Was ist eine Datenaufbewahrungsrichtlinie?

Eine Datenaufbewahrungsrichtlinie ist ein Dokument, das festlegt, wie lange eine Organisation jede Art von Unterlagen oder Daten aufbewahrt, was die Frist in Gang setzt und wann und wie diese Daten nach Fristende sicher gelöscht, vernichtet oder anonymisiert werden müssen. Sie beantwortet zwei Fragen, die sonst dem Zufall überlassen bleiben: „Warum haben wir das überhaupt noch?“ und „Wer hat gesagt, dass wir das löschen dürfen?“. In der Praxis steht sie neben der übergeordneten Asset-Management-Richtlinie, denn die Daten, die sie regelt, liegen auf den Laptops, Telefonen und Laufwerken, die jene Richtlinie erfasst.

Das ist die Definition in einem Absatz. Der Rest dieser Seite ist die operative Hälfte: eine Beispieltabelle zum Abschreiben, die Aufbewahrungsfristen, mit denen in Deutschland tatsächlich gearbeitet wird, der Legal Hold, der sie alle aussetzt, und der Nachweis, dass die Löschung wirklich stattgefunden hat.

Was Sie hier erfahren

• Was eine Datenaufbewahrungsrichtlinie abdeckt
• Beispiel für ein Löschkonzept (Tabelle mit Fristen)
• Typische Aufbewahrungsfristen nach Unterlagenart
• Wie Fristen gesetzt werden - und was die Uhr startet
• Wie Sie eine Aufbewahrungsrichtlinie schreiben
• Aufbewahrung, Archivierung, Backup und Anonymisierung
• Legal Hold und andere Ausnahmen
• Aufbewahrung und DSGVO
• Was Normen und Aufsichtsbehörden erwarten
• Wer die Richtlinie besitzt und wie oft sie geprüft wird
• Was es für ausgemusterte Geräte bedeutet
• Nachweisen, dass Daten und Geräte wirklich entsorgt wurden
• Aufbewahrungsereignisse verstecken sich im Offboarding
• Checkliste für die Aufbewahrungsrichtlinie
• Häufige Fehler
• FAQ

Was eine Datenaufbewahrungsrichtlinie abdeckt

Eine brauchbare Richtlinie ist eine Tabelle, kein Essay. Pro Kategorie von Unterlagen steht darin:

• Die Art der Unterlagen - Rechnungen, Verträge, Personalakten, Videoaufzeichnungen, E-Mail, Kundendaten, Systemprotokolle.
• Die Aufbewahrungsfrist - wie lange aufbewahrt wird.
• Das Startereignis - was die Uhr in Gang setzt: die Erstellung, das Vertragsende, der letzte Kontakt, das Ausscheiden einer Person, der Schluss des Geschäftsjahres.
• Die rechtliche oder geschäftliche Begründung - Gesetz, Vorschrift oder betrieblicher Bedarf hinter der Frist.
• Die Entsorgungsmethode - sichere Löschung, Datenlöschung des Geräts, physische Vernichtung oder Anonymisierung.
• Der Verantwortliche - wer für die Kategorie zuständig ist und wer die Entsorgung ausführt.

Um diese Tabelle herum steht der Fließtext: Geltungsbereich, wer Ausnahmen genehmigt, wie ein Legal Hold funktioniert, wie Backups und SaaS-Kopien behandelt werden und wann das Ganze überprüft wird. Zusammen bilden sie die Aufbewahrungsrichtlinie und ihr Löschkonzept - und es ist das Löschkonzept, nicht der Fließtext, mit dem im Alltag gearbeitet wird.

Beispiel für ein Löschkonzept

Wer nach einer Löschkonzept-Vorlage sucht, will fast immer dasselbe: eine Beispieltabelle zum Anpassen. So sieht eine brauchbare aus. Die Fristen unten sind beispielhaft und keine Rechtsberatung - prüfen Sie die Regeln, die in Ihrem Rechtsraum und Ihrer Branche gelten, bevor Sie eine davon übernehmen.

Zwei Dinge machen diese Tabelle brauchbar statt bloß hübsch. Erstens hat jede Zeile ein Startereignis, nicht nur eine Dauer - „sechs Jahre“ ist bedeutungslos, solange nicht dabeisteht, sechs Jahre ab wann. Zweitens hat jede Zeile einen namentlich benannten Verantwortlichen, denn ein Löschkonzept ohne Verantwortliche ist ein Löschkonzept, das niemand ausführt.

