Welche Ausnahmen erlauben eine längere Speicherung?

Eine längere Speicherung ist nach Art. 5 Abs. 1 lit. e Hs. 2 DSGVO nur zulässig, soweit die Daten ausschließlich für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Art. 89 Abs. 1 verarbeitet werden und geeignete technische und organisatorische Maßnahmen getroffen sind. Daneben können gesetzliche Aufbewahrungspflichten eine fortdauernde Speicherung rechtfertigen.

Wie verhält sich die Speicherbegrenzung zu Aufbewahrungspflichten nach HGB und AO?

Solange eine gesetzliche Aufbewahrungspflicht besteht, ist die Löschung nicht zulässig. Nach § 257 Abs. 4 HGB sind Handelsbücher und Jahresabschlüsse 10 Jahre, Buchungsbelege seit dem 1.1.2025 nur noch 8 Jahre (zuvor 10 Jahre, verkürzt durch das Vierte Bürokratieentlastungsgesetz) und Handelsbriefe 6 Jahre aufzubewahren. § 147 AO enthält spiegelbildliche steuerliche Fristen. Während dieser Zeit empfiehlt sich eine Einschränkung der Verarbeitung nach Art. 18 DSGVO.

Was ist ein Löschkonzept?

Ein Löschkonzept ist die organisatorische Umsetzung der Speicherbegrenzung und der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO). Es erfasst die Datenarten, legt je Datenart eine Löschfrist und einen Fristbeginn fest, weist Verantwortlichkeiten zu und dokumentiert die Löschung. Eine einheitliche gesetzliche Speicherfrist für alle Daten gibt es nicht; die Frist ergibt sich aus dem Verarbeitungszweck und etwaigen Aufbewahrungspflichten.

Welche Folgen hat ein Verstoß gegen die Speicherbegrenzung?

Verstöße gegen die Verarbeitungsgrundsätze des Art. 5 DSGVO fallen nach Art. 83 Abs. 5 lit. a DSGVO in den höheren Bußgeldrahmen von bis zu 20 Mio. € oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist.

Gibt es Ausnahmen bei DSGVO Art. 5 Abs. 1 lit. e?

Eine über die Zweckerreichung hinausgehende Speicherung ist nach Art. 5 Abs. 1 lit. e Hs. 2 nur zulässig, soweit die Daten ausschließlich verarbeitet werden für: im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke jeweils gemäß Art. 89 Abs. 1 DSGVO und unter der Voraussetzung, dass geeignete technische und organisatorische Maßnahmen (z. B.

Welche häufigen Fehler gibt es bei DSGVO Art. 5 Abs. 1 lit. e?

„Anonymisierte Daten löschen": Eine echte Anonymisierung beendet den Personenbezug und genügt der Speicherbegrenzung ebenso wie die Löschung – die Daten fallen dann aus dem Anwendungsbereich der DSGVO. Eine bloße Pseudonymisierung reicht hierfür nicht, da der Personenbezug wiederherstellbar bleibt. „Aufbewahrungspflicht = Daueraufbewahrung": Nach Ablauf der handels- bzw.

DSGVO Art. 5 Abs. 1 lit. e – Speicherbegrenzung

Q: Was besagt der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO?

Personenbezogene Daten dürfen nur so lange in einer die Identifizierung der betroffenen Person ermöglichenden Form gespeichert werden, wie es für die Zwecke der Verarbeitung erforderlich ist. Ist der Zweck erfüllt oder entfallen und besteht keine Aufbewahrungspflicht, sind die Daten zu löschen oder zu anonymisieren.

Datenschutz DSGVO Art. 5 Speicherbegrenzung Löschkonzept Aufbewahrungspflichten Deutschland / EU

Status: in Kraft

Kurzantwort Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO verlangt, dass personenbezogene Daten nur so lange in einer die Identifizierung der betroffenen Person ermöglichenden Form gespeichert werden, wie es für die Zwecke der Verarbeitung erforderlich ist. Ist der Zweck erfüllt oder entfallen, müssen die Daten gelöscht oder anonymisiert werden. Eine längere Speicherung ist nur zulässig, soweit die Daten ausschließlich für Archiv-, Forschungs- oder Statistikzwecke nach Art. 89 Abs. 1 verarbeitet werden und geeignete Schutzmaßnahmen bestehen. Zur Umsetzung dient ein Löschkonzept mit definierten Löschfristen; gesetzliche Aufbewahrungspflichten (z. B. § 257 HGB, § 147 AO) stehen einer Löschung vor Fristablauf entgegen.

