Speicherbegrenzung

Definition: Speicherbegrenzung (englisch: Storage Limitation) ist eines der in Art. 5 Abs. 1 lit. e der Datenschutz-Grundverordnung (DSGVO) verankerten Grundprinzipien für die Verarbeitung personenbezogener Daten. Es besagt, dass personenbezogene Daten nur so lange in einer Form gespeichert werden dürfen, die die Identifizierung der betroffenen Personen ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Längere Speicherungen sind nur zulässig, soweit die Daten ausschließlich für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Art. 89 Abs. 1 DSGVO verarbeitet werden, und sofern die in dieser Verordnung genannten geeigneten technischen und organisatorischen Maßnahmen getroffen werden, um die Rechte und Freiheiten der betroffenen Person zu wahren. Das Prinzip der Speicherbegrenzung ist Ausdruck des datenschutzrechtlichen Verhältnismäßigkeitsgrundsatzes: Daten sollen nicht auf Vorrat gehalten werden, sondern nur so lange wie notwendig. Es verpflichtet Verantwortliche dazu, für jede Kategorie personenbezogener Daten eine konkrete Aufbewahrungsfrist zu definieren und deren Einhaltung durch geeignete technische Löschroutinen sicherzustellen.

Erläuterung

Das Prinzip der Speicherbegrenzung klingt simpel, ist in der betrieblichen Praxis jedoch eine der komplexeren datenschutzrechtlichen Anforderungen. Die Schwierigkeit liegt nicht in der Norm selbst, sondern in der Vielzahl unterschiedlicher Datenkategorien, unterschiedlicher Systeme und — vor allem — im Spannungsverhältnis zwischen dem datenschutzrechtlichen Gebot der zügigen Löschung und gesetzlichen Aufbewahrungspflichten aus anderen Rechtsbereichen.

Im Online-Marketing und im digitalen Geschäftsbetrieb entstehen personenbezogene Daten in hoher Geschwindigkeit und in vielen verschiedenen Systemen gleichzeitig: CRM-Daten, Webanalyse-Logs, E-Mail-Verteiler, Kaufhistorien, Supporttickets, Werbekonten-Daten, Zahlungsdaten, Retargeting-Zielgruppen — all diese Datenquellen müssen einer systematischen Löschfristplanung unterzogen werden. Fehlt eine solche Planung oder wird sie nicht konsequent umgesetzt, ist dies ein Verstoß gegen Art. 5 Abs. 1 lit. e DSGVO, der im Rahmen von Datenschutzprüfungen regelmäßig beanstandet wird.

Das maßgebliche Kriterium für die Dauer der Speicherung ist der Verarbeitungszweck. Solange der Zweck, für den die Daten erhoben wurden, noch besteht, dürfen die Daten aufbewahrt werden — aber nicht länger. Entfällt der Zweck, beginnt die Löschfrist zu laufen. Für viele Datenkategorien im Marketing gibt es keine gesetzlich festgelegte Frist; der Verantwortliche muss diese eigenverantwortlich und verhältnismäßig bestimmen und dokumentieren. Typische Orientierungswerte aus der Praxis: E-Mail-Adressen inaktiver Newsletter-Abonnenten nach 12 bis 24 Monaten ohne Öffnung oder Klick, CRM-Daten zu Leads ohne Konversion nach 6 bis 12 Monaten, Webserver-Logs nach 7 bis 30 Tagen, Analytics-Session-Daten nach 14 bis 90 Tagen je nach Konfiguration.

Das Spannungsverhältnis zur gesetzlichen Aufbewahrungspflicht ist in der Praxis eine der häufigsten Herausforderungen. Handels- und steuerrechtliche Normen (§ 257 HGB, § 147 AO) schreiben für Handelsbriefe und Buchungsbelege Aufbewahrungsfristen von 6 bzw. 10 Jahren vor. Für Rechnungen und bestellungsbezogene Daten dürfen diese Fristen daher nicht unterschritten werden, auch wenn die DSGVO grundsätzlich zur zügigen Löschung auffordert. Der Ausweg liegt in der Einschränkung der Verarbeitung: Daten, die nur noch aus gesetzlichen Aufbewahrungsgründen vorhanden sind, sollten technisch gesperrt werden, sodass sie für aktive Marketingzwecke nicht mehr genutzt werden können.

Typische Speicherfristen im Online-Marketing

• Webserver-Logs und Zugriffsprotokolle: 7 bis 30 Tage. Ausnahmsweise länger bei konkretem Sicherheitsverdacht oder laufenden Untersuchungen.
• Web-Analytics-Daten (Nutzungsdaten): 14 Tage bis 25 Monate je nach Tool und Konfiguration. Google Analytics 4 ermöglicht die Einstellung von bis zu 14 Monaten für individuelle Ereignisdaten.
• E-Mail-Marketing-Adressen (aktive Abonnenten): Solange die Einwilligung besteht und der Abonnent aktiv ist. Bei Inaktivität (kein Öffnen, kein Klick) Überprüfung nach 12 bis 24 Monaten; Wiederaktivierungskampagne oder Löschung.
• CRM-Daten (Kundenbeziehungen): Während der Vertragsbeziehung zuzüglich handels- und steuerrechtlicher Fristen (6 bis 10 Jahre für buchhalterisch relevante Daten).
• Remarketing-Listen: 30 bis 90 Tage für die meisten Kampagnenzwecke. Längere Fristen nur bei konkretem Bedarf und entsprechender Begründung.
• Einwilligungsnachweise: Mindestens so lange wie die Einwilligung besteht, plus eventuelle Verjährungsfristen für Ansprüche (3 Jahre nach BGB). Empfohlen werden 3 bis 5 Jahre nach Ende der Nutzung.

Praktische Umsetzung: Das Löschkonzept

• Datenkategorien-Inventar: Vollständige Bestandsaufnahme aller im Unternehmen verarbeiteten personenbezogenen Datenkategorien als Grundlage für das Löschkonzept.
• Fristen definieren und dokumentieren: Für jede Datenkategorie eine konkrete Löschfrist festlegen, die Rechtsgrundlage dokumentieren und im Verarbeitungsverzeichnis (Art. 30 DSGVO) verankern.
• Technische Löschroutinen: Automatisierte Prozesse einrichten, die Datensätze nach Ablauf der Frist löschen oder anonymisieren — ohne manuelle Eingriffe als alleinige Sicherung.
• Backups berücksichtigen: Eine Regelung für die Behandlung personenbezogener Daten in Backups und Archiven treffen. Für Backups bieten sich rollierende Löschzyklen oder die Dokumentation an, dass bei Wiederherstellung bereits gelöschte Daten nicht reaktiviert werden.
• Regelmäßige Überprüfung: Das Löschkonzept sollte mindestens einmal jährlich oder bei wesentlichen Änderungen der Verarbeitungslandschaft überprüft und aktualisiert werden.