Aufbewahrungs- und Löschkonzepte für E-Mails

Aufbewahrungs- und Löschkonzepte für E-Mails

Löschkonzepte gehören zu den größten Datenschutz‑Baustellen in Unternehmen. Wenn Löschroutinen nicht von Anfang an geplant werden, wird die spätere Umsetzung teuer und kompliziert. Ein häufiger Fehler: Man denkt in Systemen – dabei ist ein verarbeitungsbezogenes Löschkonzept wesentlich sinnvoller.

Beispiel:

CRM-Daten werden automatisch nach Frist X gelöscht. Gleichzeitig liegen aber dieselben Kundendaten weiterhin in unzähligen E-Mails der Mitarbeitenden – ohne Löschregeln. Damit ist das CRM‑Löschkonzept zwar nicht wertlos, jedoch nur ein Baustein für das Löschkonzept der Kundendaten.

Ein Löschkonzept muss daher alle Systeme einbeziehen, die in einer Verarbeitung genutzt werden: E-Mail‑Postfächer, Ordnerstrukturen, CRM/ERP/Ticketsysteme usw. Gerade E-Mail-Konten sind aus Datenschutzsicht ein großes Risiko: unklare Inhalte, enorme Datenmengen, teils sensible Daten, keine klaren Löschroutinen.

Welche Daten stecken überhaupt in E-Mails?

Technisch besteht eine E-Mail aus:

Header: Absender, Empfänger, Betreff, Zeitstempel
Server-Logfiles: Verkehrsdaten (Absender, Empfänger, Versandzeit)
Text: Nachricht, Signaturen
Anhänge: Dokumente, Bilder, PDFs

Der Text sowie die Anhänge können alles Mögliche enthalten: Vertragsunterlagen, Beschwerden, Bewerbungen, Krankmeldungen, interne Kommunikation usw. E‑Mails sind damit ein Sammelbecken verschiedenster personenbezogener Daten – oft viel mehr, als man denkt.

Welche Pflichten ergeben sich aus der DSGVO?

Relevant sind vor allem:

Datenminimierung
Speicherbegrenzung

E-Mails dürfen nur so lange gespeichert werden, wie es der Zweck erfordert. Unternehmen müssen außerdem nachweisen können, dass Löschprozesse existieren und funktionieren. Besonders kritisch: E-Mail-Verläufe, Weiterleitungen oder Anhänge erzeugen schnell unnötige Mehrfachspeicherungen - auch dies widerspricht dem Grundsatz der Datenminimierung.

Welche Aufbewahrungspflichten gelten?

E-Mails dürfen nicht gelöscht werden, wenn gesetzliche Pflichten entgegenstehen – z. B. aus dem Handels- und Steuerrecht:

Wenn E-Mails Handels- und Geschäftsbriefe sind: 6 Jahre (§ 147 AO, § 257 HGB) (Aufträge, Bestätigungen, Rechnungen, Reklamationen, Vertragsunterlagen)
Rechnungen nach UStG: 8 Jahre

Weitere mögliche Pflichten ergeben sich z. B. aus:

Arbeitszeitgesetz (ArbZG)
Gesetz zur Verbesserung der betrieblichen Altersversorgung (BetrAVG)
Gesetz über die Durchführung von Maßnahmen des Arbeitsschutzes zur Verbesserung der Sicherheit und des Gesundheitsschutzes der Beschäftigten bei der Arbeit (ArbSchG)
Gesetz zur Regelung der Arbeitnehmerüberlassung (AÜG)
u.v.m.

Weitere Rechtsgrundlagen für eine Aufbewahrung

Über die Aufbewahrungspflichten hinaus kann ein Unternehmen oder auch ein Dritter ein berechtigtes Interesse (Art. 6 Abs. 1 S. 1 lit. f DSGVO) an der Aufbewahrung von E-Mails haben, z. B.

aufgrund von Verjährungsfristen im Zivilrecht,
zur Beweissicherung für Rechtsstreitigkeiten,
zur Aufklärung von Straftaten
zum Wissensmanagement oder zur Nachvollziehbarkeit bei Personalwechseln.

Aber: „Könnte man irgendwann gebrauchen“ reicht nicht. Wissen kann z. B. oft ohne Personenbezug gespeichert werden – dafür sollte ein zentrales Wissensmanagement eingerichtet werden.

Wie setze ich ein Löschkonzept für E-Mails um?

1. Regeln für die Zukunft festlegen

Neue E-Mails sofort in die richtigen Systeme überführen und dort speichern, danach im Mailprogramm löschen
Alternativ: Unterordner im E-Mail-Postfach, sortiert nach Löschfristen oder Themen
Löschfristen festlegen
Löschwecker und wenn möglich technische Automatismen benutzen
Löschvorgänge dokumentieren (Nachweis gegenüber Behörden)

2. Sensible Daten besonders behandeln

Dazu gehören z. B. Krankmeldungen, Bewerbungen, BEM-Unterlagen.

Beispiel: Bewerbungen spätestens 6 Monate nach Abschluss des Verfahrens oder der Absage löschen.

3. Mail-Archiv nutzen

Wenn eine sofortige Löschung nicht möglich ist:

E-Mails nach einem festen Zeitraum ins Archiv verschieben
Zugriffe beschränken und protokollieren
Klare Richtlinien, wann ein Zugriff erlaubt ist

Als Praxisregel bietet sich an, alle E-Mails, die älter als 1 Jahr sind, ins Archiv zu verschieben. Braucht jemand eine E-Mail länger, muss er/sie begründen können, warum und diese E-Mails aktiv der Archivierung entziehen. Für diese Entscheidung sollte es Richtlinien geben, mit denen man eine Rechtsgrundlage darlegen kann.

4. Altbestand aufräumen

Per Suche nach relevanten E-Mails filtern
Benötigte Inhalte in die richtigen Systeme (z. B. CRM, Buchhaltung, Vertragsmanagement) überführen
Rest in Archiv schieben (mit definierten Löschfristen)
E-Mails älter als 10 Jahre kann man meist direkt löschen

Was bedeutet das für die Praxis?

Unternehmen sollten klare Regeln definieren, welche E‑Mails aufbewahrt werden müssen und welche nicht.
Eine Clusterung (z. B. nach Fristen und Themen) schafft Ordnung und erleichtert die tägliche Anwendung.
Automatisierte Löschfristen, ein revisionssicheres Archiv und ein sauberes Rechtekonzept sind unverzichtbare technische Bausteine.
Informationen, die langfristig benötigt werden, sollten in strukturierten Dokumenten abgelegt werden – nicht als „E‑Mail‑Gedächtnis“.
Verantwortliche müssen in der Lage sein, jederzeit nachzuweisen, wie gelöscht und archiviert wird (Rechenschaftspflicht).
Für den Altbestand gilt: Sensible E‑Mails gezielt bereinigen, Aufbewahrungspflichten prüfen, alles Weitere ins Archiv verschieben und nach 10 Jahren löschen.

Kurz gesagt:

Ein professionelles Löschkonzept reduziert Risiken, schützt Betroffene und verbessert die digitale Hygiene im Unternehmen – nachhaltig und praxistauglich.

Wir unterstützen Sie gerne dabei, praxistaugliche Regelungen zu erarbeiten.