Was ist Speicherbegrenzung?
Wie lange darfst du die Adresse eines Kunden aufheben, der vor fünf Jahren einmal bestellt hat? Die DSGVO beantwortet das nicht mit einer Zahl, sondern mit einem Grundsatz: der Speicherbegrenzung.
Er steht in Art. 5 Abs. 1 lit. e. Personenbezogene Daten müssen in einer Form gespeichert werden, die die Identifizierung der Personen nur so lange ermöglicht, wie es für den Zweck erforderlich ist. Erwägungsgrund 39 wird deutlicher: Die Speicherfrist soll auf das unbedingt erforderliche Mindestmaß beschränkt bleiben, und du sollst Fristen für Löschung oder regelmäßige Überprüfung vorsehen.
Was das im Alltag heißt
Der Zweck bestimmt die Dauer. Ist er erledigt, gibt es zwei Wege: löschen oder so anonymisieren, dass niemand die Person wieder herausfinden kann. Ausnahmen gibt es nur für Archivzwecke im öffentlichen Interesse, Forschung und Statistik.
- Datenschutzerklärung: Nach Art. 13 Abs. 2 lit. a musst du angeben, wie lange du Daten speicherst — oder nach welchen Kriterien du das festlegst.
- Voreinstellungen: Art. 25 Abs. 2 verlangt datenschutzfreundliche Standards auch bei der Speicherfrist.
- Nachweis: Nach der Rechenschaftspflicht in Art. 5 Abs. 2 musst du belegen können, dass du dich daran hältst. Dafür gibt es das Löschkonzept.
Gesetzliche Aufbewahrungsfristen gehen vor. Buchungsbelege bleiben 8 Jahre, Handels- und Geschäftsbriefe 6 Jahre, Bücher und Abschlüsse 10 Jahre (§ 147 Abgabenordnung, § 257 Handelsgesetzbuch). Aber nur diese Unterlagen, nicht der ganze Kundendatensatz.
Zwei Fälle, die zeigen, worum es geht
Deutsche Wohnen: Der Immobilienkonzern hatte Gehaltsbescheinigungen, Kontoauszüge und Ausweiskopien früherer Mieter nicht fristgerecht gelöscht, weil das IT-System nicht rechtzeitig angepasst war. Das Landgericht Berlin I setzte dafür am 9. Juni 2026 eine Geldbuße von 900.000 Euro fest, wegen Verstoßes gegen Datenminimierung und Speicherbegrenzung. Das Urteil ist noch nicht rechtskräftig.
Digi (Ungarn): Der Telekomanbieter hielt Kundendaten in einer Testdatenbank, fast 18 Monate länger als für die Tests nötig. Der Europäische Gerichtshof entschied am 20. Oktober 2022 (C-77/21): Auch Kopien für Tests fallen unter die Speicherbegrenzung.
Beispiele aus dem Marketing
Zwei Stellen, an denen du die Speicherbegrenzung ohne großen Aufwand umsetzt.
Case A · Webanalyse
Datenaufbewahrung in GA4
2 Monate
kürzeste Option
14 Monate
längste Option
Standardberichte bleiben unberührt
Die Einstellung wirkt nur auf Explorationen und Trichter. Alter, Geschlecht und Interessen speichert Google ohnehin nur zwei Monate.
Case B · Recruiting
Bewerbung nach einer Absage
6 Monate
Höchstdauer BfDI
0
Kopien im Postfach
Nach Frist: überall löschen
Die Bundesbeauftragte für den Datenschutz hält höchstens sechs Monate nach der Absage für zulässig. Länger nur mit Einwilligung, etwa für einen Bewerberpool.
Häufige Fehler
Fehler 1 · „Für alle Fälle aufheben“
Vielleicht braucht man die Daten ja irgendwann mal? Das ist kein Zweck. Jede Speicherung braucht einen Grund, den du benennen kannst.
Fehler 2 · Kopien vergessen
Backups, Logdateien, E-Mail-Postfächer, Exporte, Testdatenbanken. Der Europäische Datenschutzausschuss sagt in seinen Leitlinien zu Art. 25: Auch für Backups und Logs musst du festlegen, welche Daten du wie lange brauchst. Der Fall Digi zeigt, dass Gerichte das ernst nehmen.
Fehler 3 · Frist nur auf dem Papier
Steht in der Datenschutzerklärung „zwei Jahre“, aber dein CRM kann gar nicht automatisch löschen, hast du ein Problem. Der Datenschutzausschuss empfiehlt, Löschungen zu automatisieren und regelmäßig zu testen.
Fehler 4 · Pseudonym mit anonym verwechseln
Ersetzt du den Namen durch eine Kundennummer, sind die Daten pseudonymisiert — und bleiben personenbezogen. Nur echte Anonymisierung ersetzt das Löschen. Laut Datenschutzausschuss musst du das Risiko, dass sich Personen doch wieder erkennen lassen, regelmäßig neu bewerten.
So setzt du es um
- Zwecke aufschreiben: Wofür nutzt du welche Daten?
- Fristen ableiten: Je Zweck eine Dauer und ein Startzeitpunkt, gesetzliche Aufbewahrung zuerst prüfen.
- Tools einstellen: GA4 unter Verwaltung, Dateneinstellungen, Datenaufbewahrung. Im CRM inaktive Kontakte regelmäßig bereinigen.
- Datenschutzerklärung anpassen: Die Speicherdauer gehört hinein.
- Regelmäßig prüfen: Einmal im Jahr durchgehen, was noch da ist und warum.
Häufige Fragen
Wie lange darf ich Kundendaten speichern?
So lange, wie der Zweck es erfordert. Dazu kommen gesetzliche Aufbewahrungsfristen, etwa 8 Jahre für Buchungsbelege und 6 Jahre für Geschäftsbriefe. Das ist keine Rechtsberatung.
Muss die Speicherdauer in der Datenschutzerklärung stehen?
Ja. Art. 13 Abs. 2 lit. a DSGVO verlangt die Dauer der Speicherung oder, falls das nicht möglich ist, die Kriterien für ihre Festlegung.
Welche Datenaufbewahrung sollte ich in GA4 wählen?
Zur Wahl stehen 2 oder 14 Monate. Die Einstellung betrifft nur Explorationen und Trichter, Standardberichte bleiben erhalten. Wähle die kürzeste Dauer, die für deine Auswertungen reicht.
Gilt die Speicherbegrenzung auch für Backups?
Ja. Laut Europäischem Datenschutzausschuss musst du auch für Backups und Logs festlegen, welche Daten du wie lange brauchst.
Was ist der Unterschied zur Datenminimierung?
Datenminimierung regelt, wie viele Daten du erhebst. Speicherbegrenzung regelt, wie lange du sie behältst. Beides sind Grundsätze aus Art. 5 DSGVO.
