Die meisten Unternehmen, die wir prüfen, haben eine gemeinsame Aufbewahrungsrichtlinie: „Wir behalten alles, für alle Fälle." Das ist keine Richtlinie — das ist ihre Abwesenheit. Und sie kostet reales Geld, erzeugt reales Risiko und kann bei einer DSGVO-Prüfung auf unerwartete Weise zubeißen.
Datenaufbewahrung ist kein juristisches Thema für Konzerne. Es ist ein operatives Thema für jedes Unternehmen, das E-Mail, eine Ablage, ein ERP und mindestens einen Mitarbeitenden hat. Wir zeigen, wie man Regeln in der Praxis aufsetzt — Regeln, die sich in wenigen Tagen umsetzen lassen, ohne neue Software zu kaufen und ohne dreimonatiges Projekt.
Warum es nicht nur um die DSGVO geht
Die DSGVO ist der offensichtliche Grund, über Aufbewahrung nachzudenken („personenbezogene Daten nur so lange, wie es der Zweck erfordert"). Aber im Alltag eines polnischen KMU sind personenbezogene Daten vielleicht 5% des Problems. Der Rest ist:
- Backup-Kosten. Backup wächst linear mit dem Datenvolumen. Wenn du 8 TB speicherst, davon 5 TB alte Marketing-Dateien aus 2019, zahlst du dafür jeden Monat — endlos.
- Such-Kosten. Die Suche in SharePoint, Outlook oder im ERP wird schlechter, je mehr Müll sie durchpflügen muss. Copilot und interne KI leiden noch stärker — sie zitieren veraltete Dokumente als Quelle der Wahrheit.
- Leak-Risiko. Daten, die du nicht mehr brauchst, können genauso lecken wie die, die du brauchst. Nur nützt dieses Leck niemandem, während der Schaden identisch ist.
- Prozessrisiko. Ein alter Vertragsentwurf im E-Mail-Archiv, an den sich niemand erinnert, kann plötzlich zum entscheidenden Beweis gegen dich in einem Streit mit einem ehemaligen Mitarbeitenden oder Lieferanten werden.
Aufbewahrung heißt also nicht nur „wie lange darf ich behalten". Es heißt auch „wie lange sollte ich behalten, bevor ich mir ins Bein schieße".
Regel 1 — drei Kübel, nicht dreißig
Der häufigste Fehler: Ein Unternehmen versucht, für jeden Dokumententyp einzeln Aufbewahrungsregeln aufzustellen. Nach zwei Meetings entsteht eine 40-seitige Tabelle, die im Ordner „Unternehmensrichtlinien" landet und nie wieder geöffnet wird.
In der Praxis reichen für ein 10–50-Personen-Unternehmen drei Kübel:
- Buchhaltungs- und Steuerdaten — Ausgangs- und Eingangsrechnungen, Steuerbuch (KPiR), JPK-Dateien, Erklärungen. Das polnische Steuer- und Buchhaltungsrecht ist eindeutig: 5 Jahre ab Ende des Jahres, in dem die Steuerpflicht entstand. Behalte sie sicherheitshalber 6.
- Personaldaten — Personalakten, Lohnabrechnungen. Für Beschäftigte, die ab 2019 eingestellt wurden: 10 Jahre ab Ende des Jahres des Beschäftigungsendes. Für ältere Fälle: 50 Jahre, außer es wurde eine ZUS-RIA-Meldung erstattet. Kürze das nicht ab — die Arbeitsaufsicht versteht keinen Spaß.
- Alles Übrige — E-Mails, Angebote, Projekte, Entwürfe. Standardregel: 3 Jahre, außer es gibt einen konkreten Grund, länger zu behalten. Drei Jahre entsprechen den meisten Verjährungsfristen im polnischen Zivilrecht für gewerbliche Ansprüche.
Drei Kübel, drei Fristen. Neunzig Prozent deiner Daten liegen in Kübel drei — und dort steckt das gesamte Aufräumpotenzial.
Regel 2 — das Gesetz gibt das Minimum, die Kosten setzen das Maximum
Viele Unternehmerinnen denken über Aufbewahrung als einseitige Pflicht: „Ich muss X mindestens Y Jahre behalten." Das ist nur die halbe Geschichte.
Die DSGVO drückt in die andere Richtung: Personenbezogene Daten dürfen nicht länger aufbewahrt werden als nötig. Wenn dein CRM seit 8 Jahren die E-Mail-Adresse eines Leads hält, mit dem du 2018 einmal gesprochen hast und aus dem nichts wurde, verstößt du formal gegen die DSGVO. Praktisch verfolgt das niemand — bis du ein Leck hast und die Datenschutzbehörde hinschaut.
Genauso mit Personaldaten. Bewerbungsunterlagen abgelehnter Kandidat:innen „für die Zukunft, für alle Fälle" ohne frische Einwilligung zu behalten, ist ein Klassiker unter den DSGVO-Verstößen in KMU. Zwei Jahre nach dem Gespräch haben diese CVs keinen Wert — sie sind reines Risiko.
Fazit: Jede Kategorie hat ein gesetzliches Minimum (nicht kürzer als X) und ein vernünftiges Maximum (nicht länger als Y). Aufbewahrung ist das Fenster dazwischen, nicht „solange die Platte mitmacht".
Regel 3 — Löschen automatisieren, nicht auf Disziplin hoffen
Eine Regel, die niemand befolgt, ist keine Regel. Sie ist ein Absatz in einem Dokument.
Konkret heißt das: Aufbewahrung muss in die Werkzeuge eingebaut sein, nicht in die To-do-Liste der Mitarbeitenden. Praktisch:
- In Microsoft 365 / SharePoint — Retention Policies (Purview) verwenden. Du kannst „diesen Ordner: 3 Jahre ab letzter Änderung, dann löschen" einstellen. Läuft automatisch, niemand merkt es.
