DSGVO und Backups: Löschverlangen, Verschlüsselung und Auftragsverarbeiter

Backups (Datensicherungen), die personenbezogene Daten enthalten, fallen unter die DSGVO, auch ein Verlangen, diese Daten nach Artikel 17 zu löschen. Die Daten einer Person aus bestehenden Backups herauszunehmen, ist technisch oft schwer, und der Europäische Datenschutzausschuss (EDSA) sagt in seinem Bericht 2026, es sei nicht immer ratsam. Die übliche Praxis ist, die Live-Daten zu löschen, Backups nach einem dokumentierten Zeitplan auslaufen zu lassen und ein Register der Löschungen zu führen, das angewendet wird, bevor wiederhergestellte Daten wieder genutzt werden. Diese Seite erklärt, wie die Regeln üblicherweise gelesen werden; sie ist keine Rechtsberatung.

Von Lucas Flores, IT Systeme Flores UG. Zuletzt aktualisiert am 2026-10-29

Gilt die DSGVO für Backups?

Ja. Ein Backup, das personenbezogene Daten enthält, ist selbst eine Verarbeitung dieser Daten. Der Hessische Datenschutzbeauftragte sagt das in seiner Handreichung zu Backup-Konzepten: Die Rechte betroffener Personen, darunter das Recht auf Löschung nach Artikel 17, gehören in das Backup-Konzept, und Backups gehören in das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30. Zugleich verlangt Artikel 32 Absatz 1 Buchstabe c die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen nach einem Zwischenfall rasch wiederherzustellen, und Buchstabe d ein Verfahren zur regelmäßigen Überprüfung, ob die Maßnahmen wirken. Backups dienen dieser Pflicht, die Pflicht zu löschen und die Pflicht, wiederherstellen zu können, müssen in der Praxis also in Einklang gebracht werden.

Der EDSA beschreibt die Spannung in seinem Bericht zum Recht auf Löschung: Ein Backup ist ein wichtiges Werkzeug, um die Integrität personenbezogener Daten zu schützen, wenn ein Verantwortlicher einen Sicherheitsvorfall wie Ransomware erleidet, es ist also wichtig, auch die Integrität des Backups zu schützen.

Was verlangt Artikel 17, und was sind die Ausnahmen?

Eine Person kann vom Verantwortlichen verlangen, ihre personenbezogenen Daten zu löschen, und der Verantwortliche muss das unverzüglich tun, wenn einer der Gründe in Artikel 17 Absatz 1 zutrifft: zum Beispiel, dass die Daten für ihren Zweck nicht mehr notwendig sind, dass die Einwilligung widerrufen wurde und nichts anderes die Verarbeitung rechtfertigt oder dass die Daten unrechtmäßig verarbeitet wurden. Der Verantwortliche muss das Verlangen innerhalb eines Monats beantworten; bei komplexen Verlangen oder vielen Anträgen kann die Frist mit Begründung um weitere zwei Monate verlängert werden (Artikel 12 Absatz 3).

Artikel 17 Absatz 3 nennt Ausnahmen. Zwei zählen für Backups und Archive: eine Verarbeitung, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, und die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. In Deutschland haben Handelsbriefe, Buchungsbelege und Bücher Aufbewahrungsfristen von sechs, acht und zehn Jahren (§ 147 AO, § 257 HGB); deshalb werden ein Archiv und ein Backup unterschiedlich behandelt, siehe Backup und Archivierung. Welche E-Mail unter welche Frist fällt und wann Sie löschen dürfen und sollten, steht auf der Seite Aufbewahrungsfristen für E-Mails. Ob eine Ausnahme eine bestimmte Unterlage erfasst, ist eine Rechtsfrage für Ihre Datenschutzbeauftragten oder Ihre Steuerberatung.

Was sagen die Behörden zur Löschung in Backups?

