Speicherung von personenbezogenen Daten in Unternehmen: Voraussetzungen und Dauer
- Personenbezogene Daten lassen Rückschlüsse auf eine spezifische Person zu und sind deshalb durch die DSGVO streng geschützt.
- Die Speicherung personenbezogener Daten in Unternehmen ist nur mit gültiger Rechtsgrundlage und nur so lange erlaubt, wie es für einen bestimmten Zweck nötig ist.
- Gesetzliche Aufbewahrungspflichten können eine längere Speicherung bestimmter Unterlagen verlangen.
- Zum Schutz der gespeicherten Daten müssen Unternehmen technische und organisatorische Maßnahmen ergreifen.
- Entfallen die zulässigen Speichergründe, sind die Daten unverzüglich zu löschen. Ein Löschkonzept unterstützt bei der Einhaltung aller Fristen und reduziert Haftungsrisiken.
Was bedeutet Datenspeicherung?
Datenspeicherung bedeutet, Informationen so aufzubewahren, dass sie später verfügbar bleiben, zum Beispiel in einer Datenbank, auf einem Server oder in einer Papierakte. Die Speicherung personenbezogener Daten zählt selbst zur Verarbeitung im Sinne der DSGVO.
Unternehmen benötigen für die Speicherung personenbezogener Daten eine gültige Rechtsgrundlage. In Betracht kommen beispielsweise
- eine Einwilligung,
- die Erfüllung eines Vertrags,
- eine gesetzliche Verpflichtung oder
- überwiegende berechtigte Interessen.
Außerdem sollten Unternehmen klar regeln, wer intern auf welche Daten zugreifen darf.
Welche personenbezogenen Daten können Unternehmen speichern?
Laut DSGVO gehören zu den personenbezogenen Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. In Unternehmen sind das in der Regel Daten von Kunden, Mitarbeitern und Bewerbern.
Typische Beispiele sind:
- E-Mail-Adressen für den Versand von Newslettern
- Namen
- Bestelldaten
- Adressen
- IP-Adressen
- Log-Daten im Onlineshop
Je nach Art der Daten kann ihre Verarbeitung für unterschiedliche Zwecke notwendig sein, etwa zur Vertragserfüllung durch die Auslieferung von Ware, oder um eine Entscheidung über ein Beschäftigungsverhältnis zu treffen.
Innerbetrieblicher Datenschutz ist ein heikles Thema und voller Stolpersteine. Ein externer Datenschutzbeauftragter hilft Ihnen, Ihr Datenschutzmanagement langfristig zu optimieren.
Welche Regeln gelten für die Datenspeicherung laut DSGVO?
Die DSGVO schützt die personenbezogenen Daten natürlicher Personen. Eine zentrale Vorgabe ist die Speicherbegrenzung: Daten dürfen grundsätzlich nur so lange personenbezogen gespeichert werden, wie es für die jeweiligen Zwecke erforderlich ist. Unternehmen müssen deshalb passende Speicher- und Löschfristen festlegen und deren Einhaltung nachweisen können.
Wie lange dürfen Unternehmen Daten speichern?
Eine allgemeingültige Speicherdauer für personenbezogene Daten gibt es nicht. Maßgeblich sind
- der jeweilige Verarbeitungszweck,
- die Rechtsgrundlage und
- gegebenenfalls gesetzliche Aufbewahrungspflicht etwa für handels- oder steuerrechtlich relevante Unterlagen
Auch die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen kann eine weitere Speicherung rechtfertigen, soweit sie dafür erforderlich ist. Unternehmen müssen für jede Datenkategorie prüfen, welche Informationen für welchen Zweck noch benötigt werden.
Entfallen alle zulässigen Gründe für die weitere Speicherung, sind die betreffenden Daten unverzüglich zu löschen. Daten, die nur noch aufgrund einer Aufbewahrungspflicht benötigt werden, dürfen nicht ohne weitere Rechtsgrundlage für andere Zwecke verwendet werden.
Was passiert, wenn Daten nicht mehr gespeichert werden dürfen?
Löschpflichten sind allgemein in Art. 17 DSGVO geregelt. Beispielsweise müssen Daten gelöscht werden, wenn sie für ihre Zwecke nicht mehr benötigt werden oder eine Einwilligung widerrufen wird und keine andere Rechtsgrundlage für die Verarbeitung besteht. Dies stellt Unternehmen oftmals vor große Herausforderungen und kann bei einer Nichtumsetzung zu Bußgeldern und Schadensersatzansprüchen führen.
Um auf Löschanfragen vorbereitet zu sein, sollten Unternehmen ein Löschkonzept für alle intern vorhandenen Daten und die Datenbestände bei eingesetzten Dienstleistern entwickeln. Bei der Erstellung sollte immer der zentrale Grundsatz der Speicherbegrenzung und der Datenminimierung (gemäß Art. 5 DSGVO) berücksichtigt werden.
Ein Löschverlangen müssen Unternehmen in jedem Fall prüfen: Gesetzliche Aufbewahrungspflichten oder die erforderliche Verteidigung von Rechtsansprüchen können einer vollständigen Löschung entgegenstehen.
Was müssen Unternehmen für den Schutz gespeicherter Daten unternehmen?
Neben zulässigen Speicherfristen müssen Unternehmen die Sicherheit der Daten gewährleisten. Dazu gehören geeignete technische und organisatorische Maßnahmen, etwa rollenbasierte Zugriffsrechte, gegebenenfalls Verschlüsselung, Datensicherungen und klar geregelte Löschprozesse. Welche Maßnahmen notwendig sind, richtet sich nach dem Risiko der Verarbeitung. Ihre Wirksamkeit muss regelmäßig überprüft werden.
