Aufbewahrungsfristen: Wie lange du Bewerbungs- und Kontaktdaten wirklich speichern darfst

Am 18. Februar 2026 hat der Europäische Datenschutzausschuss den Bericht zu seiner koordinierten Prüfaktion 2025 angenommen. Thema: das Recht auf Löschung. 32 Aufsichtsbehörden, 764 geprüfte Verantwortliche — vom Ein-Personen-Betrieb bis zum Konzern, privat wie öffentlich.

Zwei der sieben Hauptbefunde sind exakt das Thema dieses Artikels: Verantwortliche tun sich schwer mit der Bestimmung von Speicherfristen, und sie bekommen die Löschung aus Backups nicht in den Griff. Ein dritter ist noch unangenehmer: Manche setzen auf „ineffiziente Anonymisierungstechniken", statt tatsächlich zu löschen.

Das deckt sich mit dem, was mir in der Beratung begegnet. Und der eigentliche Grund dafür ist selten Unwissen über Fristen. Er ist banaler: Die meisten wissen nicht, wo ihre Daten überhaupt überall liegen. Eine Bewerbung, die über ein Online-Formular hereinkommt, liegt fast nie nur an einer Stelle. Sie liegt an sechs.

Dieser Artikel behandelt beides — die Fristen und die Technik. Er beantwortet, wie lange du Bewerbungsunterlagen und Kontaktformular-Anfragen aufbewahren darfst, woher diese Zahlen kommen, wo die Daten technisch überall landen, und wie du sie zuverlässig wieder loswirst. Am Ende stehen fünf durchgerechnete Szenarien mit Zeitachse.

Das hier ist keine Rechtsberatung. Ich bin IT-Berater, kein Rechtsanwalt, und ich darf keine Rechtsberatung erteilen — Rechtsberatung im Einzelfall ist nach dem Rechtsdienstleistungsgesetz Anwältinnen und Anwälten vorbehalten. Was du hier bekommst, ist aufbereitete Fachinformation: Ich führe jede Frist auf ihre Norm oder auf eine Veröffentlichung einer Aufsichtsbehörde zurück und kennzeichne durchgehend, was Gesetz ist und was meine Empfehlung ist. Für die verbindliche Bewertung deines konkreten Falls brauchst du anwaltlichen Rat oder deine Datenschutzbeauftragte. Der technische Teil dieses Artikels ist dagegen genau mein Fach.

Vorab: Drei Sätze, die fast überall stehen und trotzdem nicht stimmen

„Bewerbungsunterlagen muss man sechs Monate aufbewahren"

Diese Zahl steht in unzähligen Ratgebern, oft im Tonfall einer gesetzlichen Anordnung. Sie ist keine.

Es gibt keine gesetzliche Aufbewahrungsfrist und keine gesetzliche Löschfrist für Bewerbungsdaten. Der Landesbeauftragte für den Datenschutz Niedersachsen formuliert das in seinen FAQ unmissverständlich: Es gibt „weder gesetzlich festgelegte Aufbewahrungs- noch Löschfristen für Bewerbungsdaten".

Die sechs Monate sind eine Herleitung, und zwar eine gute — aber du solltest wissen, dass du sie herleitest und nicht abliest. Sie setzt sich zusammen aus zwei Fristen und einem Puffer, und beide Fristen stehen tatsächlich im Gesetz:

Zwei Monate für die schriftliche Geltendmachung eines Entschädigungsanspruchs. § 15 Abs. 4 AGG: „Ein Anspruch nach Absatz 1 oder 2 muss innerhalb einer Frist von zwei Monaten schriftlich geltend gemacht werden." Bei einer Bewerbung beginnt die Frist mit dem Zugang der Ablehnung.
Drei Monate für die Klage. § 61b Abs. 1 ArbGG: „Eine Klage auf Entschädigung nach § 15 des Allgemeinen Gleichbehandlungsgesetzes muss innerhalb von drei Monaten, nachdem der Anspruch schriftlich geltend gemacht worden ist, erhoben werden." Diese Frist beginnt also nicht mit der Absage, sondern erst mit der schriftlichen Geltendmachung.
Ein Puffer von bis zu einem Monat, weil du von einer Klage erst erfährst, wenn sie dir zugestellt wird — und weil jemand die Zwei-Monats-Frist am letzten Tag ausschöpfen darf.

Zwei plus drei plus Puffer ergibt sechs. Der Wert ist damit gut begründet, und die Aufsichtsbehörden akzeptieren ihn breit. Aber der Unterschied zwischen „gesetzliche Frist" und „hergeleitete Obergrenze" ist praktisch relevant, und zwar in beide Richtungen:

Nach oben: Sechs Monate sind keine Erlaubnis, sechs Monate zu speichern. Sie sind die Obergrenze eines Verteidigungszwecks. Wenn dieser Zweck in deinem Fall früher entfällt, musst du früher löschen.
Nach unten: Wenn tatsächlich ein Anspruch geltend gemacht wurde, ist nach sechs Monaten nichts vorbei. Dann läuft ein Verfahren, und die Unterlagen sind Beweismittel.