Die Verordnung erwähnt Backups nicht. Die koordinierte Durchsetzungsmaßnahme des EDSA zum Recht auf Löschung, an der 32 Aufsichtsbehörden teilnahmen und die der Ausschuss am 10. Februar 2026 annahm, hat die Frage betrachtet und in Abschnitt 4.2.6 Folgendes berichtet:

Es ist nicht immer ratsam, Informationen in Backups zu verändern oder zu löschen, weil das ihre Integrität beeinträchtigen kann. In dem Fall sollten Organisationen geeignete Verfahren haben, um Löschverlangen nachzuhalten und sie auf wiederhergestellten Systemen soweit möglich umzusetzen, wenn ein Vorfall die Systeme der Organisation trifft.
Die Hälfte der antwortenden Behörden äußerte Bedenken. Viele Verantwortliche hatten kein besonderes Verfahren und verließen sich auf automatische Löschung oder auf die Aufbewahrungsfrist der Backups selbst. Die Praxis unterschied sich stark, und viele Verantwortliche nahmen Backup-Daten standardmäßig ohne Begründung von der Löschung aus.
Eine Behörde stellte fest, dass Verantwortliche, die über lange Zeiträume schrittweise löschen, es schwer machen zu beurteilen, ob die Löschung unverzüglich erfolgte.
Die Empfehlungen an Verantwortliche lauten, anerkannten Standards zum sicheren Löschen und Vernichten von Daten zu folgen und zu prüfen, dass die Löschung erfolgt ist, und das belegen zu können. Manche Verantwortliche ersetzen die zu löschenden Daten durch Zufallszeichen oder verschieben sie in ein getrenntes System, in dem sie später gelöscht werden. Der EDSA kann weitere Leitlinien dazu herausgeben, wie mit der Löschung in Backups umzugehen ist und was „unverzüglich“ hier bedeutet.

Der BfDI, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, ergänzt in seiner Kurzposition zu Verschlüsselung und Backups einen Punkt zu Wiederherstellungen: Prozesse für die sichere Löschung von Daten und von Schlüsselmaterial sind zu planen, und personenbezogene Daten, die nicht mehr verarbeitet werden dürfen, dürfen nicht wiederhergestellt werden. Die übliche Praxis hat also vier Teile: die Live-Daten zügig löschen; das Verlangen in einem Löschregister festhalten; Backups nach einem kurzen, dokumentierten Zeitplan auslaufen lassen; und das Register auf alles anwenden, was wiederhergestellt wird, bevor es wieder in Betrieb geht. Es ist Praxis, keine Regel der Verordnung, und Behörden können bei langer Aufbewahrung genauer hinsehen.

Wie hängen Aufbewahrung der Backups und Löschung zusammen?

Die Aufbewahrungsdauer der Backups entscheidet, wie lange gelöschte Daten noch in ihnen zu finden sind. Ein Backup, das Sicherungsstände 30 Tage behält, enthält eine gelöschte Mail nach etwa einem Monat nicht mehr, zuzüglich der Tage, die der Aufbewahrungslauf und die Speicherbereinigung brauchen. Eines, das jährliche Sicherungsstände zehn Jahre behält, enthält sie noch. Deshalb gilt der Grundsatz der Speicherbegrenzung aus Artikel 5 Absatz 1 Buchstabe e auch für Backups: Behalten Sie Sicherungsstände so lange, wie der Wiederherstellungsbedarf es rechtfertigt, und schreiben Sie den Grund auf. Wie Stufen Sicherungsstände ausdünnen, steht unter Generationenprinzip.

Zwei Einzelheiten übersieht man leicht. Einen Sicherungsstand zu entfernen, ist noch keine Löschung aus dem Speicher: In einem deduplizierenden Backup holt ein späterer Bereinigungslauf Daten zurück, die kein Sicherungsstand mehr nutzt. Und jede zusätzliche Kopie, etwa ein zweites Repository oder eine Offline-Platte, hat eine eigene Aufbewahrung und braucht dieselbe Überlegung.

Zwei Dinge können Daten außerdem länger halten als die Aufbewahrung, die Sie aufgeschrieben haben. Unveränderbarer Speicher verweigert das Löschen vor Ablauf der Sperrfrist, die Sperrfrist verlängert also die Zeit, in der ein gelöschtes Element noch in den Backups liegen kann (siehe unveränderliche Backups). Und eine Sperre, etwa eine, die nach einem Ransomware-Verdacht die Aufbewahrung anhält, behält Sicherungsstände, bis jemand sie beendet. Beides ist gewollt, und beides gehört in die schriftliche Begründung.

Was ändern Verschlüsselung und Schlüsselverwaltung?

