Löschprotokoll: Wie Unternehmen die tatsächliche Löschung personenbezogener Daten nachweisen

Ein ehemaliger Bewerber meldet sich einige Monate nach Abschluss seines Bewerbungsverfahrens bei einem mittelständischen Unternehmen. In der Datenschutzinformation steht, dass Bewerberdaten spätestens sechs Monate nach Abschluss des Verfahrens gelöscht werden. Der Bewerber möchte nun wissen: Wurden meine Daten wirklich gelöscht? Die Personalabteilung ist sich ziemlich sicher – die alten Unterlagen sind aus dem Bewerberordner verschwunden, im E-Mail-Postfach findet sich nichts mehr, im Bewerbermanagementsystem ist der Bewerber nicht mehr auffindbar. Die naheliegende Antwort lautet: „Die Daten wurden gelöscht.“ Dann kommt die unangenehme Rückfrage: „Wann genau, und wie können Sie das nachweisen?“

Genau an dieser Stelle zeigt sich, worum es beim Löschprotokoll wirklich geht. Zwischen „wir haben eine Löschfrist festgelegt“ und „wir können nachweisen, dass die Löschung tatsächlich erfolgt ist“ liegt ein erheblicher Unterschied. Ein gutes Löschkonzept hilft wenig, wenn niemand feststellen kann, ob die darin vorgesehenen Löschungen auch tatsächlich stattgefunden haben.

Löschkonzept und Löschprotokoll sind nicht dasselbe

In der Praxis werden beide Begriffe häufig durcheinandergebracht. Ein Löschkonzept blickt nach vorne: Es legt fest, welche Daten unter welchen Voraussetzungen gelöscht werden, welches Ereignis die Frist auslöst und wer zuständig ist. Ein Löschprotokoll blickt dagegen zurück und dokumentiert, was tatsächlich geschehen ist. Im Löschkonzept eines Unternehmens kann etwa stehen: „Löschung sechs Monate nach Abschluss des Bewerbungsverfahrens.“ Im Löschprotokoll steht später: „Am 15.07. wurden 27 abgeschlossene Bewerberdatensätze aus dem ersten Quartal aus dem System gelöscht.“ Damit ist nicht mehr nur dokumentiert, was hätte geschehen sollen, sondern was wirklich geschehen ist. Ein automatisiertes Audit-Log des eingesetzten Systems kann diese Funktion technisch übernehmen. Dann ist eine zusätzliche manuelle Tabelle oft unnötig. Entscheidend ist ohnehin nicht die Bezeichnung des Dokuments, sondern ob das Unternehmen im Bedarfsfall nachvollziehbar belegen kann, dass die vorgesehenen Löschprozesse tatsächlich durchgeführt wurden.

Warum Löschungen überhaupt nachgewiesen werden müssen

Ausgangspunkt ist der Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e) DSGVO: Personenbezogene Daten dürfen nur so lange identifizierbar gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. Hinzu kommt Art. 17 DSGVO, der zur Löschung unter bestimmten Voraussetzungen verpflichtet. Für die Frage des Löschprotokolls wird jedoch ein anderer Grundsatz besonders wichtig: die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO. Der Verantwortliche muss die Einhaltung der Datenschutzgrundsätze nicht nur sicherstellen, sondern auch nachweisen können – das greift Art. 24 Abs. 1 DSGVO ausdrücklich auf. Ein Unternehmen, das zwar ein Löschkonzept besitzt, aber keinerlei Kontrolle darüber hat, ob die vorgesehenen Löschungen tatsächlich stattfinden, bekommt hier schnell Schwierigkeiten. Ein Löschprotokoll ist deshalb vor allem ein Instrument der Rechenschaftspflicht.

Gibt es eine gesetzliche Pflicht zum Löschprotokoll?

Eine allgemeine Vorschrift, nach der jedes Unternehmen jede einzelne Löschung in einem Löschprotokoll dokumentieren muss, gibt es in der DSGVO nicht. Art. 5 Abs. 2 und Art. 24 DSGVO verlangen Nachweisbarkeit, schreiben aber keine bestimmte Form vor. Ein automatisiertes System, das Löschläufe technisch protokolliert und deren erfolgreiche Durchführung regelmäßig kontrolliert, kann den erforderlichen Nachweis bereits liefern. Werden Daten dagegen manuell auf Netzlaufwerken gelöscht, kann eine einfache Löschliste durchaus erforderlich sein, weil es sonst praktisch keinen Nachweis gibt. Die angemessene Form hängt von Art und Umfang der Verarbeitung, der Bedeutung der Daten und dem Risiko ab. Dass der Gesetzgeber eine ausdrückliche Protokollierungspflicht formulieren kann, wenn er eine solche will, zeigt § 76 BDSG – dieser gilt jedoch nur für die Datenverarbeitung durch Behörden im Anwendungsbereich des dritten Teils des BDSG und ist keine allgemeine Löschprotokollpflicht für normale Unternehmen. Der richtige Ansatz lautet: Es müssen genügend Nachweise vorhanden sein, um die ordnungsgemäße Umsetzung des Löschkonzepts belegen zu können – nicht mehr, aber auch nicht weniger.

