Digitale Archivierung: Aufbewahrungspflicht und revDSG unter einen Hut bringen

Zwei Regelwerke ziehen in entgegengesetzte Richtungen: Das Obligationenrecht verlangt zehn Jahre Aufbewahrung, das revDSG verlangt Löschung nicht mehr benötigter Personendaten. Wer beides ignoriert, hat ein Problem. Wer beides versteht, hat eine lösbare Aufgabe.

Der Widerspruch ist kleiner, als er aussieht

Die Aufbewahrungspflicht bezieht sich auf Geschäftsunterlagen: Rechnungen, Verträge, Buchungsbelege. Der Löschgrundsatz des revDSG bezieht sich auf Personendaten, die für ihren ursprünglichen Zweck nicht mehr benötigt werden.

Das ist nicht dieselbe Datenmenge. Eine bezahlte Rechnung muss aufbewahrt werden - die Marketing-Einwilligung desselben Kunden, die Notiz über sein Verhalten am Telefon oder die Bewerbungsunterlagen eines abgelehnten Kandidaten müssen es nicht.

Eine Struktur, die beides bedient

Bewährt hat sich eine Dreiteilung:

• Archiv: aufbewahrungspflichtige Belege, unveränderlich, nach Jahr und Typ abgelegt, Löschung frühestens nach zehn Jahren.
• Arbeitsdaten: laufende Vorgänge, Projektkommunikation, Notizen. Löschfristen je nach Zweck, meist deutlich kürzer.
• Einwilligungsdaten: Newsletter, Marketing, Bewertungsanfragen. Löschung bei Widerruf, unabhängig vom Rest.

Ein Kundendatensatz kann in allen drei Bereichen Spuren haben. Ein Löschbegehren betrifft dann die letzten beiden, nicht das Archiv - und genau das lässt sich einem Kunden auch erklären, wenn die Struktur sauber ist.

Was ein Workflow übernehmen kann

Einsortieren

Eingehende Dokumente werden klassifiziert und automatisch in den richtigen Bereich gelegt. Ein Beleg landet im Archiv, eine Projektnotiz in den Arbeitsdaten. Diese Weiche am Eingang erspart später die mühsame Nachsortierung.

Fristen überwachen

Jedes Dokument bekommt beim Ablegen ein Löschdatum. Ein monatlicher Lauf sammelt alles Fällige und legt es zur Freigabe vor. Automatisch gelöscht wird nichts - die Bestätigung bleibt beim Menschen, weil ein Fehler hier nicht rückgängig zu machen ist.

Auskunft vorbereiten

Das revDSG gibt Betroffenen ein Auskunftsrecht. Kommt eine solche Anfrage, musst du zusammenstellen, welche Daten du zu dieser Person hältst. Ein Workflow, der die Bereiche durchsucht und eine Übersicht erzeugt, verwandelt einen Tag Sucharbeit in eine Viertelstunde Prüfung.

Wo die Daten liegen dürfen

Schweizer oder EU-Hosting vereinfacht vieles. Bei Anbietern ausserhalb braucht es eine Rechtsgrundlage für den Transfer und eine Dokumentation dazu. Für selbst gehostete Systeme entfällt dieser Aufwand weitgehend - ein oft unterschätzter Vorteil gegenüber Cloud-Diensten.

Beachte: Auch der Sprachmodell-Anbieter, den dein Workflow zur Klassifikation nutzt, verarbeitet gegebenenfalls Personendaten. Das gehört in dein Verzeichnis der Bearbeitungstätigkeiten.

Das Verzeichnis ist kein Papiertiger

Viele KMUs behandeln das Bearbeitungsverzeichnis als lästige Formalie. Praktisch ist es die einzige Stelle, an der überhaupt sichtbar wird, welche Daten wo liegen und warum.

Wer Prozesse automatisiert, sollte das Verzeichnis ohnehin führen - denn ein Workflow, dessen Datenfluss man nicht beschreiben kann, ist auch technisch selten sauber durchdacht.

Du möchtest deine Ablage so aufstellen, dass Aufbewahrung und Löschpflicht sich nicht widersprechen? Im Erstgespräch schauen wir uns deine heutige Struktur an.