Anonymisieren oder löschen? Aufbewahrung von Dokumenten nach der DSGVO

Hat ein Dokument seinen Zweck erfüllt, haben Sie in der Praxis drei Wege. Löschen. In einem Archiv mit eingeschränktem Zugriff aufbewahren, aber nur, solange ein Gesetz oder ein möglicher Rechtsstreit das verlangt. Oder wirklich anonymisieren. Eine geschwärzte Kopie ist meist nicht anonym: Sie ist bestenfalls pseudonymisiert, bleibt personenbezogen und braucht ebenfalls ein Enddatum.

Nehmen wir Erika Mustermann, Personalleiterin. Max Beispiel hat das Unternehmen 2023 verlassen. Sein Arbeitsvertrag, seine Lohnunterlagen und eine geschwärzte Kopie seines letzten Mitarbeitergesprächs liegen noch auf dem Netzlaufwerk. Was darf bleiben, und wie lange? Dieser Beitrag gibt allgemeine Informationen, Stand September 2026. Er ist keine Rechtsberatung.

Was sagt die DSGVO zur Aufbewahrung von Dokumenten?

Personenbezogene Daten müssen in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. (Art. 5 Abs. 1 lit. e DSGVO, Speicherbegrenzung)

EU: Die DSGVO nennt keine festen Fristen. Sie legen sie selbst fest und müssen sie begründen können. Nach Erwägungsgrund 39 sollte der Verantwortliche Fristen für die Löschung oder eine regelmäßige Überprüfung vorsehen. Achten Sie auf die Worte „in einer Form, die die Identifizierung ermöglicht“. Deshalb ist Anonymisierung eine Alternative zur Löschung.

Welche Optionen haben Sie, wenn die Aufbewahrungsfrist endet?

Deutschland: Die Datenschutzkonferenz (DSK) betont in ihrem Kurzpapier Nr. 11, dass auch die Ausnahmen von der Löschpflicht keine zeitlich unbegrenzte Verarbeitung erlauben. Ist ihr Zweck erfüllt, sind auch diese Daten zu löschen. § 35 Abs. 3 BDSG ergänzt: Stehen satzungsgemäße oder vertragliche Aufbewahrungsfristen einer Löschung entgegen, tritt an ihre Stelle die Einschränkung der Verarbeitung nach Art. 18 DSGVO.

Wann dürfen Sie nach Art. 89 DSGVO länger aufbewahren?

Art. 5 Abs. 1 lit. e erlaubt eine längere Speicherung nur für drei Zwecke: im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschung und Statistik. Art. 89 Abs. 1 nennt die Bedingungen. Sie brauchen Garantien, die die Datenminimierung sichern, und dazu kann die Pseudonymisierung gehören. Lässt sich der Zweck mit Daten erreichen, die niemanden mehr identifizieren, müssen Sie so vorgehen.

Das ist kein Schlupfloch für alte Akten. Erwägungsgrund 158 meint Stellen, die rechtlich verpflichtet sind, Aufzeichnungen von bleibendem Wert für das allgemeine öffentliche Interesse zu erwerben, zu erhalten und zugänglich zu machen. Ein Unternehmen, das abgeschlossene Verträge aufhebt, weil sie irgendwann nützlich sein könnten, fällt nicht darunter.

Warum ist ein geschwärzter Vertrag selten anonym?

Angenommen, Erika schwärzt die Namen in Max' Arbeitsvertrag. Die Kopie zeigt noch Eintrittsdatum, Stelle, Gehalt, Team und Standort. Wer mit ihm gearbeitet hat, erkennt ihn sofort. Nach Erwägungsgrund 26 DSGVO zählen alle Mittel, die Sie oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzen, um jemanden zu identifizieren.

Die Artikel-29-Datenschutzgruppe, Vorgängerin des Europäischen Datenschutzausschusses, hielt das 2014 in ihrer Stellungnahme zu Anonymisierungstechniken fest. Behalten Sie die Originaldaten und geben eine Fassung weiter, in der identifizierende Daten entfernt oder maskiert wurden, bleibt diese Fassung personenbezogen. Die Stellungnahme nennt drei Risiken: Herausgreifen, Verknüpfbarkeit und Inferenz.

Im September 2025 hat der Gerichtshof der EU das differenziert (Rechtssache C-413/23 P, zur entsprechenden Verordnung für EU-Einrichtungen). Pseudonymisierte Daten sind nicht in jedem Fall und für jede Person personenbezogen. Für Dritte ohne Mittel zur Re-Identifizierung sind sie es unter Umständen nicht. Das betrifft aber andere Personen als den Verantwortlichen. Für das Unternehmen, das das Original behält, bleibt die geschwärzte Kopie personenbezogen.

Wie erstellen Sie ein einfaches Löschkonzept?

Nach Art. 30 DSGVO soll das Verzeichnis von Verarbeitungstätigkeiten, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien enthalten. Ein Löschkonzept macht daraus eine Liste, mit der Ihr Team arbeiten kann. Für den Anfang genügt eine Tabelle.

1. 1Listen Sie Dokumentarten auf, nicht einzelne Dateien: Verträge, Rechnungen, Bewerbungen, Lohnunterlagen, Kundenakten.
2. 2Notieren Sie für jede Art den Zweck in einem Satz.
3. 3Prüfen Sie gesetzliche Aufbewahrungspflichten, etwa aus HGB, AO oder EStG, und notieren Sie die Norm.
4. 4Legen Sie Frist und Startereignis fest, zum Beispiel das Ende des Kalenderjahres.
5. 5Wählen Sie, was am Ende passiert: löschen, eingeschränkt archivieren oder anonymisieren.
6. 6Erfassen Sie, wo Kopien liegen: Netzlaufwerke, Postfächer, Exporte, geschwärzte Fassungen.
7. 7Benennen Sie eine verantwortliche Person und planen Sie eine jährliche Überprüfung.
8. 8Nennen Sie die Dauer in Ihren Datenschutzhinweisen oder, falls das nicht möglich ist, die Kriterien dafür (Art. 13 Abs. 2 lit. a DSGVO).

Wie lange müssen Sie typische Dokumente aufbewahren?

Ist eine geschwärzte Kopie nützlich, etwa zum Teilen oder für eine Schulung, prüfen Sie, dass der Text wirklich entfernt und nicht nur überdeckt ist. Eine Option im Browser ist ONYRI Sanitize: Es schwärzt ein PDF, eine Word-Datei oder einen Scan, ohne die Datei hochzuladen, und exportiert Seiten, die nur aus Bildern bestehen. Unter den Masken bleibt kein Text. Kein Werkzeug erkennt alles: Prüfen Sie jedes Element. Und ersetzen Sie kein aufbewahrungspflichtiges Dokument durch eine geschwärzte Kopie.