- Im ERP — die meisten Systeme lassen einen Kunden als geschlossen / archiviert markieren, mit automatischer Maskierung personenbezogener Daten nach X Jahren ohne Transaktion.
- In E-Mail-Postfächern — Archivregeln in Exchange oder Google Workspace. „Nachrichten älter als 5 Jahre in Ordner X: löschen" ist eine Regel, ein Klick.
- Im Backup — eine Medien-Aufbewahrungsrichtlinie: täglich 30 Tage, wöchentlich 12 Wochen, monatlich 12 Monate, jährlich 6 Jahre. Der Rest wird automatisch entfernt.
„Jemand wird den Ordner einmal im Quartal aufräumen" funktioniert nie. Das haben wir in Dutzenden Firmen verifiziert.
Regel 4 — E-Mail ist kein Archiv
Im polnischen KMU ist die E-Mail meistens die größte einzelne Ablage für Firmendaten. Nicht weil das so sein sollte — weil es so ist. Alles läuft per Mail: Verträge, Angebote, Rechnungen, Steuerformulare, Passwörter, Ausweiskopien.
Das ist ein Aufbewahrungsproblem, aber vor allem ein Problem des Ortes, an dem diese Daten liegen. E-Mail ist nicht für Ablage gebaut. Keine Versionierung, keine Berechtigungen auf Dokumentebene, keine sinnvolle Suche in Anhängen, keine automatische Klassifizierung.
Das Beste, was du für die Aufbewahrung von E-Mails tun kannst, ist: das Wichtige herauslösen und dorthin legen, wo es hingehört. Rechnungen → in die Buchhaltung. Verträge → in den Kundenordner in SharePoint. Ausweiskopien → in die Personalakte (und aus der E-Mail entfernen). Danach kann die E-Mail selbst kürzer leben — weil das Wichtige bereits anderswo liegt.
Ein konkretes Beispiel
Bei einem unserer Kunden — einem 22-Personen-Ingenieurbüro mit Microsoft 365 und Comarch Optima — ergab ein Speicher-Audit 4,7 TB Daten in SharePoint und OneDrive, davon 3,1 TB Dateien, die seit über 5 Jahren nicht mehr verändert wurden: hauptsächlich Kopien alter Angebote, Projekt-Entwürfe, heruntergeladene Berichte und das gesamte Vor-2018-Archiv der Migration vom lokalen Fileserver.
Statt eines „großen Aufräumens"-Projekts (das immer nach einer Woche stirbt) haben wir drei Dinge eingeführt: eine Purview-Aufbewahrungsrichtlinie für Projektordner (5 Jahre ab Projektabschluss → löschen), Archivregeln für Postfächer (älter als 3 Jahre → Archiv, älter als 5 → löschen), und ein einmaliges Aufräumen des Ordners „alte Projekte" nach manueller Durchsicht durch die Leitung (2 Tage Arbeit, nicht eine Woche).
Nach drei Monaten: das Backup-Volumen sank um 42% (von 4,7 TB auf 2,7 TB), die monatlichen O365-Speicherkosten fielen um mehrere hundert Zloty, und die SharePoint-Suche lieferte sinnvolle Treffer in den ersten zehn Ergebnissen statt auf Seite drei. Zusätzlich konnte das Unternehmen zum ersten Mal ehrlich auf die Frage der DSGVO-Prüfung antworten: „Wie sind eure Aufbewahrungsfristen für personenbezogene Kundendaten?"
Wie du anfängst
Ein praktischer Vier-Wochen-Plan:
- Woche 1. Inventur: Wo liegen die Daten. SharePoint / OneDrive / lokaler Server / persönliche Laufwerke / E-Mail / ERP / CRM. Größe jedes Ortes. Ohne das weißt du nicht, was du bearbeitest.
- Woche 2. Lege die drei Kübel fest (Buchhaltung / Personal / Rest) und schreibe sie auf eine A4-Seite. Stimme die Fristen mit deiner Buchhalterin und der Personalstelle ab, damit alles rechtskonform ist.
- Woche 3. Aktiviere die Aufbewahrungsrichtlinien in den Werkzeugen — zuerst für E-Mail (am einfachsten), dann für SharePoint (Purview). Beginne mit weicher Löschung (in den Papierkorb) für ein paar Wochen, um zu sehen, ob nichts Wichtiges verschwindet.
- Woche 4. Einmaliges Aufräumen des größten Ordners mit alten Dateien. Ziehe die Abteilungsleitungen hinzu — sie wissen am besten, was noch gebraucht wird und was Geschichte ist.
Vier Wochen und ein paar Stunden pro Woche — und du zahlst nicht mehr fürs Backup der Daten von 2019 und die Suche liefert wieder brauchbare Ergebnisse.
Wann es sich lohnt zu fragen
Datenaufbewahrung in einem Unternehmen mit einem einzigen Gmail-Postfach und einem Desktop-Ordner ist trivial. In einem Unternehmen mit Microsoft 365, einem lokalen Fileserver, zwei ERPs, einem Cloud-CRM und sechs Personen mit „ihren Ordnern auf dem Netzlaufwerk" ist es ein Projekt. Kein schweres, aber eines mit Entscheidungen — und die trifft man besser mit jemandem, der die Konsequenzen jeder Option kennt.
Wenn du die Aufbewahrung in deinem Unternehmen ordnen willst, aber nicht weißt, wo du anfangen sollst — sprechen wir. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
„Alles behalten, für alle Fälle" ist keine Vorsicht — es ist eine aufgeschobene Entscheidung, für die du jeden Monat die Backup-Rechnung bezahlst.