Wie lange dürfen personenbezogene Daten aufbewahrt werden?

Eine personenbezogene Daten Aufbewahrungsfrist beginnt nicht mit einer Lieblingszahl. Die DSGVO setzt keine allgemeinen Jahre fest. Der Betrieb verbindet Zweck, andere gesetzliche Pflichten, Anspruchsrisiken und praktische Löschung zu einer begründeten Regel pro Datensatz. Eine Einheitsfrist für alles ist keine belastbare Lösung.

Kurzantwort: Eine personenbezogene Daten Aufbewahrungsfrist stammt nicht als feste Zahl aus DSGVO. Der Verantwortliche bestimmt für jeden Datensatz Zweck, gesetzlichen oder betrieblichen Treiber, berechenbaren Startpunkt, Dauer und Endhandlung. Steuerrecht kann konkrete Mindestzeiten verlangen. Danach werden aktive Systeme, Dienstleister und Backups kontrolliert gelöscht, anonymisiert oder rechtmäßig gesperrt ^1,2.

Zuletzt aktualisiert: 26. August 2026

Für eine gewöhnliche private Organisation richtet sich die Zuständigkeit nach ihrem Sitz: Kontakt- und gegebenenfalls Meldebehörde ist die zuständige Landesdatenschutzaufsichtsbehörde; der offizielle Kontaktfinder der BfDI führt zur richtigen Stelle.

Mit dem Datensatz beginnen, nicht mit einer Lieblingszahl

Der Grundsatz der Speicherbegrenzung verlangt, personenbezogene Daten nicht länger identifizierbar zu halten, als es für die Zwecke erforderlich ist ^1,2. Daraus folgt keine Einheitsfrist. Ein Aufbewahrungsplan übersetzt jeden Zweck in einen Auslöser, eine Dauer, eine Begründung und eine überprüfbare Endhandlung.

Der Datensatz wird nicht nach der Abteilung benannt, die ihn gerade besitzt, denn „Marketingordner“ oder „HR-Daten“ sind zu breit, weil darin verschiedene Zwecke und Fristen liegen. Bewerbungsunterlagen, Lohnabrechnung und Zugangskontrolle benötigen getrennte Regeln.

Zuerst wird der Zweck eng beschrieben, anschließend sucht der Betrieb nach einer externen Mindestpflicht oder einer nachvollziehbaren Notwendigkeit; fehlt beides, wird nicht vorsorglich unbegrenzt gespeichert. Unsicherheit erhält eine Rechtsfrage und einen Termin, keine erfundene Zahl.

Die gewählte Dauer muss in Systemen ausführbar sein. Eine Regel „bis nicht mehr benötigt“ ist unbrauchbar, wenn niemand den Bedarf prüft. Auslöser und Endhandlung werden so formuliert, dass ein Systembericht oder eine verantwortliche Rolle sie erkennen kann.

Nationales Recht liefert die konkreten Fristen

Die DSGVO nennt keine allgemeine Zahl von Jahren. Konkrete Mindestfristen für Steuer-, Gesellschafts-, Arbeits-, Lohn- oder Branchenunterlagen kommen aus dem Recht des Mitgliedstaats, das für Organisation und Vorgang gilt. Eine Zahl aus einem Staat darf niemals ungeprüft auf einen Betrieb in einem anderen Staat übertragen werden.

Zahl und Bedingung gehören zusammen. Eine Mindestdauer sagt nicht, dass alle Daten derselben Person ebenso lange gespeichert werden dürfen. Rechnungsdaten können einem Nachweis dienen, während Marketingprofile oder Versanddetails früher ihren Zweck verlieren. Fehlt eine Primärquelle, erhält die Regel eine Rechtsfrage mit Termin statt einer erfundenen Frist.

Jede Zeile verlinkt die maßgebliche nationale Primärquelle und nennt den Tag der Prüfung. Das ist keine landesspezifische Behauptung in diesem gemeinsamen Artikel, sondern die Arbeitsanweisung, die konkrete Rechtslage am Sitz und für den Sachverhalt zu ermitteln.