Kernfakten

Punkt	Wert
Rechtsgrundlage	Verordnung (EU) 2016/679, Art. 5 Abs. 1 lit. e
Grundsatz	Speicherbegrenzung („storage limitation")
Kernpflicht	Speicherung nur, solange für den Zweck erforderlich
Rechtsfolge bei Zweckwegfall	Löschung oder Anonymisierung
Ausnahme	Archiv-, Forschungs- und Statistikzwecke nach Art. 89 Abs. 1 (Art. 5 Abs. 1 lit. e Hs. 2)
Verknüpfung	Rechenschaftspflicht nach Art. 5 Abs. 2 (Nachweis durch Löschkonzept)
Aufbewahrung Handelsbücher / Jahresabschlüsse	10 Jahre (§ 257 Abs. 4 i. V. m. Abs. 1 Nr. 1 HGB)
Aufbewahrung Buchungsbelege	8 Jahre, seit 1.1.2025 (§ 257 Abs. 4 i. V. m. Abs. 1 Nr. 4 HGB)
Aufbewahrung Handelsbriefe / sonstige	6 Jahre (§ 257 Abs. 4 i. V. m. Abs. 1 Nr. 2, 3 HGB)
Steuerliche Aufbewahrung	parallel nach § 147 AO (10 / 8 / 6 Jahre)
Bußgeldrahmen bei Verstoß	bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. a)

Geltungsbereich

Der Grundsatz gilt für jede Verarbeitung personenbezogener Daten im Anwendungsbereich der DSGVO (Art. 2, Art. 3) und richtet sich an den Verantwortlichen i. S. v. Art. 4 Nr. 7 sowie den Auftragsverarbeiter. Er ist kein eigenständiger Erlaubnistatbestand, sondern ein übergreifender Verarbeitungsgrundsatz, der neben Rechtmäßigkeit (lit. a), Zweckbindung (lit. b), Datenminimierung (lit. c) und Richtigkeit (lit. d) steht. Maßgeblich ist nicht der Zeitpunkt der Erhebung, sondern der fortlaufende Erforderlichkeitsbezug: Sobald die Daten für den ursprünglichen Zweck nicht mehr benötigt werden und kein anderer zulässiger Zweck oder keine Aufbewahrungspflicht besteht, ist die Speicherung zu beenden.

Verhältnis zu gesetzlichen Aufbewahrungspflichten

Die Speicherbegrenzung wird durch gesetzliche Aufbewahrungspflichten begrenzt. Solange eine solche Pflicht besteht, ist die Löschung weder zulässig noch geboten; einschlägig sind insbesondere:

§ 257 Abs. 4 HGB: Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse und Lageberichte (Abs. 1 Nr. 1) 10 Jahre; Buchungsbelege (Abs. 1 Nr. 4) 8 Jahre (verkürzt von 10 auf 8 Jahre durch das Vierte Bürokratieentlastungsgesetz, verkündet am 29.10.2024, anwendbar auf Belege, deren Frist am 1.1.2025 noch nicht abgelaufen war); empfangene und abgesandte Handelsbriefe (Abs. 1 Nr. 2, 3) 6 Jahre.
§ 147 Abs. 3 AO: spiegelbildliche steuerliche Aufbewahrungsfristen (10 / 8 / 6 Jahre).

Während der laufenden Aufbewahrungsfrist empfiehlt sich eine Einschränkung der Verarbeitung nach Art. 18 DSGVO: Die Daten werden für den eigentlichen Geschäftsbetrieb gesperrt und nur noch zum gesetzlichen Aufbewahrungszweck vorgehalten, bis die Frist abläuft und endgültig gelöscht werden kann.