„Sicherheitshalber alles zehn Jahre aufheben"

Das war noch nie richtig, und seit dem 1. Januar 2025 ist es doppelt falsch. Das Vierte Bürokratieentlastungsgesetz hat die Aufbewahrungsfrist für Buchungsbelege von zehn auf acht Jahre verkürzt. Der Gesetzestext sagt es heute so:

„Die in Absatz 1 Nummer 1 aufgeführten Unterlagen sind zehn Jahre, die in Absatz 1 Nummer 4 aufgeführten Unterlagen acht Jahre und die sonstigen in Absatz 1 aufgeführten Unterlagen sechs Jahre aufzubewahren." — § 257 Abs. 4 HGB, wortgleich in § 147 Abs. 3 AO

Für unser Thema ist vor allem die dritte Kategorie wichtig: Handels- und Geschäftsbriefe — sechs Jahre. Das Gesetz definiert sie knapp: „Handelsbriefe sind nur Schriftstücke, die ein Handelsgeschäft betreffen" (§ 257 Abs. 2 HGB). Nach der gängigen Auslegung fällt darunter Korrespondenz, die ein Geschäft vorbereitet, abschließt oder rückgängig macht — und das Medium spielt keine Rolle: Eine E-Mail ist davon genauso erfasst wie ein Brief auf Papier. Dazu gleich mehr, denn genau hier liegt der Kipppunkt für Kontaktformulare.

Vor allem aber: Eine Aufbewahrungspflicht für Belege ist kein Aufbewahrungsrecht für alles, was daran hängt. Die Rechnung musst du acht Jahre behalten. Das heißt nicht, dass du das Bewerbungsfoto des Absenders acht Jahre behalten darfst.

„Wir anonymisieren die Daten, dann müssen wir nicht löschen"

Der EDSA-Bericht führt „ineffiziente Anonymisierungstechniken" als eigenen Hauptbefund. In der Praxis ist das, was Betriebe Anonymisierung nennen, fast immer Pseudonymisierung: Der Name wird durch eine ID ersetzt, aber irgendwo existiert noch die Zuordnungstabelle — oder die Restdaten sind so spezifisch, dass die Person daraus wieder bestimmbar ist.

Pseudonyme Daten sind personenbezogene Daten. Für sie gilt die Löschpflicht unverändert. Echte Anonymisierung ist ein hoher Anspruch, und die ehrliche Faustregel lautet: Wenn du die Zuordnung im Bedarfsfall noch herstellen könntest, hast du nicht anonymisiert.

Das Prinzip: Löschen ist der Normalzustand

Der häufigste Denkfehler ist die Blickrichtung. Viele fragen: „Wie lange darf ich das behalten?" Die Verordnung fragt umgekehrt: Warum hast du es überhaupt noch?

Art. 5 Abs. 1 lit. e DSGVO — die Speicherbegrenzung — erlaubt eine Speicherung in identifizierbarer Form nur so lange, wie es für den Verarbeitungszweck erforderlich ist. Fällt der Zweck weg, entsteht nach Art. 17 Abs. 1 lit. a eine Löschpflicht, ohne dass jemand sie verlangen muss. Das ist der Punkt, den die EDSA-Prüfung 2025 branchenübergreifend als Schwachstelle gefunden hat: Die meisten Organisationen können auf Anfrage löschen. Von selbst löschen können sie nicht.

Daraus folgt die Struktur jedes brauchbaren Löschkonzepts — drei Fragen pro Datenart:

Wofür habe ich diese Daten? (Zweck)
Woran erkenne ich, dass der Zweck erledigt ist? (Startereignis der Frist — nicht das Datum der Erhebung, sondern ein Ereignis: Absage zugegangen, Anfrage beantwortet, Vertrag beendet)
Steht der Löschung eine Pflicht entgegen? (Aufbewahrungspflicht aus HGB, AO, SGB und anderen)

Erst die Kombination ergibt eine Frist. Und Frage 2 ist die, an der es in der Praxis scheitert: Eine Frist, die an einem Ereignis hängt, das im System nirgends festgehalten wird, kann niemand automatisieren.

Aufbewahrungspflicht und Löschpflicht kollidieren nicht so oft, wie man denkt

Ein weit verbreitetes Missverständnis: „Wir müssen das doch zehn Jahre aufbewahren, also dürfen wir nicht löschen." Das stimmt für den aufbewahrungspflichtigen Beleg. Es stimmt nicht für den ganzen Datensatz.

Wenn jemand die Löschung verlangt und einer Aufbewahrungspflicht unterliegende Unterlagen betroffen sind, ist der saubere Weg nicht „Löschung abgelehnt", sondern: löschen, was nicht aufbewahrungspflichtig ist, und den Rest einschränken (Art. 18 DSGVO) — also sperren, aus dem operativen Zugriff nehmen, nur noch für den Aufbewahrungszweck vorhalten und nach Fristablauf löschen.

Bewerbungsdaten

Die Rechtsgrundlage ist seit 2023 unbequemer geworden

Für Bewerberdaten wurde jahrelang reflexhaft § 26 BDSG zitiert. Bewerber sind dort tatsächlich erfasst — § 26 Abs. 8 BDSG stellt klar, dass „Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist," als Beschäftigte gelten.

Nur ist die Vorschrift seit dem EuGH-Urteil vom 30. März 2023 (C-34/21) angeschlagen. Der Gerichtshof entschied zu einer weitgehend parallelen hessischen Landesvorschrift, dass eine solche Generalklausel keine „spezifischere Vorschrift" im Sinne von Art. 88 DSGVO ist. Die Aufsichtsbehörden haben reagiert: Der Landesbeauftragte für den Datenschutz Baden-Württemberg schreibt in seiner FAQ, dass § 26 Abs. 1 Satz 1 BDSG „wahrscheinlich unanwendbar sein dürfte" — und verweist stattdessen auf Art. 6 Abs. 1 DSGVO, je nach Konstellation Buchstabe b, c, e oder f.