Typische Aufbewahrungsfristen nach Unterlagenart

Die häufigste Anschlussfrage lautet schlicht: Wie lange muss ich Geschäftsunterlagen aufbewahren? Die bekannten gesetzlichen Anker geben einen Rahmen, tragen aber jeweils einen Rechtsraum mit sich:

• Handelsbücher, Inventare, Eröffnungsbilanzen und Jahresabschlüsse - zehn Jahre nach § 257 HGB und § 147 AO, gerechnet ab dem Schluss des Kalenderjahres, in dem die letzte Eintragung erfolgt ist.
• Buchungsbelege - seit dem Vierten Bürokratieentlastungsgesetz acht statt zehn Jahre. Wichtig: Die Verkürzung betrifft die Belege, nicht die Bücher und Abschlüsse.
• Empfangene und abgesandte Handelsbriefe sowie sonstige steuerlich relevante Unterlagen - sechs Jahre.
• Lohn- und Gehaltsunterlagen - in der Regel sechs Jahre, abgeleitet aus Steuer- und Sozialversicherungsrecht; einzelne Nachweise zur Rentenversicherung laufen deutlich länger.
• Unterlagen nach dem Geldwäschegesetz - fünf Jahre nach Ende der Geschäftsbeziehung.
• Personalakten - üblicherweise drei Jahre nach Austritt entlang der regelmäßigen Verjährung, mit längeren Fristen für die steuer- und sozialversicherungsrelevanten Teile.
• Bewerbungsunterlagen abgelehnter Bewerberinnen und Bewerber - üblicherweise sechs Monate, orientiert an der Klagefrist nach dem AGG.
• Verträge - meist drei bis zehn Jahre nach Vertragsende, entlang der Verjährung der Ansprüche aus dem Vertrag; bei Bauleistungen und Gewährleistung deutlich länger.
• Videoaufzeichnungen - in der Regel 48 bis 72 Stunden, längere Speicherung nur mit konkreter Begründung.
• E-Mail und allgemeine Korrespondenz - ein bis drei Jahre, sofern nicht ein aufbewahrungspflichtiger Beleg oder ein Legal Hold längeres verlangt.

Darunter liegt eine Regel, die man sich merken sollte: Das Gesetz setzt die Untergrenze, das Datenschutzrecht setzt die Obergrenze für personenbezogene Daten, und alles dazwischen ist eine dokumentierte geschäftliche Entscheidung. Wenn Sie die Untergrenze nicht benennen oder den Abstand nicht begründen können, ist die ehrliche Grundeinstellung die kürzere Frist, nicht die längere.

Wie Fristen gesetzt werden - und was die Uhr startet

Fristen kommen aus drei Richtungen. Das Gesetz setzt die Mindestfristen, wie oben beschrieben. Verträge, Versicherer und Kunden können eigene Anforderungen ergänzen - eine Kundenvereinbarung, die Löschung innerhalb von 30 Tagen nach Vertragsende verlangt, schlägt Ihr Standardkonzept. Alles Übrige ist eine geschäftliche Einschätzung, und die ehrliche Grundhaltung für Daten ohne Begründung lautet „löschen“, nicht „für immer behalten, nur für alle Fälle“.

Was die meisten Löschkonzepte falsch machen, ist nicht die Zahl, sondern das Startereignis. Eine Frist wird erst berechenbar, wenn etwas Konkretes sie auslöst: das Erstellungsdatum, der Tag des Vertragsendes, der letzte Kundenkontakt, das Austrittsdatum, der Schluss des Geschäftsjahres. Wählen Sie das falsche Ereignis, und das ganze Konzept driftet - „sechs Jahre ab Erstellung“ und „sechs Jahre ab Vertragsende“ können bei derselben Akte ein Jahrzehnt auseinanderliegen. Schreiben Sie das Startereignis in jede Zeile neben die Frist und stellen Sie sicher, dass das System, das die Löschung ausführt, dieses Datum überhaupt lesen kann. Hier zahlt sich auch eine saubere Datenklassifizierung aus: Auf eine Kategorie, die Sie nie definiert haben, lässt sich keine Regel anwenden.

Wie Sie eine Aufbewahrungsrichtlinie schreiben

Sie brauchen weniger einen Download als eine Methode. Neun Schritte ergeben eine Richtlinie, die den Kontakt mit einer Prüfung übersteht:

1. Geltungsbereich festlegen. Benennen Sie die Systeme, die Kategorien von Unterlagen und auch die physische Welt - Papierakten, Archivkartons und die Geräte, auf denen Daten liegen, nicht nur Datenbanken.
2. Bestand aufnehmen und klassifizieren. Die Einträge zu personenbezogenen Daten leiten Sie aus Ihrem Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO ab; alles andere kommt aus Finanzen, Personal und dem Systeminventar. Ein Informationswerte-Verzeichnis ist der natürliche Ort dafür.
3. Frist und Startereignis je Kategorie setzen. Beides, immer.
4. Die Begründung aufschreiben. Eine Zeile pro Kategorie, die das Gesetz, den Vertrag oder den betrieblichen Bedarf nennt. Genau diesen Satz werden Sie vorlegen müssen.
5. Die Handlung bei Fristende entscheiden. Löschen, vernichten oder anonymisieren - und je Kategorie festlegen, was davon gilt.
6. Je Kategorie eine verantwortliche Stelle benennen. Eine Abteilung, idealerweise eine Rolle, nicht „das Business“.
7. Regeln, wie Kopien auslaufen. Backups, Exporte, Data Warehouses, gemeinsame Laufwerke und SaaS-Kopien. Eine Kopie, die ihre Frist überlebt, hebelt das Konzept still aus.
8. Festlegen, wie Holds und Ausnahmen genehmigt werden. Wer die Löschung aussetzen darf, wer sie wieder freigibt und wie beides dokumentiert wird.
9. Einen Prüfzyklus setzen. Jährlich als Standard, dazu eine außerplanmäßige Prüfung bei jeder wesentlichen rechtlichen oder technischen Änderung.

