Wann muss ich Kundendaten löschen? Meine Routine für die DSGVO Löschpflicht

In meinem Postfach liegt ein Ordner mit toten Kontakten – Leuten, die vor Jahren mal angefragt und sich nie wieder gemeldet haben. Datenlöschung klingt in der Theorie nach einem Klick. In der Praxis ist sie die Frage, die mich bei meiner DSGVO-Routine als Solopreneurin am längsten beschäftigt hat.

Der Irrtum, dem ich am längsten aufgesessen bin: Löschen sei eine Alles-oder-nichts-Entscheidung. Entweder man wirft raus, was nicht mehr gebraucht wird, oder man behält vorsichtshalber alles, aus Angst, etwas Wichtiges zu verlieren. Beides ist falsch, und genau dieser Denkfehler kostet die meiste Zeit.

Der Irrtum bei der Datenlöschung: Alles oder nichts

Die Datenschutz-Grundverordnung verlangt, dass personenbezogene Daten nicht länger gespeichert werden als nötig – dieses Prinzip der Zweckbindung gehört zu den DSGVO-Grundlagen, über die ich an anderer Stelle ausführlicher geschrieben habe. Für die Praxis heißt das aber nicht "sofort weg", sondern "weg, sobald der Zweck erledigt ist". Und der Zweck ist bei einer offenen Rechnung ein anderer als bei einer unbeantworteten Anfrage von vor Jahren.

Wichtiger als ein festes Kalenderdatum ist deshalb die Frage, worum es sich bei den Daten überhaupt handelt. Eine Anfrage ohne Vertrag ist etwas anderes als eine Rechnung oder ein Geschäftsbrief – dafür gelten eigene, im Handels- und Steuerrecht festgelegte Aufbewahrungspflichten, die unabhängig von der DSGVO existieren und ihr an dieser Stelle sogar vorgehen. Das Handelsgesetzbuch verlangt hier eine deutlich längere Aufbewahrung, als es viele Solopreneurinnen aus reinem DSGVO-Denken heraus erwarten würden.

Alte Rechnungen einfach entsorgen – das geht nicht

Nein – und das war für mich der zweite Punkt, den ich falsch eingeschätzt hatte. Rechnungen, Verträge und Buchungsunterlagen bleiben liegen, ganz unabhängig davon, wie lange der Kunde schon weg ist. Ich sortiere sie inzwischen konsequent in einen eigenen Bereich, getrennt von den restlichen Kontakten, dokumentiert in meinem Cloud-Speicher, über den ich an anderer Stelle geschrieben habe: Wie ich Cloud-Speicher wie Dropbox rechtssicher für Kundendaten nutze. Was dort landet, fasse ich nicht mehr an, bis die gesetzliche Frist um ist.

Meine Drei-Fragen-Routine als Solopreneurin

Ein Leser, Manfred Küppers, hat vor einer Weile unter einem meiner ersten Beiträge einen langen, sehr sachlichen Kommentar hinterlassen und aus seiner Erfahrung als ehemaliger PR-Berater gefragt, wie ich das eigentlich mit alten Kontakten handhabe. Diese Frage steckt hinter der Routine, die ich seither für mich gefunden habe.

Bevor ich heute überhaupt etwas lösche, stelle ich mir drei Fragen. Erstens: Hat die Sache mit Geld, einer Rechnung oder einem Vertrag zu tun? Wenn ja, bleibt sie liegen, ganz egal, wie unwichtig sie mir gerade erscheint. Zweitens: Ist der ursprüngliche Zweck erledigt – hat sich also niemand mehr gemeldet, läuft kein Projekt mehr, gibt es keinen offenen Vorgang? Drittens: Hat die Person selbst aktiv etwas angefragt, zum Beispiel wissen wollen, welche Daten ich über sie gespeichert habe? Für diesen Fall lohnt sich ein Blick in meinen Beitrag dazu, wie ich ein Auskunftsersuchen nach DSGVO als Solopreneur richtig beantworte, denn dann darf gerade nichts gelöscht werden, bevor die Anfrage beantwortet ist.

Erst prüfen, dann klicken

Vor dieser Routine saß ich stundenlang vor DSGVO-Erklärvideos auf YouTube, nickte bei jedem Punkt und setzte danach trotzdem nichts um. Das Wissen blieb im Kopf hängen, aber keine einzige Zeile davon landete in einer echten Routine. Erst als ich mir einen ausgedruckten Leitfaden anlegte und mit Randnotizen in verschiedenen Farben vollkritzelte, wurde daraus etwas, das ich im Alltag anwenden konnte – und in das ich heute noch reinblättere, wenn ein Fall nicht eindeutig ist.

Meine Bekannte Renée, eine Grafikdesignerin aus Hamburg, mit der ich mich seit einer DSGVO-Facebook-Gruppe austausche, hat mich einmal darauf hingewiesen, dass ihre norddeutsche Datenschutzbehörde manche Fragen anders auslegt als das, was ich aus Sachsen kenne. Genau das bestärkt mich darin, keine einzelne Zahl als universelle Wahrheit zu behandeln, sondern die Grundprinzipien zu verstehen und im konkreten Fall genau hinzuschauen.

Wer mag, hält diese Routine schriftlich fest – offiziell manchmal Löschkonzept genannt, manchmal Teil eines Verfahrensverzeichnisses. Bei mir ist es kein Wälzer, sondern eine einfache Tabelle mit drei Spalten: was ich speichere, warum, und wann es wieder rausfliegt.

Der Anruf, der meine Abmahn-Angst entlarvte

Wie tief diese Angst wirklich sitzt, habe ich erst gemerkt, als spätabends das Telefon klingelte und ich für einen Wimpernschlag sicher war, jetzt ist es eine Anwaltskanzlei – bevor ich sah, dass es einfach nur meine Mutter war, die wissen wollte, ob ich schon gegessen hatte. Diese eine Sekunde hat mir mehr über meinen eigenen Stresspegel verraten als jedes Erklärvideo.

Die pauschale Antwort auf "Wann muss ich Kundendaten löschen?" gibt es also nicht, so unbefriedigend das klingt. Die brauchbare Antwort lautet: nicht raten, sondern einordnen. Ich frage bei jedem Datensatz nach seiner Herkunft, seinem Zweck und danach, ob eine andere gesetzliche Pflicht ihn länger schützt, als die DSGVO ihn freigeben würde. Das nimmt zwar die schnelle Erlösung eines fixen Datums, gibt mir aber eine Routine an die Hand, die auch beim nächsten unklaren Fall trägt.

Manchmal frage ich mich, ob ich bei alledem noch andere Baustellen übersehe – zum Beispiel, ob mein Impressum für meine Website im Wartungsmodus überhaupt noch aktuell ist, wenn ich mal eine Weile offline bin. Auch das wird bestimmt noch ein eigener Eintrag in meinem Website-Tagebuch.