Wichtig ist die Einordnung, die dieselbe Behörde mitliefert: An der Zulässigkeit der Verarbeitung ändert sich dadurch in aller Regel nichts. Was sich ändert, ist die Rechtsgrundlage, die du benennst — in der Datenschutzerklärung, im Verzeichnis von Verarbeitungstätigkeiten und in der Bewerber-Information.

Ein spezielles Beschäftigtendatenschutzgesetz ist seit Jahren angekündigt und war zuletzt Ende 2024 als Entwurf im Gespräch — verabschiedet ist es nicht.

Praktisch bedeutet das für dich: Die Verarbeitung von Bewerberdaten für die Auswahlentscheidung lässt sich unabhängig davon tragen — sie ist zur Durchführung vorvertraglicher Maßnahmen erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Die Aufbewahrung nach der Absage ist etwas anderes: Sie dient deiner Rechtsverteidigung und stützt sich auf das berechtigte Interesse (Art. 6 Abs. 1 lit. f). Und ein berechtigtes Interesse endet, wenn die Ansprüche, gegen die du dich verteidigen willst, nicht mehr geltend gemacht werden können. Genau daher kommen die sechs Monate.

Die drei Fälle

Fall 1 — Absage. Löschung nach Ablauf des Rechtsverteidigungszeitraums. Meine Empfehlung: sechs Monate ab Zugang der Absage, nicht ab Eingang der Bewerbung. Das Startereignis ist die Absage, und dieses Datum muss im System stehen, sonst kannst du die Frist nicht automatisieren.

Fall 2 — Einstellung. Die Unterlagen wechseln den Zweck und wandern in die Personalakte. Damit gilt kein Bewerbungs-, sondern ein Beschäftigungskontext mit ganz eigenen Fristen. Wichtig: Nicht alles darf mit. Unterlagen, die für das Arbeitsverhältnis nicht erforderlich sind, gehören auch bei Eingestellten gelöscht.

Fall 3 — Talentpool. Hier hilft keine Herleitung, hier brauchst du eine Einwilligung. § 26 Abs. 2 BDSG stellt für die Freiwilligkeit im Beschäftigungskontext besondere Anforderungen auf: Zu berücksichtigen sind „die im Beschäftigungsverhältnis bestehende Abhängigkeit" und die Umstände; Freiwilligkeit kann insbesondere vorliegen, wenn die betroffene Person einen rechtlichen oder wirtschaftlichen Vorteil erlangt. Bei einem Talentpool ist dieser Vorteil gut begründbar — die Person bleibt für künftige Stellen im Rennen. Die Einwilligung ist grundsätzlich in Schrift- oder elektronischer Form einzuholen, und es ist in Textform über Zweck und Widerrufsrecht aufzuklären.

Der LfD Niedersachsen lehnt in seinen FAQ eine unbegrenzte Vorratsspeicherung ausdrücklich ab: Speicherzwecke müssen „klar definiert" und der Aufbewahrungszeitraum „zeitlich begrenzt" sein. Meine Empfehlung: 12 Monate, mit aktiver Nachfrage vor Ablauf und einem jederzeit funktionierenden Widerruf. Ein Talentpool, aus dem sich niemand austragen kann, ist kein Talentpool, sondern ein Archiv.

Sonderfälle, die die Frist verlängern — oder verkürzen

Anspruch wurde geltend gemacht. Sobald jemand innerhalb der zwei Monate schriftlich einen Anspruch anmeldet, ist die Standardfrist hinfällig. Jetzt laufen drei Monate Klagefrist, und wenn geklagt wird, sind die Unterlagen bis zum rechtskräftigen Abschluss Beweismittel. Dein Löschjob muss dafür einen Haltevermerk kennen — eine Markierung, die die automatische Löschung aussetzt. Ohne diesen Mechanismus vernichtet deine Automatisierung im Ernstfall deine eigene Verteidigung.
Dokumentationspflichten bei der Auswahlentscheidung. Insbesondere im öffentlichen Dienst kann die Auswahlentscheidung im Konkurrentenstreitverfahren nachprüfbar sein; der LfD Niedersachsen verweist dafür auf Rechtsprechung des Bundesverwaltungsgerichts und des OVG Lüneburg. Hier kann eine längere Aufbewahrung der Auswahldokumentation geboten sein — was nicht heißt, dass alle Bewerbungsunterlagen aller Bewerber länger liegen bleiben müssen.
Löschverlangen vor Fristablauf. Ein Bewerber darf jederzeit die Löschung verlangen. Das ist zulässig und kommt vor. Du darfst dann abwägen, ob dein Rechtsverteidigungsinteresse überwiegt — aber du musst diese Abwägung tatsächlich vornehmen und begründen können, nicht bloß auf „sechs Monate" verweisen. Wer die Löschung verlangt, verzichtet damit übrigens praktisch auf die eigene Beweislage; das entwertet dein Verteidigungsinteresse spürbar.
Absage kam gar nicht an. Die Zwei-Monats-Frist läuft ab Zugang der Ablehnung. Wenn du nie abgesagt hast — der Klassiker bei Initiativbewerbungen, die im Postfach versanden —, hat die Frist nie begonnen. Deine sechs Monate laufen dann nicht. Absagen ist also nicht nur eine Frage des Anstands, sondern der Startschuss deiner Löschfrist.