Diese Abfolge - Geltungsbereich, Bestand, Fristen, Begründung, Handlung bei Fristende, Verantwortliche, Kopien, Ausnahmen, Prüfung - ist das gesamte Dokument. Alles andere ist Formatierung.

Aufbewahrung, Archivierung, Backup und Anonymisierung

Vier Begriffe werden gerne vermischt und bedeuten sehr Unterschiedliches:

• Aufbewahrung ist, wie lange Daten existieren dürfen. Sie ist eine Erlaubnis mit Ablaufdatum.
• Archivierung verschiebt Daten, die noch innerhalb ihrer Frist liegen, auf günstigeren, langsameren Speicher. Sie ändert Kosten und Zugriffsgeschwindigkeit; sie setzt die Uhr weder zurück noch verlängert sie sie.
• Backup ist eine Kopie, damit Daten einen Vorfall überleben. Backups sind der häufigste stille Verstoß gegen eine Aufbewahrungsrichtlinie: Der Produktivdatensatz wird planmäßig gelöscht, während dieselben personenbezogenen Daten in einem Snapshot liegen, an dessen Ablauf niemand gedacht hat. Legen Sie eine Backup-Aufbewahrungsfrist ausdrücklich fest und akzeptieren Sie die Realität, dass eine Wiederherstellung aus einem alten Backup gelöschte Datensätze zurückholen kann - weshalb nach jedem Restore ein erneuter Löschlauf gehört.
• Anonymisierung ist das dritte legitime Ergebnis bei Fristende. Werden Daten wirklich und unumkehrbar von Identifikatoren befreit, sind sie keine personenbezogenen Daten mehr und fallen vollständig aus dem Anwendungsbereich - oft die praktische Antwort für Auswertungen, Trendberichte und historische Kennzahlen, die Sie nicht verlieren wollen. Achtung vor der Falle: Pseudonymisierung ist keine Anonymisierung. Existiert irgendwo ein Schlüssel, der den Datensatz wieder einer Person zuordnen kann, bleiben es personenbezogene Daten und sie bleiben im Löschkonzept.

Legal Hold und andere Ausnahmen

Das Löschkonzept ist der Normalfall. Der Legal Hold - im Deutschen auch als Beweissicherungsanordnung oder Aufbewahrungsanweisung bezeichnet - ist die Ausnahme, die ihn übersteuert.

Ein Hold entsteht, wenn ein Rechtsstreit oder eine behördliche Untersuchung beginnt oder wenn eines von beiden vernünftigerweise zu erwarten ist. Ab diesem Moment wird die planmäßige Löschung für die betroffenen Unterlagen ausgesetzt, bis die Rechtsabteilung den Hold förmlich aufhebt. Drei praktische Punkte entscheiden, ob das funktioniert:

• Er muss an beiden Enden dokumentiert sein. Wer ihn verhängt hat, wann, über welchen Umfang - und wann er aufgehoben wurde. Ein undatierter Hold lässt sich nicht verteidigen, und ein Hold, den niemand aufhebt, wird still zur unbefristeten Aufbewahrung.
• Automatische Löschläufe müssen ihn respektieren können. Der klassische Fehlerfall ist ein Hold auf der „offiziellen“ Kopie im Dokumentensystem, während ein nächtlicher Job in einer anderen Plattform dieselben Daten planmäßig löscht. Unter Hold zu löschen ist deutlich schlimmer als zu lange aufzubewahren.
• Er reicht bis in die Hardware. Ein Laptop, ein Telefon oder ein Laufwerk einer betroffenen Person darf nicht bereinigt, neu ausgegeben, weiterverkauft oder recycelt werden. Das heißt, der Asset-Datensatz braucht eine sichtbare Kennzeichnung, denn wer entscheidet, einen Stapel ausgemusterter Geräte an einen ITAD-Anbieter zu geben, weiß selten von dem Verfahren.

Holds sind nicht die einzige Ausnahme. Laufende vertragliche Pflichten, offene Versicherungsfälle und ungeklärte Streitigkeiten rechtfertigen ebenfalls, Daten über die normale Frist hinaus zu behalten - aber jede davon sollte als bewusste, datierte Ausnahme festgehalten werden statt als stillschweigende Entscheidung, die Daten einfach liegen zu lassen.

