Löschfristen im Verarbeitungsverzeichnis: Soll, nicht Muss
20. August 2026 · 6 Min. Lesezeit · BetroffenenRecht24 RedaktionIm Verarbeitungsverzeichnis sind nur zwei der sieben Angaben Sollangaben: die Löschfristen (Art. 30 Abs. 1 lit. f DSGVO) und die allgemeine TOM-Beschreibung (lit. g), beide unter dem Vorbehalt „wenn möglich“. Die übrigen fünf sind Pflicht.
Im Verzeichnis von Verarbeitungstätigkeiten stehen sieben Angaben, und zwei davon sind anders als die anderen: die Löschfristen und die Beschreibung der technischen und organisatorischen Maßnahmen stehen unter dem Vorbehalt „wenn möglich“. Wer das überliest, verschärft die Pflicht in eine Richtung oder entwarnt in die andere. Dieser Beitrag trennt Pflicht von Soll, erklärt, warum die Löschfristen trotzdem ins Verzeichnis gehören, und zeigt, wie Sie sie konkret festlegen.
Was Art. 30 Abs. 1 DSGVO verlangt
Der Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten mit sieben Angaben je Eintrag (Art. 30 Abs. 1 DSGVO): Name und Kontaktdaten, Zwecke, Kategorien betroffener Personen und Daten, Empfängerkategorien, Drittlandübermittlungen samt Garantien, die vorgesehenen Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Die Form ist schriftlich, elektronisch genügt (Art. 30 Abs. 3 DSGVO), und der Aufsichtsbehörde ist das Verzeichnis auf Anfrage vorzulegen (Art. 30 Abs. 4 DSGVO).
Der entscheidende Unterschied steht in den Buchstaben f und g: Dort heißt es „wenn möglich“. Die vorgesehenen Löschfristen der verschiedenen Datenkategorien (lit. f) und die allgemeine Beschreibung der TOM (lit. g) sind Sollangaben. Die übrigen fünf Angaben sind Pflichtangaben, ohne Vorbehalt.
| Angabe | Buchstabe | Charakter |
|---|---|---|
| Name und Kontaktdaten des Verantwortlichen, gegebenenfalls Vertreter und DSB | lit. a | Pflicht |
| Zwecke der Verarbeitung | lit. b | Pflicht |
| Kategorien betroffener Personen und personenbezogener Daten | lit. c | Pflicht |
| Kategorien von Empfängern | lit. d | Pflicht |
| Drittlandübermittlungen samt Dokumentation der Garantien | lit. e | Pflicht |
| Vorgesehene Löschfristen der Datenkategorien | lit. f | Soll („wenn möglich“) |
| Allgemeine Beschreibung der TOM nach Art. 32 Abs. 1 | lit. g | Soll („wenn möglich“) |
Soll ist nicht Muss: was „wenn möglich“ heißt
„Wenn möglich“ heißt zweierlei. Erstens: Fehlt die Angabe, liegt nicht automatisch ein Verstoß gegen Art. 30 DSGVO vor; das Gesetz erkennt an, dass vorgesehene Löschfristen nicht für jede Kategorie von vornherein bestimmbar sind. Zweitens: Der Vorbehalt ist keine Einladung zum Weglassen. Wo Sie eine Frist angeben können, gehört sie ins Verzeichnis. Die ehrliche Lesart lautet: so konkret wie möglich, nicht so vage wie erlaubt.
Verschärft wäre: „Ohne Löschfristen ist Ihr Verzeichnis rechtswidrig.“ Das steht nicht im Gesetz.
Entwarnt wäre: „Löschfristen müssen Sie nicht angeben.“ Das steht auch nicht drin. „Wenn möglich“ ist eine Sollangabe, die Sie ernsthaft prüfen müssen, je Datenkategorie.
Dabei hilft eine zweite Vorschrift: Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) dürfen personenbezogene Daten nicht länger aufbewahrt werden, als es für die Zwecke erforderlich ist. Die Löschfrist im Verzeichnis ist die Stelle, an der dieser Grundsatz eine Zahl bekommt. Wer dort „nach Bedarf“ schreibt, hat zwar die Sollangabe formal erfüllt und den Grundsatz faktisch umgangen.
Die 250-Mitarbeiter-Ausnahme trägt fast nie
Art. 30 Abs. 5 DSGVO befreit Unternehmen unter 250 Mitarbeitenden von der Verzeichnispflicht, aber nur kumulativ: Die Verarbeitung darf kein Risiko für die Rechte und Freiheiten der Betroffenen bergen, sie muss nur gelegentlich erfolgen, und sie darf keine besonderen Kategorien nach Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen umfassen. Schon eine laufende Lohnabrechnung ist „nicht nur gelegentlich“. In der Praxis trägt die Ausnahme deshalb fast nie. Wer sie als Entwarnung liest, entwarnt falsch; wer sie verschweigt, verschärft. Sie gehört mit allen drei Bedingungen angezeigt. Details stehen in Art. 30 DSGVO: die Ausnahme für 250 Beschäftigte.
