{"id":44054,"date":"2026-06-02T13:58:34","date_gmt":"2026-06-02T11:58:34","guid":{"rendered":"https:\/\/2b-advice.com\/?p=44054"},"modified":"2026-06-28T13:41:48","modified_gmt":"2026-06-28T11:41:48","slug":"loeschfristen-vs-aufbewahrungsfristen-der-haeufigste-compliance-irrtum","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/de\/2026\/06\/02\/loeschfristen-vs-aufbewahrungsfristen-der-haeufigste-compliance-irrtum\/","title":{"rendered":"L\u00f6schfristen vs. Aufbewahrungsfristen: Der h\u00e4ufigste Compliance-Irrtum"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Kaum ein Thema sorgt in Datenschutzprojekten f\u00fcr so viele Missverst\u00e4ndnisse wie das Verh\u00e4ltnis zwischen L\u00f6schfristen und Aufbewahrungsfristen. Beide Begriffe werden h\u00e4ufig synonym verwendet. Rechtlich beschreiben sie jedoch unterschiedliche Anforderungen. Wer sie gleichsetzt, riskiert nicht nur unn\u00f6tige Datenbest\u00e4nde, sondern auch Verst\u00f6\u00dfe gegen zentrale Grunds\u00e4tze der Datenschutz-Grundverordnung.\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

DSGVO orientiert sich an Zwecken, nicht an starren L\u00f6schfristen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Der Irrtum beginnt meist mit einer scheinbar einfachen Annahme: Wenn bestimmte Unterlagen sechs oder zehn Jahre aufbewahrt werden m\u00fcssen, d\u00fcrfen auch alle darin enthaltenen personenbezogenen Daten f\u00fcr diesen Zeitraum gespeichert und weiter genutzt werden. Genau diese Schlussfolgerung ist jedoch gef\u00e4hrlich. Eine gesetzliche Aufbewahrungspflicht kann die L\u00f6schung bestimmter Daten zwar hinausschieben. Sie rechtfertigt jedoch nicht automatisch jede weitere Nutzung dieser Daten.<\/p>

Die Datenschutz-Grundverordnung enth\u00e4lt nur wenige konkrete Speicherfristen. Ihr Ausgangspunkt ist ein anderer: Personenbezogene Daten d\u00fcrfen nur so lange verarbeitet werden, wie sie f\u00fcr einen festgelegten, eindeutigen und legitimen Zweck erforderlich sind.<\/p>

Dieser Grundsatz der Speicherbegrenzung ist in Art. 5 Abs. 1 lit. e DSGVO verankert. Er verpflichtet Verantwortliche, personenbezogene Daten grunds\u00e4tzlich zu l\u00f6schen, sobald sie f\u00fcr den jeweiligen Verarbeitungszweck nicht mehr erforderlich sind. Erg\u00e4nzend verpflichtet die Rechenschaftspflicht Unternehmen dazu, die Einhaltung dieses Prinzips nachweisen zu k\u00f6nnen.<\/p>

F\u00fcr die Praxis bedeutet das: Zun\u00e4chst ist entscheidend, f\u00fcr welchen Zweck die Daten verarbeitet werden und wann dieser Zweck endet.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Aufbewahrungsfristen verschieben L\u00f6schung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die gesetzlichen Aufbewahrungsfristen stammen in der Regel nicht aus der DSGVO, sondern aus anderen Rechtsgebieten. Von besonderer Relevanz sind handels- und steuerrechtliche Vorgaben, beispielsweise aus dem Handelsgesetzbuch oder der Abgabenordnung. So unterliegen beispielsweise Rechnungen, soweit sie als Buchungsbelege im Sinne des \u00a7 147 Abs. 1 Nr. 4 AO einzustufen sind, einer gesetzlichen Aufbewahrungspflicht von acht Jahren. Auch arbeits-, sozialversicherungs- oder produkthaftungsrechtliche Anforderungen k\u00f6nnen eine weitere Aufbewahrung bestimmter Informationen erforderlich machen.<\/p>