Aufbewahrung und DSGVO

Für personenbezogene Daten macht der Grundsatz der Speicherbegrenzung aus Artikel 5 DSGVO die Aufbewahrung von einer Frage der Ordnung zu einer Rechtspflicht: Personenbezogene Daten dürfen nicht länger als für ihren Zweck nötig aufbewahrt werden. Sein Geschwisterprinzip, die Datenminimierung, fragt, ob Sie das Feld überhaupt gebraucht haben. Zusammen wirken sie in beide Richtungen - die Richtlinie muss die Aufbewahrung begründen und zugleich gesetzliche Mindestfristen einhalten, die Sie zwingen, manche Unterlagen auch nach einem Löschantrag aufzubewahren. Im Löschkonzept werden diese beiden Anforderungen schriftlich in Einklang gebracht, bevor eine Aufsichtsbehörde oder ein Prüfer danach fragt.

Drei praktische Punkte, die allgemeine Darstellungen überspringen:

• Das Löschkonzept sollte aus dem Verzeichnis von Verarbeitungstätigkeiten abgeleitet sein. Artikel 30 DSGVO verlangt ohnehin, die Verarbeitungszwecke und, wenn möglich, die vorgesehenen Löschfristen aufzulisten. Widersprechen sich Verzeichnis und Löschkonzept, ist mindestens eines von beiden falsch - und eine Prüfung findet diese Naht.
• Ein Löschantrag schlägt keine gesetzliche Mindestfrist. Wo Sie rechtlich zur Aufbewahrung verpflichtet sind - Steuer, Handel, Arbeitsrecht, Geldwäsche -, bewahren Sie auf, teilen der antragstellenden Person den Grund mit und schränken die weitere Verarbeitung ein, statt zu löschen.
• Anonymisierung ist eine konforme Antwort. Unumkehrbar anonymisierte Daten verlassen den Anwendungsbereich der Verordnung, weshalb sie oft besser sind als ein Streit darüber, ob Auswertungsdaten weichen müssen.

Die unbequeme Fassung: Ein Löschkonzept, das technisch niemand durchsetzt, ist schlechter als gar keines, weil es in Ihren eigenen Worten eine Pflicht dokumentiert, die Sie nachweislich verfehlen.

Was Normen und Aufsichtsbehörden erwarten

Aufbewahrung nur als Datenschutzthema zu behandeln, greift zu kurz - Normen und Prüfstandards stellen dieselbe Frage aus einer anderen Richtung.

• ISO 27001:2022 verankert das Thema in zwei Controls: A.5.33 zum Schutz von Aufzeichnungen, das Aufbewahrungspläne und Schutz vor Verlust oder unbefugter Offenlegung erwartet, und A.8.10 zur Löschung von Informationen, sobald sie nicht mehr benötigt werden. Wie das in den weiteren Kontrollrahmen passt, zeigt ISO 27001 Assetmanagement.
• SOC 2 und vergleichbare Prüfungen verlangen den Nachweis, dass das Fristende tatsächlich etwas ausgelöst hat - Löschprotokolle, Job-Läufe, Vernichtungsnachweise - und nicht bloß ein Richtliniendokument mit einer Versionsnummer.
• GoBD. In Deutschland kommt die Verfahrensdokumentation dazu: Die Finanzverwaltung erwartet eine nachvollziehbare Beschreibung, wie steuerrelevante Unterlagen entstehen, gespeichert, unveränderbar aufbewahrt und am Ende der Frist behandelt werden. Ihr Löschkonzept und die Verfahrensdokumentation sollten dieselbe Geschichte erzählen.
• Außerhalb der EU. Wer Kundendaten in den USA verarbeitet, trifft auf eine Reihe einzelstaatlicher Datenschutzgesetze, die Aufbewahrung aus dem internen Dokument in die Öffentlichkeit ziehen: Kalifornien verlangt je Kategorie eine Frist oder die Kriterien dafür in den Datenschutzhinweisen, Minnesota erwartet eine Beschreibung der Aufbewahrungsrichtlinie mit Aktualisierungsdatum, und der Illinois BIPA verlangt für biometrische Daten einen öffentlich zugänglichen Aufbewahrungs- und Vernichtungsplan.

Der rote Faden: Aufbewahrung ist kein rein internes Dokument mehr. Wo eine Frist veröffentlicht ist, wird die veröffentlichte Frist zur Zusage - und eine unzutreffende Zusage ist ein eigenständiger Mangel, unabhängig davon, ob mit den Daten je etwas passiert ist.