Der eigentlich schwierige Teil: die E-Mail-Bewerbung

Eine Bewerbung über ein Formular kannst du strukturiert behandeln. Eine Bewerbung, die als E-Mail an info@ oder direkt an eine Person geht, ist datenschutzrechtlich derselbe Vorgang — aber technisch ein völlig anderes Problem. Nach sechs Monaten liegt sie typischerweise hier:

im Postfach des Empfängers,
im Postfach der Kollegin, an die sie weitergeleitet wurde,
im gesendeten Ordner beider,
im lokalen Mail-Client auf mindestens einem Rechner, oft mit vollständigem Offline-Cache,
als heruntergeladenes PDF im Download-Ordner oder auf dem Netzlaufwerk,
in den Server-Backups aller genannten Systeme,
in den Logs des Mailservers — dort immerhin meist nur Metadaten.

Sechs von sieben Ablageorten kennt deine Löschroutine nicht. Das ist der Grund, warum ich E-Mail-Bewerbungen für den größten praktischen Schwachpunkt halte — nicht die Fristen.

Was hilft, in dieser Reihenfolge:

Ein dediziertes Postfach bewerbung@ statt info@, auf das nur der Personenkreis zugreift, der zugreifen muss. Damit hast du einen definierten Ort statt einer diffusen Menge.
Keine Weiterleitungen, sondern gemeinsamer Zugriff. Jede Weiterleitung erzeugt eine neue, unkontrollierte Kopie. Ein geteiltes Postfach mit IMAP-Zugriff erzeugt keine.
Serverseitige Retention statt Client-Regeln. Regeln im lokalen Outlook helfen dir nicht, wenn der Laptop zwei Wochen aus ist.
Anhänge zentral ablegen, nicht lokal. Ein Verzeichnis, das dein Löschjob erreicht, schlägt jeden Download-Ordner.
In der Stellenausschreibung aktiv auf das Formular lenken. Der wirksamste Hebel ist, den unstrukturierten Kanal gar nicht erst attraktiv zu machen. Wer Bewerbungen per E-Mail annimmt, muss E-Mails löschen können.

Kontaktformulare

Hier ist die Rechtslage einfacher und die Praxis schlampiger.

Für Kontaktformular-Daten gibt es keine gesetzliche Frist, in keine Richtung. Es gilt der Grundsatz: Der Zweck ist die Beantwortung der Anfrage. Ist die Anfrage beantwortet und die Sache erledigt, entfällt der Zweck, und es ist zu löschen.

„Erledigt" ist dabei ein Ereignis, kein Datum — und es ist unangenehm unscharf. Eine Preisanfrage ist mit der Antwort erledigt. Eine Beschwerde ist es erst, wenn der Vorgang abgeschlossen ist. Eine Anfrage, aus der ein Angebot wurde, ist erst erledigt, wenn das Angebot angenommen oder endgültig abgelehnt wurde.

Meine Empfehlung — ausdrücklich eine Empfehlung, keine Rechtslage:

Reine Anfrage ohne Geschäftsanbahnung (Rückfrage, Terminwunsch, allgemeine Auskunft): löschen, sobald erledigt, spätestens 90 Tage nach der letzten Kommunikation. Der Puffer deckt Rückfragen ab, ohne zum Archiv zu werden.
Anfrage mit Geschäftsanbahnung (Angebotsanfrage, Beschwerde, Reklamation): löschen nach Abschluss des Vorgangs, sofern kein Kipppunkt erreicht ist — siehe gleich.
Spam und automatisierte Einträge: sofort löschen. Auch Spam-Einträge enthalten oft echte personenbezogene Daten von Dritten, deren Adressen missbraucht wurden.

Der Kipppunkt: wann aus einer Anfrage ein Geschäftsbrief wird

Das ist der Punkt, an dem die meisten Löschkonzepte schweigen. Sobald die Korrespondenz ein Handelsgeschäft betrifft — nach gängiger Auslegung also ein Geschäft vorbereitet, abschließt oder rückgängig macht —, ist sie ein Handels- beziehungsweise Geschäftsbrief und damit nach § 257 Abs. 1 Nr. 2 und 3 HGB sowie § 147 Abs. 1 AO sechs Jahre aufzubewahren. Die Frist beginnt nicht mit dem Vorgang, sondern nach § 257 Abs. 5 HGB und § 147 Abs. 4 AO mit dem Schluss des Kalenderjahres, in dem der Brief empfangen oder abgesandt wurde.

Praktisch heißt das: Eine Angebotsanfrage vom 3. Februar 2026, aus der ein Angebot wurde, ist bis zum 31. Dezember 2032 aufzubewahren. Nicht 90 Tage.

Ein und dasselbe Formular produziert also zwei völlig verschiedene Fristen, je nachdem, was inhaltlich daraus wurde. Das kannst du technisch nicht raten. Du brauchst an dieser Stelle eine menschliche Entscheidung, die im System landet: ein Statusfeld, das eine Anfrage als geschäftsrelevant markiert und sie damit aus dem 90-Tage-Löschjob nimmt. Ohne dieses Feld hast du nur zwei Möglichkeiten, und beide sind falsch — alles zu früh löschen oder alles zu lange behalten.