Diese Pflichten stehen einer sofortigen L\u00f6schung h\u00e4ufig entgegen. Das bedeutet jedoch nicht, dass die urspr\u00fcngliche Rechtfertigung der Verarbeitung fortbesteht. Vielmehr tritt ein neuer, engerer Zweck hinzu: die Aufbewahrung zur Erf\u00fcllung einer rechtlichen Verpflichtung.<\/p>

Dieser Unterschied ist entscheidend. Daten, die nur noch aufgrund gesetzlicher Aufbewahrungspflichten gespeichert werden, d\u00fcrfen grunds\u00e4tzlich nicht mehr f\u00fcr Vertrieb, Marketing, Kundenanalyse oder sonstige operative Zwecke genutzt werden. Die Aufbewahrungspflicht verschiebt lediglich den L\u00f6schzeitpunkt. Sie schafft jedoch keine allgemeine Erlaubnis zur weiteren Verarbeitung der Daten.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Der typische Fehler im Kundenmanagement<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Der Irrtum zeigt sich besonders deutlich im Umgang mit Kundendaten. Nach Beendigung eines Vertragsverh\u00e4ltnisses entf\u00e4llt in der Regel die Grundlage f\u00fcr viele Verarbeitungen. Die laufende Kundenbetreuung ist abgeschlossen. Der Vertrag wird nicht mehr erf\u00fcllt. Eine aktive Gesch\u00e4ftsbeziehung besteht nicht mehr.<\/p>

Gleichzeitig m\u00fcssen bestimmte Unterlagen, etwa Rechnungen oder Buchungsbelege, aufgrund gesetzlicher Vorgaben weiterhin aufbewahrt werden. In der Praxis bleibt dann h\u00e4ufig der vollst\u00e4ndige Kundendatensatz im CRM-System bestehen. So k\u00f6nnen Vertrieb, Marketing oder Serviceabteilungen weiterhin auf Informationen zugreifen, obwohl diese f\u00fcr ihre Zwecke nicht mehr erforderlich sind.<\/p>

Das ist datenschutzrechtlich problematisch. Erforderlich w\u00e4re eine Differenzierung: Welche Daten m\u00fcssen tats\u00e4chlich aufbewahrt werden? F\u00fcr welchen Zweck? Wer ben\u00f6tigt Zugriff? Wann ist die endg\u00fcltige L\u00f6schung vorzunehmen?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Aufbewahrung bedeutet nicht aktive Nutzung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Der zentrale Compliance-Irrtum liegt darin, Aufbewahrung mit fortgesetzter Nutzung gleichzusetzen. Tats\u00e4chlich handelt es sich dabei um zwei unterschiedliche Verarbeitungssituationen.<\/p>

Solange Daten f\u00fcr den urspr\u00fcnglichen Gesch\u00e4ftszweck ben\u00f6tigt werden, d\u00fcrfen sie in produktiven Systemen verarbeitet werden. Entf\u00e4llt diese Grundlage, d\u00fcrfen die Daten nur dann weiterhin gespeichert werden, wenn hierf\u00fcr eine eigenst\u00e4ndige Rechtsgrundlage besteht. Eine gesetzliche Aufbewahrungspflicht kann eine solche Grundlage sein. Sie beschr\u00e4nkt die Verarbeitung jedoch auf genau diesen Zweck.<\/p>

In der Praxis sollten solche Daten deshalb aus aktiven Gesch\u00e4ftsprozessen herausgel\u00f6st werden. Sie geh\u00f6ren nicht mehr in frei zug\u00e4ngliche operative Systeme, sondern in kontrollierte Archiv- oder Sperrbereiche. Zugriffe sollten auf Personen beschr\u00e4nkt werden, die die Daten zur Erf\u00fcllung gesetzlicher Pflichten tats\u00e4chlich ben\u00f6tigen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Archivierung ist keine L\u00f6schung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Oft wird Archivierung als pragmatische L\u00f6sung verstanden. Das ist korrekt, sofern ihre Funktion klar definiert ist. So kann sie ein geeignetes Mittel sein, um Daten nach Wegfall des urspr\u00fcnglichen Verarbeitungszwecks von produktiven Systemen zu trennen und ihre weitere Verarbeitung auf das notwendige Ma\u00df zu beschr\u00e4nken.<\/p>