Daraus folgt zugleich, dass nicht jede gelöschte Datei einen eigenen Protokolleintrag braucht. Wenn ein Mitarbeiter eine temporäre Excel-Kopie bearbeitet und anschließend löscht, wäre eine lückenlose Dokumentation jeder einzelnen dieser Löschungen weder sinnvoll noch praktikabel. Sinnvoll ist es, vor allem solche Löschungen nachweisbar zu machen, die das Ende einer wesentlichen Verarbeitung, das Ende einer Aufbewahrungsphase oder die Umsetzung einer konkreten Löschpflicht markieren – etwa die turnusmäßige Löschung abgelaufener Bewerbungen. Flüchtige Zwischenkopien können dagegen über allgemeine technische Löschregeln und deren Funktionskontrolle abgedeckt werden.

Das Löschprotokoll darf nicht zum neuen Datenfriedhof werden

Hier liegt eines der interessantesten Probleme dieses Themas: Ein Unternehmen möchte dokumentieren, dass personenbezogene Daten gelöscht wurden – und erzeugt dabei neue personenbezogene Daten. Ein Löschprotokoll, das Name, Geburtsdatum und E-Mail-Adresse des Bewerbers erneut in eine Tabelle einträgt, konterkariert das eigentliche Ziel der Löschung. Besser ist ein Eintrag, der die Löschung einer Datenkategorie nachweist, ohne die gelöschten Daten selbst zu rekonstruieren – etwa mit Protokoll-ID, Datenart, Umfang, Zeitraum und Löschdatum. Namen, Anschriften, E-Mail-Adressen oder Kundennummern gehören nur dann in ein zentrales Löschprotokoll, wenn sie für den Nachweis tatsächlich erforderlich sind. Ganz ohne Personenbezug geht es allerdings nicht immer: Wer eine Löschung durchgeführt und wer sie freigegeben hat, sind selbst personenbezogene Angaben. Das ist nicht automatisch problematisch, solange auch dafür ein nachvollziehbarer Zweck besteht und die Angaben auf das erforderliche Maß beschränkt bleiben.

Weil ein Löschprotokoll mit Personenbezug selbst eine Verarbeitung personenbezogener Daten ist, gelten für das Protokoll dieselben Grundprinzipien wie für jede andere Verarbeitung auch: Zweckbindung, eine tragfähige Rechtsgrundlage, Zugriffsschutz und eine eigene Speicherbegrenzung. Auch Protokolldaten sind datenschutzrechtlich keineswegs neutral, wenn sie Rückschlüsse auf Personen ermöglichen – das hat der EuGH in der Rechtssache C-579/21 (Pankki S) zu bankinternen Zugriffsprotokollen deutlich gemacht. Ein praktikabler Ansatz besteht darin, die reine Nachweisinformation vom Personenbezug zu trennen: Der Name des ausführenden Mitarbeiters kann nach Ablauf einer festgelegten Nachweisdauer entfernt werden, während eine statistische Information über den Löschlauf länger erhalten bleibt. Eine pauschale gesetzliche Aufbewahrungsfrist von drei Jahren für Löschprotokolle existiert dabei nicht, auch wenn dieser Zeitraum – abgeleitet aus § 41 BDSG in Verbindung mit § 31 OWiG – im Einzelfall eine nachvollziehbare Orientierung sein kann.

Zwei Sonderfälle, die oft übersehen werden

Backups bereiten bei fast jedem Löschkonzept Probleme: Wird ein Datensatz produktiv gelöscht, kann die Sicherungskopie vom Vortag ihn noch enthalten. Die Existenz eines Backups macht die Löschung aber nicht automatisch unwirksam – entscheidend ist ein belastbares Konzept, das regelt, wie lange Sicherungen bestehen bleiben, wann sie überschrieben werden und wie verhindert wird, dass eine Wiederherstellung bereits gelöschte Daten unbemerkt wieder aktiv werden lässt. Der zweite Sonderfall betrifft Auftragsverarbeiter: Liegen Daten in einem externen CRM- oder Bewerbermanagementsystem, genügt es nicht, sie nur aus dem eigenen Benutzerkonto zu entfernen. Art. 28 DSGVO verlangt, dass der Verantwortliche die Kontrolle über die Auftragsverarbeitung behält. Je nach Bedeutung des Vorgangs kann im Löschprotokoll die Systembestätigung oder Ticketnummer des Dienstleisters als Nachweisreferenz ausreichen.