Wer die Richtlinie besitzt und wie oft sie geprüft wird

„Das Business besitzt sie“ ist die Formel, an der Richtlinien sterben. Trennen Sie die Rollen ausdrücklich:

• Die Rechenschaftspflicht bleibt beim Verantwortlichen. Daten an einen SaaS-Anbieter zu geben, gibt die Pflicht nicht mit ab. Auftragsverarbeitungsverträge müssen daher passende Löschpflichten und einen Weg enthalten, die Daten beim Ausstieg zurückzubekommen oder vernichten zu lassen. Genau hier tut Shadow IT weh: Ein Tool, das niemand registriert hat, ist eine Aufbewahrungspflicht, die niemand erfüllt.
• Die fachlichen Eigentümer geben die Löschung frei. Typischerweise die Bereichsleitung für die jeweilige Kategorie, die vor dem Lauf bestätigt, dass die Daten wirklich nicht mehr gebraucht werden.
• Die IT oder das Plattform-Team führt aus. Sie betreiben die Löschung, die Postfachregel, die Protokollrotation und die Gerätebereinigung.
• Die Rechtsabteilung verhängt und hebt Holds auf und entscheidet die unklaren Fälle.
• Datenschutz oder Compliance hält das Konzept synchron mit dem Verzeichnis von Verarbeitungstätigkeiten, den Datenschutzhinweisen und neuen gesetzlichen Vorgaben.

Prüfen Sie jährlich als Grundregel und außerplanmäßig, sobald ein neues System, ein neuer Rechtsraum, eine Fusion oder eine Gesetzesänderung dazukommt. Setzen Sie das Prüfdatum sichtbar auf das Dokument - es ist das billigste Signal, dass die Richtlinie lebt. Eine saubere Rollentrennung an dieser Stelle ist im Übrigen angewandte Funktionstrennung: Wer die Daten loswerden will, sollte nicht die einzige Person sein, die bestätigt, dass sie weg sind.

Was es für ausgemusterte Geräte bedeutet

Der Teil, den die meisten Richtlinien zu vage lassen, ist die Hardware. Jeder Laptop, jedes Telefon und jeder Server, der aus dem Dienst geht, ist ein datenträgendes Gerät, und die Daten darauf fallen nicht plötzlich aus der Richtlinie, nur weil die Maschine im Schrank steht. Schlimmer noch: Eine Schublade voller ausgemusterter Technik ist Aufbewahrung ohne Konzept - niemand weiß, was auf diesen Laufwerken liegt, also kann niemand sagen, ob die Frist abgelaufen ist.

Eine Richtlinie mit Biss sagt, was am Ende der Nutzungsdauer passiert: welche Geräte vor Wiederverwendung oder Weiterverkauf bereinigt werden müssen, welche physisch vernichtet werden müssen, wie lange ein ausgemustertes Gerät warten darf, bis es bearbeitet wird, und welcher Nachweis bleibt. Eine maximale Liegezeit - etwa Entsorgung innerhalb von 90 Tagen nach Statuswechsel auf „ausgemustert“ - macht aus der Asset-Ausmusterung eine messbare Vorgabe statt einer Absicht. Teams, die ein Inventarverzeichnis führen, belegen diesen Teil mühelos, weil Gerät, Status und Entsorgungsnachweis bereits im selben Datensatz liegen.

Nachweisen, dass Daten und Geräte wirklich entsorgt wurden

Eine Löschung, die Sie nicht belegen können, ist für eine Prüfung eine Löschung, die nicht stattgefunden hat. Zwei Vokabulare zählen hier.

Das erste ist die Löschmethode. NIST SP 800-88 unterscheidet drei Stufen: Clear (Überschreiben mit normalen Lese- und Schreibbefehlen, geeignet für die Wiederverwendung innerhalb der Organisation), Purge (kryptografisches Löschen oder ein Sanitize-Befehl auf Firmware-Ebene, angemessen bevor ein Gerät Ihren Einflussbereich verlässt) und Destroy (schreddern, zerkleinern, verbrennen - die einzige Option für defekte Laufwerke, die sich nicht mehr ansprechen lassen). Für die physische Vernichtung ist in Deutschland zusätzlich die DIN 66399 mit ihren Schutzklassen und Sicherheitsstufen der übliche Bezugspunkt. Die Stufe zur Schutzbedürftigkeit und zum Zielort des Geräts passend zu wählen, ist die gesamte Entscheidung.

Das zweite ist der Entsorgungsnachweis. Ein belastbarer Nachweis nennt:

• Datum und Uhrzeit der Löschung oder Vernichtung;
• Seriennummer und Inventarnummer des Geräts;
• die eingesetzte Methode und das Werkzeug sowie die Norm, auf die sie sich bezieht;
• wer sie durchgeführt und wer sie bezeugt oder geprüft hat;
• den Ort, an dem es geschehen ist;
• und eine lückenlose Nachweiskette von der Abholung bis zur endgültigen Entsorgung.

Legen Sie ihn am Asset-Datensatz ab statt in einem Sammelordner, denn die Frage einer Prüfung lautet nie „zeigen Sie mir Ihre Zertifikate“ - sie lautet „zeigen Sie mir, was mit Seriennummer ABC123 passiert ist“. Ein Vernichtungszertifikat, das sich keinem konkreten Gerät zuordnen lässt, beweist wenig. Die Methoden selbst behandelt sichere Datenlöschung, den Entsorgungsweg ITAD.

