Löschkonzept im Shop: Aufbewahrungsfristen umsetzen

Ein Onlineshop nimmt Daten schneller auf, als er sie wieder abgibt. Bestellungen, Rechnungen, Retourenbelege, Supportverläufe, Newsletter-Anmeldungen, Serverprotokolle - jede dieser Spuren hat einen Grund, warum es sie gibt, und einen Zeitpunkt, an dem sie verschwinden muss. Ein Löschkonzept hält beides fest: welche Datenart wie lange gebraucht wird, ab wann die Frist läuft und was danach geschieht. Es ist kein Papier für die Schublade, sondern die Betriebsanleitung für den Löschlauf, der nachts durch die Datenbank geht. Fehlt es, wird jede Löschfrage einzeln entschieden - und das heißt in der Praxis: gar nicht. Die Angaben zu unserer eigenen Verarbeitung stehen in den Datenschutzhinweisen.

Löschen ist eine Pflicht, keine Kulanz

Die Datenschutz-Grundverordnung enthält keine Tabelle mit Fristen, sondern einen Grundsatz: Personenbezogene Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck erforderlich ist. Daraus folgt die praktische Arbeit. Wer wissen will, wann ein Datensatz zu löschen ist, muss zuerst wissen, wozu er ihn erhoben hat und wann dieser Zweck endet. Erst danach kommt die zweite Frage: ob eine gesetzliche Aufbewahrungspflicht das Löschen sperrt.

Der Bußgeldrahmen unterscheidet zwischen beiden Ebenen. Verstöße gegen die Verarbeitungsgrundsätze - dazu zählt die Speicherbegrenzung - liegen im oberen Rahmen von bis zu 20 Millionen Euro oder 4 Prozent des weltweit erzielten Jahresumsatzes (DSGVO). Fehlende technische und organisatorische Maßnahmen, etwa eine geplante, aber nicht gebaute Löschroutine, liegen im unteren Rahmen von bis zu 10 Millionen Euro oder 2 Prozent (DSGVO). Wer kein Konzept hat, riskiert beides zugleich.

Wie teuer das werden kann, zeigt ein Verfahren, das bis zum Gerichtshof der Europäischen Union und wieder zurück gelaufen ist. Die zuständige Aufsichtsbehörde setzte 2019 gegen ein Wohnungsunternehmen eine Geldbuße in Höhe von 14.385.000 Euro fest (EuGH), weil ein Archivsystem im Einsatz war, aus dem sich nicht mehr benötigte Daten nicht entfernen ließen. Hinzu kamen 15 weitere Geldbußen von 3.000 bis 17.000 Euro (EuGH) - jeder zu lange gespeicherte Datensatz war ein eigener Verstoß. Rechtskräftig wurde dieser Bescheid allerdings nicht: Das Unternehmen legte Einspruch ein, und nach der Grundsatzentscheidung des Gerichtshofs setzte das Landgericht Berlin I die Geldbuße am 9. Juni 2026 auf 900.000 Euro herab (Landgericht Berlin). Auch dieses Urteil ist noch nicht rechtskräftig, es kann mit der Rechtsbeschwerde angefochten werden (Landgericht Berlin). Wer die Zahl zitiert, nennt deshalb typischerweise beide Stände. Lehrreich bleibt der Fall unabhängig von der Summe, weil das Unternehmen die Daten nicht missbraucht hatte. Es hatte sie nur behalten - und beschäftigt damit seit dem Bescheid von 2019 die Gerichte.

Löschen ist damit kein Entgegenkommen gegenüber dem Kunden, sondern eine Pflicht, die auch ohne Antrag besteht. Genau das unterscheidet das Löschkonzept vom Auskunftsprozess: Es läuft ohne Anlass und muss belegen können, dass es gelaufen ist.

Die Fristen, die den Rahmen setzen

Bevor gelöscht werden darf, ist zu prüfen, ob eine Vorschrift die Aufbewahrung verlangt. Für einen Onlineshop sind es im Kern sieben Normen mit unterschiedlichen Zahlen. Diese Zahlen auseinanderzuhalten ist der halbe Weg zum Konzept.

§ 257 des Handelsgesetzbuchs verlangt für Handelsbücher, Inventare, Eröffnungsbilanzen und Jahresabschlüsse eine Aufbewahrung von zehn Jahren (HGB). Empfangene und abgesandte Handelsbriefe - im Shop also Bestellbestätigungen und die Korrespondenz mit Kunden - fallen unter die sechsjährige Frist derselben Vorschrift (HGB). Schon hier zerfällt eine Bestellung in zwei Fristen, obwohl sie im Shop ein Vorgang ist.

