Grundsatz der Speicherbegrenzung: Warum „wir behalten alles zehn Jahre“ kein Löschkonzept ist

Ein langjähriger Kunde kündigt seinen Vertrag. Sein Kundenkonto liegt weiterhin im Warenwirtschaftssystem, Gesprächsnotizen stehen im CRM, Angebote und Reklamationen liegen im E-Mail-Postfach, Rechnungen in der Buchhaltung, alte Tickets im Supportsystem – dazu Dateien auf dem Netzlaufwerk, in der Cloud und in Backups. Die naheliegende Frage: Was davon muss eigentlich gelöscht werden?

Eine Antwort, die in der Praxis erstaunlich häufig fällt, lautet: „Geschäftsunterlagen müssen sowieso zehn Jahre aufbewahrt werden – dann behalten wir einfach alles zehn Jahre.“ Das klingt praktisch, ist aber datenschutzrechtlich der falsche Ansatz. Genauso wenig reicht die Devise „Wir löschen nur, wenn sich jemand beschwert“. Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e) DSGVO verlangt etwas anderes: Personenbezogene Daten dürfen nicht deshalb aufbewahrt werden, weil Speicherplatz billig ist oder weil sie irgendwann noch nützlich sein könnten. Entscheidend ist allein, wofür die konkrete Information noch benötigt wird.

Der Zweck ist die Uhr der Speicherung

Nach Art. 5 Abs. 1 lit. e) DSGVO dürfen personenbezogene Daten nur so lange in identifizierbarer Form gespeichert werden, wie dies für den Verarbeitungszweck erforderlich ist. Solange der Zweck besteht, kann die Speicherung gerechtfertigt sein. Fällt er weg, muss geprüft werden, ob die Daten gelöscht oder wirksam anonymisiert werden können – oder ob ein anderer zulässiger Zweck die weitere Speicherung trägt. Erwägungsgrund 39 der DSGVO macht die Richtung noch deutlicher: Die Speicherdauer soll auf das unbedingt erforderliche Mindestmaß beschränkt werden.

Damit hängt die Speicherbegrenzung eng mit zwei weiteren Grundsätzen zusammen: Die Zweckbindung (Art. 5 Abs. 1 lit. b) DSGVO) klärt, wofür Daten überhaupt verarbeitet werden dürfen, die Datenminimierung (Art. 5 Abs. 1 lit. c) DSGVO), welche und wie viele Daten dafür nötig sind. Die Speicherbegrenzung beantwortet schließlich, wie lange. Eine feste Zahl wie „sechs Monate“ oder „drei Jahre“ gibt die DSGVO dabei nur selten vor – meist muss ein Unternehmen selbst anhand des Zwecks bestimmen, wann Daten nicht mehr erforderlich sind.

Daraus folgt eine der wichtigsten Erkenntnisse für die Praxis: Innerhalb eines einzigen Geschäftsvorgangs können völlig unterschiedliche Aufbewahrungszeiten gelten. Eine Rechnung muss jahrelang aufbewahrt werden, eine dazugehörige Arbeitskopie oft nicht. Eine E-Mail kann ihren Zweck nach wenigen Tagen erfüllt haben, während der daraus entstandene Buchungsbeleg gesetzlich weiter aufzubewahren ist. Speicherbegrenzung funktioniert deshalb nicht über eine pauschale Löschfrist für einen ganzen Geschäftsvorgang, sondern über Datenarten, auslösende Ereignisse und klare Löschroutinen.

Eine aktive Pflicht – nicht nur ein Recht der Betroffenen

Ein verbreitetes Missverständnis besteht darin, Speicherbegrenzung mit dem Recht auf Löschung nach Art. 17 DSGVO gleichzusetzen. Beide Regelungen hängen zusammen, sind aber nicht identisch: Art. 17 DSGVO gibt der betroffenen Person unter bestimmten Voraussetzungen einen Löschanspruch. Art. 5 Abs. 1 lit. e) DSGVO verpflichtet den Verantwortlichen dagegen unabhängig davon, ob überhaupt jemand einen Antrag stellt. Ein Unternehmen darf also nicht nach dem Prinzip arbeiten „wir behalten erst mal alles, und wenn jemand die Löschung verlangt, kümmern wir uns darum“ – die Reihenfolge ist umgekehrt. Das Unternehmen muss von sich aus festlegen, wann Daten nicht mehr erforderlich sind, und deren Löschung organisieren. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verschärft das: Es reicht nicht, theoretisch zu erklären, dass Daten irgendwann gelöscht würden – die Einhaltung muss nachweisbar sein, etwa durch dokumentierte Löschregeln, klare Zuständigkeiten und Nachweise über durchgeführte Löschungen.

Nicht „möglichst schnell“, sondern „nicht länger als nötig“

Speicherbegrenzung bedeutet nicht, dass Daten sofort nach Abschluss eines Arbeitsschritts vernichtet werden müssen. Auch berechtigte betriebliche Interessen und gesetzliche Aufbewahrungspflichten können eine weitere Speicherung rechtfertigen – eine bezahlte Rechnung darf nicht gelöscht werden, nur weil der Kaufvertrag erfüllt ist, denn steuer- und handelsrechtliche Vorschriften verlangen oft eine längere Aufbewahrung. Entscheidend ist jedoch, dass für diese weitere Speicherung stets ein tragfähiger Grund und eine passende Rechtsgrundlage bestehen, nicht ein pauschales „sicherheitshalber“.

Ein Beispiel: Eine interne Bestellfreigabe hat ihren ursprünglichen Zweck erfüllt, sobald die Bestellung abgeschlossen ist. Trotzdem kann für einen überschaubaren Zeitraum ein berechtigtes Interesse bestehen, die Freigabe aufzubewahren, um später belegen zu können, dass die Bestellung nicht eigenmächtig ausgelöst wurde. Genau hier verläuft die Grenze zwischen einer geplanten Aufbewahrung und einem unkontrollierten Datenfriedhof.

Häufig fällt in diesem Zusammenhang das Argument: „Wir brauchen die Daten vielleicht noch für einen Rechtsstreit.“ Das ist nicht grundsätzlich falsch, aber auch kein Freibrief für jahrelange Vorratsspeicherung. Der EuGH hat mit Urteil vom 18. Juni 2026 (C‑484/24) in einem Verfahren zur gerichtlichen Verwertung von Mitarbeiterdaten klargestellt, dass die Ausnahmeregelung des Art. 17 Abs. 3 lit. e) DSGVO keine eigenständige Rechtsgrundlage für eine Verarbeitung ist – sie regelt lediglich eine Ausnahme vom Löschungsanspruch. Auch eine Aufbewahrung zu Rechtsverteidigungszwecken braucht also eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO, etwa ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f) DSGVO), und muss die übrigen Datenschutzgrundsätze einhalten. Eine pauschale Notiz im Löschkonzept wie „Aufbewahrung auf unbestimmte Zeit wegen möglicher Rechtsansprüche“ genügt nicht – ebenso wenig wie der Kurzschluss „es gibt drei Jahre Verjährung, also bewahren wir alles drei Jahre auf“.

Gesetzliche Fristen: Die pauschalen zehn Jahre gibt es nicht mehr

Gerade in Buchhaltung und Verwaltung ist Vorsicht bei älteren Faustregeln geboten, denn die gesetzlichen Fristen haben sich zum 1. Januar 2025 geändert. Seit dem Vierten Bürokratieentlastungsgesetz gilt für Buchungsbelege grundsätzlich eine Frist von acht statt zehn Jahren (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO). Handelsbücher und grundlegende Rechnungslegungsunterlagen bleiben weiterhin zehn Jahre aufzubewahren, für Handelsbriefe und vergleichbare Korrespondenz gelten in der Regel sechs Jahre. Für bestimmte regulierte Unternehmen, etwa Banken und Versicherungen, bestehen abweichende Sonderregelungen. Wichtig ist außerdem der Fristbeginn: Er startet grundsätzlich nicht am Belegdatum, sondern mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist. Wer diese Differenzierung im Löschkonzept nicht abbildet, landet schnell wieder bei der pauschalen und unzutreffenden „Alles-zehn-Jahre“-Regel.

Löschen heißt mehr, als den Namen zu entfernen

Auch bei der eigentlichen Löschung lauern typische Fehler. Personenbezogene Daten sind nicht automatisch anonym, nur weil der Name entfernt wurde. Ein bekanntes Beispiel liefert das dänische Taxiunternehmen Taxa 4×35: Es löschte Kundennamen nach zwei Jahren, behielt aber Telefonnummern fünf Jahre lang. Über die Telefonnummer waren weiterhin mehr als 8,8 Millionen Fahrtdatensätze einzelnen Kunden zuordenbar – die dänische Aufsichtsbehörde wertete die vermeintliche Anonymisierung deshalb als unzureichend und beanstandete Verstöße gegen Speicherbegrenzung, Datenminimierung und Rechenschaftspflicht. Die Lehre daraus: Anonymisierung funktioniert nur, wenn die betroffene Person danach tatsächlich nicht mehr identifizierbar ist. Eine bloße Pseudonymisierung – etwa das Ersetzen der Kundennummer durch einen Code, während irgendwo eine Zuordnungstabelle existiert – reicht dafür nicht aus.

Auch technisch ist „gelöscht“ oft komplizierter, als es klingt. Ein Datensatz kann im Benutzerinterface verschwunden sein und dennoch im Papierkorb, im Archiv oder über eine Wiederherstellungsfunktion weiter existieren. Unternehmen müssen deshalb wissen, was die jeweilige Löschfunktion tatsächlich bewirkt – und auch Backups gehören ausdrücklich in ein Löschkonzept: mit festgelegtem Rotationszyklus, eingeschränktem Zugriff und klaren Regeln dafür, was bei einer Wiederherstellung mit bereits gelöschten Daten geschieht.

Wie teuer eine vernachlässigte technische Löschbarkeit werden kann, zeigt der Fall Deutsche Wohnen: Das Landgericht Berlin I verhängte am 9. Juni 2026 ein Bußgeld von 900.000 Euro, weil notwendige Änderungen an den IT-Systemen nicht rechtzeitig umgesetzt worden waren, um Daten ehemaliger Mieter fristgerecht löschen zu können – betroffen waren unter anderem Gehaltsnachweise, Kontoauszüge und Ausweisdokumente (das Urteil ist noch nicht rechtskräftig). Die praktische Lehre: Löschbarkeit ist eine Produkteigenschaft, die bereits bei der Einführung einer Software mitgedacht werden muss, nicht erst Jahre später.

Vom Prinzip zur Praxis: die Löschmatrix

Der Europäische Datenschutzausschuss hat bei seiner europaweiten Prüfaktion 2025 zum Recht auf Löschung genau dieses Muster wiederholt festgestellt: Viele Unternehmen übertragen einfach die längste für irgendeinen Vorgang einschlägige Frist auf alle Verarbeitungsvorgänge. Als gute Praxis empfiehlt der Ausschuss stattdessen eine Löschmatrix, in der Datenart, Zweck, auslösendes Ereignis, Rechtsgrundlage, Aufbewahrungsdauer, Löschzeitpunkt, Speicherort und Zuständigkeit miteinander verknüpft werden. Für kleine und mittlere Unternehmen ist das eine pragmatische Botschaft: Ein praxistaugliches Löschkonzept muss kein hundertseitiges Dokument sein – eine sauber aufgebaute Matrix leistet oft mehr.

Der Aufbau einer solchen Matrix folgt in der Praxis wenigen Schritten: Man zerlegt eine Verarbeitungstätigkeit – etwa „Bestellabwicklung“ – in ihre einzelnen Datenarten (Angebot, Vertrag, Rechnung, Korrespondenz, Arbeitskopie), notiert für jede Datenart den konkreten Zweck statt vager Formulierungen wie „kann noch nützlich sein“, bestimmt das Ereignis, mit dem dieser Zweck endet, und prüft anschließend, ob danach ein weiterer Grund für eine Aufbewahrung besteht – etwa eine konkrete gesetzliche Vorschrift statt des unscharfen Sammelbegriffs „gesetzliche Fristen“. Darauf aufbauend werden Dauer, tatsächlicher Löschzeitpunkt, Speicherort und ein verantwortlicher Mitarbeiter festgelegt, idealerweise mit einer automatisierten, regelmäßig kontrollierten Löschroutine statt manueller Einzelfallprüfung. Wichtig ist dabei, auch externe Auftragsverarbeiter nicht zu vergessen: Ein Cloud-Anbieter oder Newsletterdienst muss nach Art. 28 Abs. 3 lit. g) DSGVO Daten nach Vertragsende ebenfalls löschen oder zurückgeben.

Die zentrale Frage

Am Ende lässt sich der Grundsatz der Speicherbegrenzung auf eine einfache Frage zurückführen: Warum ist diese konkrete Information heute noch vorhanden? Gibt es darauf eine nachvollziehbare Antwort mit zulässigem Zweck, kann die weitere Speicherung gerechtfertigt sein. Lauten die Antworten dagegen „war schon immer so“, „Speicher kostet ja nichts“ oder „wir löschen grundsätzlich nichts“, besteht Handlungsbedarf. Wer Löschregeln von Anfang an in die betrieblichen Abläufe integriert, vermeidet nicht nur Bußgelder – er verhindert auch, dass sich über Jahre Datenbestände ansammeln, deren Herkunft und Berechtigung später niemand mehr nachvollziehen kann.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.