Sabrina führt einen Friseursalon in Viersen mit acht Angestellten. Auf ihrem alten Laptop schlummern Kundendaten aus dem Jahr 2016 – Namen, Telefonnummern, Notizen zu Haarfarben und Allergien. Sie hat sie nie gelöscht, weil Stammkunden ja wiederkommen könnten. Und die Bewerbungen vom letzten Sommer liegen noch als PDF im Download-Ordner.
Keine böse Absicht. Aber ein echtes Problem.
Daten, die du nicht mehr brauchst, aber trotzdem aufbewahrst, sind kein neutrales Nichts. Sie sind ein Risiko – für deine Kunden, falls es zu einem Datenleck kommt, und für dich, falls die Aufsichtsbehörde fragt warum du sie noch hast. Die DSGVO sagt klipp und klar: Daten dürfen nur so lange gespeichert werden, wie es für den Zweck ihrer Erhebung notwendig ist. Danach müssen sie gelöscht werden.
Klingt einfach. Ist in der Praxis aber oft unklar. Wann genau ist „der Zweck erfüllt"? Was gilt bei Mitarbeitern? Und was tust du mit Bewerbungen von Leuten, die du nicht genommen hast?
Kundendaten dürfen so lange gespeichert bleiben, wie ein berechtigtes Interesse oder eine gesetzliche Pflicht besteht. Konkret bedeutet das für die meisten Betriebe:
Während der Geschäftsbeziehung ist die Speicherung in der Regel unproblematisch – solange die Daten für die Leistungserbringung gebraucht werden.
Nach Abschluss gilt: Rechnungsdaten und Buchungsunterlagen müssen aus steuerrechtlichen Gründen zehn Jahre aufbewahrt werden (§ 147 AO). Das ist eine gesetzliche Pflicht und schlägt die DSGVO-Löschpflicht für diesen Zeitraum aus.
Adresse, Telefonnummer und E-Mail ohne Kaufbeleg oder laufende Beziehung dahinter dürfen nicht unbegrenzt gespeichert bleiben. Wer einen Kundenstamm mit Kontakten pflegt, die seit Jahren nicht mehr gekauft haben, und keine dokumentierte Einwilligung für Marketingzwecke vorliegt, bewegt sich in einer rechtlichen Grauzone.
Die Faustregel: Aktive Kunden – Daten behalten und aktuell halten. Inaktive Kunden ohne laufenden Auftrag und ohne Einwilligung für Werbung – nach einem angemessenen Zeitraum (oft 2–3 Jahre nach letztem Kontakt) löschen oder zumindest intern sperren.
Und Sabrinas Allergie-Notizen? Die fallen unter besondere Datenkategorien nach Art. 9 DSGVO. Für diese gibt es erhöhte Anforderungen – schon die Speicherung ohne explizite Einwilligung ist heikel.
Bei Mitarbeitern ist die Lage klarer geregelt, aber trotzdem komplex. Während des Arbeitsverhältnisses darf der Arbeitgeber alle Daten verarbeiten, die für die Durchführung des Vertrags nötig sind – Gehalt, Sozialversicherung, Krankmeldungen, Urlaub.
Nach dem Ausscheiden gelten steuerrechtliche und sozialversicherungsrechtliche Aufbewahrungspflichten. Lohnunterlagen müssen sechs Jahre, Buchungsbelege zehn Jahre aufbewahrt werden. Das ist keine DSGVO-Option, das ist gesetzliche Pflicht.
Was danach nicht mehr gebraucht wird – persönliche Notizen, interne Beurteilungen, E-Mails ohne rechtliche Relevanz –, sollte gelöscht werden. Ein ehemaliger Mitarbeiter hat das Recht, nach Ablauf der gesetzlichen Fristen die Löschung seiner Daten zu verlangen.
Praxistipp für Betriebe in der Region Viersen und Umgebung: Schon bei der Einstellung sollte klar sein, welche Daten erhoben werden, wo sie gespeichert sind und wer darauf Zugriff hat. Eine einfache interne Liste – im Verarbeitungsverzeichnis festgehalten – reicht für die meisten kleinen Betriebe aus.
Hier passieren die häufigsten Fehler. Du schreibst eine Stelle aus, bekommst 30 Bewerbungen, stellst eine Person ein – und die anderen 29 PDFs liegen noch auf dem Rechner oder in der Cloud.
Was viele nicht wissen: Du darfst Bewerbungsunterlagen abgelehnter Kandidaten nur für einen begrenzten Zeitraum aufbewahren. Die allgemeine Empfehlung liegt bei zwei bis vier Monaten nach der Absage. Der Grund: In dieser Zeit kann ein abgelehnter Bewerber noch wegen Diskriminierung klagen (AGG), und du brauchst die Unterlagen als Nachweis. Danach entfällt dieser Grund – und damit die Berechtigung zur Speicherung.
Was du tun solltest:
Wenn du einen Bewerber für spätere Stellen im Kopf behalten willst: Das geht nur mit dessen ausdrücklicher Einwilligung in die weitere Speicherung.
Das Thema Löschpflichten klingt kleinteilig, ist aber eines der häufigsten Probleme das ich in der Praxis sehe – gerade bei gewachsenen Betrieben, die jahrelang alles einfach gespeichert haben. Wenn du dir nicht sicher bist, was in deinem Betrieb wo liegt und wie lange es bleiben darf: Genau das klären wir im ersten Gespräch.
Du weißt nicht genau was du wo gespeichert hast – und wie lange das noch bleiben darf? Lass uns reden. 30 Minuten, kostenlos, ohne Druck. 📞 02161 / 5674528 · 📧 kontakt@temq.de · → Kostenloses Erstgespräch
Manuel Forche · temq.de · Externer Datenschutzbeauftragter aus Viersen Für KMU in Viersen, Mönchengladbach, Krefeld und Erkelenz.
Nicht für jede einzeln, aber du solltest ein Löschkonzept haben, das für die wichtigsten Datenkategorien in deinem Betrieb definiert, wie lange was aufbewahrt wird. Das muss nicht kompliziert sein – eine strukturierte Liste im DSM-Tool reicht für die meisten KMU.
Beim Papierkorb leeren werden die Daten zunächst nur als überschreibbar markiert, können aber noch wiederhergestellt werden. Für eine DSGVO-konforme Löschung solltest du bei sensiblen Daten sicherstellen, dass die Daten wirklich unwiederbringlich entfernt werden – bei physischen Dokumenten durch Schreddern, digital durch sichere Löschtools.
Nur wenn der Kunde dafür aktiv eingewilligt hat – und zwar separat von anderen Einwilligungen. Eine Einwilligung, die im Kleingedruckten versteckt war oder als vorausgefülltes Häkchen kam, zählt nicht.
Du musst dem in der Regel innerhalb von 30 Tagen nachkommen (Art. 17 DSGVO), sofern keine gesetzliche Aufbewahrungspflicht dagegen steht. Die Aufbewahrungspflicht für Rechnungen schlägt zum Beispiel das Löschungsrecht aus – aber nur für die steuerlich relevanten Daten, nicht für alles andere.
Ein Verarbeitungsverzeichnis mit hinterlegten Löschfristen – idealerweise gepflegt in einem DSM-Tool. Dann weißt du jederzeit, was du speicherst, warum und wie lange.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.