DSGVO verständlich erklärt
Die Datenschutz-Grundverordnung legt nicht für jede Datenart eine feste Speicherfrist fest. Entscheidend sind Zweck, Rechtsgrundlage und die Frage, ob die Daten wirklich noch benötigt werden.
Merksatz: Nicht zuerst fragen „Wie lange darf ich speichern?“, sondern „Muss ich diese Daten überhaupt speichern?“
Die fünf Regeln, die man wirklich verstehen sollte
- Es braucht eine Rechtsgrundlage. Personenbezogene Daten dürfen nicht einfach vorsorglich gesammelt werden. Typische Grundlagen sind Einwilligung, Vertrag, gesetzliche Pflicht oder ein berechtigtes Interesse.
- Der Zweck muss feststehen. Daten, die für Zweck A erhoben wurden, dürfen nicht beliebig für Zweck B weiterverwendet werden.
- So wenig wie möglich. Erhoben werden soll nur, was für den konkreten Zweck tatsächlich benötigt wird.
- Nicht länger als nötig. Fällt der Zweck weg und gibt es keine andere Aufbewahrungspflicht, müssen personenbezogene Daten grundsätzlich gelöscht oder wirksam anonymisiert werden.
- Man muss es erklären können. Verantwortliche müssen nachvollziehbar dokumentieren können, warum Daten verarbeitet und wie lange sie gespeichert werden.
Rechtsgrundlagen: Art. 5 und Art. 6 DSGVO. DSGVO bei EUR-Lex
Die DSGVO kennt meistens keine pauschalen Fristen
Der Grundsatz der Speicherbegrenzung verlangt, personenbezogene Daten nur so lange identifizierbar zu speichern, wie es für den jeweiligen Zweck erforderlich ist. Eine pauschale Vorgabe wie „IP-Adressen dürfen sieben Tage gespeichert werden“ steht so nicht in der DSGVO.
Andere Gesetze können dagegen konkrete Aufbewahrungsfristen vorgeben. Dann darf bzw. muss der dafür erforderliche Teil der Daten länger aufbewahrt werden. Das bedeutet aber nicht, dass gleichzeitig alle zugehörigen Tracking-, Log- oder Profildaten behalten werden dürfen.
Typische Aufbewahrungsfristen in Deutschland
| Unterlage / Datenart | Typische Frist | Warum? |
|---|---|---|
| Handelsbücher, Inventare, Jahresabschlüsse | 10 Jahre | Handels- und Steuerrecht |
| Buchungsbelege | 8 Jahre | § 257 HGB / § 147 AO |
| Rechnungen | 8 Jahre | § 14b UStG |
| Handels- und Geschäftsbriefe | 6 Jahre | HGB / AO |
| Geldwäsche-relevante Aufzeichnungen | 5 Jahre | § 8 GwG; dort zusätzlich gesetzliche Höchstgrenzen |
| Webserver-Access-Logs | keine allgemeine feste DSGVO-Frist | Nur so lange, wie eine konkrete Rechtsgrundlage und ein erforderlicher Zweck tragen |
| Kontaktformular-Anfrage | keine pauschale Frist | Nach Zweckerfüllung löschen, sofern keine weitere Rechtsgrundlage oder Pflicht besteht |
| Tracking-/Analysekennungen | keine pauschale Frist | Eigene Rechtsgrundlage und Erforderlichkeit prüfen; nicht mit Buchhaltungsfristen vermischen |
Hinweis: Die Frist beginnt bei gesetzlichen Aufbewahrungspflichten häufig erst mit dem Schluss des jeweiligen Kalenderjahres. Sonderregeln und branchenspezifische Vorschriften können abweichen.
Was bedeutet das für Webseiten?
IP-Adresse
Sie wird technisch benötigt, damit ein Server antworten kann. Daraus folgt aber nicht automatisch, dass sie anschließend dauerhaft in einem Access-Log gespeichert werden muss.
Kontaktformular
Die Nachricht darf für die Bearbeitung verarbeitet werden. Nach Abschluss muss geprüft werden, ob noch ein konkreter Zweck oder eine gesetzliche Pflicht besteht.
Bestellung / Rechnung
Bestimmte Rechnungs- und Buchungsunterlagen müssen mehrere Jahre aufbewahrt werden. Das verlängert nicht automatisch die Speicherfrist für Webserver-Logs oder Marketingdaten.
Analytics
Statistik ist keine allgemeine gesetzliche Pflicht. Wenn Analyse eingesetzt wird, muss deren Rechtsgrundlage, Umfang und Speicherdauer separat bewertet werden.
Aufbewahrungspflicht heißt nicht: alles behalten
Ein häufiger Fehler ist, gesetzliche Fristen auf komplette Kundendatensätze zu übertragen. Wenn beispielsweise ein Buchungsbeleg acht Jahre aufbewahrt werden muss, folgt daraus nicht, dass auch Besucher-IP, Session-ID, Tracking-ID, Browser-Fingerprint oder Marketingprofil acht Jahre gespeichert werden dürfen.
Die richtige Frage lautet immer: Welche konkrete Information muss für welchen konkreten Zweck aufbewahrt werden?
Ein einfacher Lösch-Check
- Welche personenbezogenen Daten liegen vor?
- Für welchen konkreten Zweck wurden sie erhoben?
- Welche Rechtsgrundlage trägt die Verarbeitung?
- Besteht dieser Zweck heute noch?
- Gibt es eine gesetzliche Aufbewahrungspflicht für genau diese Daten oder Unterlagen?
- Kann ein Teil früher gelöscht, anonymisiert oder getrennt aufbewahrt werden?
- Ist eine automatische Löschfrist technisch eingerichtet?
Konkrete Beispiele
| Situation | Falscher Schluss | Besser |
|---|---|---|
| Rechnung muss 8 Jahre bleiben | „Dann behalte ich den ganzen Kundendatensatz 8 Jahre.“ | Nur die gesetzlich erforderlichen Rechnungs-/Buchungsdaten entsprechend aufbewahren; übrige Daten separat prüfen. |
| Server braucht die IP zum Antworten | „Dann darf ich die IP dauerhaft loggen.“ | Technische Verarbeitung während der Verbindung und anschließende Speicherung getrennt bewerten. |
| Kontaktformular wurde beantwortet | „Nachrichten lösche ich nie.“ | Nach Zweckerfüllung prüfen, ob noch Vertrag, Nachweisbedarf oder gesetzliche Pflicht besteht. |
| Analytics ist praktisch | „Statistik ist technisch notwendig.“ | Notwendigkeit und Rechtsgrundlage separat prüfen; datensparsame oder lokale Alternativen bevorzugen. |
Offizielle Quellen
- DSGVO – EUR-Lex – insbesondere Art. 5 und Art. 6
- § 257 HGB – Aufbewahrung von Unterlagen
- § 147 AO – Ordnungsvorschriften für die Aufbewahrung von Unterlagen
- § 14b UStG – Aufbewahrung von Rechnungen
- § 8 GwG – Aufzeichnungs- und Aufbewahrungspflicht
Einordnung: Diese Seite bietet eine verständliche technische und allgemeine Orientierung. Für konkrete Einzelfälle, insbesondere arbeits-, gesundheits-, finanz- oder branchenspezifische Daten, können zusätzliche Vorschriften gelten.