- Müssen je Verarbeitung vorhanden sein
- Fehlen sie, liegt ein Verstoß gegen Art. 30 DSGVO vor
- Zwecke, Kategorien, Empfänger: konkret und vollständig
- Nur „wenn möglich“ vorgeschrieben
- Fehlen ist nicht automatisch ein Verstoß
- Trotzdem anzugeben, wo immer sie bestimmbar sind
Löschfristen konkret festlegen
- Datenkategorien je Verarbeitung sammeln Bewerberdaten, Vertragsdaten, Buchungsbelege: Die Frist hängt an der Kategorie, nicht am System.
- Gesetzliche Aufbewahrungsfristen zuordnen Wo eine Frist existiert, etwa steuerliche Aufbewahrung, wird sie die Löschfrist. Wo keine existiert, wird eine festgelegt.
- Fristen je Kategorie eintragen Konkret: „sechs Monate nach Abschluss des Bewerbungsverfahrens“, nicht „so lange wie nötig“.
- Prüfen, was wirklich gelöscht wird Die Frist im Verzeichnis und die Löschung im System müssen zusammenpassen; sonst ist die Angabe falsch statt fehlend.
Der letzte Schritt ist der, der zählt: Eine Löschfrist, die nur im Verzeichnis steht, aber im System nie ausgelöst wird, macht die Sollangabe zur falschen Angabe. Besser eine ehrlich lange Frist mit echter Löschung als eine kurze ohne. Wie das ganze Verzeichnis schlank bleibt, steht in Das Verarbeitungsverzeichnis schlank halten.
Praxisbeispiel: das Verzeichnis ohne ein einziges Datum
Ein Handelsunternehmen mit 35 Mitarbeitenden führt sein Verzeichnis sauber in den Pflichtfeldern: Zwecke, Kategorien, Empfänger stehen drin. Bei den Löschfristen steht überall „nach Ablauf der gesetzlichen Fristen“. Die Aufsicht fragt nach, welche Frist das für Bewerberdaten sei. Die Antwort gibt es nicht, weil niemand sie festgelegt hat. Formal war die Sollangabe gefüllt, faktisch war sie leer.
Die Reparatur dauert einen Nachmittag: Bewerberdaten bekommen sechs Monate nach Verfahrensende, Vertragsunterlagen die Aufbewahrungsfristen, Marketingdaten eine Frist ab Widerruf der Einwilligung. BetroffenenRecht24 führt das Verzeichnis je Verarbeitung mit den Pflichtfeldern und den beiden Sollfeldern und zeigt an, wo eine Sollangabe noch unbestimmt ist. Die Bewertung im Einzelfall bleibt bei Ihnen als Verantwortlichem; das Werkzeug hält die Struktur.
Häufige Fragen
Sind Löschfristen im Verarbeitungsverzeichnis Pflicht?
Nein, nicht im strengen Sinn: Art. 30 Abs. 1 lit. f DSGVO verlangt die vorgesehenen Löschfristen nur „wenn möglich“. Es ist eine Sollangabe. Wo Sie eine Frist bestimmen können, gehört sie trotzdem ins Verzeichnis; ein Pauschalverweis ohne Inhalt erfüllt den Zweck nicht.
Welche Angaben im Verzeichnis sind dagegen Pflicht?
Die Buchstaben a bis e des Art. 30 Abs. 1 DSGVO: Name und Kontaktdaten des Verantwortlichen, Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfängerkategorien und Drittlandübermittlungen samt Garantien. Nur die Buchstaben f und g stehen unter dem Vorbehalt „wenn möglich“.
Gilt die Ausnahme für kleine Unternehmen unter 250 Mitarbeitenden?
In der Praxis fast nie. Die Ausnahme des Art. 30 Abs. 5 DSGVO entfällt, sobald eine von drei Bedingungen zutrifft: Die Verarbeitung birgt ein Risiko, sie erfolgt nicht nur gelegentlich oder sie betrifft besondere Kategorien. Eine laufende Lohnabrechnung ist bereits nicht nur gelegentlich.
Was passiert, wenn die Löschfristen im Verzeichnis fehlen?
Allein das Fehlen ist wegen des Vorbehalts „wenn möglich“ kein automatischer Verstoß. Kritisch wird es, wenn dahinter gar kein Löschkonzept steht: Der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) gilt unabhängig vom Verzeichnis und verlangt, dass Daten nicht länger als nötig aufbewahrt werden.
Das Wichtigste in Kürze
Im Verarbeitungsverzeichnis sind nur zwei der sieben Angaben Sollangaben: die Löschfristen (Art. 30 Abs. 1 lit. f DSGVO) und die allgemeine TOM-Beschreibung (lit. g), beide unter dem Vorbehalt „wenn möglich“. Die übrigen fünf sind Pflicht.
„Wenn möglich“ heißt: so konkret wie möglich, nicht so vage wie erlaubt. Legen Sie je Datenkategorie eine echte Frist fest, binden Sie sie an Aufbewahrungsfristen oder eigene Regeln und sorgen Sie dafür, dass das System die Frist auch auslöst. Eine falsche Angabe ist schlimmer als eine fehlende.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.