Löschfristen und Nachweis der Löschung
Elektronischer Speicherplatz verursacht heutzutage nahezu keine Kosten mehr. Daher geht die Unternehmenspraxis zumeist den Weg, jegliche Daten einfach aufzubewahren. Das erleichtert, zukünftig Datenanalysen durchzuführen und den unterschiedlichen gesetzlichen Aufbewahrungspflichten nachzukommen. Für viele Daten ist das auch kein Problem und datenschutzrechtlich zulässig.
Personenbezogene Daten
Problematisch wird die Aufbewahrung von Daten, wenn diese identifizierbaren Personen zugeordnet werden können. Das Datenschutzrecht sieht bezüglich personenbezogener Daten vor, diese nur für vorher festgelegte und rechtskonforme Zwecke zu verarbeiten. Zur Verarbeitung gehört hierbei auch das Speichern von Dateien und Aufbewahren von Unterlagen. Entfällt die Rechtsgrundlage für die Aufbewahrung oder sind personenbezogene Daten nicht mehr erforderlich, um den Zweck zu erfüllen, für den sie ursprünglich gespeichert wurden, so müssen sie gelöscht werden.
Persönlich sollte dies für jedermann nachvollziehbar sein. Warum sollte eine Organisation von mir Daten verarbeiten dürfen, ohne dass dafür noch ein legitimer Grund besteht?
Anonymisierung
Wichtig ist, dass nur personenbezogene Daten zwingend gelöscht werden müssen. Daten ohne Personenbezug oder anonymisierte Daten betrifft diese Löschpflicht nicht. Daten sind nicht automatisch anonym, wenn kein Name mehr damit verknüpft ist. Vielmehr darf kein Rückschluss auf die Person, die die Daten betreffen, mehr möglich sein. Ein Rückschluss kann sich oftmals aus dem Kontext mehrerer Einzelinformationen ergeben.
Aufbewahrungsfristen
Alle Daten – auch personenbezogene – dürfen aufbewahrt werden, wenn es hierfür wichtige Gründe gibt. Diese Gründe können sich aus dem Zweck der Datenverarbeitung selbst oder aber auch aus vertraglichen und gesetzlichen Grundlagen ergeben, siehe Art. 17 DSGVO. Aufgrund der Komplexität der gesetzlichen Löschfristen, ist die Erstellung eines Löschkonzepts ratsam. An diesem können sich Beschäftigte des Unternehmens orientieren, wann welche Daten zu löschen und welche Dokumente zu vernichten sind. Weiter unten im Beitrag finden Sie eine Auflistung verschiedener Aufbewahrungsfristen als Ankerpunkt. Zur Berechnung der Löschfrist können Sie sich einerseits an den steuerrechtlichen Vorgaben nach Art. 147 AO und andererseits nach der Methode zur Fristberechnung gem. § 199 BGB orientieren. Hiernach beginnt eine Frist erst mit Ablauf des letzten Tages des Kalenderjahres, in welchem der Beleg/Anspruch entschaden ist bzw. der Zweck erloschen ist. So beginnt zum Beispiel die Aufbewahrungsfrist für eine Personalakte nicht am Tag des Austritts, sondern am 1. Januar des Folgejahres.
Dokumentation der Löschung
Eine Löschung von Daten muss im Rahmen der Datenschutz-Rechenschaftspflicht dokumentiert werden. Grundsätzlich ist dem Verantwortlichen selbst überlassen, wie dies geschieht. Wenn eine Löschung nicht automatisch in einem System festgehalten wird, kann sie beispielsweise bei der jeweiligen Verarbeitungstätigkeit im Verzeichnis von Verarbeitungstätigkeiten dokumentiert werden.
