Start / Glossar / Recht und Normen
Löschkonzept (DIN 66398)
Ein Löschkonzept legt fest, welche personenbezogenen Daten ein Unternehmen wann und wie löscht. Die DIN 66398 beschreibt, wie man ein solches Konzept mit Löschfristen aufbaut.
Die DSGVO verlangt, personenbezogene Daten zu löschen, sobald sie für ihren Zweck nicht mehr nötig sind (Art. 17 DSGVO) und keine Aufbewahrungspflicht mehr besteht. Wie ein Unternehmen das organisiert, lässt das Gesetz offen. Hier setzt die DIN 66398 an. Die Norm ist 2016 erschienen und trägt den Titel „Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten“. International gibt es mit ISO/IEC 27555 ein vergleichbares Regelwerk.
Der Kern der Norm ist die Einteilung von Daten in Datenarten mit jeweils einer Löschregel. Statt für jede einzelne Datei zu entscheiden, bekommt zum Beispiel „Bewerbungsunterlagen“ eine Frist, „Buchungsbelege“ eine andere. Jede Löschregel nennt einen Startzeitpunkt, etwa das Ende eines Vertrags, und eine Frist. Verantwortlichkeiten und Abläufe werden schriftlich festgehalten.
Für ausgemusterte Hardware bedeutet das zwei Dinge. Erstens darf kein Gerät gelöscht werden, auf dem noch Daten mit laufender Aufbewahrungspflicht liegen, zum Beispiel steuerlich relevante Unterlagen. Zweitens muss die Löschung selbst so gründlich sein, dass sie dem Konzept entspricht. Das belegt ein Löschprotokoll je Gerät.
Was das für Ihre Ausmusterung bedeutet
Die Ausmusterung ist der Moment, in dem ein Löschkonzept seine Probe besteht. Klären Sie vorher, ob auf den Geräten noch Daten liegen, die Sie wegen Aufbewahrungspflichten sichern müssen, und löschen Sie erst danach.
Verwandte Begriffe
- Auftragsverarbeitungsvertrag (AVV)
- BSI IT-Grundschutz CON.6 (Löschen und Vernichten)
- Löschprotokoll
- ISO/IEC 21964 (vormals DIN 66399)
Stand: 25.09.2026. Keine Rechtsberatung.