Aufbewahrungsfristen nach der DSGVO: Wie lange dürfen Daten gespeichert werden?

Unternehmen müssen personenbezogene Daten nicht nur sicher verarbeiten, sondern auch rechtzeitig löschen. Die Datenschutz-Grundverordnung (DSGVO) nennt dafür jedoch keine einheitliche Aufbewahrungsfrist. Entscheidend ist, zu welchem Zweck Daten erhoben wurden und ob dieser Zweck oder eine gesetzliche Pflicht ihre weitere Speicherung noch rechtfertigt.

Was bedeutet der Grundsatz der Speicherbegrenzung?

Nach Artikel 5 Absatz 1 Buchstabe e DSGVO dürfen personenbezogene Daten nur so lange in einer Form gespeichert werden, die eine Identifizierung der betroffenen Personen ermöglicht, wie es für den jeweiligen Verarbeitungszweck erforderlich ist. Dieser Grundsatz wird als Speicherbegrenzung bezeichnet.

Ist der Zweck erfüllt und besteht keine andere Rechtsgrundlage für die weitere Speicherung, müssen die Daten gelöscht oder anonymisiert werden. Eine pauschale Regel wie „alle Daten werden zehn Jahre gespeichert“ ist deshalb meist nicht ausreichend. Unternehmen sollten für unterschiedliche Datenarten und Zwecke jeweils passende Fristen festlegen.

Wann müssen Daten länger aufbewahrt werden?

Eine längere Speicherung kann zulässig oder vorgeschrieben sein, wenn sie weiterhin erforderlich ist. Typische Gründe sind:

• Gesetzliche Aufbewahrungspflichten: Zum Beispiel für Buchführungsunterlagen und Geschäftsbriefe.
• Vertragliche Zwecke: Bestimmte Daten können während der Vertragslaufzeit benötigt werden, etwa zur Abwicklung von Zahlungen oder zur Erfüllung von Gewährleistungspflichten.
• Rechtsansprüche: Unterlagen können vorübergehend benötigt werden, um Ansprüche geltend zu machen, auszuüben oder abzuwehren.
• Besondere gesetzliche oder öffentliche Zwecke: In bestimmten Fällen sehen Gesetze längere Speicherungen vor.

Auch während einer gesetzlichen Aufbewahrungsfrist dürfen Daten nicht automatisch für beliebige andere Zwecke verwendet werden. Es kann erforderlich sein, sie für den laufenden Zugriff zu sperren oder ihre Nutzung einzuschränken.

Wichtige Aufbewahrungsfristen in Deutschland

Für viele geschäftliche Unterlagen gelten neben der DSGVO besondere Aufbewahrungspflichten. Die folgenden Angaben geben einen allgemeinen Überblick. Welche Frist im Einzelfall gilt, hängt von der Art der Unterlage und den Umständen ab.

• Zehn Jahre: Unter anderem für Bücher und bestimmte Aufzeichnungen, Inventare, Jahresabschlüsse sowie Eröffnungsbilanzen.
• Acht Jahre: Für Buchungsbelege. Die Frist wurde zum 1. Januar 2025 in vielen Fällen von zehn auf acht Jahre verkürzt.
• Sechs Jahre: Unter anderem für empfangene und abgesandte Handels- oder Geschäftsbriefe sowie weitere steuerlich relevante Unterlagen, soweit keine längere Frist greift.

Die wichtigsten Regelungen finden sich insbesondere in § 147 Abgabenordnung (AO) und § 257 Handelsgesetzbuch (HGB). Der Beginn der Frist richtet sich nach der jeweiligen Unterlagenart. Häufig beginnt sie mit dem Ende des Kalenderjahres, in dem die Unterlage erstellt, empfangen oder versendet wurde beziehungsweise die letzte Eintragung vorgenommen wurde. In besonderen Fällen kann die Aufbewahrung länger erforderlich sein, etwa wenn die Unterlagen für eine noch offene Steuerfestsetzung bedeutsam sind.