Allgemeine Aufbewahrungsfristen
| Dokumententyp/Datenart | Löschfrist |
|---|---|
| Angebote | 6 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Anhang zum Jahresabschluss | 10 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Arbeitsanweisungen | 3 Jahre nach Außerkraftsetzung und Kalenderjahrende (einfache Verjährungsfrist nach §§ 195 ff. BGB); wenn zum Verständnis von Jahresabschlüssen erforderlich, dann 10 Jahre gem. § 257 HGB |
| Arbeitsschutzunterweisungen | Nachweis regelmäßiger Unterweisung drei Jahre gem. §§ 195 ff. BGB aufbewahren. |
| Arbeitssicherheit – Einträge im Verbandbuch | 5 Jahre nach § 24 Abs. 6 DGUV Vorschrift 1 |
| Arbeitsunfähigkeitsbescheinigungen | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Arbeitsverträge | 10 Jahre nach Austritt von Beschäftigten (bei möglichen Ansprüchen auf eine betriebliche Altersvorsorge, sollten Arbeitsverträge und Beendigungsnachweise bis zum Tod von Beschäftigten und derer Hinterbliebenen, die einen bis zum 30-jährigen Anspruch auf Bezüge nach § 18a BetrAVG haben können, aufbewahrt werden, § 4a BetrAVG), dies kann zu einer mind. 85 jährigen Aufbewahrungsfrist führen. |
| Arbeitszeiterfassung | grds. 2 Jahre nach § 16 Abs. 2 ArbZG sowie MiLoG, jedoch 8 Jahre, wenn Arbeitszeiten für Zuschlagsberechnung relevant oder zusammen mit Urlaub in einer Datenbank > Dokumentation Urlaub zum Nachweis von Rückstellungen in der Bilanz steuerrechtlich 8 Jahre relevant nach § 147 AO i.V.m. § 257 HGB |
| Bankbelege | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Bankbürgschaften nach Vertragsende | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Beitragsabrechnungen zu Sozialversicherungsträgern | 8 Jahre nach § 147 AO i.V.m. § 257 HGB. Aufzeichnungspflicht nach § 28f SGB IV in Verbindung mit der Prüfung nach § 28p SGB IV, die mindestens alle vier Jahre stattfindet. |
| Belege, soweit buchungsrelevant | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Besucherdaten | Je nach Zweck der Erfassung bis zu 3 Jahre nach Kalenderjahrende nach §§ 195 ff. BGB, in der Regel 1 Jahr ausreichend zur Nachverfolgung von Ereignissen. |
| Betriebliche Gesundheitsvorsorge – Einladung und Annahme/Ablehnung betriebsärztlicher Untersuchungen | Löschung nach 3 Jahren nach Austritt von Beschäftigten nach §§ 195 ff. BGB |
| Betriebliches Eingliederungsmanagement | Nach Abschluss des BEM-Verfahrens die BEM-Akte nach 3 Jahren löschen. Vorher Maßnahmenblatt, Einladungsschreiben und Dokumente zum Datenschutz in die Personalakte verbringen. Angaben zu Fehlzeiten und Krankheitsursachen aus der BEM-Akte dürfen nicht in die Personalakte. Eine über die drei Jahre hinausgehende Speicherung der BEM-Akte ist nicht gelebte Praxis und entspricht nicht dem Grundsatz der Speicherbegrenzung und dem Recht auf Löschung, da der Verarbeitungszweck entfallen ist. |
| Betroffenenanfragen | 3 Jahre nach Abschluss der Anfrage gem. §§ 195 ff. BGB |
| Bewerberdaten in Bewerberpool oder als Initiativbewerbung nach Einwilligung der Person | Bewerberpool: bis zu 2 Jahre auf Basis der Einwilligung. Initiativbewerbung: Löschung nach Entscheidung, maximal 1 Jahr. Bei Einwilligung auch längere Aufbewahrung bis eine Vakanz besteht. |
| Bewerberdaten nach Absage | maximal 6 Monate (Klagefrist nach § 15 (4) AGG (2 Monate) + 3 Monate Frist aus Arbeitsgerichtsgesetz (§ 61b ArbGG)) + „Postlaufzeit“ |
