Löschkonzept: Wie lange Monitoring-Daten bleiben dürfen

Speicherbegrenzung: der Grundsatz, der in Löschkonzepten fehlt

Die DSGVO kennt sechs Verarbeitungsgrundsätze, und die Speicherbegrenzung ist derjenige, der im technischen Alltag am leisesten wirkt. Artikel 5 Absatz 1 Buchstabe e verlangt, dass personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Person nur so lange ermöglicht, wie es für die Zwecke der Verarbeitung erforderlich ist (DSGVO). Erwägungsgrund 39 wird deutlicher: Der Verantwortliche soll Fristen für die Löschung oder eine regelmäßige Überprüfung vorsehen (DSGVO). Es genügt also nicht, Daten irgendwann loszuwerden - der Ablauf muss vorher festgelegt sein. Hinzu kommt die Rechenschaftspflicht aus Artikel 5 Absatz 2: Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können (DSGVO). Ein Löschkonzept ist damit weniger eine Fleißaufgabe als der Beleg dafür, dass die eigene Datenhaltung überhaupt eine Ordnung hat.

Diese Ordnung wird an mehreren Stellen abgefragt. Nach Artikel 13 Absatz 2 Buchstabe a ist die Speicherdauer bereits bei der Erhebung mitzuteilen, ersatzweise die Kriterien für ihre Festlegung (DSGVO). Artikel 15 Absatz 1 Buchstabe d gibt Betroffenen ein Auskunftsrecht über die geplante Speicherdauer (DSGVO), und Artikel 30 Absatz 1 Buchstabe f verlangt im Verzeichnis von Verarbeitungstätigkeiten, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien (DSGVO). Wer auf diese drei Fragen keine übereinstimmende Antwort hat, hat kein Datenschutzproblem an einer Stelle, sondern an dreien. Und weil Verstöße gegen die Grundsätze nach Artikel 83 Absatz 5 im oberen Bußgeldrahmen liegen, ist das Thema auch wirtschaftlich kein Randposten.

Für das Website-Monitoring ist der Personenbezug die entscheidende Weiche. Der Europäische Gerichtshof hat in der Sache Breyer entschieden, dass dynamische IP-Adressen für den Betreiber einer Website personenbezogene Daten sein können, wenn er über rechtliche Mittel verfügt, die Person bestimmen zu lassen (EuGH). Damit fallen Zugriffs- und Prüfprotokolle, in denen Besucher-Adressen stehen, unter die Speicherbegrenzung. Screenshots können Namen, Bestellnummern oder Nachrichten aus einem Kundenkonto zeigen. Sitzungsaufzeichnungen halten Bewegungen und Eingaben fest. Formularereignisse enthalten je nach Aufsetzung Feldinhalte. Reine Antwortzeiten, Statuscodes und Zertifikatslaufzeiten dagegen haben oft gar keinen Personenbezug - und sind damit ein anderer Fall, der eine andere Frist verträgt.

Welche Daten beim Website-Monitoring wirklich anfallen

Bevor eine Frist gesetzt werden kann, muss die Datenlandschaft benannt sein. Ein Monitoring-Konto sammelt mehr Kategorien, als die Oberfläche vermuten lässt, und sie unterscheiden sich in Personenbezug, Nutzen und Haltbarkeit erheblich. Die folgende Übersicht fasst zusammen, was typischerweise anfällt und woraus sich die jeweilige Frist ableiten lässt. Die Spalte „übliche Frist“ nennt dabei Korridore aus der Praxis, keine gesetzlich festgelegten Werte - mit Ausnahme der letzten Zeile.

Zwei Muster fallen auf. Erstens: Die kurzen Fristen betreffen fast durchweg die Kategorien mit direktem Personenbezug - Protokolle mit IP-Adresse, Sitzungsaufzeichnungen, Formularereignisse. Zweitens: Die langen Fristen betreffen fast durchweg Daten, deren Personenbezug für die spätere Auswertung gar nicht gebraucht wird. Genau in dieser Lücke liegt der Handlungsspielraum, denn eine Verfügbarkeitskennzahl über zwölf Monate braucht keine einzelne Prüfzeile aus dem März. Wer Bildstände als Nachweis aufbewahren möchte, sollte zusätzlich prüfen, welche Bereiche einer Seite überhaupt erfasst werden müssen; der Screenshot- und Changelog-Funktion liegt dieselbe Überlegung zugrunde.

Woraus sich eine Frist ableitet

Eine Aufbewahrungsfrist wird nicht gewählt, sie wird hergeleitet. Vier Quellen kommen dafür in Betracht, und in der Regel ergibt sich die tatsächliche Frist aus der längsten von ihnen - allerdings nur für die Datenkategorie, die diese Quelle tatsächlich betrifft. Ein häufiger Fehler besteht darin, die achtjährige Frist für Buchungsbelege gedanklich auf den gesamten Datenbestand zu übertragen und dann alles acht Jahre liegen zu lassen.

