Löschkonzept für Microsoft 365. Fristen festlegen, im Tenant durchsetzen.

Ein Löschkonzept legt fest, welche Daten ein Unternehmen wie lange aufbewahrt, wann es sie löscht und wer dafür verantwortlich ist. Jede Datenart bekommt eine Löschregel aus Frist und Startzeitpunkt, etwa ab Erhebung, ab Ende eines Vorgangs oder ab Ende der Geschäftsbeziehung. Dazu kommt, wie die Löschung umgesetzt und belegt wird.

Das Wort steht nicht in der DSGVO. Sie verlangt aber, personenbezogene Daten nur so lange zu speichern, wie der Zweck es erfordert (Art. 5 Abs. 1 lit. e), sie danach unverzüglich zu löschen (Art. 17) und die vorgesehenen Löschfristen nach Möglichkeit im Verzeichnis der Verarbeitungstätigkeiten zu nennen (Art. 30). Die Einhaltung müssen Sie nachweisen können (Art. 5 Abs. 2). Die Datenschutzkonferenz sieht dafür ein Löschkonzept vor und nennt die DIN 66398 als Hilfe.

Die DIN 66398 von 2016 ist eine Leitlinie zur Entwicklung eines Löschkonzepts: Datenarten, Löschregeln aus Frist und Startzeitpunkt, Löschklassen, Verantwortlichkeiten und Dokumentation. Im September 2025 wurde sie zurückgezogen und durch die DIN EN ISO/IEC 27555 ersetzt, die das Löschen personenbezogener Daten international beschreibt. Ein Konzept nach DIN 66398 lässt sich weiterführen.

Das hängt vom Inhalt ab. Handels- und Geschäftsbriefe, auch per E-Mail, sind sechs Jahre aufzubewahren, Buchungsbelege wie Rechnungen acht Jahre (§ 257 HGB, § 147 AO). Die Frist beginnt mit dem Ende des Kalenderjahres. Übrige E-Mails mit personenbezogenen Daten sind zu löschen, sobald ihr Zweck entfällt. Diese Einordnung ersetzt keine Rechtsberatung.

Ohne eigene Regel erhält die Führungskraft Zugriff auf das OneDrive der gelöschten Person, nach 30 Tagen wird es gelöscht; die Frist lässt sich auf bis zu zehn Jahre verlängern. Postfachdaten bleiben 30 Tage erhalten. Greift eine Aufbewahrungsrichtlinie, wird das Postfach inaktiv und bleibt so lange erhalten, wie die Richtlinie es verlangt. Das Konto selbst lässt sich in Entra ID 30 Tage lang wiederherstellen.

Aufbewahrungsrichtlinien für Postfächer, SharePoint, OneDrive und Teams sind in Microsoft 365 Business Premium und E3 enthalten, ebenso Bezeichnungen, die Nutzer von Hand vergeben. Mit Business Premium müssen Fristen für Teams länger als 30 Tage sein. Automatisch vergebene Bezeichnungen, eine Prüfung vor dem Löschen und Datensätze mit Löschnachweis setzen E5 oder ein Purview-Zusatzpaket voraus.

Aufbewahrte Chats, Postfächer und Protokolle zeigen, wer wann was getan hat. Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen, bestimmt der Betriebsrat mit (§ 87 Abs. 1 Nr. 6 BetrVG). Fristen für solche Daten stimmen wir deshalb früh mit ihm ab.