Ihre Kundensupport-Plattform enthält drei Jahre alte abgeschlossene Tickets. Ihr CRM speichert Leads, mit denen Sie seit zwei Jahren keinen Kontakt hatten. Ihr HR-System enthält noch immer Leistungsbeurteilungen von Mitarbeitern, die 2021 das Unternehmen verlassen haben. Ihre Analysedatenbank speichert Ereignisprotokolle, die mit identifizierbaren Nutzer-IDs verknüpft sind, ohne definiertes Ablaufdatum. Keiner dieser Datensätze wurde rechtswidrig erhoben. Alle werden wahrscheinlich gerade rechtswidrig aufbewahrt.
Das ist das Aufbewahrungsproblem. Daten akkumulieren sich standardmäßig. Löschung erfordert eine Entscheidung, einen Zeitplan und ein System, das diesen tatsächlich durchsetzt. Artikel 5 Absatz 1 Buchstabe e DSGVO — das Prinzip der Speicherbegrenzung — macht diese Trägheit zu einem Compliance-Versagen. Frankreichs CNIL hat Free Mobile Anfang 2026 speziell wegen Speicherbegrenzungsfehlern mit einem Bußgeld von 27 Millionen Euro belegt. Eine polnische Bank wurde im selben Jahr dafür bestraft, Daten über das hinaus zu verarbeiten, was ihre erklärten Zwecke erforderten. Es handelte sich nicht um Datenpannenfälle. Es wurden keine Daten gestohlen. Die Organisationen haben personenbezogene Daten schlicht länger aufbewahrt, als sie eine rechtliche Grundlage dafür hatten.
Kurzfassung
- Artikel 5 Absatz 1 Buchstabe e DSGVO verlangt, dass personenbezogene Daten nicht länger aufbewahrt werden, als es für den Zweck ihrer Erhebung erforderlich ist. Dies ist eine aktive, durchsetzbare Pflicht — kein anzustrebendes Prinzip.
- Die DSGVO schreibt keine spezifischen Aufbewahrungsfristen vor. Organisationen müssen diese selbst festlegen, dokumentieren, gegen eine Rechtsgrundlage und einen erklärten Zweck rechtfertigen und durch Löschung oder Anonymisierung tatsächlich durchsetzen.
- Der Aufbewahrungsplan ist eines der ersten Dokumente, die Aufsichtsbehörden bei einer Inspektion anfordern. „Wir sind noch nicht dazu gekommen, es zu löschen" ist keine vertretbare Antwort.
- Aufbewahrungspflichten fließen auf Auftragsverarbeiter über. Ihre Anbieter müssen Daten löschen, wenn ihre vertragliche Frist abläuft — und Sie sind dafür verantwortlich, sicherzustellen, dass sie dies tun.
Was das Prinzip der Speicherbegrenzung tatsächlich verlangt
Artikel 5 Absatz 1 Buchstabe e DSGVO besagt, dass personenbezogene Daten „in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist." Dieser Satz enthält die gesamte Compliance-Pflicht — und seine Entschlüsselung offenbart die drei Fragen, die jede Aufbewahrungsentscheidung beantworten muss.
Erstens: Was ist der Zweck? Personenbezogene Daten dürfen nur so lange aufbewahrt werden, wie der Zweck, für den sie erhoben wurden, noch aktiv ist. Wenn dieser Zweck endet, endet auch die rechtliche Grundlage für die Aufbewahrung. Daten, die zur Erfüllung eines Vertrags erhoben wurden, können so lange aufbewahrt werden, wie der Vertrag läuft und bis zum Ablauf der geltenden Verjährungsfrist für Rechtsansprüche. Daten, die auf Grundlage einer Einwilligung für Marketingzwecke erhoben wurden, können bis zum Widerruf der Einwilligung aufbewahrt werden. Daten, die zur Erfüllung einer gesetzlichen Pflicht erhoben wurden — Steuerunterlagen, Buchführungsunterlagen — können für den Zeitraum aufbewahrt werden, den diese gesetzliche Pflicht vorschreibt, selbst wenn eine Einwilligung andernfalls abgelaufen wäre.
Zweitens: Ist die Aufbewahrung noch erforderlich? „Erforderlich" wird gegen den erklärten Zweck zum Zeitpunkt der Erhebung beurteilt — nicht gegen einen zukünftigen Verwendungszweck, den die Organisation sich vorstellen könnte. Verhaltensdaten aufzubewahren, weil sie für ein Modell nützlich sein könnten, dessen Entwicklung noch gar nicht beschlossen wurde, ist keine rechtliche Grundlage für die Aufbewahrung. Kaufhistorien von Kunden aufzubewahren, weil der Kunde irgendwann vielleicht erneut kauft, ist keine rechtliche Grundlage für unbegrenzte Aufbewahrung. Der Maßstab ist, ob die Daten aktiv für den angegebenen Zweck notwendig sind — nicht ob sie theoretisch einen Wert haben könnten.