Umsetzung: Löschkonzept und Löschfristen

Aus dem Zusammenspiel von Speicherbegrenzung (Art. 5 Abs. 1 lit. e) und Rechenschaftspflicht (Art. 5 Abs. 2) folgt, dass der Verantwortliche die Einhaltung nachweisen können muss. In der Praxis geschieht dies über ein Löschkonzept, das Datenarten erfasst, je Datenart eine Löschfrist und einen Fristbeginn festlegt, Verantwortlichkeiten zuweist und die Löschung dokumentiert. Es gibt keine einheitliche gesetzliche Speicherfrist für alle Daten – die Frist ergibt sich aus dem Verarbeitungszweck und etwaigen Aufbewahrungspflichten. Als methodische Referenz wird häufig die Norm DIN 66398 (Leitlinie zur Entwicklung eines Löschkonzepts) herangezogen; ihr Volltext ist urheberrechtlich geschützt und hier nicht wiedergegeben.

Ausnahmen

Eine über die Zweckerreichung hinausgehende Speicherung ist nach Art. 5 Abs. 1 lit. e Hs. 2 nur zulässig, soweit die Daten ausschließlich verarbeitet werden für:

im öffentlichen Interesse liegende Archivzwecke,
wissenschaftliche oder historische Forschungszwecke oder
statistische Zwecke

jeweils gemäß Art. 89 Abs. 1 DSGVO und unter der Voraussetzung, dass geeignete technische und organisatorische Maßnahmen (z. B. Pseudonymisierung) zum Schutz der Rechte und Freiheiten der betroffenen Person getroffen werden. Daneben kann eine fortdauernde Speicherung durch eine gesetzliche Aufbewahrungspflicht (siehe oben) gerechtfertigt sein.

Häufige Fehler

„Anonymisierte Daten löschen": Eine echte Anonymisierung beendet den Personenbezug und genügt der Speicherbegrenzung ebenso wie die Löschung – die Daten fallen dann aus dem Anwendungsbereich der DSGVO. Eine bloße Pseudonymisierung reicht hierfür nicht, da der Personenbezug wiederherstellbar bleibt.
„Aufbewahrungspflicht = Daueraufbewahrung": Nach Ablauf der handels- bzw. steuerrechtlichen Frist entfällt der Rechtfertigungsgrund; die Daten sind dann zu löschen.
„Aufbewahren auf Vorrat, falls man sie noch braucht": Wirtschaftliche Bequemlichkeit, mögliche künftige Nutzung oder Marketinginteressen rechtfertigen keine Speicherung über den Zweck hinaus.
Fehlender Fristbeginn: Ohne definierten Startzeitpunkt je Datenart lässt sich die Löschfrist nicht rechtssicher berechnen.

Beispiel

Ein Online-Händler speichert Bestelldaten eines Kunden. Der unmittelbare Verarbeitungszweck (Vertragsabwicklung, Gewährleistung) ist nach einigen Jahren erfüllt. Die in der Rechnung enthaltenen Daten unterliegen jedoch als Buchungsbeleg der Aufbewahrungspflicht nach § 257 Abs. 1 Nr. 4 HGB und sind daher 8 Jahre (Belege ab 2025) aufzubewahren. Der Händler schränkt die Verarbeitung nach Art. 18 DSGVO ein (kein Marketing, kein operativer Zugriff mehr) und löscht den Datensatz nach Ablauf der achtjährigen Frist – gerechnet ab Schluss des Kalenderjahres, in dem der Beleg entstanden ist (§ 257 Abs. 5 HGB).

Quellen

Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, Art. 5 (Volltext, EUR-Lex):: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A
§ 257 HGB – Aufbewahrung von Unterlagen, Aufbewahrungsfristen (gesetze-im-internet.de):: https://www.gesetze-im-internet.de/hgb/__257.html A
§ 147 AO – Ordnungsvorschriften für die Aufbewahrung von Unterlagen (gesetze-im-internet.de):: https://www.gesetze-im-internet.de/ao_1977/__147.html A
§ 35 BDSG – Recht auf Löschung (gesetze-im-internet.de):: https://www.gesetze-im-internet.de/bdsg_2018/__35.html A
Datenschutzkonferenz (DSK) – Kurzpapier Nr. 11 „Recht auf Löschung / Recht auf Vergessenwerden" (PDF):: https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_11.pdf B

Stand:: 2026-05-31
Gültig ab:: 2018-05-25 (Geltungsbeginn der DSGVO)
Status:: aktuell
Quellenautorität:: A (EUR-Lex, gesetze-im-internet.de; ergänzend DSK)
Lizenz:: CC BY 4.0

Fehler gefunden? Bitte melden an