Speicherbegrenzung
Art. 5 Abs. 1 lit. e DSGVO — Daten löschen nach Zweckerreichung
TL;DR
Personenbezogene Daten dürfen nicht länger gespeichert werden, als für den Verarbeitungszweck erforderlich. Nach Zweckerreichung: Löschung oder Anonymisierung — es sei denn, gesetzliche Aufbewahrungspflichten greifen (z.B. § 257 HGB, § 147 AO).
Was ist Speicherbegrenzung?
Der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) gilt EU-weit einheitlich. Die konkreten Aufbewahrungsfristen ergeben sich jedoch aus dem nationalen Steuer- und Handelsrecht und unterscheiden sich zwischen Deutschland und Österreich.
Deutschland
- Steuer- und Handelsunterlagen: 10 Jahre (§ 147 AO, § 257 HGB)
- Lohnkonten: 6 Jahre (§ 41 EStG)
- Bewerber-Daten ohne Anstellung: 6 Monate nach Absage (Praxiswert, keine gesetzliche Frist; deckt die Zwei-Monats-Frist des § 15 Abs. 4 AGG ab)
- Marketing-Einwilligungen: solange die Einwilligung gilt, danach 3 Jahre zur Nachweisführung (Praxiswert, keine gesetzliche Frist)
- Cookie-Daten: max. 12 Monate (Praxiswert, keine gesetzliche Frist; Einwilligung nach § 25 Abs. 1 TDDDG)
Österreich
- Buchhaltungs- und Geschäftsunterlagen: 7 Jahre (BAO § 132 Abs. 1, UGB § 212 Abs. 1) — nicht 10 Jahre wie in Deutschland
- Cookie-Daten: aktive, informierte Einwilligung (§ 165 Abs. 3 TKG 2021); zuständige Aufsicht ist die österreichische Datenschutzbehörde, nicht die deutsche Datenschutzkonferenz (DSK)
Praxisbeispiel
HR-Software speichert Bewerbungen. Nach Absage wird nach 6 Monaten gelöscht (Praxiswert, keine gesetzliche Frist; die Zwei-Monats-Frist des § 15 Abs. 4 AGG ab Zugang der Ablehnung ist dann abgelaufen). Außer: Bewerber willigt in Talent-Pool ein — dann längere Speicherung möglich.