Artikel 32 Absatz 1 Buchstabe a nennt Verschlüsselung als Beispiel einer Sicherheitsmaßnahme, und der BfDI empfiehlt, Backups mit personenbezogenen Daten zu verschlüsseln, und weist auf den Preis hin: Schlüsselverwaltung und eine Abwägung zwischen Vertraulichkeit und Verfügbarkeit. Dieselbe Position hält fest, dass Zugriffsbeschränkungen und Protokollierung der ursprünglichen Verarbeitung für ein Backup womöglich nicht gelten und Verschlüsselung hilft, diese Lücke zu schließen.

Verschlüsselung schützt die Vertraulichkeit. Sie beendet Ihre Pflichten nicht, solange Sie die Daten entschlüsseln können: Man kann weiterhin verlangen, sie zu löschen. Einen Schlüssel zu vernichten macht alles unter diesem Schlüssel unlesbar, was zum Ende eines ganzen Backup-Satzes passt und zu nichts Kleinerem. Halten Sie die Schlüssel getrennt von den Backups, und bewahren Sie eine Kopie davon woanders auf: Ohne Schlüssel ist ein Backup kein Backup.

Wer ist Auftragsverarbeiter?

Eine Stelle, die personenbezogene Daten in Ihrem Auftrag und auf Ihre dokumentierte Weisung verarbeitet, ist Auftragsverarbeiter. Ein Cloud-Speicheranbieter, der Ihre Backups hält, ein Backup-Dienst oder ein IT-Dienstleister, der Ihr Backup-System betreibt, kann jeweils einer sein. Artikel 28 verlangt, Auftragsverarbeiter zu wählen, die hinreichende Garantien bieten, und sie durch einen Vertrag zu binden. Der Vertrag muss unter anderem regeln: Verarbeitung nur auf Ihre Weisung, Vertraulichkeit, die Sicherheitsmaßnahmen nach Artikel 32, die Bedingungen für Unterauftragsverarbeiter, Unterstützung bei Anfragen betroffener Personen, Löschung oder Rückgabe der Daten am Ende der Leistung sowie Information und Überprüfungen. Ob ein bestimmter Anbieter in Ihrem Aufbau Auftragsverarbeiter ist und welche Regeln zur Übermittlung für die Region gelten, die Sie wählen, sind Fragen für Ihre Datenschutzbeauftragten.

Was sollte ein kleines Unternehmen aufschreiben?

Wo Backups liegen, wer diesen Speicher betreibt und wer ihn lesen kann, und einen Eintrag im Verzeichnis von Verarbeitungstätigkeiten.
Die Aufbewahrung jedes Backup-Satzes, eine eventuelle Sperrfrist und jede Sperre der Aufbewahrung, und den Grund für jede davon.
Das Löschverfahren: Live-Daten löschen, eine Zeile ins Löschregister aufnehmen, innerhalb der Frist antworten und das Register nach jedem Restore anwenden.
Welche Unterlagen unter einer gesetzlichen Aufbewahrungspflicht gehalten werden, wie lange, und wer das entschieden hat.
Die Auftragsverarbeiter, mit je einem Vertrag, und was mit den Daten geschieht, wenn ein Vertrag endet.
Verschlüsselung, wer die Schlüssel hält und wo die Kopie der Schlüssel liegt.
Tests: ein Restore-Test und eine Prüfung, dass das Register danach angewendet wird.

So macht es Restow

Restow gibt Ihnen die Bausteine für eine kurze, dokumentierte Aufbewahrung und verschlüsselten Speicher, den Sie kontrollieren. Es kann die Daten einer Person nicht aus bestehenden Backups herausnehmen, und diese Seite sagt das deutlich. Seit 0.4.0 hat es außerdem zwei Funktionen, die Daten absichtlich länger halten, unveränderbare Backups und das Anhalten der Aufbewahrung; beide stehen weiter unten, mit dem, was sie für ein Löschverlangen bedeuten.