Steuerlich gilt § 147 der Abgabenordnung. Buchungsbelege sind dort mit acht Jahren angesetzt (Abgabenordnung) - eine Zahl, die in vielen gewachsenen Löschregeln noch auf zehn steht. § 14b des Umsatzsteuergesetzes verlangt für Rechnungen und Rechnungsdoppel ebenfalls acht Jahre aufzubewahren (UStG). Das ist die harte Untergrenze für jede Regel am Bestellarchiv: Wer den Beleg zur Rechnung aus dem Shop entfernt, muss ihn anderswo noch haben. Die Belegkette bei elektronischen Rechnungen steht im Beitrag zur E-Rechnungspflicht für Online-Shops, die Sonderfälle bei Korrekturen im Beitrag zu Stornorechnungen und Gutschriften.

Drei Vorschriften kommen hinzu, sobald der Shop bestimmte Geschäfte macht. Geldwäscherechtliche Aufzeichnungen sind fünf Jahre aufzubewahren (GwG); dieselbe Vorschrift ordnet an, dass sie spätestens nach Ablauf von zehn Jahren zu vernichten sind (GwG) - hier ordnet ein Gesetz das Löschen ausdrücklich an, statt es nur zu erlauben. Lohnkonten laufen bis zum Ablauf des sechsten Kalenderjahres nach der letzten eingetragenen Lohnzahlung (EStG); Personaldaten brauchen deshalb eine eigene Löschklasse. Und Produkthaftungsansprüche erlöschen zehn Jahre nach dem Inverkehrbringen des Produkts (ProdHaftG) - das setzt die Obergrenze für Chargen- und Lieferdaten, wie sie im Beitrag zur Nachverfolgung von Chargen und Seriennummern beschrieben ist.

Die zivilrechtliche Verjährung liefert das siebte Argument und wird am häufigsten übersehen. Die regelmäßige Verjährungsfrist beträgt drei Jahre (BGB); so lange kann ein Kunde Ansprüche aus dem Kaufvertrag geltend machen, und so lange darf der Händler die Unterlagen zur Rechtsverteidigung vorhalten. Nach oben begrenzt § 199 des Bürgerlichen Gesetzbuchs das Ganze: Andere Ansprüche verjähren ohne Rücksicht auf Kenntnis in zehn Jahren von ihrer Entstehung an (BGB).

Die Tabelle sieht übersichtlich aus und ist es nicht, sobald ein Datensatz unter mehrere Zeilen fällt. Eine Bestellung ist gleichzeitig Handelsbrief, Buchungsbeleg und Vertragsunterlage. Dann gilt die längste einschlägige Frist, und zwar für den gesamten Datensatz, nicht für einzelne Felder. Wer feiner löschen will, muss die Felder vorher trennen - genau diese Arbeit leistet ein Löschkonzept.

Der Fristbeginn ist der häufigste Fehler

Fristen laufen nicht ab dem Tag der Bestellung. Handels- und steuerrechtliche Aufbewahrungsfristen beginnen mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Eine Rechnung vom 3. Februar 2026 startet ihre Frist am 31. Dezember 2026. Wer den Bestellzeitpunkt als Startzeitpunkt einträgt, löscht bis zu elf Monate zu früh - und dieser Fehler bleibt in der Prüfung sichtbar, weil sich nachvollziehen lässt, dass die Unterlage planmäßig entfernt wurde.

Zusätzlich kann eine laufende Frist stehen bleiben, solange die steuerliche Festsetzungsfrist offen ist. Bei einer hinterzogenen Steuer beträgt sie zehn Jahre (Abgabenordnung), bei leichtfertiger Verkürzung fünf. Für den Löschlauf heißt das: Betriebsprüfung, Ermittlungsverfahren oder ein offener Rechtsstreit müssen den Lauf für die betroffenen Datensätze anhalten können. Ein Konzept ohne diesen Schalter löscht entweder zu früh oder aus Vorsicht überhaupt nicht.

Praktisch braucht die Datenbank dafür zwei Felder je Datensatz: den Fristbeginn als Datum und ein Sperrkennzeichen samt Grund und verantwortlicher Rolle. Beides wird beim Anlegen gesetzt, nicht beim Löschen berechnet. Wer den Fristbeginn erst im Lauf aus anderen Feldern ableitet, bekommt bei jeder Änderung der Ableitungslogik ein anderes Ergebnis - und keinen Nachweis, welches galt.