Sie stellt jedoch keine L\u00f6schung dar.<\/p>

Auch archivierte Daten bleiben personenbezogene Daten. Sie unterliegen weiterhin den Anforderungen der DSGVO. Entscheidend ist daher nicht, ob Daten in einem Archivsystem liegen, sondern welchem Zweck ihre weitere Speicherung dient, wer Zugriff hat und wann sie endg\u00fcltig gel\u00f6scht werden.<\/p>

Eine datenschutzkonforme Archivierung muss deshalb mit klaren Zugriffsregelungen, definierten L\u00f6schterminen und einer nachvollziehbaren Dokumentation verbunden sein. Andernfalls besteht die Gefahr, dass das Archiv zu einem zweiten produktiven Datenbestand wird.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Zwischen Nutzung und L\u00f6schung: die Rolle von Archivierungs- und Sperrkonzepten<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Um die weitere Verarbeitung auf das notwendige Ma\u00df zu begrenzen, etablieren viele Unternehmen zwischen aktiver Nutzung und endg\u00fcltiger L\u00f6schung organisatorische und technische Ma\u00dfnahmen. Dazu geh\u00f6ren insbesondere Archivierungs- und Sperrkonzepte sowie restriktive Zugriffsregelungen.

Solche Ma\u00dfnahmen sind vor allem dann erforderlich, wenn personenbezogene Daten zwar nicht mehr f\u00fcr den urspr\u00fcnglichen Gesch\u00e4ftszweck ben\u00f6tigt werden, aufgrund gesetzlicher Verpflichtungen aber weiterhin gespeichert werden m\u00fcssen.

Dies kann beispielsweise durch Sperrkennzeichen, Rollen- und Rechtekonzepte, getrennte Archivbereiche, eingeschr\u00e4nkte Suchfunktionen oder automatisierte L\u00f6schregeln erfolgen. Entscheidend ist, dass die Beschr\u00e4nkung der Nutzung nicht nur dokumentiert, sondern auch technisch und organisatorisch wirksam umgesetzt wird.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Warum pauschale Fristentabellen nicht ausreichen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Viele Unternehmen versuchen, das Thema mithilfe von Tabellen mit gesetzlichen Aufbewahrungsfristen zu l\u00f6sen. Solche \u00dcbersichten sind zwar hilfreich, aber nicht ausreichend. Sie beantworten nur einen Teil der Frage.<\/p>

Ein wirksames L\u00f6schkonzept muss dar\u00fcber hinaus kl\u00e4ren, welche Datenkategorien betroffen sind, welche Verarbeitungszwecke bestehen, wann diese Zwecke enden, welche Aufbewahrungspflichten entgegenstehen und wie die L\u00f6schung praktisch umgesetzt wird.<\/p>

In Deutschland hat sich f\u00fcr die Entwicklung solcher L\u00f6schkonzepte die DIN 66398 als anerkannter Orientierungsrahmen etabliert. Sie unterst\u00fctzt Unternehmen dabei, Datenarten, L\u00f6schregeln, Regelfristen und Startzeitpunkte systematisch zu erfassen und nachvollziehbar zu dokumentieren.<\/p>

Entscheidend ist jedoch nicht die blo\u00dfe Existenz eines L\u00f6schkonzepts. Ma\u00dfgeblich ist, ob die definierten Regeln tats\u00e4chlich in den Gesch\u00e4ftsprozessen und IT-Systemen umgesetzt werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Auch im Personalbereich lauern Aufbewahrungs-Risiken<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Im Personalwesen zeigen sich \u00e4hnliche Fehler. So werden Bewerbungsunterlagen teilweise deutlich l\u00e4nger gespeichert als erforderlich. Auch nach dem Ausscheiden von Besch\u00e4ftigten bleiben Personalakten vollst\u00e4ndig in produktiven HR-Systemen verf\u00fcgbar. Dabei m\u00fcssen h\u00e4ufig nur bestimmte Dokumente weiter aufbewahrt werden, etwa steuer- oder sozialversicherungsrechtlich relevante Unterlagen.