Und die Gegenrichtung wird gern vergessen: Aus der Aufbewahrungspflicht für den Geschäftsbrief folgt kein Recht, den ganzen Rest ebenfalls sechs Jahre zu behalten. Die IP-Adresse des Absenders, der User-Agent, der Zeitstempel der Formularübermittlung, der Spam-Score — nichts davon ist Teil des Geschäftsbriefs.

Zwei Nachbarthemen, sauber abgegrenzt

Newsletter. Das ist kein Kontaktformular, sondern eine eigene Verarbeitung auf Grundlage einer Einwilligung. Die Daten bleiben bis zum Widerruf. Der Nachweis der Einwilligung (Double-Opt-In-Protokoll: Zeitpunkt, IP, bestätigter Link) muss die Einwilligung überdauern, weil du die Rechtmäßigkeit auch nach dem Widerruf noch belegen können musst.
Missbrauchsabwehr. Wer IP-Adressen zur Spam- und Angriffsabwehr speichert, verfolgt einen eigenen Zweck mit eigener, kurzer Frist. Was du dafür brauchst, brauchst du für ein paar Tage, nicht für Monate — und in aller Regel gekürzt.

Fristentabelle

Die Referenz. Die Spalte ganz rechts ist die wichtigste: Sie sagt dir, ob eine Zahl im Gesetz steht oder ob jemand sie hergeleitet hat.

Daten	Frist	Beginn	Grundlage	Status
Bewerbung, abgelehnt	6 Monate	Zugang der Absage	§ 15 Abs. 4 AGG + § 61b Abs. 1 ArbGG (2 + 3 Monate + Puffer)	Hergeleitet — keine gesetzliche Frist
Bewerbung, Anspruch geltend gemacht	bis Verfahrensende	schriftliche Geltendmachung	§ 61b Abs. 1 ArbGG	Gesetzliche Klagefrist, Aufbewahrung hergeleitet
Bewerbung, eingestellt	Personalaktenrecht	Vertragsbeginn	eigener Zweck (Beschäftigung)	Zweckwechsel
Talentpool	12 Monate	Einwilligung	Art. 6 Abs. 1 lit. a DSGVO, § 26 Abs. 2 BDSG	Empfehlung — Frist frei, aber zwingend begrenzt
Kontaktanfrage ohne Geschäftsbezug	bis erledigt, max. 90 Tage	letzte Kommunikation	Art. 5 Abs. 1 lit. e, Art. 17 Abs. 1 lit. a DSGVO	Empfehlung — keine gesetzliche Frist
Handels-/Geschäftsbrief	6 Jahre	Schluss des Kalenderjahres	§ 257 Abs. 1 Nr. 2 u. 3, Abs. 4 u. 5 HGB; § 147 Abs. 1, 3 u. 4 AO	Gesetzlich
Buchungsbeleg (z. B. Rechnung)	8 Jahre	Schluss des Kalenderjahres	§ 257 Abs. 1 Nr. 4, Abs. 4 HGB; § 147 Abs. 3 AO	Gesetzlich — seit 01.01.2025 von 10 auf 8 verkürzt
Jahresabschluss, Inventar, Handelsbücher	10 Jahre	Schluss des Kalenderjahres	§ 257 Abs. 1 Nr. 1, Abs. 4 HGB; § 147 Abs. 3 AO	Gesetzlich
Newsletter-Einwilligung	bis Widerruf	—	Art. 6 Abs. 1 lit. a DSGVO	Zweckabhängig
Nachweis der Einwilligung	über den Widerruf hinaus	Widerruf	Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO	Empfehlung — Rechenschaftspflicht
Server-Logs zur Missbrauchsabwehr	Tage, nicht Monate	Zugriff	Art. 6 Abs. 1 lit. f DSGVO	Empfehlung

Wo die Daten wirklich liegen

Jetzt der technische Teil — und der beginnt nicht mit einem Löschjob, sondern mit einer Inventur. Du kannst nicht löschen, was du nicht kennst.

Nimm ein einziges Kontaktformular auf deiner Website und verfolge einen Eintrag. Bei einer typischen WordPress-Installation mit einem Formular-Plugin landet er hier:

Ort	Enthält	Kennt dein Löschjob ihn?
Datenbanktabelle des Plugins	alle Feldinhalte, oft IP und User-Agent	meist ja
Upload-Verzeichnis	hochgeladene Dateien (Lebenslauf, Zeugnisse)	oft nein
Benachrichtigungs-Mail	vollständige Kopie aller Felder	fast nie
Postfach des Empfängers	dieselbe Kopie, dauerhaft	nein
Mail-Queue / MTA-Logs	Metadaten, teils Betreff	nein
Webserver-Access-Log	IP, Zeitpunkt, URL	nein
Backups aller obigen	alles, mehrfach	nein
Externer Dienst (Formular-SaaS, Mailversand)	alles	nicht ohne Vertrag und Konfiguration

Acht Orte, von denen eine typische Löschfunktion einen abdeckt. Wenn der EDSA-Bericht „Schwierigkeiten bei der Bestimmung von Speicherfristen" als Hauptbefund nennt, ist das die freundliche Formulierung dafür.

Mach diese Inventur einmal für jedes Formular. Sie dauert eine Stunde und ist die einzige Grundlage, auf der alles Weitere sinnvoll ist. Ergebnis ist eine Liste mit einer Zeile pro Ablageort, jeweils mit Zuständigem, Frist und Löschmechanismus.