Beispiele für personenbezogene Daten

Kunden- und Vertragsdaten

Daten können grundsätzlich so lange gespeichert werden, wie sie für die Durchführung eines Vertrags benötigt werden. Nach dessen Ende ist zu prüfen, ob einzelne Angaben noch für offene Zahlungen, Gewährleistungsfragen oder mögliche Rechtsansprüche gebraucht werden. Nicht benötigte Daten sollten gelöscht oder anonymisiert werden. Eine allgemeine Verjährungsfrist bedeutet nicht automatisch, dass sämtliche Kundendaten während des gesamten Zeitraums vollständig gespeichert bleiben dürfen.

Bewerbungsunterlagen

Nach Abschluss eines Bewerbungsverfahrens sollten nicht berücksichtigte Bewerbungsdaten grundsätzlich zeitnah gelöscht werden, sofern keine Einwilligung für eine längere Speicherung vorliegt. In der Praxis kann eine begrenzte Aufbewahrung zur Abwehr möglicher Ansprüche sinnvoll sein. Die Frist sollte jedoch auf den konkreten Zweck abgestimmt und dokumentiert werden; eine pauschale, unbegrenzte Speicherung ist nicht angemessen.

Beschäftigtendaten

Für Personalunterlagen gelten je nach Dokument unterschiedliche gesetzliche Fristen. Abrechnungs-, Steuer- und Sozialversicherungsunterlagen können speziellen Vorgaben unterliegen. Nach dem Ende des Beschäftigungsverhältnisses sollte daher geprüft werden, welche Unterlagen noch aufbewahrt werden müssen und welche Daten gelöscht werden können.

So legen Unternehmen angemessene Löschfristen fest

1. Daten erfassen: Bestimmen Sie, welche personenbezogenen Daten gespeichert werden, wo sie liegen und welchem Zweck sie dienen.
2. Rechtsgrundlage prüfen: Klären Sie, ob die Verarbeitung auf einem Vertrag, einer gesetzlichen Pflicht, einer Einwilligung oder einer anderen Rechtsgrundlage beruht.
3. Frist je Datenart bestimmen: Berücksichtigen Sie gesetzliche Aufbewahrungspflichten, Vertragszwecke und mögliche Rechtsansprüche.
4. Löschkonzept erstellen: Legen Sie fest, wann Daten gelöscht, anonymisiert oder für die weitere Nutzung gesperrt werden.
5. Prozesse regelmäßig kontrollieren: Überprüfen Sie, ob die Fristen technisch und organisatorisch eingehalten werden – auch in Back-ups, E-Mail-Postfächern und bei Dienstleistern.
6. Entscheidungen dokumentieren: Halten Sie fest, warum eine Frist gilt und welche Ausnahmen eine längere Speicherung rechtfertigen.

Löschen oder archivieren?

Wenn eine gesetzliche Pflicht die weitere Aufbewahrung verlangt, muss ein Unternehmen die betreffenden Unterlagen nicht zwingend löschen. Es sollte aber sicherstellen, dass sie nur für den erforderlichen Zweck verfügbar sind. Dazu können Zugriffsbeschränkungen, getrennte Archive und klare Berechtigungskonzepte beitragen.

Nach Ablauf der maßgeblichen Frist sind die Daten grundsätzlich zu löschen oder so zu anonymisieren, dass kein Personenbezug mehr hergestellt werden kann. Dabei sollte auch geprüft werden, ob Kopien in Sicherungssystemen oder bei externen Dienstleistern bestehen. Für technische Back-ups können besondere Löschverfahren erforderlich sein.

Fazit

Die DSGVO schreibt keine pauschale Aufbewahrungsfrist für personenbezogene Daten vor. Sie verlangt vielmehr, dass Daten nur so lange gespeichert werden, wie ein nachvollziehbarer Zweck oder eine gesetzliche Pflicht dies erfordert. Unternehmen sollten deshalb für jede Datenkategorie eine begründete Frist festlegen, ein Löschkonzept umsetzen und die Einhaltung regelmäßig überprüfen.

Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung. Die jeweils geltenden Fristen sollten anhand der konkreten Unterlagen und der aktuellen Gesetzeslage geprüft werden.

 

Vorteile der Aufbewahrungsfristen gemäß DSGVO: Datenschutz, Compliance und Transparenz fördern

1. Schützt personenbezogene Daten vor unnötiger Speicherung.
2. Hilft Unternehmen, DSGVO-Pflichten einzuhalten.
3. Schafft klare Regeln für Archivierung und Löschung.
4. Verringert Risiken bei Datenschutzverletzungen.
5. Fördert transparente und verantwortungsvolle Datenverarbeitung.