Aus diesen vier Quellen entsteht je Datenkategorie eine Frist mit Begründung. Diese Begründung ist der eigentliche Wert des Löschkonzepts: Sie macht aus einer Zahl im Einstellungsdialog eine nachvollziehbare Entscheidung. Und sie zeigt oft, dass eine kürzere Frist ausreicht, als zunächst gedacht. Wie sich technische Kennzahlen für die lange Sicht sinnvoll verdichten lassen, ohne Aussagekraft zu verlieren, beschreibt der Beitrag zu Antwortzeiten über p95 und p99 statt Durchschnitt.

Protokolle mit IP-Bezug: sieben, dreißig oder neunzig Tage

Bei keiner Kategorie wird so viel gestritten wie bei Zugriffs- und Prüfprotokollen, in denen IP-Adressen stehen. Eine gesetzlich festgelegte Frist gibt es dafür nicht. In der Praxis hat sich eine Marke von sieben Tagen etabliert, die auf die Rechtsprechung zur Speicherung dynamischer IP-Adressen zur Abwehr von Störungen des Betriebs zurückgeht (BGH). Eine längere Speicherung ist damit nicht ausgeschlossen, sie verlangt aber eine dokumentierte Abwägung, die den Sicherheitszweck und die Erforderlichkeit der zusätzlichen Tage nachvollziehbar macht (DSGVO). Für Betreiber kritischer Anlagen nennt das BSI-Gesetz dagegen keine Mindestdauer für Protokolldaten; der oft zitierte Orientierungswert von 90 Tagen stammt aus dem Mindeststandard des BSI zur Protokollierung und Detektion von Cyberangriffen und gilt dort für die Bundesverwaltung (BSI).

Die Spannweite ist also groß, und das ist kein Widerspruch, sondern das System: Die Frist folgt der Interessenabwägung nach Artikel 6 Absatz 1 Buchstabe f, und Erwägungsgrund 49 nennt die Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse (DSGVO). Entscheidend ist nicht die Zahl, sondern ob die Abwägung schriftlich vorliegt. Ein zweiter Hebel senkt das Risiko unabhängig von der Frist: Wird die IP-Adresse nach Ablauf einer kurzen Kernfrist gekürzt oder durch einen Prüfwert ersetzt, bleibt die Auswertung möglich, während der Personenbezug entfällt. Wie sich Messung von vornherein ohne Wiedererkennung einzelner Besucher aufsetzen lässt, beschreibt der Beitrag zu cookiefreiem Tracking ohne Einwilligungsbanner.

Bei der Alarm- und Vorfallhistorie schlägt das Pendel in die andere Richtung. Die NIS2-Richtlinie sieht für betroffene Einrichtungen eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats vor (NIS2-Richtlinie). Der Cyber Resilience Act verlangt für aktiv ausgenutzte Schwachstellen ebenfalls eine Frühwarnung binnen 24 Stunden (Cyber Resilience Act). Wer solche Meldungen später belegen möchte, braucht eine Vorfallakte, die den Meldezeitraum deutlich überdauert - üblich sind ein bis drei Jahre. Diese Akte enthält allerdings meist nur Zeitstempel, Statuswerte, Maßnahmen und Bearbeiterkonten, nicht die vollständigen Rohprotokolle. Welche Alarme überhaupt aufbewahrenswert sind, entscheidet sich schon bei der Konfiguration der Monitoring-Alerts.

Die Ausnahme: Handels- und Steuerrecht

Gegen die Löschpflicht steht eine Aufbewahrungspflicht, und die hat sich zuletzt bewegt. Mit dem Vierten Bürokratieentlastungsgesetz wurde die Frist für Buchungsbelege von zehn auf acht Jahre verkürzt; die Änderung greift für Belege, deren Frist am 31. Dezember 2024 noch nicht abgelaufen war (Abgabenordnung). Parallel wurde die Frist für Rechnungen im Umsatzsteuerrecht angepasst (Umsatzsteuergesetz). Nicht verkürzt wurden dagegen die zehn Jahre für Jahresabschlüsse, Handelsbücher und Inventare (Handelsgesetzbuch). Kreditinstitute, Wertpapierinstitute und Unternehmen unter Versicherungsaufsicht sind von der Verkürzung ausgenommen: Für sie gilt § 147 Absatz 3 Satz 1 der Abgabenordnung weiterhin in der am 31. Dezember 2024 geltenden Fassung, also zehn Jahre (Einführungsgesetz zur Abgabenordnung).