Technische Umsetzung

Datensparsamkeit ist die billigste Maßnahme

Der Datensatz, den du nicht erhebst, muss nicht gelöscht, nicht gesichert, nicht ausgekunftet und nicht gemeldet werden. Bevor du ein Löschkonzept baust, streiche Felder:

Brauchst du die Telefonnummer wirklich als Pflichtfeld? Meistens nicht.
Brauchst du das Geburtsdatum in der Bewerbung? Für die Auswahlentscheidung praktisch nie — und es ist ein direkter Anknüpfungspunkt für Altersdiskriminierungsvorwürfe.
Speicherst du IP-Adresse und User-Agent bei jedem Formulareintrag? Viele Plugins tun das per Default. Frag dich, wofür — und wenn die Antwort „Missbrauchsabwehr" ist, dann gehört das in eine eigene, kurze Frist und nicht dauerhaft an den Datensatz.
Muss der Eintrag überhaupt in die Datenbank? Wenn die Bearbeitung ohnehin per E-Mail läuft, ist die zusätzliche DB-Kopie oft reiner Ballast — und der Ballast ist genau das, was in fünf Jahren jemand findet.

Uploads gehören nicht ins Docroot

Das ist der Fehler, den ich am häufigsten sehe, und er ist gravierender als eine überschrittene Frist: Bewerbungsunterlagen liegen unter wp-content/uploads/ und sind damit über eine URL direkt abrufbar. Wer den Pfad errät oder ein Directory Listing findet, lädt fremde Lebensläufe herunter — ohne Login, ohne Spur.

Die Gegenmaßnahmen, absteigend nach Wirksamkeit:

Upload-Verzeichnis außerhalb des Docroot. Das ist die einzige Lösung, die auch dann trägt, wenn eine Webserver-Konfiguration verloren geht. Für Contact Form 7 habe ich das in einem eigenen Plugin gelöst — der Guide zu jpkcom-cf7-upload-path beschreibt die Einrichtung.
Zufällige Dateinamen. bewerbung-mueller-lebenslauf.pdf ist ratbar, ein Zufallsname nicht. Das ersetzt keinen Zugriffsschutz, aber es verhindert die einfachsten Treffer.
Directory Listing aus. Selbstverständlich — und trotzdem regelmäßig aktiv.
Dateitypen und Größe begrenzen. Ein Upload-Feld, das alles annimmt, ist auch ein Malware-Eingang.

Fristen gehören an die Daten, nicht in den Kalender

Das ist der zweite Hauptbefund des EDSA-Berichts, und der wichtigste konzeptionelle Punkt dieses Artikels: Ohne maschinenlesbare Löschmarkierung an den Daten gibt es keine verlässliche Löschung.

Eine Frist im Kopf, in einer Wiki-Seite oder in einem jährlichen Kalendereintrag ist keine Frist, sondern ein Vorsatz. Was du brauchst, ist an jedem Datensatz:

ein Startereignis mit Datum (nicht „erstellt am", sondern „abgesagt am", „erledigt am", „Vertrag beendet am"),
eine Fristenklasse (welche Regel gilt für diesen Satz),
ein Haltevermerk (Boolean: Löschung ausgesetzt, weil Verfahren läuft oder Aufbewahrungspflicht greift),
ein Löschprotokoll-Eintrag, wenn gelöscht wurde.

Mit diesen vier Feldern wird die Löschung zu einer Abfrage. Ohne sie bleibt sie Handarbeit — und Handarbeit wird bei 40 Bewerbungen im Monat zuverlässig nicht gemacht.

Der Löschjob muss alle Orte treffen

Ein Löschlauf, der nur die Datenbankzeile entfernt, hinterlässt verwaiste Uploads — der Lebenslauf bleibt auf der Platte, nur findet ihn jetzt niemand mehr im Backend. Das ist die schlechteste aller Welten: Die Daten sind noch da, aber du weißt es nicht mehr.

Ein tauglicher Job arbeitet in dieser Reihenfolge:

Kandidaten ermitteln (Frist abgelaufen und kein Haltevermerk),
zugehörige Dateien im Upload-Verzeichnis löschen,
Datenbankzeile löschen,
Protokolleintrag schreiben — ohne die gelöschten Inhalte zu protokollieren; ein Löschprotokoll, das die gelöschten Daten enthält, ist kein Löschprotokoll,
Fehler laut melden. Ein stillschweigend fehlschlagender Löschjob ist gefährlicher als keiner, weil er ein falsches Sicherheitsgefühl erzeugt.

Zur Ausführung: WP-Cron ist für Löschjobs die schwächere Wahl. Es läuft nur, wenn jemand die Seite aufruft, und auf einer Seite mit wenig Traffic kann es tagelang ausfallen. Ein echter System-Cron oder ein systemd-Timer, der WP-CLI aufruft, ist verlässlich — und deine Frist ist genau so verlässlich wie ihr Auslöser.

Postfächer

Für den E-Mail-Kanal gilt dasselbe Prinzip, nur mit schlechteren Werkzeugen. Was funktioniert:

Serverseitige Retention-Policies auf dem dedizierten Bewerbungs-Postfach — Nachrichten älter als X werden gelöscht, unabhängig davon, ob ein Client läuft.
Transportverschlüsselung ist Pflicht, Inhaltsverschlüsselung ist die Kür. Wer Bewerbungen per E-Mail annimmt, sollte zumindest angeben, dass der Weg unverschlüsselt ist — oder eine verschlüsselte Alternative anbieten.
Keine Bewerbungsdaten in Ticketsysteme spiegeln, die niemand in die Fristenlogik aufgenommen hat.