 

7 Herausforderungen der DSGVO-Aufbewahrungsfristen: Risiken und Komplexitäten im Überblick

1. Keine einheitlichen Fristen für alle Datenarten.
2. Gesetzliche Vorgaben können komplex sein.
3. Zu lange Speicherung erhöht Datenschutzrisiken.
4. Zu frühes Löschen kann Aufbewahrungspflichten verletzen.
5. Löschfristen sind oft schwer zu überblicken.
6. Back-ups erschweren die vollständige Löschung.
7. Regelmäßige Prüfungen kosten Zeit und Ressourcen.

Schützt personenbezogene Daten vor unnötiger Speicherung.

Aufbewahrungsfristen nach der DSGVO schützen personenbezogene Daten vor unnötiger Speicherung. Unternehmen müssen regelmäßig prüfen, ob sie Informationen noch für den ursprünglichen Zweck oder aufgrund gesetzlicher Pflichten benötigen. Sind die Daten nicht mehr erforderlich, müssen sie gelöscht oder anonymisiert werden. So sinkt das Risiko, dass sensible Angaben unbefugt eingesehen, weitergegeben oder bei einem Sicherheitsvorfall offengelegt werden.

Hilft Unternehmen, DSGVO-Pflichten einzuhalten.

Klare Aufbewahrungs- und Löschfristen helfen Unternehmen, ihre Pflichten aus der DSGVO zuverlässig einzuhalten. Wenn festgelegt ist, welche personenbezogenen Daten wie lange gespeichert werden dürfen, können unnötige Daten rechtzeitig gelöscht oder anonymisiert werden. So unterstützen Fristen insbesondere den Grundsatz der Speicherbegrenzung und erleichtern es, Datenschutzprozesse nachvollziehbar zu dokumentieren und bei Bedarf nachzuweisen.

Schafft klare Regeln für Archivierung und Löschung.

Aufbewahrungsfristen nach der DSGVO schaffen klare Regeln dafür, wie lange personenbezogene Daten archiviert werden dürfen und wann sie gelöscht werden müssen. Dadurch können Unternehmen einheitliche Abläufe festlegen, Verantwortlichkeiten besser zuordnen und vermeiden, dass Daten unnötig lange gespeichert bleiben. Klare Fristen erleichtern außerdem die Planung von Archivierung und Löschung und unterstützen einen verantwortungsvollen Umgang mit personenbezogenen Daten.

Verringert Risiken bei Datenschutzverletzungen.

Klare Aufbewahrungs- und Löschfristen verringern die Risiken bei Datenschutzverletzungen: Werden personenbezogene Daten gelöscht, sobald sie nicht mehr benötigt werden, stehen potenziellen Angreifern weniger sensible Informationen zur Verfügung. Das kann den möglichen Schaden eines Sicherheitsvorfalls begrenzen und erleichtert Unternehmen, ihre Datenbestände übersichtlich und sicher zu verwalten.

Fördert transparente und verantwortungsvolle Datenverarbeitung.

Aufbewahrungsfristen nach der DSGVO fördern eine transparente und verantwortungsvolle Datenverarbeitung, weil Unternehmen festlegen und nachvollziehbar dokumentieren müssen, warum sie personenbezogene Daten speichern und wann sie diese löschen. Klare Fristen helfen dabei, unnötige Datensammlungen zu vermeiden, Verantwortlichkeiten zu schaffen und Betroffenen verständlich zu erklären, wie lange ihre Informationen aufbewahrt werden.

Keine einheitlichen Fristen für alle Datenarten.

Ein Nachteil der Aufbewahrungsfristen im Zusammenhang mit der DSGVO ist, dass es keine einheitliche Frist für alle Datenarten gibt. Unternehmen müssen für jede Kategorie prüfen, welchem Zweck die Daten dienen und ob besondere gesetzliche Pflichten gelten. Dadurch wird die Verwaltung komplexer: Unterschiedliche Fristen müssen dokumentiert, regelmäßig überprüft und technisch umgesetzt werden. Ohne klare Zuständigkeiten oder ein gut organisiertes Löschkonzept steigt das Risiko, Daten zu lange aufzubewahren oder erforderliche Unterlagen zu früh zu löschen.