Wo die Daten liegen und wer sie hält

Restow wird selbst betrieben. Backups gehen in ein Repository, das Sie wählen (lokale Platte, S3-kompatibler Speicher in der Region Ihrer Wahl oder NFS); eine von Restow betriebene Cloud gibt es nicht, und Restow telefoniert nicht nach Hause. Der Hersteller von Restow erhält Ihre Daten nicht. Wer in Ihrem Aufbau als Auftragsverarbeiter gilt, typischerweise der Speicheranbieter und jeder IT-Dienstleister, der Restow für Sie betreibt, entscheiden Sie. Betreibt ein Anbieter eine Service-Provider-Installation für Sie, hält dieser Anbieter den Hauptschlüssel der Installation und kann technisch die Daten jedes Mandanten entschlüsseln; der Vertrag zur Auftragsverarbeitung (Art. 28) sollte das deshalb ausdrücklich abdecken. Siehe Verschlüsselung und Schlüsselverwaltung und Speicher.

Auch der Weg zum Speicher ist geschützt: Ein neuer oder geänderter S3-Endpunkt über reines http:// wird abgelehnt (außer zu localhost), und ein Endpunkt, der vor dieser Regel gespeichert wurde, funktioniert weiter, wird aber auf seiner Karte und in jedem Test rot markiert, bis Sie ihn auf HTTPS umstellen. Das ist eine technische Maßnahme für die Sicherheit der Verarbeitung (Artikel 32), keine Aussage über Ihre Konformität.

Verschlüsselung

Jeder Chunk wird in jeder Edition vor dem Schreiben mit AES-256-GCM verschlüsselt, mit einem eigenen Schlüssel je Mandant. Jeder Server und jeder Client, jede Freigabe und jeder Proxmox-VE-Container hat ein eigenes restic-Repository mit einem zufälligen Passwort, das der Server in seinem Geheimnisspeicher mit dem Mandantenschlüssel versiegelt hält. Die Mandantenschlüssel liegen nur umhüllt mit dem Hauptschlüssel der Installation, der getrennt vom Server sicher verwahrt werden muss.

Aufbewahrung

Mail- und Microsoft-365-Jobs behalten Sicherungsstände in Altersstufen: ein Standard des Mandanten plus Abweichungen für einzelne Objekte. Die empfohlene Regel behält 30 Tage lang alles, dann einen je Tag bis 90 Tage, dann einen je Woche bis zu einem Jahr. Ohne Richtlinie bleibt jeder Sicherungsstand erhalten.
Maschinen-, Freigaben- und Proxmox-VE-Jobs behalten tägliche, wöchentliche und monatliche Anzahlen. Wer eine Zahl senkt, entfernt beim nächsten Aufbewahrungslauf ältere Sicherungsstände endgültig, es sei denn, eine Sperre oder ein Anhalten stoppt das (siehe unten).
Der Aufbewahrungslauf ist täglich. Er behält immer den neuesten Sicherungsstand jedes geschützten Objekts und bereinigt nie etwas unter einem Legal Hold oder bei angehaltener Aufbewahrung.
Das Archiv behält jedes Element feste 8 Jahre, gezählt bis zum Ende des Jahres der Erfassung, und davor wird nichts gelöscht. Keine Oberfläche und keine API setzt bisher eine andere Frist. Nach Ablauf löscht nur der tägliche Löschlauf (Business und Service Provider), und nie unter einem Legal Hold. Was ins Archiv gelangt, bestimmen Sie je Mail-Job durch die Erfassungswege, die Sie wählen (seit 0.4.4 auch die Erfassung aus dem Postfach, per Graph oder IMAP-Abgleich), und durch das, was Sie importieren; Mail, die mehrere Wege erfasst haben, wird einmal aufbewahrt.

Unveränderbare Backups, angehaltene Aufbewahrung und ein Löschverlangen

Zwei Funktionen können personenbezogene Daten länger in den Backups halten als Ihre Aufbewahrungsregel, und ein Löschverlangen trifft genau darauf. Stand der veröffentlichten Version:

Unveränderbare Backups stellen Sie je Repository ein, sie sind aus, bis ein Administrator sie einschaltet; vorher wird nichts gesperrt. Auf S3-Speicher mit Object Lock kann ein gesperrtes Objekt im Compliance-Modus vor seinem Datum von niemandem gelöscht werden, auch nicht von Restow; im Governance-Modus kann ein Konto mit der Umgehungsberechtigung die Sperre aufheben (Restow nutzt sie nie). Sind sie an, sind die Backup-Daten des Chunk-Stores (Microsoft 365, IMAP, VM-Platten von Proxmox VE) und der restic-Repositories von Servern, Clients, Freigaben und Proxmox-VE-Containern gesperrt; die Datensätze des Archivs behalten ihre eigene Aufbewahrung. Die Sperrfrist wählen Sie selbst, von 1 bis 3650 Tage, und ein gesperrtes Objekt wird so geschrieben, dass es für die Frist plus sieben Tage gesperrt bleibt. Ein täglicher Lauf erneuert die Sperre von allem, was neuere Sicherungsstände noch nutzen.
Was das für die Löschung bedeutet: Solange ein Sicherungsstand gesperrt ist, kann die Aufbewahrung ihn nicht entfernen, und keine Oberfläche und keine API in Restow kann es. Er bleibt sichtbar und wiederherstellbar, und sein Speicherplatz kommt erst zurück, wenn die Sperre abgelaufen ist. Personenbezogene Daten, die Sie an der Quelle gelöscht haben, können daher mindestens die Sperrfrist lang in gesperrten Backups bleiben, und länger, wo neuere Sicherungsstände dieselben Daten weiter nutzen. Eine Freigabe, deren Repository noch gesperrt ist, lässt sich bis dahin nicht endgültig löschen. Die Sperrfrist später zu senken ist dem Inhaber des Providers mit einer frischen Anmeldung vorbehalten und gilt nur für Daten, die ab dann geschrieben werden; was gesperrt ist, bleibt gesperrt. Wählen Sie die Frist mit Blick auf die Löschung, und schreiben Sie den Grund auf.
Lokale Platten und NFS-Freigaben bekommen nur eine „Löschverzögerung (nicht unveränderbar)“: Der eigene Code von Restow weigert sich, eine Datei vor ihrem Datum zu löschen. Die Oberfläche sagt, dass das keine Unveränderbarkeit ist, weil jemand mit Zugriff auf den Server oder die Freigabe die Dateien weiterhin löschen kann.
Angehaltene Aufbewahrung gehört zur Ransomware-Erkennung. Solange ein Objekt einen verdächtigen Sicherungsstand hat, den niemand bearbeitet hat, löschen Aufbewahrung, restic forget und prune keinen Sicherungsstand dieses Objekts; saubere ältere Sicherungsstände werden also nicht bereinigt, während sich verschlüsselte ansammeln. Die Backups laufen weiter, der Speicher wächst. Nur ein Administrator beendet das Anhalten, mit „Als Fehlalarm markieren“ oder „Aufbewahrung freigeben“; beides wird protokolliert, und ein späterer sauberer Sicherungsstand beendet es nicht. Die Meldung sagt, dass die Aufbewahrung angehalten ist, und nach 14 Tagen folgt eine Erinnerung, wenn es noch offen ist. Die Funktion ist standardmäßig an, und der Inhaber des Providers kann sie ausschalten.
Was das für das Auslaufen bedeutet: Das Auslaufen, auf das sich die übliche Praxis stützt, ist für ein Objekt mit angehaltener Aufbewahrung ausgesetzt, bis ein Administrator das Anhalten beendet, und Restow beendet es nicht wegen eines Löschverlangens. Das Anhalten gehört wie die Sperre in Ihre schriftliche Begründung der Aufbewahrung.

Keine der beiden Funktionen ändert die oben beschriebene Praxis: an der Quelle löschen, das Register führen und es nach einem Restore anwenden. Sie ändern, wie lange Backups die gelöschten Daten noch halten können, und diese Zeit ist nun teils eine Einstellung, die Sie wählen. Was gesperrt ist und was nicht, und wovor Unveränderbarkeit nicht schützt, steht unter unveränderbare Backups.

Aufbewahrte Datenbank-Dumps

Vor einem Update macht der Updater einen Dump der Datenbank von Restow und behält ihn; der Tab „Updates“ listet diese Dumps. Ein Dump enthält die ganze Datenbank mit den verschlüsselten Geheimnissen und kann daher personenbezogene Daten enthalten, etwa Namen und Adressen geschützter Postfächer und von Benutzern. Er ist eine Kopie außerhalb Ihrer Backup-Aufbewahrung: Der Inhaber des Providers kann einen herunterladen (über einen Einmal-Link nach einer frischen Anmeldung, im Audit-Log vermerkt) oder löschen. Wenn Sie einen herunterladen, verwahren Sie ihn so sorgfältig wie den Hauptschlüssel, und entscheiden Sie, wie lange Sie ihn behalten.