Die Prüfung beginnt bei der konkreten Dokumentart. Für eine Rechnung wird nicht lediglich „Steuerrecht“ notiert, sondern die Vorschrift, die genau diese Unterlage erfasst, ihr räumlicher Anwendungsbereich und das Ereignis, ab dem die Frist läuft. Bei Beschäftigtendaten werden Lohnnachweis, Personalakte, Bewerbung und Zugangskontrolle getrennt, weil verschiedene Zwecke und Vorschriften gelten können.

Eine Regel erhält zwei Verantwortliche: Die fachliche Rolle bestätigt Anwendungsbereich und Ausnahme, die technische Rolle übersetzt Startpunkt und Endhandlung in Systeme. Ändert sich die Primärquelle, dokumentiert eine neue Regelversion, welche Bestände neu berechnet werden. Ein laufendes Prüf- oder Gerichtsverfahren wird als begrenzter Hold mit Umfang, Freigabe und Wiedervorlage geführt, nicht als still verlängerte Standardfrist.

Widersprechen sich Mindestpflicht und betrieblicher Wunsch, gewinnt nicht automatisch das spätere Datum. Die Organisation trennt den gesetzlich benötigten Kern von zusätzlichen Profilen, Anhängen oder Arbeitskopien. Nur der tatsächlich erforderliche Teil bleibt erhalten; für den Rest läuft die normale Löschung weiter. Dadurch wird eine nationale Aufbewahrungspflicht nicht zur pauschalen Erlaubnis, sämtliche Daten einer Person gemeinsam aufzubewahren.

Die gewöhnliche britische Entscheidungslogik ist materiell gleichwertig: Auch sie verlangt Zweckbindung, eine begründete Dauer und eine wirksame Endhandlung. Unterschiedlich sind die unterstützenden nationalen Aufbewahrungsfristen, die nie grenzüberschreitend übernommen werden dürfen.

Den Plan als Betriebswerkzeug bauen

Ein brauchbarer Plan verbindet Recht, Systeme und Verantwortliche. Er ist kein langer Fließtext, sondern eine Tabelle, aus der IT und Fachbereiche einen Löschlauf oder eine Prüfung auslösen können.

Für jeden Datensatz werden zuerst Kategorie und Zweck bestimmt und der Treiber geprüft ². Danach folgen berechenbarer Auslöser, dokumentierte Dauer und kontrollierte Ausnahmen sowie die Endhandlung. Die Endhandlung wird in allen tatsächlichen Kopien ausgeführt und das Ergebnis geprüft.

Der Plan unterscheidet Mindestaufbewahrung und Höchstdauer: Ein Gesetz kann eine konkrete Mindestdauer verlangen, während die DSGVO zugleich untersagt, Daten danach ohne weiteren Zweck identifizierbar fortzuführen. Beide Seiten gehören in dieselbe Regel.

Systeme erhalten maschinenlesbare Felder, wo dies verhältnismäßig ist. Vertragsende, Steuerjahresende oder letzte Aktivität werden als Ereignis gespeichert. Fehlt ein Datum, landet der Datensatz in einer Fehlerliste statt außerhalb jeder Löschung.

Papierakten und lokale Exporte gehören dazu, weil eine zentrale Datenbank korrekt löschen kann, während heruntergeladene Tabellen in persönlichen Ordnern weiterleben. Der Plan nennt erlaubte Exportorte, Aufbewahrung und Bereinigung.

Dienstleisterverträge legen Rückgabe, Löschung und Bestätigung fest. Der Verantwortliche prüft, ob Unterauftragsverarbeiter und Backups in den Prozess einbezogen werden. „Beim Anbieter gelöscht“ ist erst belegt, wenn Umfang und Verfahren verstanden sind.

Jede Zeile erhält einen fachlichen und einen technischen Eigentümer. Die fachliche Rolle bestätigt Zweck, Treiber und Ausnahmen; die technische Rolle zeigt, wo Daten liegen und wie die Endhandlung ausgeführt wird. Ein gemeinsamer Prüftermin verhindert, dass Recht und System unabhängig voneinander driften.

