Die Löschung personenbezogener Daten gehört zu den zentralen Anforderungen der DSGVO und wird in der Praxis dennoch häufig unterschätzt. Während viele Unternehmen über formal saubere Löschkonzepte verfügen, zeigt sich im operativen Alltag ein deutlich anderes Bild: Daten werden nicht fristgerecht gelöscht, verbleiben in Systemen oder sind aufgrund unklarer Zuständigkeiten nicht eindeutig zuordenbar.
Mit der zunehmenden Prüfintensität der Aufsichtsbehörden im Jahr 2026 rückt die tatsächliche Umsetzung von Löschpflichten stärker in den Fokus. Entscheidend ist dabei nicht mehr, ob ein Löschkonzept existiert, sondern ob es technisch, organisatorisch und prozessual wirksam umgesetzt wird. Genau hier zeigen sich in der Praxis die größten Schwachstellen.
1. Löschkonzepte auf dem Papier – fehlende Umsetzung im Tagesgeschäft
Viele Unternehmen haben in den vergangenen Jahren Löschkonzepte erstellt, häufig im Rahmen von DSGVO-Projekten oder Audits. Diese enthalten definierte Aufbewahrungsfristen und rechtliche Herleitungen, werden jedoch im operativen Alltag nur unzureichend umgesetzt.
Ein klassisches Beispiel ist die Kundenverwaltung: Während im Löschkonzept festgelegt ist, dass Kundendaten nach Ablauf gesetzlicher Aufbewahrungsfristen gelöscht werden müssen, existieren in der Praxis keine automatisierten Prozesse, die diese Fristen tatsächlich überwachen oder auslösen. Stattdessen verbleiben die Daten im System, da niemand konkret verantwortlich ist oder die Löschung schlicht nicht angestoßen wird.
Ein ähnliches Problem zeigt sich im Personalbereich. Zwar sind Löschfristen für Bewerberdaten häufig klar definiert, jedoch werden Lebensläufe oder Gesprächsnotizen zusätzlich in E-Mails oder lokalen Laufwerken gespeichert. Diese Daten werden von zentralen Löschprozessen nicht erfasst und bleiben dauerhaft bestehen.
Die Ursache liegt häufig darin, dass Löschkonzepte nicht mit den tatsächlichen Datenflüssen und Arbeitsprozessen im Unternehmen abgeglichen werden. Dadurch entsteht eine Diskrepanz zwischen dokumentierter Theorie und gelebter Praxis.
2. Systemlandschaften, Backups und technische Grenzen der Löschung
Die technische Umsetzung von Löschpflichten stellt Unternehmen vor erhebliche Herausforderungen, insbesondere in gewachsenen IT-Landschaften. Daten werden häufig in mehreren Systemen parallel verarbeitet und gespeichert, wodurch eine vollständige Löschung komplex wird.
Ein typisches Praxisbeispiel ist die parallele Speicherung von Kundendaten im CRM-System, in Buchhaltungssoftware und in E-Mail-Systemen. Selbst wenn Daten im Hauptsystem gelöscht werden, verbleiben sie häufig in anderen Anwendungen oder in Kommunikationsverläufen. Ohne eine systemübergreifende Löschstrategie entsteht so ein unkontrollierter Datenbestand.
Besonders kritisch ist der Umgang mit Backups. Wird ein Datensatz im produktiven System gelöscht, ist er in Sicherungskopien häufig weiterhin vorhanden. Unternehmen müssen hier klare Regeln definieren, wie mit solchen Daten umgegangen wird, etwa durch restriktive Zugriffskonzepte oder durch die Sicherstellung, dass gelöschte Daten bei einer Wiederherstellung nicht erneut produktiv genutzt werden.
Typische Problemfelder sind dabei:
- fehlende Transparenz darüber, in welchen Systemen Daten gespeichert sind
- technisch eingeschränkte Löschmöglichkeiten in Altsystemen oder Archivlösungen
Diese technischen Grenzen führen dazu, dass Löschpflichten zwar bekannt sind, aber nicht vollständig umgesetzt werden können.