Was Restow in der veröffentlichten Version nicht kann

Es hat keine Funktion, ein einzelnes Element oder die Daten einer Person aus bestehenden Sicherungsständen zu entfernen. Ein Sicherungsstand ist deduplizierter, verschlüsselter Speicher.
Die Aufbewahrung behält immer den neuesten Sicherungsstand jedes geschützten Objekts, sie entfernt also den letzten Sicherungsstand eines Postfachs nicht, auch nachdem die Person gegangen und das Konto vom Backup ausgenommen ist.
Eine Quelle oder ein Konto, das noch Backups hält, lässt sich nicht löschen; Restow lehnt ab und bittet, sie stattdessen auszuschließen oder zu pausieren.
Ein gesperrter Rechner wird nicht mehr bereinigt, seine Snapshots bleiben also, wie sie sind, bis der Rechner aus Restow entfernt wird. Seit 0.4.5 kann ein Administrator einen gesperrten Rechner entfernen und dann entweder seine Sicherungen sofort löschen oder sie behalten, bis die Aufbewahrung des Rechners die neueste hätte gehen lassen; sein restic-Repository wird dann auf jedem Ziel gelöscht, das es hält. Das Repository ist ein gewöhnliches restic-Repository; ein Betreiber kann also auch mit restic und dem Repository-Passwort Snapshots entfernen, außerhalb von Restow und auf eigenes Risiko.
Ein Repository aus Restow zu entfernen löscht nie die Daten darin; das ist ein eigener Schritt beim Speicheranbieter.
Das Entfernen eines Rechners löscht alle Sicherungen dieses Rechners, sofort oder bei Ablauf, keine einzelnen Dateien daraus.
Ein Sicherungsstand unter einer unveränderbaren Sperre lässt sich vor Ablauf der Sperre nicht entfernen, und die Sicherungsstände eines Objekts mit angehaltener Aufbewahrung werden nicht entfernt, bis ein Administrator das Anhalten beendet. Keine Funktion setzt eines von beiden für ein einzelnes Löschverlangen außer Kraft.

In der Praxis heißt das: Löschen Sie die Daten an der Quelle, halten Sie das Verlangen in Ihrem eigenen Register fest, lassen Sie Sicherungsstände nach einer Aufbewahrung auslaufen, die Sie begründen können, und wenden Sie das Register nach jedem Restore an. Wenn Sie eine Person binnen kurzer Zeit aus allen Backups tilgen müssen, prüfen Sie, ob die Aufbewahrung von Restow und Ihr Verfahren Ihrer Einschätzung genügen, denn heute kann Restow es nicht für Sie tun. Lesezugriffe und Wiederherstellungen werden in ein Audit-Log mit Hash-Kette geschrieben, was hilft, das Getane zu belegen.

Häufig gestellte Fragen

Muss ich personenbezogene Daten aus meinen Backups löschen, wenn jemand es verlangt?

Artikel 17 gilt für personenbezogene Daten, wo immer Sie sie halten, Backups eingeschlossen, solange keine Ausnahme greift. Der Bericht 2026 des Europäischen Datenschutzausschusses (EDSA) räumt ein, dass es nicht immer ratsam sein muss, Backups zu verändern, und erwartet in dem Fall, dass Organisationen Löschverlangen nachhalten und soweit möglich auf wiederhergestellten Systemen umsetzen. Ob das für Sie genügt, hängt davon ab, wie lange Ihre Backups aufbewahrt werden; fragen Sie Ihre Datenschutzbeauftragten oder eine Rechtsberatung.

Genügt es, Backups auslaufen zu lassen?

Es ist die übliche Praxis, und der EDSA fand viele Verantwortliche, die sich darauf stützen. Einige Behörden äußerten Bedenken, wo die Fristen lang oder nicht festgelegt sind, weil sich dann schwer sagen lässt, dass die Löschung unverzüglich erfolgte. Eine kurze, dokumentierte Aufbewahrung der Backups plus ein Löschregister, das nach jedem Restore angewendet wird, macht die Praxis leichter vertretbar.

