 6 Jahre oder mehr). Sieh dir deine Berichte der letzten 6 Monate an: Wenn du keine Daten ausgewertet hast, die älter als X Monate sind, lösche alles darüber hinaus. Stelle deine Analyseplattform auf automatisches Löschen.
Wie genau läuft die Antwort auf eine Löschanfrage innerhalb der gesetzlichen Frist ab?
Tag 1: Anfrage entgegennehmen, Identität prüfen, im Anfragesystem erfassen. Tag 2 bis 7: alle Daten in allen Systemen finden (Datenbank, Backups, Dienste von Dritten). Tag 8 bis 20: löschen und die Löschung in den Protokollen prüfen. Tag 28: dem Nutzer eine Bestätigung schicken, was gelöscht wurde. Dokumentiere alles. Die 30 Tage sind streng, deshalb ist ein sofortiger Start entscheidend.
Woran erkenne ich, ob meine anonymisierten Daten wirklich anonym oder noch personenbezogen sind?
Echte Anonymisierung: Eine Zuordnung ist unmöglich (nur zusammengefasste Statistiken: 50 % der Nutzer haben den Button geklickt). Pseudonymisierung: mit einem Schlüssel umkehrbar (gehashte Nutzer-ID, weiterhin personenbezogen). Sichere Faustregel: Wenn du einen Schlüssel zum Nachschlagen hast oder die Daten mit anderen abgleichen kannst, sind sie personenbezogen und müssen auf Anfrage gelöscht werden. Im Zweifel behandle sie als personenbezogen.
Wie lange sollte ich Backups aufbewahren, und wie gehe ich mit Löschanfragen für Backup-Daten um?
Live-Daten: sofort löschen. Backups, die 0 bis 30 Tage alt sind: aus allen Kopien löschen. Backups, die 30 bis 90 Tage alt sind: darfst du behalten, wenn du sie nicht für den Tagesbetrieb zurückspielst. Backups, die älter als 90 Tage sind: müssen nach der DSGVO irgendwann gelöscht werden (keine unbegrenzte Speicherung). Lege einen Plan zum Löschen von Backups fest: vierteljährlich prüfen und Backups löschen, die älter als dein Stichtag sind. Nimm die Bestätigung der Löschung in deine Antwort an den Nutzer auf.
Wie sieht ein Ablauf zum Löschen aus, wenn Daten in Analysen, E-Mail, CRM und Tools von Anbietern verteilt liegen?
Schritt 1: Ein Datenverzeichnis hält fest, wo Nutzerdaten liegen (Datenbank, Analyseplattform, E-Mail-Plattform, CRM und so weiter). Schritt 2: Eine automatische Löschaufgabe läuft über die Hauptdatenbank. Schritt 3: Löschen per Hand oder per API in den Tools von Dritten. Schritt 4: Verträge mit Anbietern verlangen eine Bestätigung der Löschung (Frist: 7 Tage). Schritt 5: Die Bestätigungen zusammenführen und dem Nutzer innerhalb von 30 Tagen insgesamt schicken.
Was ist der Unterschied zwischen betrieblicher Verzögerung und einem Verstoss gegen die 30-Tage-Frist?
Akzeptable Verzögerung: Daten an unerwarteter Stelle gefunden, berechtigte technische Probleme (höchstens 8 bis 10 Tage). Nicht akzeptabel: Das erledigen wir irgendwann, Warten auf den monatlichen Lauf einer Aufgabe, Verzögerungen bei der Wiederherstellung von mehr als 15 Tagen. Die 30 Tage gelten für deine Antwort und Erklärung, nicht als Zeit für die Umsetzung. Wenn du nicht innerhalb von 30 Tagen löschen kannst, ist das ein Verstoss. Teile Verzögerungen sofort mit und dokumentiere den Grund.