| Bewirtungsunterlagen (Formblatt, wenn Buchungsbelege oder steuerlich erforderlich) | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Cookies, die einwilligungsbedürftig sind nach § 25 TDDDG | in der Regel max. 2 Jahre bei Einwilligung |
| Darlehensunterlagen als Buchungsbeleg | 8 Jahre nach Tilgungsende nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Daten, die auf Basis einer Einwilligung verarbeitet werden | bis Widerruf, nach Widerruf 3 Jahre gem. §§ 195 ff. BGB |
| Disziplinarmaßnahmen | 3 Jahre nach Austritt von Beschäftigten und Abschluss eventueller arbeitsrechtlicher Verfahren gem. §§ 195 ff. BGB |
| Dokumente zu gerichtlichen Verfahren/erwirkten Titeln | 30 Jahre nach § 197 Abs. 1 BGB |
| Eignungsnachweise | Sofern Nachweise erbracht werden müssen, welche die Fertigkeiten/Befähigung von Beschäftigten belegen, kann eine Aufbewahrung sich an z.B. gewährten Garantien oder Produkthaftung sowie einschlägigen Rechtsvorschriften orientieren. Ansonsten Löschung drei Jahre nach Austritt von Beschäftigten gem. §§ 195 ff. BGB. |
| Ein- und Ausfuhrbelege i.V.m. Zoll | 10 Jahre nach § 147 Abs. 1 Nr. 4a AO i.V.m. § 257 HGB nach Kalenderjahrende (z.B. zum Nachweis einer steuerfreien Lieferung oder Einfuhr) |
| Einwilligung zu Newsletter | Einwilligung bleibt so lange bestehen, wie der Newsletter versandt wird. Löschung erst nach Widerruf nach 3 Jahren gem. §§ 195 ff. BGB; Datum/Nachweis einer Einwilligung muss nachgehalten werden |
| E-Mails | Grundsätzlich werden E-Mail wie Handelsbriefe behandelt und sind nach § 147 AO i.V.m. § 257 HGB nach 6 Jahren zu löschen. Sofern zur Dokumentation der Einhaltung der GoBD notwendig, Aufbewahrung von 8 Jahren nach § 147 AO i.V.m. § 257 HGB möglich. E-Mails zum Nachvollzug der Ausführung des Geschäftszwecks können grds. nach drei Jahren nach den allgemeinen Verjährungsvorschriften §§ 195 ff. BGB gelöscht werden. Weiter als 10 Jahre führende Aufbewahrung ist im Einzelfall erforderlich und muss begründet werden (z.B. bei Strafanwälten). |
| Fahrtkostenerstattungsunterlagen | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Führerscheinprüfung bei Nutzung Fuhrpark oder Dienstwagen | Protokolle der letzten beiden Prüfungen aufbewahren. Eine halbjährige Kontrolle hat sich in der Praxis etabliert. Um den Entzug der Fahrerlaubnis tatsächlich zeitnah zu erfahren, wäre eine monatliche Prüfung sinnvoll. Alternativ kann die Prüfung tagesgenau bei jeder Ausgabe des Fahrzeugschlüssels erfolgen. Kopien des Führerscheins sind nicht erforderlich. Die Gültigkeit wird von den Prüfenden bezeugt und dokumentiert. |
| Führungszeugnisse | Im Rahmen von §§ 195 ff. BGB bis zu 30 Jahren, je nach Art der Tätigkeit (bspw. Einzelbetreuung von Kindern > 30 Jahre gem. §§ 197, 199 Abs. 3 Nr. 2 BGB) |
| Gefahrstoffunterweisung | 40 Jahre, wenn mit krebserzeugende und keimzellmutagene Stoffe (KMR-Stoffe) der Kategorien 1A und 1B gearbeitet wird. Die Unterweisung muss 40 Jahre nach Ende der Exposition noch nachgwiesen werden, § 10a GefStoffV. |
