Welche Daten muss man aufbewahren oder löschen?

Die Aufbewahrung und die Löschung kaufmännischer Unterlagen, insbesondere die, die personenbezogene Daten enthalten, sind durch nationale und internationale Vorschriften geregelt. Die Gesetze, die teils konträr ausgelegt sind, werfen in der Praxis viele Fragen auf. Immer mehr Verantwortliche greifen daher auf sogenannte Data-Retention-Management-Systeme (DRMS) zurück, um den Beginn der Aufbewahrung, die Aufbewahrungsfrist und den Löschprozess für jedes ihrer steuerlich relevanten Dokumente eindeutig festzulegen und die Unterlagen somit gesetzeskonform verwalten zu können.

Viele Unternehmen können nur schwer beurteilen, welche Unterlagen über welchen Zeitraum aufzubewahren und wann sie zu löschen sind, berichtet Thomas Zarski, unabhängiger Technologieberater mit dem Schwerpunkt Dokumentenmanagement. Um zu einer Entscheidung zu gelangen, sind verschiedene Aspekte zu betrachten. Die Frage, wann die Aufbewahrungsfrist beginnt, richtet sich nach der letzten vorgenommenen Handlung in einem steuerlich relevanten geschäftlichen Prozess. Es gilt, genau zu prüfen, welches die letzte Aktion war und wann sie stattgefunden hat. Dabei ist der gesamte sachliche Zusammenhang über die verschiedenen Organisationseinheiten und über die gesamte IT des Unternehmens hinweg zu betrachten.

Aufbewahrungsfrist versus Löschfrist

„Häufig wird im Zusammenhang mit der Festlegung der Aufbewahrungsfristen der Begriff der Löschfrist synonym verwendet“, berichtet Zarski. Dieser Begriff ist jedoch irreführend: Er suggeriert fälschlicherweise einen Zeitraum, innerhalb dessen die Löschung vorgenommen werden kann. Sofern keine Löschhemmnisse bestehen, fordert der Gesetzgeber aber nach Ablauf der Aufbewahrungsfrist die unverzügliche Löschung der Unterlagen. „Nur in begründeten Fällen kann die Löschung temporär ausgesetzt werden“, ergänzt der IT-Fachmann.

Aus Gründen der Zusammengehörigkeit mit anderen Unterlagen eines Vorgangs ist eine Löschung einzelner Daten und Dokumente oft nicht möglich, auch wenn juristische Vorschriften dies erfordern. Zudem ist eine selektive Datenlöschung auf Sicherungskopien in der Regel technisch kaum realisierbar; gesetzliche Aufbewahrungsfristen werden somit immer wieder zwangsweise überschritten. Um datenschutzrechtlich vertretbare Aufbewahrungsfristen umsetzen zu können, wären Aufbewahrungsregeln für Sicherungskopien mit personenbezogenen Daten erforderlich und es müsste im Vorfeld definiert werden, wie Datenbestände auf Sicherungskopien aufzuteilen sind.

Technische Aufbewahrungs- und Löschkonzepte

Als Ausweg aus diesem Dilemma empfiehlt Zarski technische Aufbewahrungs- und Löschkonzepte. Sie ermöglichen es, die rechtskonforme und systematische Aufbewahrung und Löschung von Unterlagen sicherzustellen. „So ein Konzept sollte grundsätzlich unabhängig von der zurzeit in den Firmen eingesetzten IT entwickelt werden“, erklärt der Berater, der bereits etliche dieser Lösungen für Unternehmen entworfen hat. Als Grundlage dienen tragfähige Kompromisse zwischen den rechtlichen Vorgaben einerseits und den technischen Möglichkeiten der IT andererseits. Bieten die vorhandenen Systeme beispielsweise keine Löschmöglichkeit, so tritt an die Stelle der Löschung eine Einschränkung der Verarbeitung.

Einsatz von Data-Retentsion-Management-Systemen

Für die gesetzeskonforme Aufbewahrung und Löschung von Unterlagen mit personenbezogenen Daten bieten sich eigens hierfür entwickelte Data-Retention-Management-Systeme an, die unabhängig von branchen- oder rechtsspezifischen Aufbewahrungspflichten einsetzbar sind. Sie verwalten eine Vielzahl von Informationen und Übersichten, zum Beispiel zu Datenarten, Dokumenttypen, Aufbewahrungsfristen, -klassen und -regeln, Löschhemmnissen, -sperren-, und -regeln sowie Berechtigungen und Rollen.

Grundlage eines DRMS ist das Fristenmodell. Es definiert die Aufbewahrungsregeln, Zeitpunkte und Zeiträume, nach denen die Unterlagen in dem System bewirtschaftet werden. Es legt also fest, ab wann und über welchen Zeitraum hinweg die Dokumente aufzubewahren sind. Durch das Setzen von Sperren können Verantwortliche wie Geschäftsführer oder die Rechtsabteilung das Löschen von Unterlagen verhindern, wenn die Dokumente nach Ablauf der Aufbewahrungsfrist noch für juristische Verfahren oder steuerliche Prüfungen benötigt werden. Erfolgte Löschungen werden protokolliert, wobei auch diese Protokolle aus Datenschutzgründen nicht dauerhaft aufbewahrt werden dürfen.

„In Zeiten fortschreitender Digitalisierung und wachsender Informationsmengen bieten DRMS die Möglichkeit, den Überblick über die gespeicherten Unterlagen zu behalten, die Aufbewahrung der Unterlagen effizient und ihre Löschung effektiv zu gestalten“, stellt Zarski fest. Interessierten Unternehmen stellt er eine Abfassung der rechtlichen Problematik und der Lösungsmöglichkeiten zur Verfügung.

Bildquelle: Thinkstock/iStock