Widerspricht ein unveränderbares Backup einem Löschverlangen?

Es kann. Ein gesperrtes Backup lässt sich vor Ablauf seiner Sperre nicht löschen, das ist ihr Zweck, daher können personenbezogene Daten, die Sie an der Quelle gelöscht haben, bis dahin in den gesperrten Kopien bleiben. Die Verordnung erwähnt Backups nicht, und der Bericht 2026 des EDSA räumt ein, dass es nicht immer ratsam sein muss, sie zu verändern. Die Praxis ist dieselbe wie bei jedem Backup: die Live-Daten löschen, die Löschung in einem Register festhalten und es nach einem Restore anwenden. Halten Sie die Sperrfrist so kurz, wie der Schutzbedarf es rechtfertigt, und schreiben Sie den Grund auf. Ob das in Ihrem Fall genügt, klären Ihre Datenschutzbeauftragten oder eine Rechtsberatung.

Was, wenn die zu löschenden Daten auch einer Aufbewahrungspflicht unterliegen?

Artikel 17 Absatz 3 nennt Ausnahmen, darunter eine Verarbeitung, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, und die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. In Deutschland haben Handelsbriefe und Buchungsbelege Aufbewahrungsfristen nach § 147 AO und § 257 HGB. Welche Ihrer Unterlagen unter eine Ausnahme fallen und wie lange, entscheiden Ihre Steuerberatung und Ihre Datenschutzbeauftragten.

Nimmt Verschlüsselung der Backups sie aus der DSGVO heraus?

Nein. Artikel 32 Absatz 1 Buchstabe a nennt Verschlüsselung als Beispiel einer Sicherheitsmaßnahme, und der BfDI empfiehlt sie für Backups mit personenbezogenen Daten. Sie schützt die Vertraulichkeit. Solange Sie die Daten entschlüsseln können, kann man von Ihnen weiterhin verlangen, sie zu löschen, und Sie müssen ein solches Verlangen beantworten können.

Ist mein Backup-Anbieter ein Auftragsverarbeiter?

Wenn ein Anbieter Ihre Backup-Daten in Ihrem Auftrag und auf Ihre Weisung speichert oder verarbeitet, ist er wahrscheinlich ein Auftragsverarbeiter, und Artikel 28 verlangt dann einen schriftlichen Vertrag, der Sicherheit, Unterstützung bei Anfragen betroffener Personen und die Löschung oder Rückgabe der Daten am Ende regelt. Ob ein bestimmter Anbieter in Ihrem Aufbau Auftragsverarbeiter ist, klären Sie mit Ihrer Datenschutzberatung. Speicher auf eigener Hardware kommt ganz ohne Anbieter aus.

Quellen

Gelesen am 29. Oktober 2026.

Verordnung (EU) 2016/679 (DSGVO), EUR-Lex, deutsche Fassung: Artikel 5, 12, 17, 28, 30 und 32. Gründe und Ausnahmen des Rechts auf Löschung, die Antwortfrist von einem Monat, Auftragsverarbeiter, Verschlüsselung und Wiederherstellung der Verfügbarkeit
EDSA: Koordinierte Durchsetzungsmaßnahme 2025, Umsetzung des Rechts auf Löschung durch Verantwortliche (angenommen am 10. Februar 2026, englisch), Abschnitt 4.2.6. Was die Aufsichtsbehörden zur Löschung in Backups fanden, mit Empfehlungen für Verantwortliche
BfDI: Kurzposition, Verschlüsselung und Backups. Backups mit personenbezogenen Daten verschlüsseln, die sichere Löschung von Daten und Schlüsseln planen und keine Daten wiederherstellen, die nicht mehr verarbeitet werden dürfen
Hessischer Datenschutzbeauftragter: Wie ein angemessenes Backup-Konzept das Schadensrisiko durch Ransomware-Angriffe mindert. Ein Backup ist selbst Verarbeitung, und die Rechte betroffener Personen gehören in das Backup-Konzept
§ 147 Abgabenordnung (AO). Aufbewahrungsfristen von 6, 8 und 10 Jahren für Geschäftsunterlagen
§ 257 Handelsgesetzbuch (HGB). Dieselben Fristen nach Handelsrecht