Backups: der Teil, bei dem man ehrlich sein muss

Der EDSA-Bericht führt die Löschung im Backup-Kontext als eigenen Hauptbefund. Zu Recht, denn hier liegt ein echter Zielkonflikt, und die meisten Datenschutzerklärungen behaupten an dieser Stelle etwas, das technisch nicht stimmt.

Die unbequeme Wahrheit: Aus einem konsistenten, womöglich verschlüsselten Voll-Backup lässt sich ein einzelner Datensatz praktisch nicht herauslöschen. Wer es doch versucht, zerstört die Integrität des Backups — und damit dessen Zweck.

Der gangbare Weg besteht aus drei Teilen:

Begrenzte Aufbewahrung der Backups selbst. Ein Backup-Satz, der nach 30 oder 90 Tagen rotiert, löscht die Daten mit — verzögert, aber sicher. Ein „Voll-Backup für immer" ist der eigentliche Fehler.
Ein dokumentierter Wiederherstellungsprozess. Wenn ein Backup eingespielt wird, müssen die zwischenzeitlich fälligen Löschungen erneut ausgeführt werden. Das gehört als Schritt in die Wiederherstellungsanleitung, nicht in die Erinnerung des Admins.
Ehrliche Formulierung nach außen. Schreib nicht „Ihre Daten werden sofort und vollständig gelöscht", wenn sie noch 90 Tage im Backup liegen. Schreib, dass die Löschung im Produktivsystem sofort erfolgt und die Sicherungskopien innerhalb von X Tagen turnusmäßig überschrieben werden. Das ist korrekt, verständlich und deutlich besser verteidigbar als eine Behauptung, die einer Prüfung nicht standhält.

Auftragsverarbeiter

Formular-SaaS, Bewerbermanagement-Systeme, Mailversand-Dienste, Backup-Anbieter: Jeder von ihnen verarbeitet in deinem Auftrag, und du brauchst nicht nur einen Vertrag nach Art. 28 DSGVO, sondern die Antwort auf eine sehr praktische Frage: Löscht dieser Dienst tatsächlich, wenn du löschst — und in welcher Frist? Bei vielen Anbietern liegt die Antwort in den AGB, und sie lautet oft „nach 30 Tagen aus den Backups". Das ist in Ordnung. Es muss nur in deinem Löschkonzept stehen.

Fünf Szenarien, durchgerechnet

Szenario 1: Absage nach Online-Bewerbung

Bewerbung geht am 3. März über das Formular ein, mit PDF-Anhang. Absage am 20. März, zugestellt am selben Tag.

Zeitpunkt	Was passiert
3. März	Eintrag in DB, PDF im Upload-Verzeichnis, Benachrichtigungsmail an `bewerbung@`
20. März	Absage versendet, Feld „abgesagt am" wird gesetzt — das ist der Fristanker
20. September	Löschjob greift: PDF gelöscht, DB-Zeile gelöscht, Protokolleintrag geschrieben
bis 20. Dezember	Backups rotieren durch; danach ist auch dort nichts mehr

Der entscheidende Schritt ist der zweite. Wird das Absagedatum nicht erfasst, hat der Löschjob keinen Anker und rechnet ersatzweise ab Eingang — was in diesem Fall 17 Tage zu früh löscht und in anderen Fällen, bei langen Verfahren, Monate zu früh.

Szenario 2: Initiativbewerbung an `info@`

Keine Stelle ausgeschrieben, kein Verfahren, kein Formular. Die Mail liegt im Sammelpostfach.

Weil nie abgesagt wurde, hat die AGG-Frist nie zu laufen begonnen — die Herleitung der sechs Monate trägt hier nicht. Der Zweck „Prüfung einer möglichen Zusammenarbeit" ist nach der Sichtung erledigt.

Empfehlung: kurz absagen (das startet sauber die Frist und ist ohnehin die bessere Praxis) oder, wenn du die Person im Blick behalten willst, aktiv um Einwilligung für den Talentpool bitten. Was nicht geht, ist die dritte Variante, die in der Praxis dominiert: liegen lassen und nichts entscheiden.

Szenario 3: Kontaktformular wird zum Auftrag

Anfrage am 3. Februar 2026 über das Kontaktformular. Es folgen ein Angebot, ein Auftrag, eine Rechnung.

Bestandteil	Frist	Ende
Formulareintrag mit IP und User-Agent	90 Tage (Empfehlung)	Anfang Mai 2026
E-Mail-Korrespondenz zum Angebot (Geschäftsbrief)	6 Jahre ab Jahresende	31.12.2032
Rechnung (Buchungsbeleg)	8 Jahre ab Jahresende	31.12.2034

Ein Vorgang, drei Fristen, drei verschiedene Enden. Genau deshalb reicht ein pauschales „wir löschen nach einem Jahr" nicht — es ist für die IP-Adresse zu lang und für die Rechnung zu kurz.

Szenario 4: Löschverlangen trifft Aufbewahrungspflicht

Ein Kunde verlangt im Mai 2027 die Löschung aller Daten. Die Rechnung von 2026 unterliegt der Achtjahresfrist.

Falsche Antwort: „Löschung nicht möglich."

