So lange, wie es für den Zweck erforderlich ist, und darüber hinaus nur, wenn eine Rechtsvorschrift es verlangt. Das ist die Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO. Praktisch heißt das: Für jede Datenart brauchen Sie eine Frist, und nach deren Ablauf muss gelöscht werden — nicht „darf“, sondern „muss“.
Die wichtigsten gesetzlichen Fristen im Betrieb: Buchungsbelege und Rechnungen sind handels- und steuerrechtlich aufzubewahren, seit dem 1. Januar 2025 für acht Jahre statt zuvor zehn; Handelsbücher, Inventare und Jahresabschlüsse bleiben bei zehn Jahren. Lohnkonten unterliegen eigenen steuerlichen Fristen. Bei Bewerbungsunterlagen hat sich eine Aufbewahrung von etwa sechs Monaten nach der Absage etabliert, weil Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz in diesem Zeitraum noch geltend gemacht werden können. Prüfen Sie die aktuellen Fristen vor der Festlegung — sie werden geändert.
Das größere Problem sind die Daten ohne gesetzliche Frist: Kontaktanfragen, Angebote, die nicht zum Auftrag wurden, Besucherlisten, Videoaufnahmen, alte Newsletterempfänger, Bewerbungen im Mailpostfach der Personalabteilung. Hier müssen Sie die Frist selbst setzen und begründen. Übliche Größenordnungen sind wenige Tage für Videoaufnahmen, einige Monate für Anfragen ohne Geschäftsabschluss.
Fassen Sie das in einem Löschkonzept zusammen — eine Tabelle mit Datenart, Ort, Frist, Auslöser und Zuständigkeit. Das ist die Unterlage, mit der Sie ein Löschverlangen beantworten und einer Prüfung begegnen. Und es beantwortet die Frage, die in jedem Betrieb irgendwann kommt: ob die alte Kundendatenbank von 2014 noch jemand braucht.
Fundstelle: Art. 5 Abs. 1 lit. e, Art. 17 Abs. 3 lit. b DSGVO; § 147 AO, § 257 HGB, § 41 EStG; § 15 Abs. 4 AGG