| Gefahrstoffverzeichnis/Expositionsverzeichnis KMR-Stoffe | Expositionsverzeichnis für krebserzeugende und keimzellmutagene Stoffe (KMR-Stoffe) der Kategorien 1A und 1B 40 Jahre gem. § 10a Abs. 1 Nr. 1 GefStoffV aufbewahren. Die Zentrale Expositionsdatenbank (ZED) des Instituts für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung nimmt Dokumentationen entgegen und hält diese vor, Rechtsgrundlage der Übermittlung ist Art. 6 Abs. 1 lit. c DSGVO i.V. m. § 10a Abs. 3 GefStoffV. Damit könnte eine Aufbewahrung im eigenen Bereich verkürzt werden, sofern Zugang zu den Daten in der ZED besteht. Hinweis: Bei Beendigung des Beschäftigungsverhältnisses hat der Arbeitgeber den Beschäftigten einen Auszug aus dem Verzeichnis auszuhändigen, der die sie betreffenden Angaben enthält. Der Arbeitgeber hat einen Nachweis über die Aushändigung wie Personalunterlagen aufzubewahren. |
| Gefahrstoffverzeichnis/Expositionsverzeichnis reproduktionstoxische Stoffe | Expositionsverzeichnis für reproduktionstoxischen Gefahrstoffen der Kategorie 1A oder 1B 5 Jahre gem. § 10a Abs. 2 Nr. 2 GefStoffV aufbewahren. Die Zentrale Expositionsdatenbank (ZED) des Instituts für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung nimmt Dokumentationen entgegen und hält diese vor, Rechtsgrundlage der Übermittlung ist Art. 6 Abs. 1 lit. c DSGVO i.V. m. § 10a Abs. 3 GefStoffV. Damit könnte eine Aufbewahrung im eigenen Bereich verkürzt werden, sofern Zugang zu den Daten in der ZED besteht. Hinweis: Bei Beendigung des Beschäftigungsverhältnisses hat der Arbeitgeber den Beschäftigten einen Auszug aus dem Verzeichnis auszuhändigen, der die sie betreffenden Angaben enthält. Der Arbeitgeber hat einen Nachweis über die Aushändigung wie Personalunterlagen aufzubewahren. |
| Gehaltsabrechnungen einschließlich Sonderzahlungen | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Geschenknachweise | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Gewinn- und Verlustrechnung | 10 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Handelsbriefe (nicht Belege!) | 6 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Hinweisgeberschutzgesetz | 3 Jahre nach Abschluss des Verfahrens gem. § 11 Abs. 5 HinSchG. Eine längere Aufbewahrung ist nach Maßgabe von § 11 Abs. 5 HinSchG möglich, um die Anforderungen nach diesem Gesetz oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist. |
| Interessentendaten bei Kontaktaufnahme durch Interessent | Speicherung auf Basis von Art. 6 Abs. 1 lit. b DSGVO aufgrund vorvertraglicher Maßnahmen. Aufbewahrungsfrist orientiert sich an der gewöhnlichen Dauer einer Geschäftsanbahnung (in der Regel 1-3 Jahre), bis sie zur Angebotserstellung führt. Sobald ein Angebot erstellt wurde, erweitert sich die Speicherdauer auf sechs Jahre nach § 257 HGB. |
| Interessentendaten bei Kontaktaufnahme durch Verantwortlichen gem. Art. 4 Nr. 7 DSGVO | Speicherung auf Basis von Art. 6 Abs. 1 lit. b DSGVO aufgrund vorvertraglicher Maßnahmen. Aufbewahrungsfrist orientiert sich an der gewöhnlichen Dauer einer Geschäftsanbahnung (in der Regel 1-3 Jahre), bis sie zur Angebotserstellung führt. Sobald ein Angebot erstellt wurde, erweitert sich die Speicherdauer auf sechs Jahre nach § 257 HGB. |
| Inventare (§ 240 HGB) | 10 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Jahresabschluss mit Erläuterungen | 10 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Kassenberichte | 10 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Kassenbücher/-blätter | 10 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Kontoauszüge | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Konzernabschluss (§ 290 HGB) | 10 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Konzernlagebericht (§§ 290, 350 HGB) | 10 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Kündigungsschreiben, Aufhebungsverträge | 8 Jahre nach Austritt von Beschäftigten gem. § 147 AO i.V.m. § 257 HGB |