Gesetzliche Vorgaben können komplex sein.

Gesetzliche Vorgaben zu Aufbewahrungsfristen können komplex sein, weil je nach Datenart, Branche und Zweck unterschiedliche Gesetze und Fristen gelten. Unternehmen müssen beispielsweise datenschutzrechtliche Löschpflichten mit steuer- und handelsrechtlichen Aufbewahrungspflichten in Einklang bringen. Das erfordert sorgfältige Prüfung und regelmäßige Aktualisierungen, denn falsch angesetzte Fristen können sowohl zu einer unzulässigen Speicherung als auch zu einer verfrühten Löschung wichtiger Unterlagen führen.

Zu lange Speicherung erhöht Datenschutzrisiken.

Eine zu lange Speicherung personenbezogener Daten erhöht die Datenschutzrisiken: Je länger sensible Informationen aufbewahrt werden, desto größer ist die Gefahr, dass sie durch unbefugte Zugriffe, Datenpannen oder Sicherheitslücken offengelegt werden. Außerdem können überholte oder nicht mehr benötigte Daten missbraucht werden und das Vertrauen von Kundinnen, Kunden und Beschäftigten beeinträchtigen. Unternehmen sollten daher regelmäßig prüfen, ob der ursprüngliche Speicherzweck noch besteht, und Daten nach Ablauf der maßgeblichen Frist sicher löschen oder anonymisieren.

Zu frühes Löschen kann Aufbewahrungspflichten verletzen.

Ein Nachteil zu kurzer Aufbewahrungsfristen ist, dass Daten oder Unterlagen möglicherweise gelöscht werden, bevor gesetzliche Pflichten erfüllt sind. Das kann etwa Buchungsbelege, Steuerunterlagen oder wichtige Vertragsdokumente betreffen. Eine verfrühte Löschung kann zu rechtlichen und finanziellen Folgen führen und die Nachweisführung bei Prüfungen oder Streitfällen erschweren. Unternehmen sollten deshalb für jede Datenart sorgfältig prüfen, welche gesetzlichen Fristen gelten, und diese mit ihren datenschutzrechtlichen Löschpflichten abstimmen.

Löschfristen sind oft schwer zu überblicken.

Ein Nachteil der Aufbewahrungsfristen nach der DSGVO ist, dass Löschfristen oft schwer zu überblicken sind. Für unterschiedliche Datenarten gelten verschiedene gesetzliche, vertragliche oder zweckgebundene Fristen, die sich zudem ändern können. Unternehmen müssen deshalb genau dokumentieren, welche Daten wo gespeichert sind und wann sie gelöscht werden müssen. Ohne klare Zuständigkeiten und regelmäßige Kontrollen besteht das Risiko, Daten zu früh oder zu spät zu löschen – und damit rechtliche Vorgaben zu verletzen.

Back-ups erschweren die vollständige Löschung.

Ein Nachteil der Aufbewahrungsfristen nach der DSGVO ist, dass Back-ups die vollständige Löschung personenbezogener Daten erschweren können. Selbst wenn Daten aus dem aktiven System entfernt wurden, können sie in Sicherungskopien weiterhin enthalten sein und dort bis zum regulären Ablauf des Backup-Zyklus bestehen bleiben. Unternehmen sollten deshalb dokumentierte Löschverfahren einrichten, auch für Sicherungssysteme, und sicherstellen, dass wiederhergestellte Back-ups nicht bereits gelöschte Daten erneut dauerhaft in den laufenden Betrieb übernehmen.

Regelmäßige Prüfungen kosten Zeit und Ressourcen.

Regelmäßige Prüfungen der Aufbewahrungsfristen kosten Zeit und Ressourcen. Unternehmen müssen Datenbestände laufend überprüfen, gesetzliche Vorgaben im Blick behalten und Lösch- oder Archivierungsprozesse dokumentieren. Besonders bei großen Datenmengen und unterschiedlichen Speicherorten kann das zusätzlichen organisatorischen und technischen Aufwand verursachen.