Auch hier gilt: Nicht die gesamte Akte muss automatisch f\u00fcr denselben Zeitraum aufbewahrt werden. Unterschiedliche Dokumente k\u00f6nnen unterschiedlichen Zwecken, Rechtsgrundlagen und Fristen unterliegen. Ein pauschaler Umgang mit Personalunterlagen f\u00fchrt daher schnell zu einer \u00fcberm\u00e4\u00dfigen Speicherung.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Weniger Daten bedeuten weniger Risiko<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L\u00f6schfristen sind nicht nur ein formales Datenschutzthema. Sie haben unmittelbare Bedeutung f\u00fcr Informationssicherheit und Risikomanagement<\/a>.<\/p>

Jeder personenbezogene Datensatz, der ohne Erforderlichkeit gespeichert wird, erh\u00f6ht die Angriffsfl\u00e4che eines Unternehmens. Unn\u00f6tige Datenbest\u00e4nde erschweren die Bearbeitung von Auskunfts- und L\u00f6schersuchen, erh\u00f6hen den Aufwand bei Datenschutzvorf\u00e4llen und k\u00f6nnen die Folgen eines Cyberangriffs erheblich versch\u00e4rfen.<\/p>

Ein wirksames L\u00f6schkonzept ist deshalb mehr als eine Compliance-Pflicht. Es reduziert Risiken, verbessert die Datenqualit\u00e4t und schafft Transparenz \u00fcber die tats\u00e4chlich ben\u00f6tigten Informationen.<\/p>

Die Erfahrung aus Pr\u00fcfungen der Datenschutzaufsichtsbeh\u00f6rden zeigt, dass M\u00e4ngel bei L\u00f6schkonzepten h\u00e4ufig nicht auf fehlende Fristen zur\u00fcckzuf\u00fchren sind. Beanstandet wird vielmehr die fehlende Trennung zwischen aktiver Nutzung, gesetzlicher Aufbewahrung und endg\u00fcltiger L\u00f6schung.<\/p>

Gerade die praktische Umsetzung stellt viele Unternehmen vor Herausforderungen. Aufsichtsbeh\u00f6rden erwarten heute nicht nur dokumentierte L\u00f6schregeln, sondern auch den Nachweis, dass diese technisch und organisatorisch wirksam umgesetzt werden.<\/p>

Link-Tipp: L\u00f6schkonzept des BfDI mit L\u00f6schfristen und -prozessen zur Sicherstellung der Einhaltung der L\u00f6schverpflichtung<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Mit Ailance RoPA L\u00f6schpflichten verl\u00e4sslich umsetzen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die gr\u00f6\u00dfte Herausforderung bei L\u00f6schkonzepten ist selten die rechtliche Bewertung. Die eigentliche Herausforderung besteht darin, Fristen, Verarbeitungszwecke und L\u00f6schregeln \u00fcber hunderte Prozesse, Systeme und Datenkategorien hinweg konsistent zu verwalten.<\/p>

Ailance RoPA<\/a> unterst\u00fctzt Unternehmen dabei, diese Komplexit\u00e4t strukturiert und nachvollziehbar zu beherrschen. Die L\u00f6sung verbindet Verzeichnisse von Verarbeitungst\u00e4tigkeiten mit strukturierten Aufbewahrungs- und L\u00f6schregeln, unterst\u00fctzt die Erstellung von L\u00f6schkonzepten und schafft die Grundlage f\u00fcr eine automatisierte und nachvollziehbare Umsetzung von L\u00f6schpflichten.<\/p>

Damit wird Datenschutz-Compliance nicht nur dokumentiert, sondern aktiv gesteuert.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Die h\u00e4ufigsten Fragen zu L\u00f6schpflichten<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Was ist der Unterschied zwischen L\u00f6schfristen und Aufbewahrungsfristen?<\/h3>