<?php
// Löschklassen: Frist, Fristbeginn, Umsetzung, führendes System.
// Der Fristbeginn ist ein Datumsfeld im Datensatz, keine Rechenregel im Lauf.
return [
    'bestellung_beleg' => [
        'frist_jahre' => 8, // § 147 AO, § 14b UStG
        'fristbeginn' => 'ende_kalenderjahr_rechnung',
        'umsetzung' => 'anonymisieren',
        'fuehrend' => 'shop',
        'sperrbar' => true, // Betriebsprüfung
    ],
    'handelsbrief' => [
        'frist_jahre' => 6, // § 257 HGB
        'fristbeginn' => 'ende_kalenderjahr_versand',
        'umsetzung' => 'loeschen',
        'fuehrend' => 'shop',
        'sperrbar' => true,
    ],
    'konto_ohne_bestellung' => [
        'frist_monate' => 24, // Zweckfortfall, keine Aufbewahrungspflicht
        'fristbeginn' => 'letzte_anmeldung',
        'umsetzung' => 'loeschen',
        'fuehrend' => 'shop',
        'sperrbar' => false,
    ],
    'support_vorgang' => [
        'frist_jahre' => 3, // § 195 BGB
        'fristbeginn' => 'abschluss_vorgang',
        'umsetzung' => 'anonymisieren',
        'fuehrend' => 'ticketsystem',
        'sperrbar' => true,
    ],
];

Von der Tabelle zur Löschklasse

Ein Löschkonzept, das mit einer Liste aller Datenbanktabellen anfängt, wird nicht fertig. Der Einstieg über die Verarbeitungstätigkeit ist kürzer: Welche Vorgänge gibt es im Shop, welche Daten entstehen dabei, welcher Zweck trägt sie? Aus dieser Blickrichtung ergeben sich für die meisten Shops sieben bis zwölf Löschklassen - eine Zahl, die auch nach dem nächsten Systemwechsel noch stimmt.

Jede Klasse bekommt vier Angaben: Zweck und Rechtsgrundlage, Aufbewahrungsdauer mit Fristbeginn, Umsetzungsart - löschen, anonymisieren oder sperren - und das führende System. Die letzte Angabe ist der Punkt, an dem die meisten Konzepte auseinanderfallen, weil derselbe Datensatz an vier Stellen liegt und niemand festgelegt hat, wer zuerst löscht und wer nachzieht.

Wo die Kopien liegen

Der Löschlauf in der Shop-Datenbank ist der einfache Teil. Aufwendig ist die Liste der Orte, an denen derselbe Datensatz noch einmal steht: Suchindex, Cache, Warenwirtschaft, Buchhaltung, Übergabedateien an den Versanddienstleister, Support-Postfach, Newsletter-Verteiler, Auswertungsdatenbank, Kassensystem, Sicherungen. Jeder Ort braucht eine eigene Zeile im Konzept, auch wenn dort am Ende steht, dass nicht gelöscht wird - dann aber mit Begründung.

Sicherungen sind der Sonderfall, an dem sich die Diskussion festfährt. Wer in einem Backup einzelne Zeilen ändert, macht es als Wiederherstellungspunkt wertlos. Der gangbare Weg besteht aus zwei Zusagen: Sicherungen haben eine begrenzte Vorhaltezeit, nach der sie vollständig verfallen, und nach einer Wiederherstellung wird der Löschlauf erneut angestoßen, bevor das System zurück in den Publikumsbetrieb geht. Beides gehört schriftlich ins Konzept und in die Wartungsvereinbarung mit dem Hosting.

Der zweite Sonderfall ist das Kassensystem im Ladengeschäft. Wandern Bestand und Beleg zwischen Kasse und Shop, wandern Kundendaten mit - und der Löschlauf des Shops erreicht die Kasse nicht von allein. Wie diese Übergabe sauber aufgesetzt wird, beschreibt der Beitrag zur Anbindung des Kassensystems an den Onlineshop.

Ein Probelauf, der nur zählt und nichts verändert, ist der billigste Weg zu einem belastbaren Konzept. Er zeigt vor dem ersten scharfen Lauf, wie viele Datensätze je Klasse fällig sind. Springt die Zahl in einer Klasse in die Hunderttausende, stimmt meistens der Fristbeginn nicht - und nicht die Frist.

