Die DSGVO nennt keine Tabelle mit Aufbewahrungsfristen. Sie nennt einen Grundsatz: Personenbezogene Daten dürfen nur so lange aufbewahrt werden, wie es für den Zweck erforderlich ist, für den sie erhoben wurden. Die konkreten Fristen ergeben sich aus anderen Gesetzen, vor allem aus Handels- und Steuerrecht.
Genau daraus entsteht die praktische Schwierigkeit: Handels- und Steuerrecht setzen Mindestfristen, unterhalb derer nicht gelöscht werden darf. Die DSGVO setzt die Obergrenze, oberhalb derer ohne besondere Rechtfertigung nicht aufbewahrt werden darf. Der zulässige Bereich liegt dazwischen, und er ist je Datenkategorie verschieden.
Richtwerte nach Datenkategorie
Die folgenden Werte gelten für Deutschland und sind Richtwerte, keine Rechtsberatung. Sie ersetzen die Prüfung des Einzelfalls nicht, geben aber den üblichen Rahmen:
- Buchungsbelege und Jahresabschlüsse: 10 Jahre nach § 147 AO.
- Handels- und Geschäftsbriefe: 6 Jahre nach § 257 HGB.
- Lohn- und Gehaltsunterlagen: 6 Jahre handelsrechtlich, steuerlich regelmässig 10 Jahre.
- Verträge: bis zum Ablauf der Verjährung, regelmässig 3 Jahre nach dem Schluss des Entstehungsjahres nach § 195 BGB, bei Bauwerken deutlich länger.
- Bewerbungsunterlagen abgelehnter Personen: üblicherweise 6 Monate nach der Absage, abgeleitet aus den Fristen des AGG.
- Marketingdaten: bis zum Widerruf der Einwilligung oder bis der Zweck erreicht ist, oft erheblich kürzer als angenommen.
- Videoaufzeichnungen: in der Regel wenige Tage, sofern kein konkreter Vorfall aufzuklären ist.
Personalakten und Mitarbeiterdaten
Für die Personalakte als Ganzes gibt es keine einheitliche gesetzliche Frist. Das führt in der Praxis dazu, dass sie oft unbefristet aufbewahrt wird, was gegen den Grundsatz der Speicherbegrenzung verstösst.
Der belastbare Weg besteht darin, die Akte in ihre Bestandteile zu zerlegen und jedem Bestandteil eine eigene Frist zuzuordnen: Lohnunterlagen folgen den steuerlichen Fristen, arbeitsrechtlich relevante Dokumente den Verjährungsfristen, Abmahnungen und Beurteilungen einer sachlich begründeten kürzeren Frist. Nach dem Ende des Arbeitsverhältnisses fällt der überwiegende Teil der Akte schneller weg, als die meisten Organisationen annehmen.
Bewerbungsunterlagen sind der häufigste Einzelfehler. Wer sie über die AGG-Fristen hinaus für einen möglichen späteren Kontakt behält, braucht dafür eine Einwilligung. Ohne Einwilligung ist die Aufbewahrung nicht durch ein berechtigtes Interesse gedeckt.
Art. 17 DSGVO und das Verhältnis zur Löschpflicht
Art. 17 DSGVO gibt betroffenen Personen ein Recht auf Löschung, sobald die Daten für den Zweck nicht mehr erforderlich sind. Dieses Recht steht in unmittelbarer Spannung zu gesetzlichen Aufbewahrungspflichten, und Art. 17 Abs. 3 löst sie auf: Besteht eine rechtliche Verpflichtung zur Aufbewahrung, geht sie dem Löschanspruch vor.
Praktisch heisst das: Ein Löschbegehren führt nicht automatisch zur Löschung, aber es verlangt eine begründete Antwort. Wer auf eine Aufbewahrungspflicht verweist, muss sie benennen können. Die richtige Reaktion ist häufig die Einschränkung der Verarbeitung nach Art. 18: Die Daten bleiben für die gesetzliche Frist erhalten, werden aber für alle anderen Zwecke gesperrt.
Was in der Schweiz gilt
Das revDSG kennt den gleichen Grundsatz der Zweckbindung, nennt aber ebenfalls keine allgemeine Fristentabelle. Die Mindestfristen kommen aus dem Obligationenrecht: Geschäftsbücher und Buchungsbelege sind nach Art. 958f OR zehn Jahre aufzubewahren.
Für Anwaltskanzleien kommt eine Besonderheit hinzu. Das Anwaltsgeheimnis wirkt über das Mandatsende hinaus, und die Aufbewahrung der Handakten folgt eigenen berufsrechtlichen Regeln, die von den datenschutzrechtlichen Fristen abweichen können. Wer beide Regelwerke in derselben Tabelle führt, vermeidet den häufigen Fehler, das eine gegen das andere auszuspielen.
Ein Löschkonzept, das den Namen verdient
Ein tragfähiges Löschkonzept dokumentiert für jede Kategorie personenbezogener Daten die Rechtsgrundlage, den Zweck, die Frist und deren Begründung. Es ist kein einmaliges Dokument, sondern wird angepasst, wenn sich Verarbeitungen, Gesetze oder Geschäftstätigkeit ändern.
- Erfassen Sie alle Datenkategorien und ihre Verarbeitungszwecke.
- Bestimmen Sie je Kategorie Rechtsgrundlage und Begründung der Frist.
- Legen Sie konkrete, dokumentierte Fristen fest statt allgemeiner Absichten.
- Richten Sie automatische Löschung oder eine terminierte Prüfung zum Fristende ein.
- Führen Sie das Konzept als Teil des Verzeichnisses von Verarbeitungstätigkeiten.
Die beiden häufigsten Fehler
Der häufigste Verstoss besteht nicht in falsch bemessenen Fristen, sondern darin, dass überhaupt keine gesetzt werden und Daten unbegrenzt auflaufen. Ein Bestand ohne dokumentierte Frist ist im Prüfungsfall schwer zu verteidigen.
Der zweithäufigste Fehler ist ein Konzept, das nur auf Papier existiert. Fristen ohne technischen Prozess, der zum Stichtag tatsächlich löscht, schützen niemanden. Die Prüfbehörde fragt nicht nach dem Dokument, sondern nach dem Datenbestand.