Drittens: Liegen die Daten noch in einer Form vor, die eine Identifizierung ermöglicht? Hier kommt die Anonymisierung ins Spiel. Daten, die unwiderruflich anonymisiert wurden — also nicht mehr in der Lage sind, eine Person direkt oder indirekt zu identifizieren, ohne Möglichkeit der Reidentifizierung — fallen aus dem Anwendungsbereich der DSGVO heraus. Echte anonymisierte Daten können unbegrenzt aufbewahrt werden. Pseudonymisierte Daten, die mithilfe eines separat gespeicherten Schlüssels wieder einer Person zugeordnet werden können, bleiben personenbezogene Daten und unterliegen weiterhin Aufbewahrungsgrenzen. Der Maßstab für echte Anonymisierung ist hoch und muss dokumentiert werden — Organisationen, die behaupten, Daten seien anonymisiert, ohne robuste technische Maßnahmen zur Untermauerung dieser Behauptung, setzen sich dem Risiko von Durchsetzungsmaßnahmen aus.
Wie Aufbewahrung mit der Rechtsgrundlage zusammenhängt
Jede Aufbewahrungsfrist ist an eine Rechtsgrundlage geknüpft. Es genügt nicht, eine Rechtsgrundlage für die ursprüngliche Erhebung zu identifizieren — die Rechtsgrundlage muss auch die fortgesetzte Aufbewahrung rechtfertigen, sobald der unmittelbare Verarbeitungszweck erfüllt ist.
| Rechtsgrundlage | Auswirkung auf die Aufbewahrung |
|---|---|
| Einwilligung (Art. 6 Abs. 1 lit. a) | Aufbewahrung bis zum Widerruf; nach Widerruf sofortige Löschung erforderlich |
| Vertrag (Art. 6 Abs. 1 lit. b) | Aufbewahrung bis zur Vertragserfüllung plus geltende Verjährungsfrist |
| Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) | Aufbewahrung für den gesetzlich vorgeschriebenen Zeitraum, nicht länger |
| Berechtigte Interessen (Art. 6 Abs. 1 lit. f) | Aufbewahrung nur so lange, wie das Interesse aktiv und dokumentiert bleibt |
| Öffentliche Aufgabe (Art. 6 Abs. 1 lit. e) | Aufbewahrung gemäß sektorspezifischen Regeln; muss dokumentiert werden |
Ein häufiger Fehler: Organisationen erheben Daten auf Grundlage einer Einwilligung, die Einwilligung wird widerrufen — aber die Daten werden mit der Begründung aufbewahrt, dass ein „berechtigtes Interesse" die Weiteraufbewahrung rechtfertige. Das ist eine unzulässige nachträgliche Substitution der Rechtsgrundlage und ein anerkanntes Durchsetzungsmuster.
Aufbewahrungsfristen nach Datenkategorie: Praxisbeispiele
Die DSGVO schreibt keine universellen Fristen vor. Nachfolgend typische Fristen, die durch nationale Rechtsvorschriften, branchenspezifische Vorgaben oder etablierte Praxis gestützt werden:
| Datenkategorie | Typische Aufbewahrungsfrist | Grundlage |
|---|---|---|
| Buchführungsunterlagen und Rechnungen | 10 Jahre | § 147 AO (Deutschland); nationale steuerrechtliche Vorschriften |
| Arbeitsverträge und Gehaltsabrechnungen | 6–10 Jahre | Arbeitsrecht; Verjährungsfristen |
| Kundenkommunikation (aktive Verträge) | Laufzeit des Vertrags + 3–5 Jahre | Verjährungsrecht |
| Marketingeinwilligungen | Bis zum Widerruf | DSGVO Art. 7; ePrivacy |
| Website-Analysedaten (identifizierbar) | 13–26 Monate (je nach Tool) | DSGVO Art. 5 Abs. 1 lit. e; nationale Leitlinien |
| Bewerbungsunterlagen (abgelehnte Bewerber) | 6 Monate | AGG (Allgemeines Gleichbehandlungsgesetz) |
| Videosurveillance-Aufnahmen | 72 Stunden bis 30 Tage | Nationale DPA-Leitlinien |
| DSAR-Aufzeichnungen | 3–5 Jahre | Rechenschaftspflicht nach Art. 5 Abs. 2 |
| Einwilligungsprotokolle | Mindestens so lange wie die Einwilligungsdauer + 1–3 Jahre | Rechenschaftspflicht |
Diese Fristen sind Ausgangspunkte, keine absoluten Vorgaben. Jede Frist muss gegen den tatsächlichen Verarbeitungszweck und die anwendbare Rechtsgrundlage Ihrer Organisation gerechtfertigt werden.