Was in ein brauchbares Löschprotokoll gehört

Einen gesetzlich vorgeschriebenen Pflichtfeldkatalog gibt es nicht. Für viele kleine und mittlere Unternehmen hat sich dennoch ein ähnlicher Aufbau bewährt: eine Protokoll-ID ohne unnötigen Personenbezug, die betroffene Verarbeitungstätigkeit, Datenart und Umfang, das Löschdatum und der Löschgrund, das betroffene System sowie das Löschverfahren, ob Dienstleister einbezogen waren, der Status (erfolgreich, fehlgeschlagen, in Bearbeitung) und – nur wo tatsächlich erforderlich – wer die Löschung ausgeführt und freigegeben hat. Bei automatisierten Massenlöschungen, etwa abgelaufenen Sessions in einem Onlineshop, ersetzt ein technischer Sammelbericht mit Anzahl der gelöschten Datensätze und Fehlerstatus sinnvollerweise die Einzeldokumentation. Bei einem einzelnen Löschungsantrag nach Art. 17 DSGVO lässt sich der Personenbezug dagegen oft nicht vollständig vermeiden. Hier empfiehlt es sich, das allgemeine Löschprotokoll von der Bearbeitung des Betroffenenrechts zu trennen und im zentralen Protokoll nur eine Referenz auf die gesonderte Vorgangsakte zu führen.

Für Unternehmen, die ein systematischeres Löschkonzept aufbauen möchten, bietet die Norm DIN EN ISO/IEC 27555:2025-09 – die Nachfolgerin der bekannten DIN 66398 – eine methodische Orientierung. Sie ist eine Arbeitshilfe, kein Gesetz: Ein kleines Unternehmen ist nicht automatisch schlecht organisiert, nur weil es die Norm nicht umgesetzt hat, doch bei umfangreichen Datenbeständen oder komplexen Löschregeln kann sie hilfreich sein.

Ein Blick in die Aufsichtspraxis

Dass Löschprozesse längst kein Randthema mehr sind, zeigt die europaweit koordinierte Prüfaktion des Europäischen Datenschutzausschusses zum Recht auf Löschung. 32 Datenschutzaufsichtsbehörden untersuchten 2025 die Umsetzung bei 764 Verantwortlichen. Der im Februar 2026 veröffentlichte Bericht benennt unter anderem fehlende interne Verfahren, Schwierigkeiten mit Aufbewahrungsfristen, Probleme bei Backups und unzureichende Anonymisierungsverfahren als wiederkehrende Problembereiche.

Wie wichtig eine funktionierende Löschfunktion – nicht nur ein hübsch geführtes Protokoll – ist, zeigt das Verfahren gegen die Deutsche Wohnen. Die Berliner Datenschutzaufsichtsbehörde hatte 2019 wegen eines Archivsystems, das keine ausreichende Möglichkeit zur Löschung nicht mehr erforderlicher Daten vorsah, ein Bußgeld von 14,5 Millionen Euro verhängt. Das Landgericht Berlin I bestätigte am 9. Juni 2026 zwar den DSGVO-Verstoß gegen die Grundsätze der Datenminimierung und Speicherbegrenzung, reduzierte das Bußgeld jedoch deutlich auf 900.000 Euro. Das Urteil ist noch nicht rechtskräftig. Unabhängig von der konkreten Bußgeldhöhe bleibt die dahinterstehende Erkenntnis für kleine und mittlere Unternehmen der eigentlich relevante Punkt: Ein Löschprotokoll kann einen funktionierenden Löschprozess nachweisen – einen fehlenden Löschprozess kann es nicht ersetzen. Steht im Protokoll „gelöscht“, obwohl die Daten technisch weiterhin im System liegen, verschärft das Protokoll das Problem eher, als dass es davor schützt.

Praxistest: Funktioniert Ihr Löschprozess?

Ob das eigene Löschprotokoll trägt, lässt sich mit einem einfachen Gedankenexperiment prüfen. Angenommen, die Aufsichtsbehörde fragt morgen nach dem Bewerbermanagement: Wie lange werden abgelehnte Bewerbungen gespeichert? Wie stellen Sie sicher, dass diese Frist eingehalten wird? Wie kontrollieren Sie das? Und: Zeigen Sie uns bitte die letzten durchgeführten Löschungen. Spätestens an diesem Punkt zeigt sich, ob ein Unternehmen über einen echten Löschprozess verfügt oder nur über eine theoretische Löschfrist.

Zusammenfassung

Die DSGVO schreibt Unternehmen nicht pauschal vor, jede einzelne Löschung in einem bestimmten Formular zu dokumentieren. Sie verlangt aber etwas Wesentlicheres: Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden, Löschpflichten müssen tatsächlich umgesetzt werden, und der Verantwortliche muss die Einhaltung seiner Pflichten nachweisen können. Wo eine Löschung manuell erfolgt, einen wesentlichen Datenbestand betrifft oder mehrere Systeme und Dienstleister umfasst, ist ein nachvollziehbarer Nachweis regelmäßig sinnvoll. Wo automatisierte Systeme bereits geeignete Nachweise erzeugen, braucht es keine zusätzliche manuelle Parallelverwaltung. Am Ende ist weniger entscheidend, ob eine Datei mit dem Namen „Löschprotokoll.xlsx“ existiert, als dass ein Unternehmen auf drei Fragen eine belastbare Antwort geben kann: Was musste gelöscht werden? Wurde es tatsächlich gelöscht? Und wie lässt sich das heute noch nachvollziehen?

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.