Aufbewahrungsereignisse verstecken sich im Offboarding

An dem Tag, an dem jemand das Unternehmen verlässt, starten mehrere Aufbewahrungsuhren gleichzeitig. Laptop und Telefon müssen zurückkommen und bereinigt oder neu ausgegeben werden. Postfach und Dateien treten in ein definiertes Aufbewahrungsfenster ein, statt sofort gelöscht zu werden - oder, mindestens ebenso häufig, für immer behalten zu werden, „falls noch jemand etwas braucht“. SaaS-Konten müssen deaktiviert werden, ohne Datensätze verwaisen zu lassen, auf die andere weiterhin angewiesen sind. Und wenn die Person unter Legal Hold steht, darf nichts davon geschehen.

Die meisten Organisationen erledigen die Personal-Hälfte des Offboardings sauber und vergessen die Daten-Hälfte komplett. Die Lösung ist unspektakulär: eine Offboarding-Checkliste, die am Inventarverzeichnis hängt, sodass Geräterückgabe, Kontodeaktivierung und die Entscheidung über das Postfach ein Prozess mit einem Verantwortlichen sind statt drei Teams, von denen jedes annimmt, die anderen hätten es erledigt. Unser Leitfaden zu Offboarding und Geräterückgabe geht die Hardware-Seite im Detail durch.

Checkliste für die Aufbewahrungsrichtlinie

Prüfen Sie die Richtlinie hiergegen, bevor Sie sie für fertig erklären:

• Jede Kategorie hat eine Aufbewahrungsfrist, ein Startereignis, eine Begründung, einen Verantwortlichen und eine Entsorgungsmethode.
• Backups, Exporte, Data Warehouses und SaaS-Kopien sind ausdrücklich abgedeckt, nicht nur das Produktivsystem.
• Für Legal Holds sind Anordnung und Aufhebung dokumentiert, und die automatischen Löschläufe können sie respektieren.
• Das Konzept passt zu dem, was Ihre Datenschutzhinweise nach außen sagen, einschließlich veröffentlichter Fristen.
• Papierakten und ausgemusterte Geräte sind im Geltungsbereich, mit einer maximalen Liegezeit bis zur Entsorgung.
• Kein Gerät verlässt das Haus ohne Entsorgungsnachweis mit Seriennummer.
• Die Löschung ist belegt, nicht angenommen - Protokolle, Job-Läufe oder Nachweise, die Sie auf Nachfrage vorlegen können.
• Das Dokument trägt ein Prüfdatum und eine benannte prüfende Person.

Häufige Fehler

• Alles für immer behalten. Speicher ist günstig, doch alte Daten sind reines Risiko - sie können abfließen, in einem Verfahren herausverlangt oder Gegenstand von Auskunftsanfragen werden, lange nachdem sie aufgehört haben, nützlich zu sein. Zu lange Aufbewahrung ist der mit Abstand häufigste Befund.
• Eine Richtlinie, die niemand umsetzt. Ein Konzept, das „nach Fristende löschen“ sagt, aber ohne benannten Verantwortlichen und ohne wiederkehrende Aufgabe, ist totes Papier - und zwar dokumentiertes totes Papier.
• Fristen ohne Startereignis. „Sechs Jahre“ ist keine Regel, solange nicht dabeisteht, sechs Jahre ab wann.
• Kopien vergessen. Exporte, Backups, Duplikate auf gemeinsamen Laufwerken, Auswertungsdatenbanken und das Laufwerk im alten Laptop einer ausgeschiedenen Person überdauern die „offizielle“ Kopie, wenn die Richtlinie sie nicht mit abdeckt.
• Holds, die nicht bis zur Hardware reichen. Die Rechtsabteilung friert das Postfach ein, die IT löscht und verkauft den Laptop in derselben Woche.
• Kein Entsorgungsnachweis. Wird verlangt zu belegen, dass eine Unterlage oder ein Gerät vernichtet wurde, ist „wir sind ziemlich sicher“ keine Antwort, die ein Prüfer akzeptiert.
• Eine veröffentlichte Frist, die Sie nicht einhalten. Sobald eine Aufbewahrungsfrist in Ihren Datenschutzhinweisen steht, ist ihre Verfehlung nicht nur ein operatives, sondern auch ein Transparenzproblem.

FAQ

Wie lange muss ein Unternehmen Daten aufbewahren? Eine einzelne Zahl gibt es nicht. Das Gesetz setzt die Untergrenze: In Deutschland schreiben HGB und AO für Handelsbücher, Inventare und Jahresabschlüsse zehn Jahre vor, für Buchungsbelege seit 2025 acht Jahre und für empfangene Handelsbriefe sechs Jahre. Das Datenschutzrecht setzt die Obergrenze: Personenbezogene Daten dürfen nicht länger aufbewahrt werden, als es für den Erhebungszweck nötig ist. Alles dazwischen ist eine dokumentierte geschäftliche Entscheidung, und das Löschkonzept ist der Ort, an dem sie festgehalten, begründet und einem Verantwortlichen zugeordnet wird. Prüfen Sie vor jeder Festlegung die Regeln Ihres eigenen Rechtsraums und Ihrer Branche.