Richtige Vorgehensweise: Aufteilen. Marketing-Profil, Newsletter-Zugehörigkeit, Formulareintrag, Website-Tracking — löschen. Rechnung und zugehörige Geschäftskorrespondenz — nicht löschen, sondern nach Art. 18 DSGVO in der Verarbeitung einschränken: aus dem operativen Zugriff nehmen, nur noch für den steuerlichen Zweck vorhalten, Löschtermin auf den 31.12.2034 setzen. Und der Person genau das mitteilen, mit Frist und Grund. Eine begründete Teillöschung ist eine gute Antwort. Ein pauschales Nein ist keine.

Szenario 5: Auskunftsverlangen nach acht Monaten

Eine abgelehnte Bewerberin verlangt im November Auskunft nach Art. 15 DSGVO über die im März eingereichte Bewerbung.

Wenn dein Löschkonzept funktioniert hat, ist die Antwort einfach und gut: Die Daten wurden im September fristgemäß gelöscht, hier ist die Rechtsgrundlage, hier der Zeitpunkt. Das ist kein Eingeständnis — es ist der Nachweis eines funktionierenden Prozesses.

Wenn die Daten noch da sind, hast du zwei Probleme statt einem: die Auskunft und eine Speicherung, für die dir gerade die Begründung fehlt. Und du hast es der Person, die fragt, schriftlich mitgeteilt.

Deshalb liegt der Wert eines Löschkonzepts nicht im Löschen. Er liegt darin, dass du im Ernstfall eine belegbare Antwort hast.

Löschkonzept an einem Tag

Ein Löschkonzept nach DIN 66398 ist ein umfangreiches Vorhaben. Für einen kleinen Betrieb ist die 80-Prozent-Version an einem Tag machbar und um Größenordnungen besser als nichts:

Datenarten auflisten. Nicht Systeme, sondern Datenarten: Bewerbungen, Kontaktanfragen, Kundenstammdaten, Rechnungen, Newsletter, Logs. In den meisten Betrieben sind das unter fünfzehn.
Pro Datenart die drei Fragen beantworten. Zweck, Startereignis, entgegenstehende Pflicht. Das Startereignis ist der Teil, der Diskussion auslöst — genau darum geht es.
Fristenklassen bilden. Aus fünfzehn Datenarten werden typischerweise vier bis fünf Klassen. Weniger Klassen heißt weniger Sonderfälle heißt mehr Umsetzung.
Ablageorte je Datenart ergänzen — die Inventur von oben.
Zuständigkeit eintragen. Pro Zeile eine Person. Nicht „die IT".
Umsetzung markieren: automatisiert, halbautomatisch, manuell. Alles Manuelle ist ein Kandidat für Automatisierung; alles Automatische braucht eine Kontrolle.
Einmal jährlich prüfen — und die Änderung der Belegfrist zum 01.01.2025 ist das beste Beispiel dafür, warum: Wer sein Konzept seit 2024 nicht angefasst hat, hält Belege zwei Jahre zu lang.

Häufige Fehler

Frist ab Erhebung statt ab Ereignis. Der häufigste Konstruktionsfehler. Eine Bewerbung, die vier Monate im Verfahren war, wird sonst zwei Monate nach der Absage gelöscht — mitten im Rechtsverteidigungszeitraum.
Kein Haltevermerk. Der Löschjob vernichtet die Unterlagen, die du im laufenden AGG-Verfahren brauchst.
Verwaiste Uploads. DB-Zeile weg, Datei da. Der Klassiker.
Löschprotokoll mit Inhalten. Wer protokolliert, was gelöscht wurde, hat es nicht gelöscht.
Datenschutzerklärung und Realität weichen ab. Eine Erklärung, die „30 Tage" sagt, während der Job auf 90 steht, ist schlechter als eine, die 90 sagt. Die Erklärung ist eine Zusage.
Externe Dienste nicht mitgedacht. Das Bewerbermanagement-System löscht nach eigenen Regeln, nicht nach deinen.
Fehlende Information über die Speicherdauer. Art. 13 Abs. 2 lit. a DSGVO verlangt schon bei der Erhebung die Angabe der Speicherdauer oder der Kriterien für ihre Festlegung. „Wir speichern so lange wie nötig" erfüllt das nicht.

Das Wichtigste in fünf Sätzen

Für Bewerbungsdaten gibt es keine gesetzliche Frist — die sechs Monate sind aus § 15 Abs. 4 AGG und § 61b Abs. 1 ArbGG hergeleitet, und die Frist beginnt mit dem Zugang der Absage, nicht mit dem Eingang der Bewerbung.
Für Kontaktformulare gibt es ebenfalls keine gesetzliche Frist, aber einen harten Kipppunkt: Wird die Korrespondenz zum Geschäftsbrief, sind es sechs Jahre ab Jahresende.
Buchungsbelege sind seit dem 1. Januar 2025 acht Jahre aufzubewahren, nicht mehr zehn — prüf dein Löschkonzept darauf.
Fristen müssen an den Daten stehen, maschinenlesbar, mit Startereignis und Haltevermerk. Alles andere ist ein Vorsatz.
Und der Satz, den ich am häufigsten sage: Die Daten, die du nicht erhebst, machen keine Arbeit.

Wenn du nur eine Sache aus diesem Artikel umsetzt, dann die Inventur: Nimm ein Formular und finde heraus, an wie vielen Stellen ein einzelner Eintrag tatsächlich landet. Die Zahl ist fast immer höher als erwartet — und alles Weitere ergibt sich daraus.

Quellen

Alle Fristen in diesem Artikel sind an der Primärquelle geprüft.