Löschen, sperren, anonymisieren

Löschen ist nicht die einzige Umsetzungsart, und für einen Shop selten die erste. Drei Wege stehen zur Verfügung, jeder mit eigener Rechtsfolge und eigenem technischen Preis.

1. Löschen entfernt den Datensatz. Sauber, aber nur dort möglich, wo weder eine Aufbewahrungspflicht noch eine Referenz besteht. Fremdschlüssel auf Bestellpositionen machen das Entfernen eines Kundendatensatzes praktisch unmöglich, solange die Bestellung bleiben muss.
2. Anonymisieren trennt den Personenbezug ab und lässt die Struktur stehen. Umsatzstatistiken bleiben rechenbar, die Person ist nicht mehr identifizierbar. Der Maßstab ist streng: Lässt sich über Bestelldatum, Postleitzahl und Warenkorb wieder eine Person eingrenzen, ist es keine Anonymisierung, sondern eine Pseudonymisierung mit Zusatzaufwand.
3. Einschränken der Verarbeitung friert den Datensatz ein. Er bleibt vorhanden, wird aber aus jeder normalen Verarbeitung ausgenommen - kein Versand, keine Auswertung, keine Anzeige im Backend. Für Daten, die nur wegen einer Aufbewahrungspflicht existieren, ist das der richtige Zustand.

Die dritte Variante fehlt im Shop am häufigsten. Ein Kunde verlangt die Löschung seines Kontos, die Rechnungen müssen aber noch acht Jahre bleiben. Richtig ist dann: Konto, Profil und Marketingdaten verschwinden, die Belegdaten wandern in einen eingeschränkten Bestand, aus dem kein laufender Prozess mehr liest. Falsch sind die beiden bequemen Antworten: alles löschen oder alles behalten.

Das Löschverlangen aus dem Kundenkonto

Neben dem turnusmäßigen Lauf gibt es den Einzelfall: Ein Kunde verlangt die Löschung. Der Verantwortliche muss ihn unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags über die ergriffenen Maßnahmen unterrichten (DSGVO). Die Frist läuft ab Eingang - nicht ab der internen Zuordnung.

Verlängern lässt sich die Frist um weitere zwei Monate, wenn Komplexität und Anzahl der Anträge das erfordern (DSGVO). Das ist eine Ausnahme mit Begründungspflicht gegenüber der betroffenen Person, kein Puffer für die Urlaubszeit.

Dass Löschverlangen Alltag geworden sind, zeigen die Zahlen der Aufsichtsbehörden. Das Bayerische Landesamt für Datenschutzaufsicht erreichten 2025 insgesamt 9.746 Beschwerden und Kontrollanregungen (BayLDA), ein Anstieg um 61 Prozent gegenüber dem Vorjahr (BayLDA). Den größten Anteil stellte der Bereich Internet und digitale Dienste mit 21 Prozent (BayLDA). In Berlin gingen von Januar bis einschließlich November 2025 insgesamt 8.436 Eingaben ein (BlnBDI), darunter 5.772 Anfragen betroffener Personen nach einer Beratung, etwa dazu, wie sich Auskunft oder Löschung geltend machen lassen (BlnBDI).

Wer darauf setzt, dass ein unbeantworteter Antrag im Sand verläuft, unterschätzt die Bearbeitungsgeschwindigkeit. 62 Prozent der im Jahr 2025 abgeschlossenen förmlichen Beschwerden konnte die bayerische Aufsicht innerhalb von drei Monaten abschließen (BayLDA). Auf Bundesebene nahm die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit im Berichtsjahr 9.170 Meldungen entgegen (BfDI) und ergriff 129 aufsichtsrechtliche Maßnahmen wie Verwarnungen, Anweisungen oder Zwangsgelder (BfDI). Aufsicht beginnt nicht erst beim Bußgeld.

Weniger Daten, kleinerer Schaden

Das Löschkonzept ist nicht nur Datenschutzpflicht, sondern Sicherheitsmaßnahme. Ein gelöschter Datensatz kann nicht abfließen, nicht verschlüsselt und nicht veröffentlicht werden. Diese Rechnung geht auf, sobald man die Meldepflichten danebenlegt: Eine Verletzung des Schutzes personenbezogener Daten ist unverzüglich und möglichst binnen 72 Stunden an die zuständige Aufsichtsbehörde zu melden (DSGVO). In diesen 72 Stunden muss der Umfang beschrieben werden - und der Umfang ist das, was in der Datenbank lag.