Was ist ein Legal Hold, und hebt er die Aufbewahrungsrichtlinie auf? Ja. Ein Legal Hold (auch Beweissicherungsanordnung oder Aufbewahrungsanweisung genannt) setzt die planmäßige Löschung für Unterlagen aus, die für ein Verfahren, eine behördliche Untersuchung oder eine begründet zu erwartende Auseinandersetzung relevant sind. Er hat Vorrang vor dem Löschkonzept, bis die Rechtsabteilung ihn wieder aufhebt, und sowohl die Anordnung als auch die Aufhebung sollten datiert dokumentiert sein. Ein Hold reicht bis in die Hardware: Der Laptop einer betroffenen Person darf nicht bereinigt, weiterverkauft oder recycelt werden, deshalb braucht der Asset-Datensatz eine sichtbare Kennzeichnung.

Wer ist für die Datenaufbewahrungsrichtlinie verantwortlich? Die Rechenschaftspflicht liegt beim Verantwortlichen im Sinne der DSGVO - also bei der Organisation, die über Zwecke und Mittel der Verarbeitung entscheidet - auch dann, wenn ein SaaS-Anbieter als Auftragsverarbeiter die Daten physisch hält. Genau deshalb müssen Auftragsverarbeitungsverträge passende Löschpflichten enthalten. Im Tagesgeschäft hat jede Kategorie einen fachlichen Eigentümer (meist eine Bereichsleitung), der bestätigt, dass die Daten wirklich nicht mehr benötigt werden. Die IT oder das Plattform-Team führt die Löschung aus, die Rechtsabteilung verhängt und hebt Legal Holds auf, und Datenschutz oder Compliance hält das Löschkonzept mit dem Verzeichnis von Verarbeitungstätigkeiten in Einklang.

Was passiert mit Daten, wenn die Aufbewahrungsfrist endet? Es gibt drei legitime Ergebnisse: löschen, den Datenträger physisch vernichten oder die Daten so unumkehrbar anonymisieren, dass sie keine personenbezogenen Daten mehr sind. Anonymisierung ist häufig die praktische Antwort für Auswertungen und historische Kennzahlen, bei denen die Summe nützlich ist und die Identitäten nicht - aber Achtung: Pseudonymisierte Daten sind nicht anonymisiert und bleiben im Anwendungsbereich. Welchen Weg Sie auch wählen, eine kurze Prüfung vor der Löschung und ein Nachweis danach machen den Vorgang belastbar.

Wie oft sollte eine Aufbewahrungsrichtlinie überprüft werden? Jährlich ist die übliche Grundregel, doch der Kalender ist nicht der einzige Auslöser. Prüfen Sie außerplanmäßig, sobald sich etwas Wesentliches ändert: ein neues System oder SaaS-Tool, das Unterlagen hält, ein neuer Rechtsraum, eine Fusion oder Übernahme, eine Gesetzesänderung oder eine Datenkategorie, die Sie vorher nicht erhoben haben. Vermerken Sie das Prüfdatum auf dem Dokument selbst - es ist das billigste Signal dafür, dass die Richtlinie gelebt wird.

Was ist der Unterschied zwischen Aufbewahrungsrichtlinie und Löschkonzept? Die Richtlinie beschreibt die Regeln, den Geltungsbereich, die Zuständigkeiten und den Weg für Ausnahmen wie einen Legal Hold. Das Löschkonzept ist die Tabelle darunter - jede Kategorie von Unterlagen mit ihrer Frist, ihrem Startereignis, ihrer Begründung, ihrer Entsorgungsmethode und ihrem Verantwortlichen. In den meisten Organisationen ist das Löschkonzept eine Anlage zur Richtlinie, und es ist der Teil, mit dem tatsächlich gearbeitet wird. Eine Richtlinie ohne Löschkonzept ist eine Absichtserklärung; ein Löschkonzept ohne Richtlinie hat keine Autorität hinter sich.

Welche Risiken entstehen, wenn Daten zu lange aufbewahrt werden? Zu lange aufbewahrte Daten sind reines Risiko. Sie vergrößern die Schadenswirkung jedes Sicherheitsvorfalls, sie können in einem Verfahren herausverlangt werden, sie erweitern den Umfang jeder Auskunftsanfrage, die Sie beantworten müssen, und sie kosten Geld für Speicher und Backup. Dazu kommt der Compliance-Aspekt: Wenn Ihre Datenschutzhinweise eine Aufbewahrungsfrist nennen, macht eine längere Speicherung aus einem operativen Versäumnis eine fehlerhafte Information der Betroffenen.