Praktisch bedeutet das: Wer sein Löschkonzept vor 2025 geschrieben hat, trägt an mindestens einer Stelle eine überholte Zahl. Und weil die Löschpflicht nach Ablauf der Aufbewahrungsfrist wieder auflebt, ist eine zu lange Aufbewahrung ihrerseits ein Verstoß gegen die Speicherbegrenzung. Für die elektronische Ablage kommt hinzu, dass die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern Unveränderbarkeit, maschinelle Auswertbarkeit und Nachvollziehbarkeit über die gesamte Frist verlangen (BMF). Der Fristbeginn liegt am Schluss des Kalenderjahres, in dem die letzte Eintragung erfolgt ist (Abgabenordnung) - eine Rechnung aus dem Januar liegt damit faktisch fast neun Jahre.

Für ein Monitoring-Konto ist die Folgerung angenehm klar: Die lange Frist betrifft die Rechnungsbelege des Vertragsverhältnisses, nicht die Messdaten. Prüfprotokolle, Screenshots und Sitzungsaufzeichnungen sind keine Buchungsbelege. Sie in denselben Aufbewahrungstopf zu werfen, verlängert ihre Lebensdauer ohne Rechtsgrund und vergrößert im Schadensfall genau den Bestand, den ein Angreifer erbeutet. Die Trennung von Abrechnungsdaten und Messdaten gehört deshalb an den Anfang des Löschkonzepts, nicht ans Ende.

Verdichtung statt Löschung: der belastbare Mittelweg

Zwischen „behalten“ und „weg“ liegt eine dritte Möglichkeit, die in vielen Konzepten fehlt: die Verdichtung. Aus rund 43.200 Einzelprüfungen eines Monats bei minütlichem Intervall wird eine Zeile je Tag mit Verfügbarkeit, Antwortzeit-Perzentilen und Fehlerquote. Der Nutzen für die Trendanalyse bleibt erhalten, der Personenbezug entfällt, und der Speicherbedarf sinkt um mehrere Größenordnungen. Erwägungsgrund 26 der DSGVO stellt klar, dass die Grundsätze des Datenschutzes für anonyme Informationen nicht gelten (DSGVO) - ein sauber aggregierter Tageswert ohne Rückweg auf die einzelne Sitzung fällt damit aus der Löschpflicht heraus.

Zwei Bedingungen entscheiden darüber, ob die Verdichtung trägt. Erstens muss die Aggregation den Rückweg abschneiden: Bleibt neben dem Tageswert eine Kennung stehen, über die sich die einzelne Sitzung rekonstruieren lässt, ist das Ergebnis pseudonym und nicht anonym - und damit weiterhin personenbezogen. Zweitens muss die Weiterverarbeitung zu statistischen Zwecken abgesichert sein; Artikel 89 Absatz 1 verlangt dafür geeignete Garantien wie Datenminimierung und Pseudonymisierung (DSGVO). Artikel 11 ergänzt, dass ein Verantwortlicher nicht verpflichtet ist, allein zur Einhaltung der Verordnung zusätzliche Identifizierungsmerkmale aufzubewahren (DSGVO) - Daten also nicht identifizierbarer gemacht werden müssen, als der Zweck es verlangt.

In der Praxis lässt sich das gestaffelt bauen: Rohdaten für die kurze Frist, in der Störungen aufgeklärt werden, und Tagesaggregate für die lange Frist, in der Trends und Nachweise zählen. Eine Statusseite mit einem 90-Tage-Band braucht dann keine 90 Tage Rohprotokolle, sondern 90 Tagesaggregate - eine Trennung, die in Reports und Statusseiten ohnehin angelegt ist. Für Bildstände gilt dasselbe Prinzip in anderer Form: Statt jedes Bild dauerhaft zu behalten, genügt der erkannte Unterschied zwischen zwei Ständen, wie ihn der Beitrag zu Website-Änderungen per Bildvergleich beschreibt.

Fristen im Verarbeitungsverzeichnis dokumentieren

Ein Löschkonzept, das nur in den Einstellungen einer Anwendung existiert, ist für eine Prüfung wenig wert. Artikel 30 Absatz 1 Buchstabe f verlangt im Verzeichnis von Verarbeitungstätigkeiten, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien (DSGVO). Die Erleichterung für Unternehmen mit weniger als 250 Beschäftigten nach Artikel 30 Absatz 5 hilft dabei selten weiter, weil sie entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt (DSGVO) - und ein laufendes Monitoring ist die Definition von „nicht nur gelegentlich“. Wird ein Dienstleister eingesetzt, gehört die Frist zusätzlich in den Vertrag zur Auftragsverarbeitung nach Artikel 28, samt Regelung, was am Vertragsende mit den Daten geschieht (DSGVO).

