Wie lange müssen Personendaten aufbewahrt werden?

Wie lange müssen Personendaten aufbewahrt werden? 10 vs 6 Jahre

Die Frage wie lange müssen personendaten aufbewahrt werden beeinflusst die betriebliche Compliance erheblich und birgt hohe Risiken bei Nichtbeachtung. Ohne genaue Kenntnis drohen rechtliche Konsequenzen sowie empfindliche finanzielle Verluste durch Fehlentscheidungen. Informieren Sie sich über die genauen gesetzlichen Grundlagen, um teure Fehler im Umgang mit Daten zu vermeiden.

Wie lange müssen Personendaten aufbewahrt werden?

Für die Aufbewahrung von Personendaten gibt es keine allgemeine, einheitliche Frist.^[1] Im Datenschutzrecht (wie der DSGVO oder dem Schweizer DSG) gilt stattdessen der fundamentale Grundsatz der Speicherbegrenzung: Daten müssen gelöscht werden, sobald der Zweck für ihre Verarbeitung weggefallen ist. Wie lange Daten konkret aufbewahrt werden müssen oder dürfen, hängt stark von der Art der Daten und den jeweiligen gesetzlichen Pflichten ab.

Häufige Aufbewahrungsfristen im Überblick

Unternehmen und Arbeitgeber müssen sich im Rahmen ihrer Compliance an verschiedene Regelfristen halten. Hier sind die wichtigsten Vorgaben: 10 Jahre (Steuer- und Handelsrecht): Bücher, Aufzeichnungen, Jahresabschlüsse, Inventare, Lageberichte, Buchungsbelege, Rechnungen und steuerlich relevante Gehaltslisten.

6 Jahre (Handelsrecht): Empfangene Handels- und Geschäftsbriefe, Kopien abgesendeter Briefe sowie sonstige für die Besteuerung bedeutsame Unterlagen. 3 Jahre (Regelmäßige Verjährung und Arbeitsrecht): Typische aufbewahrungsfrist personalakte hgb ao nach dem Ende des Arbeitsverhältnisses, um etwaige Ansprüche wie Überstunden oder Gehalt im Rahmen der Verjährung abzuwehren.

3 bis 6 Monate (Bewerbungsunterlagen): Unterlagen abgelehnter Bewerber müssen meist nach maximal 6 Monaten gelöscht werden, da die Klagefrist nach dem Allgemeinen Gleichbehandlungsgesetz bei 2 Monaten liegt. Wenige Tage (Videoüberwachung): Aufnahmen von Sicherheitskameras im geschäftlichen oder öffentlichen Raum müssen meist nach 48 bis 72 Stunden überschrieben werden, es sei denn, ein konkreter Vorfall erfordert die Sicherung.

Wann müssen Daten sofort gelöscht werden?

Daten müssen unverzüglich gelöscht werden, wenn der ursprüngliche Zweck der Speicherung erreicht oder entfallen ist, wie etwa nach der vollständigen Abwicklung eines Vertrages und dem Ablauf aller Fristen. Dasselbe gilt, wenn eine betroffene Person ihre Einwilligung widerruft und keine andere Rechtsgrundlage wie eine gesetzliche Aufbewahrungspflicht greift. Auch wann müssen personenbezogene daten gelöscht werden ist somit klar geregelt, damit unrechtmäßig verarbeitete Daten umgehend entfernt werden.

Die genauen aufbewahrungsfristen personenbezogene daten dsgvo hängen stark von der Branche und den spezifischen gesetzlichen Vorgaben ab. Für sensible Bereiche wie das Bankenwesen gelten oft strengere Dokumentationspflichten, während im Medizinwesen Patientenakten meist mindestens zehn Jahre archiviert werden müssen.

Übersicht der gängigen Aufbewahrungsfristen nach Rechtsbereichen

Die Speicherdauer variiert stark je nach Dokumententyp und rechtlicher Grundlage. Hier ist ein direkter Vergleich der wichtigsten Fristen im geschäftlichen Alltag.

Steuer- und Handelsrecht (10 Jahre)

• Jahresabschlüsse, Inventare, Rechnungen, Buchungsbelege

• Sicherstellung der steuerlichen Nachvollziehbarkeit und Buchprüfung

Handelsbriefe (6 Jahre)

• Handels- und Geschäftsbriefe (empfangen und gesendet)

• Dokumentation geschäftlicher Korrespondenz

Personal- und Bewerberdaten (3 Monate bis 3 Jahre)

• Bewerbungsunterlagen (max. 6 Monate) und Personalakten (3 Jahre)

• Abwehr von arbeitsrechtlichen Ansprüchen und AGG-Klagen

Der Fall eines mittelständischen Unternehmens bei der Umsetzung von Löschfristen

Ein Handelsunternehmen aus München stand vor dem Problem, dass Kundendaten und Rechnungen über Jahre hinweg unstrukturiert auf verschiedenen Servern gespeichert wurden, ohne klare Prozesse für die Fristenüberwachung.

Der erste Versuch, einfach alle Daten nach drei Jahren pauschal zu löschen, führte fast zu einem Compliance-Verstoß, da steuerlich relevante Rechnungen im System waren, die zehn Jahre aufbewahrt werden müssen.

Nach interner Analyse und Beratung strukturierte das Team das CRM-System um: Steuerrechnungen wurden in ein revisionssicheres Archiv verschoben, während operative Kundendaten nach Wegfall des Zwecks automatisiert gesperrt und gelöscht wurden.

Das Ergebnis zeigte sich nach wenigen Monaten: Das Unternehmen reduzierte unnötige Datenbestände erheblich, minimierte datenschutzrechtliche Risiken und bestand die nächste interne Prüfung ohne Beanstandungen.