Datenspeicherung in der Praxis
Unter welchen Umständen Unternehmen welche personenbezogenen Daten wie lange speichern dürfen, zeigen die folgenden Beispiele.
Beispiel 1: Kundendaten für werbliche Zwecke
Im B2C-Bereich nutzen Unternehmen häufig Daten von Interessenten für werbliche Zwecke, sofern die betroffene Person die Verarbeitung für diese Zwecke erlaubt. Für Bestandskunden können Ausnahmen gelten.
Die Daten dürfen nur für die in der Einwilligung klar angegebenen werblichen Maßnahmen verwendet werden. Ein festes gesetzliches Ablaufdatum hat die Einwilligung nicht. Trotzdem müssen Unternehmen regelmäßig prüfen, ob sie die Daten noch benötigen und die Einwilligung die Werbung weiterhin abdeckt.
Zudem kann die betroffene Person die Einwilligung jederzeit widerrufen. Dann ist die darauf gestützte werbliche Ansprache sofort einzustellen. Die Daten sind zu löschen, sofern sie nicht für andere zulässige Zwecke benötigt werden, etwa wegen gesetzlicher Aufbewahrungspflichten. Ebenso verhält es sich, wenn die betroffene Person direkt die Löschung ihrer Daten verlangt.
Beispiel 2: Daten von Bewerbern für Personalentscheidungen
Unternehmen dürfen die personenbezogenen Daten verarbeiten, die für die Bearbeitung einer Bewerbung und die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich sind. Sie müssen dafür eine passende Rechtsgrundlage festlegen und dürfen nicht vorsorglich beliebige zusätzliche Informationen erheben oder speichern.
Nach einer Absage werden die Bewerberdaten für die konkrete Stelle nicht mehr benötigt. Unternehmen dürfen aber die Unterlagen vorübergehend aufbewahren, die sie zur Abwehr möglicher Rechtsansprüche brauchen. Häufig gelten bis zu sechs Monate nach Zugang der Absage als Richtwert. Verlangt ein Bewerber vorher die Löschung, ist zu prüfen, welche Daten zur Rechtsverteidigung noch benötigt werden. Sobald kein zulässiger Grund für die Aufbewahrung mehr besteht, sind die Daten zu löschen.
Sollen die Daten in einen Talentpool aufgenommen und länger gespeichert werden, sollten Sie eine gesonderte, freiwillige und informierte Einwilligung einholen. Bewerber müssen den Zweck, die vorgesehene Speicherdauer beziehungsweise die Kriterien ihrer Festlegung und ihr jederzeitiges Widerrufsrecht kennen. Legen Sie dafür eine angemessene Frist fest und prüfen Sie regelmäßig, ob die Daten noch aktuell und für den Talentpool erforderlich sind. Die betroffene Person darf diese Einwilligung jederzeit widerrufen.
Mehr dazu erfahren Sie in unserem Artikel zum Datenschutz bei Bewerbungen.
Fazit zur Speicherung von personenbezogenen Daten in Unternehmen
Personenbezogene Daten dürfen im Unternehmen nicht unbegrenzt aufbewahrt werden. Entscheidend sind eine gültige Rechtsgrundlage, ein klarer Zweck und eine dazu passende Speicherdauer. Darüber hinaus müssen Unternehmen gesetzliche Aufbewahrungspflichten berücksichtigen.
Wenn Sie Ihre Speicher- und Löschprozesse überprüfen oder Ihr Datenschutzmanagement strukturierter aufstellen möchten, unterstützt Proliance Sie mit persönlicher Beratung durch externe Datenschutzbeauftragte und der Plattform Proliance 360.
Sie haben noch Fragen? Wir haben die Antworten
Eine allgemeingültige Frist für die Datenspeicherung gibt es nicht. Unternehmen dürfen personenbezogene Daten grundsätzlich nur so lange speichern, wie sie für ihre rechtmäßigen Zwecke erforderlich sind. Gesetzliche Aufbewahrungspflichten können eine längere Speicherung bestimmter Unterlagen verlangen. Sobald keine zulässigen Speichergründe mehr bestehen, sind die betreffenden Daten unverzüglich zu löschen.
Nicht automatisch. Die Verarbeitung auf Grundlage der widerrufenen Einwilligung muss beendet werden. Daten sind zu löschen, wenn kein anderer zulässiger Speichergrund besteht. Bestimmte Informationen können beispielsweise wegen gesetzlicher Aufbewahrungspflichten oder für erforderliche Nachweise weiter benötigt werden. Eine Abmeldung von Werbung berechtigt jedoch nicht dazu, die betroffene Person weiter werblich anzusprechen.
Ja, wenn dafür ein rechtlich zulässiger Grund besteht. Rechnungen müssen beispielsweise wegen gesetzlicher Aufbewahrungspflichten weiter aufbewahrt werden. Das erlaubt aber nicht, das gesamte Kundenprofil unbegrenzt zu speichern oder für Werbung zu nutzen. Daten, die für keinen zulässigen Zweck mehr benötigt werden, sind zu löschen.
Sie haben noch Fragen? Lassen Sie sich jetzt kostenlos von unseren Compliance Expert:innen beraten.
Zu unseren mehr als 3.000 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