Wie oft das vorkommt, lässt sich beziffern. Beim Bayerischen Landesamt für Datenschutzaufsicht gingen 2025 insgesamt 3.603 Datenpannenmeldungen ein (BayLDA). Der wirtschaftliche Rahmen dahinter: Datendiebstahl, Industriespionage und Sabotage verursachten in Deutschland zuletzt Schäden zwischen 211 und 270,8 Milliarden Euro (Bitkom); 45 Prozent der befragten Unternehmen waren vom digitalen Diebstahl von Geschäftsdaten betroffen (Bitkom). Befragt wurden 1.003 Unternehmen ab zehn Beschäftigten mit mindestens einer Million Euro Jahresumsatz.

Für den Shop heißt das: Jede Klasse, deren Frist abgelaufen ist und die trotzdem vollständig vorliegt, ist Angriffsfläche ohne Gegenwert. Sie verlängert im Ernstfall die Meldung und vergrößert den Kreis der zu benachrichtigenden Personen. Wie sich der verbleibende Bestand absichern lässt, steht im Beitrag zur IT-Sicherheit im E-Commerce.

Das Konzept als Dokument

Ein Löschkonzept, das nur als Code in der Anwendung existiert, ist im Ernstfall nicht vorzeigbar. Es gehört als Dokument neben das Verzeichnis von Verarbeitungstätigkeiten, weil beide dieselben Angaben brauchen: Zweck, Datenkategorien, Empfänger, Fristen. Die Ausnahme von der Verzeichnispflicht für Unternehmen mit weniger als 250 Mitarbeitern (DSGVO) hilft einem Shop selten weiter, weil sie voraussetzt, dass die Verarbeitung nur gelegentlich erfolgt.

Der Bestand, um den es geht, wächst weiter. Der deutsche Onlinehandel setzte 2025 rund 92,3 Milliarden Euro netto um (HDE), bei einem Wachstum von 3,9 Prozent gegenüber dem Vorjahr (HDE), das damit über dem Wachstum im stationären Handel lag. Jeder dieser Umsätze hinterlässt einen Bestelldatensatz, eine Rechnung, häufig ein Kundenkonto und mehrere Protokollzeilen.

Ein brauchbares Dokument hat fünf Teile: die Liste der Löschklassen, je Klasse Frist und Fristbeginn mit Rechtsgrundlage, die Systemlandkarte mit dem führenden System, das Verfahren für Einzelanträge und Sperren sowie das Protokoll der Läufe. Der letzte Teil wird oft vergessen und ist der einzige, der im Streitfall zeigt, dass gelöscht wurde. Ein Löschlauf ohne Protokoll ist eine Behauptung. Wie wir solche Konzepte mit Shopbetreibern aufsetzen, beschreibt unsere Beratung und Konzeption; unsere eigene Verarbeitung steht in der Datenschutzerklärung.

Den Löschlauf in Betrieb nehmen

Der Weg vom Papier zum laufenden Betrieb ist kürzer, als er wirkt, wenn er in der richtigen Reihenfolge gegangen wird. Sieben Schritte reichen für den ersten vollständigen Durchgang.

• Verarbeitungstätigkeiten aufnehmen und daraus die Löschklassen bilden - nicht umgekehrt aus dem Datenbankschema.
• Je Klasse Frist, Rechtsgrundlage und Fristbeginn festhalten und den Fristbeginn als Datumsfeld in die Daten schreiben.
• Systemlandkarte zeichnen: Wo liegt derselbe Datensatz noch, wer löscht zuerst, wer zieht nach?
• Sperrkennzeichen einführen, damit Betriebsprüfung und Rechtsstreit den Lauf anhalten können.
• Probelauf ohne Schreibzugriff fahren und die Trefferzahlen gegen eine vorher notierte Erwartung halten.
• Scharfen Lauf einschalten, Protokoll schreiben - und für das Protokoll selbst eine Frist festlegen.
• Konzept und Verzeichnis gemeinsam fortschreiben, sobald ein System dazukommt.

Ein Shop, der seine Fristen kennt, wird nebenbei schneller: weniger Datensätze im Suchindex, kleinere Sicherungen, kürzere Wiederherstellungszeiten, weniger Aufwand bei jeder Auskunft. Wenn Sie den Bestand Ihres Shops einmal gegen die Fristen halten möchten, lassen Sie Ihren Datenbestand prüfen - mit Löschklassen, Systemlandkarte und einem Probelauf, der zählt, bevor er schreibt.