Erstellung eines Aufbewahrungsplans
Der Aufbewahrungsplan ist die operative Umsetzung der Aufbewahrungscompliance. Er legt für jede Kategorie personenbezogener Daten, die die Organisation verarbeitet, die Aufbewahrungsfrist, die Grundlage für diese Frist und die bei Ablauf ergriffene Maßnahme fest. Aufsichtsbehörden behandeln ihn als primäres Rechenschaftsdokument und fordern ihn standardmäßig bei Inspektionen und Untersuchungen an.
Ein rechtskonformer Aufbewahrungsplan wird aus dem Verzeichnis der Verarbeitungstätigkeiten (VVT) der Organisation erstellt. Für jede im VVT dokumentierte Verarbeitungstätigkeit verzeichnet der Plan die betroffene Datenkategorie, den Zweck und die Rechtsgrundlage, die aus dieser Grundlage abgeleitete Aufbewahrungsfrist sowie den Lösch- oder Anonymisierungsprozess, der bei Fristablauf ausgelöst wird.
Der Plan ist ein lebendes Dokument — er muss aktualisiert werden, wenn sich Verarbeitungstätigkeiten, Zwecke, die Rechtsgrundlage oder nationale bzw. EU-weite gesetzliche Aufbewahrungspflichten ändern.
In Datenschutzhinweisen dokumentierte Aufbewahrungsfristen müssen auch gegenüber betroffenen Personen offengelegt werden. Datenschutzhinweise, die lediglich angeben, Daten würden „so lange wie nötig" aufbewahrt, ohne zu spezifizieren, was dies in der Praxis bedeutet, erfüllen nicht die Transparenzanforderungen der Artikel 13 und 14.
Technische Durchsetzung: Damit Löschung tatsächlich stattfindet
Ein Aufbewahrungsplan, der technisch nicht durchgesetzt wird, ist eine Haftung, kein Compliance-Asset. Er dokumentiert das Bewusstsein der Organisation für ihre Pflichten und liefert gleichzeitig Belege dafür, dass sie diese nicht erfüllt. Die Lücke zwischen einer dokumentierten Aufbewahrungsrichtlinie und der tatsächlichen Datenlöschung ist genau das, was Durchsetzungsuntersuchungen ausnutzen.
Technische Durchsetzungsmaßnahmen umfassen:
- Aufbewahrungskennzeichnung bei der Datenaufnahme: Systeme konfigurieren, die bei der Datenaufnahme automatisch Aufbewahrungsfristen und Löschauslöser zuweisen.
- Automatisierte Lösch- oder Anonymisierungs-Workflows: Bei Fristablauf wird die Löschung oder Anonymisierung automatisch ausgelöst, ohne manuelle Eingriffe zu erfordern.
- Ereignisgesteuerte Löschung: Bei Einwilligungswiderruf, Kontoschließung oder Vertragsende werden Daten sofort als zur Löschung markiert.
- Backup-Verwaltung: Aufbewahrungsfristen müssen auch für Backups und Archivdaten gelten — Daten, die im Primärsystem gelöscht wurden, aber in Backups weiterhin vorhanden sind, bleiben unter der DSGVO personenbezogene Daten.
- Jährliche Compliance-Audits: Jährliche systemübergreifende Überprüfung aller Datenbestände auf Einhaltung des Aufbewahrungsplans.
Drittanbieter-Auftragsverarbeiter und Aufbewahrungspflichten
Aufbewahrungspflichten enden nicht an der Unternehmensgrenze. Artikel 28 DSGVO verlangt, dass Auftragsverarbeitungsverträge (AVV) spezifische Aufbewahrungs- und Löschverpflichtungen für jeden Auftragsverarbeiter enthalten.
In der Praxis bedeutet dies:
- Jeder AVV muss die maximale Aufbewahrungsfrist für die vom Auftragsverarbeiter verarbeiteten Daten angeben.
- Auftragsverarbeiter müssen bei Vertragsende oder auf Anfrage Daten löschen oder zurückgeben.
- Verantwortliche müssen die Einhaltung durch Auftragsverarbeiter überwachen — es genügt nicht, sich auf vertragliche Zusicherungen zu verlassen.
