Aufbewahrungs- und Löschkonzepte für E-Mails

Aufbewahrungs- und Löschkonzepte für E-Mails

Löschkonzepte gehören zu den größten Datenschutz‑Baustellen in Unternehmen. Wenn Löschroutinen nicht von Anfang an geplant werden, wird die spätere Umsetzung teuer und kompliziert. Ein häufiger Fehler: Man denkt in Systemen – dabei verlangt die DSGVO ein verarbeitungsbezogenes Löschkonzept.

Beispiel:

CRM-Daten werden automatisch nach Frist X gelöscht. Gleichzeitig liegen aber dieselben Kundendaten weiterhin in unzähligen E-Mails der Mitarbeitenden – ohne Löschregeln. Damit ist das CRM‑Löschkonzept praktisch wertlos.

Ein Löschkonzept muss daher alle Systeme einbeziehen, die in einer Verarbeitung genutzt werden: E-Mail‑Postfächer, Ordnerstrukturen, CRM/ERP/Ticketsysteme usw. Gerade E-Mail-Konten sind aus Datenschutzsicht ein großes Risiko: unklare Inhalte, enorme Datenmengen, teils sensible Daten, keine klaren Löschroutinen.

Welche Daten stecken überhaupt in E-Mails?

Technisch besteht eine E-Mail aus:

• Header: Absender, Empfänger, Betreff, Zeitstempel
• Text: Nachricht, Signaturen
• Anhänge: Dokumente, Bilder, PDFs
• Server-Logfiles: Verkehrsdaten (Absender, Empfänger, Versandzeit)

Der Inhalt sowie die Anhänge können alles Mögliche enthalten: Vertragsunterlagen, Beschwerden, Bewerbungen, Krankmeldungen, interne Kommunikation usw. E‑Mails sind damit ein Sammelbecken verschiedenster personenbezogener Daten – oft viel mehr, als man denkt.

Welche Pflichten ergeben sich aus der DSGVO?

Relevant sind vor allem:

• Datenminimierung
• Speicherbegrenzung

E-Mails dürfen nur so lange gespeichert werden, wie es der Zweck erfordert. Unternehmen müssen außerdem nachweisen können, dass Löschprozesse existieren und funktionieren. Besonders kritisch: E-Mail-Verläufe, Weiterleitungen oder Anhänge erzeugen schnell unnötige Mehrfachspeicherungen - auch dies widerspricht dem Grundsatz der Datenminimierung.

Welche Aufbewahrungspflichten gelten?

E-Mails dürfen nicht gelöscht werden, wenn gesetzliche Pflichten entgegenstehen – z. B. aus dem Handels- und Steuerrecht:

• Wenn E-Mails Handels- und Geschäftsbriefe sind: 6 Jahre (§ 147 AO, § 257 HGB) (Aufträge, Bestätigungen, Rechnungen, Reklamationen, Vertragsunterlagen)
• Rechnungen nach UStG: 8 Jahre

Weitere mögliche Pflichten ergeben sich z. B. aus:

• Arbeitszeitgesetz (ArbZG)
• Gesetz zur Verbesserung der betrieblichen Altersversorgung (BetrAVG)
• Gesetz über die Durchführung von Maßnahmen des Arbeitsschutzes zur Verbesserung der Sicherheit und des Gesundheitsschutzes der Beschäftigten bei der Arbeit (ArbSchG)
• Gesetz zur Regelung der Arbeitnehmerüberlassung (AÜG)
• u.v.m.

Weitere Rechtsgrundlagen für eine Aufbewahrung 

Über die Aufbewahrungspflichten hinaus kann ein Unternehmen oder auch ein Dritter ein berechtigtes Interesse (Art. 6 Abs. 1 S. 1 lit. f DSGVO) an der Aufbewahrung von E-Mails haben, z. B. 

• aufgrund von Verjährungsfristen im Zivilrecht,
• zur Beweissicherung für Rechtsstreitigkeiten,
• zur Aufklärung von Straftaten
• zum Wissensmanagement oder zur Nachvollziehbarkeit bei Personalwechseln.

Aber: „Könnte man irgendwann gebrauchen“ reicht nicht. Wissen kann oft ohne Personenbezug gespeichert werden – dafür sollte ein zentrales Wissensmanagement eingerichtet werden.

Wie setze ich ein Löschkonzept für E-Mails um?

1. Regeln für die Zukunft festlegen

• Neue E-Mails sofort in die richtigen Systeme überführen und dort speichern, danach im Mailprogramm löschen
• Alternativ: Unterordner im E-Mail-Postfach, sortiert nach Löschfristen oder Themen
• Löschfristen festlegen
• Löschwecker und wenn möglich technische Automatismen benutzen
• Löschvorgänge dokumentieren (Nachweis gegenüber Behörden)

2. Sensible Daten besonders behandeln

Dazu gehören z. B. Krankmeldungen, Bewerbungen, BEM-Unterlagen.

Beispiel: Bewerbungen spätestens 6 Monate nach Abschluss des Verfahrens oder der Absage löschen.

3. Mail-Archiv nutzen

Wenn eine sofortige Löschung nicht möglich ist:

• E-Mails nach einem festen Zeitraum ins Archiv verschieben
• Zugriffe beschränken und protokollieren
• Klare Richtlinien, wann ein Zugriff erlaubt ist

Als Praxisregel bietet sich an, alle E-Mails, die älter als 1 Jahr sind, ins Archiv zu verschieben. Braucht jemand eine E-Mail länger, muss er/sie begründen können, warum und diese E-Mails aktiv der Archivierung entziehen. Für diese Entscheidung sollte es Richtlinien geben, mit denen man eine Rechtsgrundlage darlegen kann.

4. Altbestand aufräumen

• Per Suche nach relevanten E-Mails filtern
• Benötigte Inhalte in die richtigen Systeme (z. B. CRM, Buchhaltung, Vertragsmanagement) überführen
• Rest in Archiv schieben (mit definierten Löschfristen)
• E-Mails älter als 10 Jahre kann man meist direkt löschen

Was bedeutet das für die Praxis?

• Unternehmen sollten klare Regeln definieren, welche E‑Mails aufbewahrt werden müssen und welche nicht.
• Eine Clusterung (z. B. nach Fristen und Themen) schafft Ordnung und erleichtert die tägliche Anwendung.
• Automatisierte Löschfristen, ein revisionssicheres Archiv und ein sauberes Rechtekonzept sind unverzichtbare technische Bausteine.
• Informationen, die langfristig benötigt werden, sollten in strukturierten Dokumenten abgelegt werden – nicht als „E‑Mail‑Gedächtnis“.
• Verantwortliche müssen in der Lage sein, jederzeit nachzuweisen, wie gelöscht und archiviert wird (Rechenschaftspflicht).
• Für den Altbestand gilt: Sensible E‑Mails gezielt bereinigen, Aufbewahrungspflichten prüfen, alles Weitere ins Archiv verschieben und nach 10 Jahren löschen.

Kurz gesagt:

Ein professionelles Löschkonzept reduziert Risiken, schützt Betroffene und verbessert die digitale Hygiene im Unternehmen – nachhaltig und praxistauglich. 

Wir unterstützen Sie gerne dabei, praxistaugliche Regelungen zu erarbeiten.