Wie lange muss eine Datenschutzerklärung nach DSGVO aufbewahrt werden?

1. Was sagt die DSGVO konkret zur Aufbewahrung?

Die Datenschutz‑Grundverordnung (DSGVO) regelt nicht die Aufbewahrung der Datenschutzerklärung als Textdokument. Stattdessen fordert sie, dass Verantwortliche die Verarbeitung personenbezogener Daten nachweisen können („Rechenschaftspflicht“, Art. 5 Abs. 2 DSGVO). Dafür müssen alle relevanten Nachweise, die die Einhaltung der Vorschriften belegen, aufbewahrt werden.

2. Welche Unterlagen müssen Sie aufbewahren?

Zu den wichtigsten Dokumenten gehören:

• Einwilligungsnachweise: Protokolle, Screenshots oder Datenbankeinträge, die belegen, dass Nutzer*innen einer Verarbeitung zugestimmt haben.
• Verarbeitungsverzeichnis: Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).
• Auftragsverarbeitungsverträge (AVV): Verträge mit Dritt‑Dienstleistern wie Google Analytics, Mailchimp oder Shopify.
• Datenschutz‑Folgenabschätzungen (DSFA): Falls erforderlich, z. B. bei umfangreicher Profilbildung.
• Kommunikation mit Aufsichtsbehörden: Schriftwechsel, Meldungen von Datenschutzverletzungen.

3. Gesetzliche Aufbewahrungsfristen im Überblick

Obwohl die DSGVO selbst keine Frist für die Datenschutzerklärung vorgibt, greifen andere Gesetze:

• Handelsgesetzbuch (HGB) & Abgabenordnung (AO): Buchhaltungsrelevante Unterlagen müssen 10 Jahre aufbewahrt werden. Das gilt nicht direkt für die Datenschutzerklärung, aber für Verträge, die daraus resultieren.
• Bürgerliches Gesetzbuch (BGB): Verträge und deren Änderungen sind 3 Jahre nach Ablauf der Leistungsperiode zu behalten.
• Telemediengesetz (TMG): Log‑Dateien und Nutzer‑Daten, die zur Erfüllung der Erklärung nötig sind, sollten ebenfalls 3 Jahre aufbewahrt werden.

4. Praktische Aufbewahrungsdauer – Warum 5 Jahre sinnvoll sind

Viele Unternehmen wählen eine Aufbewahrungsdauer von 5 Jahren für die Datenschutzerklärung und die zugehörigen Nachweise. Der Grund:

• Sie liegt zwischen den Mindestfristen (3 Jahre) und den längeren Fristen (10 Jahre) und deckt die meisten Prüfungszeiträume ab.
• Sie gibt ausreichend Spielraum, falls ein Betroffener erst Jahre später von einer Verarbeitung erfährt und Ansprüche geltend macht.
• Sie erleichtert die Versionierung: Jede Änderung der Erklärung wird mit Datum gespeichert, sodass Sie jederzeit die jeweils gültige Fassung nachweisen können.

5. Wie organisieren Sie die Aufbewahrung praktisch?

Folgende Schritte helfen, die Aufbewahrung rechtssicher zu gestalten:

1. Versionierung: Speichern Sie jede Version Ihrer Datenschutzerklärung als PDF mit Datum im Dateinamen (z. B. Datenschutzerklärung_2024-04-01.pdf).
2. Zentrale Ablage: Nutzen Sie ein gesichertes Cloud‑Repository (z. B. verschlüsselter OneDrive‑Ordner) oder ein internes Dokumenten‑Management‑System.
3. Verknüpfung zu Nachweisen: Legen Sie in derselben Ordnerstruktur die zugehörigen Einwilligungs‑Logs, AVV‑Kopien und das Verzeichnis der Verarbeitungstätigkeiten ab.
4. Aufbewahrungs‑Policy: Definieren Sie intern, dass alle Dokumente nach Ablauf der Frist (z. B. 5 Jahre) archiviert oder gelöscht werden, sofern keine gesetzlichen Gegenansprüche bestehen.
5. Regelmäßige Kontrolle: Prüfen Sie mindestens einmal jährlich, ob die gespeicherten Unterlagen noch vollständig und lesbar sind.

6. Beispiel: Aufbewahrung einer Datenschutzerklärung für einen kleinen Online‑Shop

Anna betreibt einen Shopify‑Shop. Sie nutzt unseren Datenschutzerklärung‑Generator, um eine DSGVO‑konforme Erklärung zu erstellen.

1. Anna wählt „Shop“ als Website‑Typ, fügt die Dienste Shopify, Google Analytics und Mailchimp hinzu und generiert die Erklärung.
2. Der Generator liefert ihr ein PDF mit dem Datum 2024‑04‑15. Sie speichert die Datei unter Datenschutzerklärung_2024-04-15.pdf im Ordner DSGVO/Erklärungen.
3. Zusätzlich legt sie die Einwilligungs‑Logs aus ihrem Newsletter‑Tool (Mailchimp) im Unterordner DSGVO/Einwilligungen ab.
4. Alle AVV‑Verträge mit Shopify und Google werden im Ordner DSGVO/Verträge abgelegt.
5. Anna richtet in ihrem Dokumenten‑Management‑System eine Regel ein, dass alle Dateien im Ordner DSGVO nach 5 Jahren automatisch archiviert werden.

So kann Anna im Falle einer Prüfung sofort die jeweils gültige Datenschutzerklärung und die zugehörigen Nachweise vorlegen.

7. Was tun, wenn Sie die Frist überschreiten?

Wenn die Aufbewahrungsfrist abgelaufen ist, sollten Sie:

• Die Dokumente prüfen, ob sie noch für laufende Verträge relevant sind.
• Falls nicht, sicher löschen (z. B. mittels einer zertifizierten Löschsoftware).
• Falls doch, die Frist verlängern und die neue Aufbewahrungsdauer dokumentieren.

8. Fazit

Die DSGVO verlangt keine feste Frist für die Datenschutzerklärung selbst, aber die zugrunde liegenden Nachweise müssen mindestens drei Jahre aufbewahrt werden. In der Praxis empfiehlt sich eine Aufbewahrungsdauer von fünf Jahren, um bei Audits und Rechtsstreitigkeiten gut vorbereitet zu sein. Durch eine klare Versionierung und zentrale Ablage können Sie den Nachweis erbringen, dass Ihre Erklärung stets den gesetzlichen Anforderungen entsprach.