- Unterauftragsverarbeiter unterliegen denselben Aufbewahrungsbedingungen wie der primäre Auftragsverarbeiter.
Ein häufiger und kostspieliger Fehler: SaaS-Anbieter, Marketingplattformen und Analysedienste, die Daten über die vertraglich vereinbarten Fristen hinaus aufbewahren, ohne dass der Verantwortliche aktiv überprüft, ob die vertraglich vereinbarten Löschungen tatsächlich stattfinden.
Häufige Aufbewahrungsfehler
Unbegrenzte Aufbewahrung ohne Rechtfertigung: Der häufigste Fehler. Daten werden „für alle Fälle" aufbewahrt, ohne dokumentierten Zweck und ohne Rechtsgrundlage für die Weiteraufbewahrung.
Inkonsistente Fristen zwischen Systemen: Die Aufbewahrungsfrist im Datenschutzhinweis stimmt nicht mit der tatsächlichen Systemkonfiguration überein — oder verschiedene Systeme halten dieselben Daten mit unterschiedlichen Fristen.
Backups außerhalb des Aufbewahrungsplans: Produktionssysteme löschen Daten planmäßig, aber Backup-Systeme behalten Kopien auf unbestimmte Zeit.
Aufbewahrung nach Einwilligungswiderruf: Daten werden weiterhin aufbewahrt, nachdem eine betroffene Person ihre Einwilligung widerrufen hat, mit der Begründung, dass ein anderer Zweck die Weiteraufbewahrung rechtfertigt — ohne dass dieser Zweck dokumentiert wurde.
Pseudonymisierung fälschlicherweise als Anonymisierung behandelt: Daten werden als anonymisiert bezeichnet und von Aufbewahrungsfristen ausgenommen, obwohl der Reidentifizierungsschlüssel noch vorhanden ist.
Häufig gestellte Fragen
Schreibt die DSGVO spezifische Aufbewahrungsfristen vor?
Nein. Die DSGVO schreibt keine universellen Fristen vor. Sie verlangt, dass Organisationen Fristen auf der Grundlage des Verarbeitungszwecks und der Rechtsgrundlage festlegen, diese dokumentieren und durchsetzen. Spezifische Fristen können sich aus nationalen Gesetzen ergeben — z. B. steuerrechtlichen oder arbeitsrechtlichen Anforderungen — und diese überschreiben in ihrem Anwendungsbereich das allgemeine DSGVO-Prinzip.
Können Daten unbegrenzt aufbewahrt werden, wenn sie anonymisiert werden?
Ja, sofern die Anonymisierung echte Anonymisierung ist — d. h. die Reidentifizierung ist mit vernünftigem Aufwand nicht möglich. Pseudonymisierte Daten, bei denen ein Reidentifizierungsschlüssel existiert, sind keine anonymisierten Daten und unterliegen weiterhin den Aufbewahrungsgrenzen. Die Anonymisierungsmethode muss dokumentiert und technisch verteidigungsfähig sein.
Was passiert, wenn eine betroffene Person Löschung verlangt, aber eine gesetzliche Aufbewahrungspflicht besteht?
Gesetzliche Aufbewahrungspflichten — z. B. steuerrechtliche oder handelsrechtliche Anforderungen — können das Recht auf Löschung nach Artikel 17 DSGVO überwiegen. Die Organisation muss jedoch nur die Daten aufbewahren, die für die gesetzliche Pflicht erforderlich sind, und den Löschantrag für alle anderen Daten entsprechend bearbeiten. Die Einschränkung muss im Datenschutzhinweis kommuniziert und im Einzelfall dokumentiert werden.
Wie oft sollte ein Aufbewahrungsplan überprüft werden?
Mindestens jährlich sowie bei jeder wesentlichen Änderung der Verarbeitungstätigkeiten, der Rechtsgrundlage, der Geschäftsabläufe oder der anwendbaren Rechtsvorschriften. Einige Aufsichtsbehörden empfehlen halbjährliche Überprüfungen für Organisationen mit umfangreichen oder komplexen Datenbeständen.
Ist die Aufbewahrung von Einwilligungsprotokollen selbst der Speicherbegrenzung unterworfen?
Ja. Einwilligungsprotokolle sind personenbezogene Daten und unterliegen der Speicherbegrenzung. Sie müssen jedoch lange genug aufbewahrt werden, um die Rechenschaftspflicht zu erfüllen — in der Praxis mindestens so lange wie die Einwilligungsdauer zuzüglich eines angemessenen Puffers für potenzielle Aufsichtsanfragen, typischerweise 1–3 Jahre nach Ablauf der Einwilligung.