L\u00f6schfristen bestimmen, wann personenbezogene Daten gel\u00f6scht werden m\u00fcssen, weil der urspr\u00fcngliche Zweck der Verarbeitung entfallen ist. Aufbewahrungsfristen verpflichten Unternehmen dagegen, bestimmte Unterlagen f\u00fcr einen gesetzlich definierten Zeitraum weiter aufzubewahren. Der wichtigste Unterschied: Eine Aufbewahrungspflicht verschiebt die endg\u00fcltige L\u00f6schung, erlaubt aber nicht automatisch die weitere aktive Nutzung der Daten.<\/p>

Warum d\u00fcrfen aufbewahrungspflichtige Daten nicht einfach weiter genutzt werden?<\/h3>

Wenn Daten nur noch aufgrund einer gesetzlichen Aufbewahrungspflicht gespeichert werden, \u00e4ndert sich der Zweck der Verarbeitung. Die Daten d\u00fcrfen dann grunds\u00e4tzlich nur noch f\u00fcr diesen engen Aufbewahrungszweck verarbeitet werden. Eine weitere Nutzung f\u00fcr Vertrieb, Marketing, Kundenanalyse oder operative Prozesse ist damit nicht automatisch erlaubt und kann gegen die DSGVO-Grunds\u00e4tze der Zweckbindung und Speicherbegrenzung versto\u00dfen.<\/p>

Wann m\u00fcssen personenbezogene Daten nach DSGVO gel\u00f6scht werden?<\/h3>

Personenbezogene Daten m\u00fcssen grunds\u00e4tzlich gel\u00f6scht werden, sobald sie f\u00fcr den jeweiligen Verarbeitungszweck nicht mehr erforderlich sind und keine gesetzliche Aufbewahrungspflicht oder andere Rechtsgrundlage entgegensteht. Entscheidend ist daher nicht nur eine pauschale Frist, sondern die Frage, wann der konkrete Zweck endet und ob eine weitere Speicherung rechtlich notwendig ist.<\/p>

Ist Archivierung dasselbe wie L\u00f6schung?<\/h3>

Nein. Archivierung ist keine L\u00f6schung. Archivierte Daten bleiben personenbezogene Daten und unterliegen weiterhin der DSGVO. Eine datenschutzkonforme Archivierung muss deshalb klar regeln, warum die Daten weiter gespeichert werden, wer Zugriff erh\u00e4lt, wie die Nutzung beschr\u00e4nkt wird und wann die endg\u00fcltige L\u00f6schung erfolgt.<\/p>

Warum reicht eine Tabelle mit Aufbewahrungsfristen f\u00fcr ein L\u00f6schkonzept nicht aus?<\/h3>

Eine Fristentabelle kann ein hilfreicher Ausgangspunkt sein, ersetzt aber kein wirksames L\u00f6schkonzept. Unternehmen m\u00fcssen zus\u00e4tzlich dokumentieren, welche Datenkategorien betroffen sind, welche Zwecke bestehen, wann diese Zwecke enden, welche Aufbewahrungspflichten gelten, wer Zugriff erh\u00e4lt und wie L\u00f6schung, Sperrung oder Archivierung technisch und organisatorisch umgesetzt werden.<\/p>

Welche Software hilft Unternehmen bei L\u00f6schfristen, Aufbewahrungsfristen und L\u00f6schkonzepten?<\/h3>

Unternehmen sollten eine L\u00f6sung nutzen, die Verarbeitungszwecke, Datenkategorien, Rechtsgrundlagen, Aufbewahrungsfristen, L\u00f6schregeln und Verantwortlichkeiten strukturiert miteinander verbindet. Ailance RoPA unterst\u00fctzt Unternehmen dabei, das Verzeichnis von Verarbeitungst\u00e4tigkeiten mit Aufbewahrungs- und L\u00f6schregeln zu verkn\u00fcpfen, L\u00f6schkonzepte nachvollziehbar zu dokumentieren und L\u00f6schpflichten konsistenter umzusetzen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t