1. Datenkategorien einzeln aufnehmen: Prüfprotokolle, Antwortzeiten, Screenshots, Sitzungsaufzeichnungen, Formularereignisse, Alarmhistorie, Zugriffsprotokolle des Teams und Abrechnungsbelege gehören getrennt erfasst. Sammelposten wie „technische Daten“ blockieren jede spätere Begründung.
2. Personenbezug je Kategorie bewerten: Halten Sie fest, ob und wodurch ein Bezug entsteht - IP-Adresse, Kundenkennung im Bild, Feldinhalt aus einem Formular. Ohne diese Bewertung lässt sich weder eine Frist noch eine Verdichtung begründen.
3. Frist herleiten, nicht setzen: Notieren Sie zu jeder Kategorie Zweck, Rechtsgrundlage und die längste einschlägige Quelle. Die Herleitung ist der Teil, den eine Aufsichtsbehörde tatsächlich liest.
4. Verdichtungsstufe festlegen: Bestimmen Sie, welche Kategorie nach Ablauf der Rohdatenfrist in ein Aggregat übergeht und welche vollständig entfällt. Notieren Sie dabei, wodurch der Rückweg auf die einzelne Sitzung abgeschnitten wird.
5. Löschlauf automatisieren: Ein Konzept ohne technischen Vollzug ist eine Absichtserklärung. Der Lauf sollte planmäßig starten, seine Ergebnisse protokollieren und Dateien, Kopien und Sicherungen einbeziehen - nicht nur die Haupttabelle.
6. Betroffenenanträge einplanen: Definieren Sie, wie eine einzelne Person vor Fristablauf aus dem Bestand entfernt wird und wer das ausführt. Die Monatsfrist aus Artikel 12 Absatz 3 lässt wenig Raum für Improvisation (DSGVO).
7. Jährlich nachprüfen: Fristen veralten. Die Verkürzung für Buchungsbelege seit 2025 ist das jüngste Beispiel (Abgabenordnung). Ein fester Prüftermin mit Namen und Datum gehört ins Konzept.

Das Löschkonzept berührt dabei mehrere Nachbarthemen. Wer festlegt, wer im Team welche Daten überhaupt sehen und ausleiten darf, arbeitet dem Konzept zu; die dazugehörige Systematik beschreibt der Beitrag zu Zugriffsrechten und Prüfspur im Monitoring-Team. Wer wissen möchte, ob überhaupt Daten das Land verlassen, findet den Messweg im Beitrag zum Datenabfluss und Drittlandtransfer einer Website. Und wenn eine Verarbeitung ein hohes Risiko birgt - Sitzungsaufzeichnungen sind der klassische Fall -, führt der Weg über eine Datenschutz-Folgenabschätzung für Web-Tracking, in der die Speicherdauer ohnehin abgefragt wird.

Aufbewahrungsfristen in XICTRAQ einrichten

In XICTRAQ ist die Aufbewahrung keine freie Texteingabe, sondern eine planabhängige Vorgabe, die ein täglicher Aufräumlauf durchsetzt. Derselbe Satz Werte speist die Auskunft in der Oberfläche und den Löschlauf, damit beide nicht auseinanderlaufen - zwei von Hand gepflegte Tabellen driften erfahrungsgemäß auseinander, sobald nur eine davon angefasst wird. Der Lauf entfernt Prüfprotokolle, Zertifikatsprüfungen, Sicherheitsscans, Analytics-Rohdaten, Changelog-Einträge und die zugehörigen Bilddateien von der Platte: erst die Dateien, dann die Datenbankzeilen.

Für die Vorlage beim Datenschutzbeauftragten zählt vor allem, dass diese Werte abrufbar und begründbar sind: Der Plan bestimmt die Frist, die Frist steht in der Anwendung, der Lauf setzt sie um, und das Ergebnis ist überprüfbar. Ergänzt wird das durch Verarbeitung und Hosting in Deutschland: Es entsteht kein Transfer in ein Drittland, der nach Artikel 44 und folgende zusätzlich abgesichert werden müsste (DSGVO). Die cookiefreie Analyse kommt zudem ohne Wiedererkennung einzelner Besucher und ohne Zugriff auf den Endgerätespeicher nach Paragraf 25 aus (TDDDG). Damit fällt ein Teil der heikelsten Kategorien schon bei der Erhebung weg, statt später aufwendig gelöscht werden zu müssen.

Ein belastbares Löschkonzept ist am Ende kein Dokument, sondern ein Ablauf mit vier Bestandteilen: benannte Kategorien, hergeleitete Fristen, automatischer Vollzug und ein fester Prüftermin. Prüfen Sie im kostenlosen Test, welche Fristen für Ihre Datenbestände greifen, oder lassen Sie sich in einer persönlichen Demo zeigen, wie Aufbewahrung, Verdichtung und Löschlauf zusammenspielen. Wie sich das Thema in die übrigen Pflichten einordnet, zeigt der Überblick zu DSGVO-Compliance für Websites.