Versionen bleiben sichtbar. Wird eine Frist geändert, nennt die neue Fassung Grund, Freigabe, betroffene Datensätze und Übergangsregel. Der Betrieb entscheidet ausdrücklich, ob vorhandene Löschdaten neu berechnet werden, statt eine Tabellenänderung ohne Wirkung im System zu hinterlassen.

Ein Kundenverhältnis als Beispiel trennen

Ein Kunde kauft einmalig Ware, und der Betrieb hat Kontaktdaten für Lieferung, Supportkommunikation, Rechnungsdaten, eine mögliche Newsletter-Einwilligung sowie technische Sicherheitslogs. Diese Daten gehören nicht in eine einzige Kundenfrist.

Lieferdaten können nach Abschluss der Zustellung ihren unmittelbaren Zweck verlieren, während Rechnungsdaten wegen gesetzlicher Unterlagenpflichten weiter erforderlich sind. Supportnachrichten hängen von Garantie, offenen Fragen und Anspruchsrisiken ab. Newsletterdaten enden bei Widerruf oder dem dokumentierten Auslöser, wobei ein begrenzter Sperrvermerk erneuten unerwünschten Kontakt verhindert.

Die Regeln referenzieren denselben Kunden, bleiben aber getrennt ausführbar. Das CRM darf die Person nicht vollständig löschen, wenn eine Rechnung gesetzlich aufbewahrt werden muss; umgekehrt dürfen Marketing- und Profildaten nicht unter dem Etikett „Rechnung“ bis zum Ende dieser Frist fortbestehen.

Beim Ende des Kundenverhältnisses startet ein Ereignis mehrere Fristen. Ein Bericht zeigt, welche Daten sofort gelöscht, welche bis zu einem Datum gehalten und welche wegen eines offenen Falls geprüft werden. Die verantwortliche Person bestätigt Ausnahmen.

Ein praktischer Ablauf sieht so aus: Die Lieferadresse wird nach Abschluss von Lieferung und Rückgabefenster aus dem operativen Versandprofil entfernt, während die Rechnung getrennt nach der einschlägigen gesetzlichen Regel bleibt. Ein widerrufener Newsletterstatus beendet Kampagnen sofort; der minimale Sperrvermerk verhindert erneute Aufnahme. Ein offenes Supportticket behält nur die für Lösung und Nachweis notwendigen Inhalte und startet nach Abschluss seinen eigenen Auslöser.

Das Kundenkonto zeigt diese Unterschiede verständlich an. „Kunde geschlossen“ ist kein Löschdatum, sondern ein Ereignis, das mehrere Regeln anstößt. Fehler in einer Regel blockieren nicht automatisch alle anderen; sie erscheinen als begrenzte Ausnahme mit Eigentümer und Termin.

Löschung muss die echten Kopien erreichen

Löschung bedeutet, dass Daten im gewöhnlichen Betrieb nicht mehr verfügbar oder wiederverwendbar sind. Der Betrieb bildet aktive Systeme, Suchindizes, Exporte, Geräte, Papierakten, Dienstleister und Backups ab. Eine Schaltfläche in der Hauptanwendung beendet nicht automatisch alle Kopien ².

Bei unveränderlichen Backups kann eine sofortige Einzelentfernung technisch unmöglich sein. Dann dokumentiert der Betrieb Rotationszeit, Zugriffsbeschränkung, Zweck und Wiederherstellungsprozess. Ein sieben Tage altes Backup wird beispielsweise nur für Notfallwiederherstellung verwendet, nicht für gewöhnliche Suche oder Analyse. Nach einer Wiederherstellung läuft die seit der Sicherung geführte Lösch- und Widerspruchsliste erneut, bevor das System für normale Nutzer geöffnet wird.

Anonymisierung ist nur dann eine Endhandlung, wenn eine Person vernünftigerweise nicht mehr identifiziert werden kann; das Entfernen eines Namens genügt nicht, wenn Kundennummer, seltene Kombinationen oder getrennt gehaltene Schlüssel die Zuordnung weiterhin erlauben.

Ein Löschlauf erzeugt Belege: Regel, Zeitraum, betroffene Systeme, Anzahl, Ausnahmen, Fehler und Abschluss. Belege enthalten möglichst keine erneute Vollkopie der gelöschten personenbezogenen Daten. Ein Hash, Laufprotokoll oder aggregierte Zählung kann den Vorgang nachweisen, ohne die Löschung zu unterlaufen.

Fehler werden nicht still übersprungen. Scheitert eine Schnittstelle zum Dienstleister, bleibt der betroffene Bestand in einer Ausnahmequeue, der Zugriff wird soweit möglich eingeschränkt und ein erneuter Lauf terminiert. Abschlusszahlen trennen erfolgreich gelöschte, rechtmäßig gehaltene und technisch offene Datensätze.

Holds sind Ausnahmen mit Enddatum

Ein Legal Hold oder ein anderer begründeter Sperrgrund kann die normale Löschung für bestimmte Unterlagen aussetzen. Der schriftliche Hold nennt Rechtsgrund, betroffene Daten, relevante Personen und Zeiträume, Systeme, Eigentümer, Beginn, Zugriffskreis und nächsten Prüftermin. Er gilt nur so weit, wie der konkrete Beweis- oder Anspruchszweck es verlangt, und verändert andere Datensätze derselben Person nicht automatisch.

Pauschale Holds sind gefährlich, denn „möglicher Rechtsstreit“ darf nicht jahrelang sämtliche Kundenakten einfrieren; der Entscheider beschreibt Anspruch, betroffenen Zeitraum und notwendige Beweismittel. Nicht relevante Daten folgen weiter dem normalen Plan.

Während des Holds wird die Nutzung begrenzt, denn Aufbewahren für einen Rechtsanspruch erlaubt nicht, die Daten gleichzeitig für Marketing, Analyse oder neue Leistungsentscheidungen zu verwenden. Zugriffe werden kontrolliert und protokolliert.

Endet der Grund, wird der Hold aktiv aufgehoben. Das System berechnet nicht einfach eine neue volle Frist ab diesem Tag, sondern prüft, ob die ursprüngliche Aufbewahrungsdauer bereits abgelaufen ist. Dann folgt die Endhandlung ohne vermeidbare Verzögerung.

Den Auslöser wirklich berechenbar machen

Fristen scheitern häufig nicht an der Zahl, sondern am Startpunkt. Selbst eine korrekt ermittelte Dauer ist nutzlos, wenn das System nicht weiß, ab wann sie läuft. Der Plan beschreibt deshalb Ereignis, Datenquelle, Zeitzone, Verantwortlichen und Fehlerbehandlung.

Für gesetzlich bestimmte Unterlagen folgt der Startpunkt aus der jeweils geprüften nationalen Vorschrift. Ein Vertragsdatensatz kann dagegen mit Vertragsende, Abschluss eines Supports oder Beendigung eines Kontos arbeiten, sofern dieser Auslöser begründet ist.

Ein Ereignis kann fehlen oder sich ändern; wird ein Vertrag rückwirkend korrigiert, muss die Fristberechnung nachvollziehbar aktualisiert werden. Datensätze ohne gültigen Auslöser erscheinen in einer Ausnahmeübersicht und erhalten einen Besitzer.

Der Betrieb testet Grenzfälle: laufender Vertrag mit inaktivem Konto, wiedereröffneter Supportfall, zusammengeführte Kundenkonten, mehrere Steuerjahre in einer Datei und verspätete Steuererklärung. Diese Fälle zeigen, ob eine scheinbar einfache Regel wirklich ausführbar ist.

Ein Löschdatum wird aus Regelversion und Auslöser abgeleitet. Ändert sich die Regel, bleibt erkennbar, welche Datensätze neu berechnet wurden. Stille Massenänderungen ohne Protokoll können sowohl vorzeitige Löschung als auch unzulässige Verlängerung erzeugen.

Auslöser fallen in vier praktische Gruppen. Ein festes Periodenende eignet sich für Geschäftsjahr oder Steuerjahr; ein Einzelereignis kann Vertragsende oder Kontoschließung sein; ein Statuswechsel markiert Abschluss eines Falls; ein fortlaufendes Kriterium verlangt regelmäßige Prüfung, wenn kein eindeutiges Ereignis existiert. Der Plan benennt die Gruppe, damit IT keine unklare Formulierung erraten muss.

Mehrere Ereignisse können konkurrieren. Eine Rechnung betrifft Geschäftsjahr und Kundenkonto, doch der gesetzliche Startpunkt gewinnt für den Aufbewahrungszweck. Ein Supportfall kann nach Vertragsende offen bleiben und erhält daher einen eigenen Abschluss. Die Regel erklärt Vorrang und Beziehung, statt einfach das späteste Datum zu wählen.

Fehlende Auslöser werden wie Datenqualitätsfehler behandelt. Ein monatlicher Bericht zeigt Datensätze ohne Enddatum, ungewöhnlich weit entfernte Löschtermine und rückwirkend geänderte Ereignisse. Fachbereich und IT prüfen die Ursache, korrigieren Quelle oder Regel und dokumentieren die Neuberechnung.

Der Betrieb simuliert einen zukünftigen Tag. Welche Datensätze würden morgen ablaufen, welche Holds stoppen sie, welche Systeme erhalten den Auftrag und welche Bestätigung kehrt zurück? Diese Trockenübung findet logische Lücken, bevor ein echter Massenlauf entweder zu viel oder zu wenig löscht.

Auch Zeitzonen und Kalenderregeln werden festgelegt, wenn Tagesgrenzen relevant sind. Das ist selten der Kern der rechtlichen Dauer, verhindert aber widersprüchliche Ergebnisse zwischen Systemen. Eine einzige Berechnungsfunktion ist sicherer als mehrere lokale Tabellenformeln.

Betroffenenrechte löschen den Plan nicht

Ein Löschbegehren bedeutet nicht automatisch, dass sämtliche Daten sofort entfernt werden, denn der Betrieb prüft das konkrete Recht, Zweck, Rechtsgrundlage, gesetzliche Aufbewahrung und einschlägige Ausnahmen ¹. Die Antwort erklärt verständlich, was gelöscht, behalten oder eingeschränkt wird und warum.

Nach dem anwendbaren nationalen Recht benötigte Rechnungsdaten können trotz eines Begehrens aufbewahrt werden, während nicht mehr notwendige Marketingprofile gelöscht werden. Die Trennung im Aufbewahrungsplan ermöglicht genau diese differenzierte Antwort.

Ein Subject Access Request friert nicht pauschal alle Fristen ein. Relevante Daten für die laufende Antwort können vor routinemäßiger Löschung geschützt werden, doch der Umfang wird begrenzt und nach Abschluss überprüft. Ein unbefristeter Hold wäre keine saubere Rechtebearbeitung.

Berichtigung kann Fristdaten verändern; wird ein Vertragsende korrigiert, prüft der Eigentümer die abgeleitete Löschung. Einschränkung der Verarbeitung verändert Nutzung, nicht automatisch die zugrunde liegende gesetzliche Mindestaufbewahrung.

Alle Entscheidungen werden an die betroffenen Systeme und Dienstleister weitergegeben. Eine richtige juristische Antwort hilft wenig, wenn das CRM den Datensatz weiter für Kampagnen auswählt oder ein Export unverändert bestehen bleibt.

Der Rechteprozess prüft deshalb jede Datenkategorie gegen den Aufbewahrungsplan. Das Fallblatt enthält Antrag, Identitätsprüfung, betroffene Systeme, Regel, Ausnahme, Entscheidung und Endhandlung. Eine pauschale Antwort „gesetzlich aufzubewahren“ reicht nicht, wenn nur ein Teil der Daten tatsächlich dieser Pflicht dient.

Bei teilweiser Aufbewahrung wird Nutzung technisch eingeschränkt. Rechnungsdaten bleiben beispielsweise für den gesetzlichen Nachweis verfügbar, werden aber nicht mehr in Profilbildung, Servicepersonalisierung oder Marketinglisten verwendet. Rollen und Abfragen werden so angepasst, dass Zwecktrennung nicht nur im Antwortschreiben steht.

Die Person erhält eine verständliche Erklärung ohne interne Tabellencodes. Der Betrieb nennt Datenarten, Grund, Dauer oder Kriterium und verbleibende Rechte. Wird eine Ausnahme später aufgehoben, führt ein Wiedervorlagetermin zur versprochenen Löschung, ohne dass die Person erneut fragen muss.

Ein Beschwerde- oder Einspruchssignal öffnet die Begründung zur erneuten Prüfung, ändert aber nicht automatisch eine klare gesetzliche Pflicht. Die Akte bewahrt frühere Entscheidung und neue Bewertung, sodass der Betrieb Entwicklung und endgültiges Ergebnis nachvollziehbar erklären kann.

Den Plan durch echte Systeme prüfen

Die jährliche Prüfung beginnt nicht mit der Frage, ob die Tabelle vollständig aussieht, sondern das Team wählt echte Datensätze aus und verfolgt sie durch Systeme, Exporte, Dienstleister, Papierablage sowie Backup-Wiederherstellung. So werden Schattenkopien und nicht funktionierende Auslöser sichtbar.

Zusätzlich werden Quellen geprüft, wobei der Eigentümer bestätigt, dass zitierte Steuer- oder Branchenpflichten weiterhin gelten und die Bedingung korrekt abgebildet ist. Eine Änderung erhält neue Regelversion und kontrollierte Neuberechnung.

Kennzahlen dienen der Steuerung: Datensätze ohne Auslöser, überfällige Löschungen, offene Holds, Fehler im Dienstleisterlauf und wiederhergestellte Daten ohne erneuten Status. Eine niedrige Zahl ist nur gut, wenn die Messung alle relevanten Systeme erreicht.

Der Abschluss dokumentiert nicht nur „Review durchgeführt“. Er nennt Stichprobe, Befunde, Korrekturen und Wirksamkeit. So kann der Betrieb zeigen, dass Aufbewahrung tatsächlich betrieben und nicht nur in einer Richtlinie versprochen wird.

Die Stichprobe umfasst mindestens einen normalen Ablauf, einen Hold, einen Dienstleisterdatensatz, eine Backup-Wiederherstellung und einen Fehlerfall. Dadurch testet der Betrieb nicht nur den bequemsten Weg. Für jede Probe werden erwartetes und tatsächliches Ergebnis gegenübergestellt.

Abweichungen werden nach Ursache gruppiert, etwa fehlender Auslöser, falsche Regel, nicht angebundenes System, gescheiterte Löschung oder unklare Verantwortung; diese Kategorien zeigen, ob eine einzelne Korrektur genügt oder ein systematisches Problem mehrere Datensätze betrifft.

Ein Wirksamkeitstest folgt nach der Reparatur. Wurde eine Schnittstelle geändert, läuft dieselbe Probe erneut; wurde ein Eigentümerprozess korrigiert, muss der nächste Bericht fristgerecht bearbeitet werden. Ohne diesen zweiten Schritt bleibt eine geschlossene Maßnahme nur eine Behauptung.

Die Geschäftsführung erhält keine Liste technischer Einzelfehler, sondern steuerbare Risiken: überfällige Datenmengen, unklare gesetzliche Quellen, offene Holds, nicht kontrollierte Kopien und Maßnahmen mit Termin. Die Detailakte bleibt für Nachweis und Behebung erhalten.

Der nächste Review-Termin wird risikobasiert gesetzt. Ein stabiler Datensatz mit automatisiertem Lauf kann jährlich genügen; ein neues System oder wiederholt fehlerhafter Dienstleister braucht frühere Kontrolle. So folgt Prüfaufwand dem tatsächlichen Risiko statt einem einheitlichen Kalender.