| Leistungsbeurteilungen | 3 Jahre nach Austritt von Beschäftigten gem. §§ 195 ff. BGB |
| Lohn- und Gehaltsabrechungen | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Mahnbescheide und Mahnungen | 6 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende (wenn keine Mahngebühr enthalten, dann 6 Jahre, da nur Handelsbrief) |
| Mietunterlagen (nach Vertragsende), soweit Buchungsbelege | 8 nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Nutzungsprotokollierung IT/Internet/WLAN im Rahmen der Datensicherheitsanforderungen nach Art. 32 DSGVO | Systemlogfiles mind. 4-6 Monate, bis zu 1 Jahr (in der Regel dann Zweck entfallen), Internetverbindungsdaten 7 Tage nach BGH Urteil, Urteil des Bundesgerichtshofs vom 13.01.2011, Az: III ZR 146/10 |
| Patientendaten in Arztpraxen, nach Abschluss der Behandlungen | 10 Jahre nach § 630f BGB, längere Aufbewahrung nach erweiterter Verjährungsfrist nach § 199 Abs. 3 BGB für 30 Jahre in Verbindung mit weiteren Vorschriften, z.B. Röntgenbilder nach § 28 RöV |
| Personalakten, bis zum Austritt von Beschäftigten | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Personalbögen (auch bei Änderungen der Angaben) | Löschung nach 8 Jahren nach Austritt von Beschäftigten gem. § 147 AO i.V.m. § 257 HGB |
| Rechnungen (Ein- und Ausgangsbelege) | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Reisekostenabrechnung | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Sanktionslistenabgleich | 8 Jahre nach Erstellung des Beleges zum Geschäftsfvorfall nach § 147 AO i.V.m. § 257 HGB, da ggf. steuerrelevant (z.B. für Exportkontrolle). Vorsicht bei Belegen mit Nachweis zum Zoll, hier gelten 10 Jahre. |
| Schulungsnachweise, Weiterbildungsnachweise von Beschäftigten | 3 Jahre nach Austritt gem. §§ 195 ff. BGB |
| Sicherheitsüberprüfungen | Nachweise zu Sicherheitsüberprüfungen an Personen fünf Jahre nach Ausscheiden aus der Tätigkeit gem. § 19 Abs. 2 SÜG aufbewahren. Bei erweiterten Prüfungen 15 Jahre, beim BND bis 30 Jahre nach Ausscheiden der Person aus der sicherheitsempfindlichen Tätigkeit nach § 22 Abs. 2 lit. d SÜG |
| Steuererklärungen und Steuerbescheide | 10 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Telefonverbindungsdaten | Die Einzelverbindungsnachweise nach 6 Monaten oder nach Rechnungsprüfung löschen; Belege nach 8 Jahren löschen nach § 147 AO i.V.m. § 257 HGB |
| Unfallmeldungen | 5 Jahre nach § 24 Abs. 6 DGUV, Vorschrift 1. Kann bei Einzelfällen auf 30 Jahre aufgrund von vermuteten Schadensersatzansprüchen gem. § 199 Abs. 2 BGB erweitert werden. |
| Urlaubsdokumentation | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende (Urlaubsrückstellungen sind relevant für den Jahresabschluss). Urlaubsanträge nach 2 Jahren löschen, da kein Zweck mehr gegeben. |
| Versorgungsakten (z.B. bAV) | Vernichtung nach Ablauf des Jahres, in dem die letzte Versorgungszahlung geleistet worden ist. Besteht die Möglichkeit eines Wiederauflebens des Anspruchs, sind die Daten 30 Jahre aufzubewahren, siehe Eintrag „Arbeitsverträge“. |
| Verträge, sonstige, soweit handels- und steuerrechtlich von Bedeutung | 8 Jahre nach § 147 AO i.V.m. § 257 HGB nach Kalenderjahrende |
| Zollbelege | 10 Jahre nach § 147 Abs. 1 Nr. 4a AO i.V.m. § 257 HGB nach Kalenderjahrende (z.B. zum Nachweis einer steuerfreien Lieferung oder Einfuhr) |