Was ist der Unterschied zwischen Datenaufbewahrungsrichtlinie und Backup-Richtlinie? Eine Backup-Richtlinie hält Kopien, damit Daten einen Vorfall überleben; eine Aufbewahrungsrichtlinie regelt, wie lange Daten überhaupt existieren dürfen. Die beiden kollidieren ständig - eine Aufbewahrungsrichtlinie, die „nach Fristende löschen“ sagt, ist nicht erfüllt, wenn dieselben Unterlagen unbegrenzt in Backups weiterleben. Reife Richtlinien legen explizit fest, wie und wann auch Backup-Kopien auslaufen.

Legt die DSGVO konkrete Datenaufbewahrungsfristen fest? Nein. Der Grundsatz der Speicherbegrenzung nach Artikel 5 DSGVO sagt, personenbezogene Daten dürfen nicht länger als für den Erhebungszweck nötig aufbewahrt werden, aber er schreibt keine Fristen vor. Organisationen setzen eigene Fristen, begründet durch den Zweck oder durch andere Gesetze - Steuer-, Handels-, Arbeits- und Gesundheitsrecht schreiben oft Mindestfristen vor. In der Richtlinie werden diese Begründungen festgehalten und konsistent gemacht.

Gelten Aufbewahrungsrichtlinien für physische Geräte? Indirekt ja. Die Richtlinie regelt die Daten, doch Daten liegen auf Laptops, Telefonen und Laufwerken - die Ausmusterung eines Geräts wird so zu einem Aufbewahrungsereignis. Ein Gerät darf nicht weiterverkauft, recycelt oder entsorgt werden, bevor die Daten darauf gemäß Richtlinie behandelt wurden - meist bedeutet das sichere Löschung oder Vernichtung, samt Protokoll darüber, wer es wann getan hat.

Das Fazit

Eine Datenaufbewahrungsrichtlinie ist das Dokument, das sagt, wie lange jede Art von Unterlagen existieren darf, was die Frist startet, wer zuständig ist und was am Ende passiert - löschen, vernichten oder anonymisieren. Der Fließtext setzt die Regeln; das Löschkonzept darunter macht die Arbeit. Fünf Dinge richtig zu machen genügt, der Rest folgt: ein Startereignis neben jeder Frist, ein Verantwortlicher für jede Kategorie, Backups und SaaS-Kopien im Geltungsbereich, ein Legal-Hold-Prozess, der einen Löschlauf tatsächlich stoppen kann, und ein Entsorgungsnachweis, der an einer Seriennummer hängt statt an einer hoffnungsvollen Erinnerung. Das Gesetz setzt Ihre Untergrenzen, das Datenschutzrecht Ihre Obergrenze für personenbezogene Daten, und alles dazwischen ist eine Entscheidung, die Sie in einem Satz erklären können sollten.

Tools, die das erleichtern

AMPthilly gibt der Hardware-Hälfte einer Aufbewahrungsrichtlinie einen Ort. Jeder Laptop, jedes Telefon und jedes Laufwerk bekommt einen Datensatz mit Seriennummer, Besitzer, Standort und Status - in Nutzung, im Lager, in Reparatur oder ausgemustert - sodass Sie genau sehen, welche datenträgenden Geräte ihr Ausmusterungsdatum überschritten haben und noch im Schrank stehen. Hängen Sie das Löschprotokoll oder das Vernichtungszertifikat direkt an das Asset, und die Audit-Historie führt je Gerät eine Spur über jede Übertragung, jeden Statuswechsel und jedes hinzugefügte Dokument - so wird der Nachweis zu einer Seriennummer eine Suche statt einer Ausgrabung. Drucken Sie für jeden Gegenstand ein QR-Etikett, und jede berechtigte Person öffnet den Datensatz im Handy-Browser - ohne App-Installation. Kostenlos starten - 3 Nutzer und 25 Assets, keine Kreditkarte nötig - oder sprechen Sie mit uns über einen größeren Rollout.

Verwandte Begriffe

• Asset-Management-Richtlinie - die übergeordnete Richtlinie für die Geräte, auf denen die Daten liegen
• Nutzungsrichtlinie - die Regeln für die tägliche Nutzung von Geräten und Daten durch Mitarbeitende
• ITAD - der Entsorgungsprozess, der die Richtlinie am Ende der Hardware-Nutzungsdauer umsetzt
• Sichere Datenlöschung - die Methoden, die eine Löschung dauerhaft machen
• Datenträgendes Gerät - jedes Asset, das Daten speichert und unter die Richtlinie fällt
• Vernichtungszertifikat - der Nachweis, dass die Daten eines Geräts wirklich vernichtet wurden
• Lückenlose Nachweiskette - die ununterbrochene Übergabekette hinter diesem Nachweis
• Informationswerte-Verzeichnis - die Quelle der Kategorien in Ihrem Löschkonzept
• Audit-Trail - die Historie je Datensatz, die belegt, dass die Richtlinie eingehalten wurde
• Asset-Ausmusterung - der Prozess am Lebensende, den eine Aufbewahrungsfrist auslöst