3. Fehlende Governance und unklare Verantwortlichkeiten
Neben technischen Herausforderungen ist die organisatorische Verankerung der Datenlöschung ein zentraler Erfolgsfaktor. In vielen Unternehmen ist nicht eindeutig geregelt, wer für die Umsetzung von Löschpflichten verantwortlich ist und wie entsprechende Prozesse gesteuert werden.
In der Praxis zeigt sich häufig, dass Datenschutz, IT und Fachbereiche jeweils Teilaspekte verantworten, ohne dass eine übergreifende Koordination erfolgt. So definiert beispielsweise der Datenschutz Löschfristen, die IT stellt technische Möglichkeiten bereit, während die Fachbereiche die Daten tatsächlich nutzen – ohne dass ein klarer Prozess existiert, der diese Ebenen miteinander verbindet.
Ein konkretes Beispiel ist die Löschung von Kundendaten nach Vertragsende: Während rechtlich klar ist, wann Daten gelöscht werden müssen, bleibt unklar, wer den Löschprozess auslöst, überprüft und dokumentiert. In der Folge werden Löschpflichten im Tagesgeschäft nicht priorisiert oder schlicht übersehen.
Ohne klare Verantwortlichkeiten, definierte Prozesse und regelmäßige Kontrollen bleibt Datenlöschung ein theoretisches Konzept. Erst durch eine strukturierte Governance wird sie zu einem funktionierenden Bestandteil der Organisation.
4. Löschung, Sperrung und „vergessene Daten“ – typische Praxisprobleme
Ein zentrales Praxisproblem besteht darin, dass der Begriff der Löschung häufig missverstanden oder uneinheitlich angewendet wird. In vielen Fällen werden Daten nicht gelöscht, sondern lediglich aus der aktiven Nutzung genommen oder technisch „ausgeblendet“.
Ein klassisches Beispiel ist die Kennzeichnung von Datensätzen als „inaktiv“ in CRM-Systemen. Obwohl diese Daten nicht mehr aktiv genutzt werden, sind sie weiterhin vollständig vorhanden und könnten jederzeit wieder verwendet werden. Aus datenschutzrechtlicher Sicht liegt hierin keine Löschung, sondern lediglich eine faktische Nichtnutzung.
Ähnliche Probleme zeigen sich bei dezentral gespeicherten Daten. Bewerbungsunterlagen, Vertragsdokumente oder Kundenkorrespondenz verbleiben häufig in persönlichen E-Mail-Postfächern oder lokalen Ordnerstrukturen. Diese Datenbestände werden von zentralen Löschprozessen nicht erfasst und geraten im Laufe der Zeit in Vergessenheit.
Auch die Abgrenzung zur Sperrung von Daten ist in der Praxis häufig unklar. Daten, die aufgrund gesetzlicher Aufbewahrungspflichten nicht gelöscht werden dürfen, müssen technisch so eingeschränkt werden, dass sie nicht mehr für andere Zwecke verarbeitet werden können. Diese Differenzierung wird jedoch in vielen Systemen nicht sauber umgesetzt.
Ein weiteres praktisches Problem besteht darin, dass Unternehmen zwar Daten löschen, jedoch nicht nachvollziehen können, ob dies vollständig und systemübergreifend erfolgt ist. Ohne eine klare Übersicht über Datenbestände und deren Speicherorte bleibt unklar, ob Löschpflichten tatsächlich erfüllt wurden.
Fazit
Die Praxis zeigt deutlich, dass Datenlöschung in vielen Unternehmen weniger an rechtlichen Vorgaben als vielmehr an fehlender Umsetzung scheitert. Unternehmen sollten ihre Löschkonzepte konsequent in operative Prozesse überführen, systemübergreifende Datenflüsse transparent machen und klare Verantwortlichkeiten definieren. Besonders wichtig ist die Abgrenzung zwischen Löschung, Sperrung und bloßer Nichtnutzung sowie eine technisch saubere Umsetzung über alle relevanten Systeme hinweg.
Als externe Datenschutzbeauftragte unterstützen wir Unternehmen dabei, Löschkonzepte praxisnah zu implementieren, Schwachstellen zu identifizieren und nachhaltige Strukturen für eine rechtssichere Datenlöschung zu etablieren.
Folgende Beiträge könnten Sie auch interessieren: