Wie lange darf man personenbezogene Daten speichern?

Wie lange dürfen personenbezogene Daten gespeichert werden? Ein Überblick über die rechtlichen Vorgaben

Die Frage nach der zulässigen Speicherdauer personenbezogener Daten ist komplex und lässt sich nicht pauschal beantworten. Sie hängt maßgeblich vom konkreten Verwendungszweck der Daten ab und unterliegt den strengen Vorgaben der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG). Ein zentraler Grundsatz lautet: Daten dürfen nur so lange gespeichert werden, wie es für den ursprünglichen Zweck ihrer Erhebung notwendig ist.

Sobald dieser Zweck erreicht ist, besteht eine unverzügliche Lösch- oder Anonymisierungspflicht. Eine unnötige oder übermäßige Speicherung von personenbezogenen Daten ist nicht nur datenschutzrechtlich bedenklich, sondern auch strafbar. Der Grundsatz der Datenminimierung, also die Erhebung und Verarbeitung nur der unbedingt notwendigen Daten, ist dabei essentiell.

Welche Faktoren beeinflussen die Speicherdauer?

Die Speicherdauer wird durch mehrere Faktoren bestimmt:

• Der Verwendungszweck: Der wichtigste Faktor ist der Grund, warum die Daten erhoben wurden. Bei einem Kaufvertrag sind die Daten beispielsweise solange notwendig, bis alle vertraglichen Pflichten erfüllt sind, inklusive der Gewährleistungsfrist und der gesetzlichen Aufbewahrungsfristen für Buchhaltungsunterlagen. Für Bewerbungsunterlagen gelten andere Fristen. Hier ist nach Ablehnung der Bewerbung eine schnelle Löschung vorgesehen, es sei denn, eine Einwilligung zur längeren Speicherung liegt vor.

• Gesetzliche Aufbewahrungsfristen: Viele Branchen unterliegen gesetzlichen Aufbewahrungspflichten. So müssen beispielsweise Rechnungen gemäß § 147 AO für zehn Jahre aufbewahrt werden. Diese gesetzlichen Fristen überlagern die rein zweckgebundene Speicherdauer und setzen eine längere Aufbewahrungspflicht voraus.

• Vertragliche Vereinbarungen: Verträge können ebenfalls die Speicherdauer beeinflussen. So kann beispielsweise in einem Kundenvertrag eine bestimmte Speicherdauer für Kundendaten festgelegt werden. Diese Vereinbarung muss jedoch mit den gesetzlichen Bestimmungen im Einklang stehen.

• Einwilligungen: Eine Einwilligung der betroffenen Person kann eine längere Speicherdauer rechtfertigen. Diese Einwilligung muss jedoch freiwillig, informiert, spezifisch und jederzeit widerruflich sein.

Praktische Umsetzung und Verantwortlichkeiten:

Unternehmen und Organisationen müssen klare Richtlinien zur Datenlöschung und -archivierung entwickeln und implementieren. Diese Richtlinien sollten die verschiedenen Verwendungszwecke berücksichtigen und die entsprechenden Speicherdauern festlegen. Regelmäßige Prüfungen der gespeicherten Daten sind unerlässlich, um sicherzustellen, dass keine Daten länger als notwendig gespeichert werden. Die Verantwortung für die Einhaltung der Speicherdauern liegt beim jeweiligen Verantwortlichen für die Datenverarbeitung. Dieser muss geeignete technische und organisatorische Maßnahmen treffen, um die Löschung oder Anonymisierung der Daten sicherzustellen.

Fazit:

Die zulässige Speicherdauer personenbezogener Daten ist kein statisches Konzept, sondern hängt von einer Vielzahl von Faktoren ab. Eine gründliche Prüfung des Verwendungszwecks, die Berücksichtigung gesetzlicher Vorschriften und die Umsetzung eines effektiven Datenmanagement-Systems sind unabdingbar für die Einhaltung der DSGVO und den Schutz der Privatsphäre. Im Zweifel sollte man sich rechtlich beraten lassen, um die korrekte Speicherdauer zu gewährleisten und potentielle Risiken zu vermeiden.