Datenschutz und Dokumentenverwaltung

Rechtlicher Rahmen: DSGVO, HGB und GoBD im Zusammenspiel

Dieser Leitfaden richtet sich an Büroleitungen, Datenschutzbeauftragte und Compliance-Verantwortliche, die einen strukturierten Überblick über Pflichten, Fristen und bewährte Vorgehensweisen benötigen. Er zeigt, welche Dokumente wie lange aufzubewahren sind, welche Risiken bei unsachgemäßer Handhabung entstehen und welche Schritte zur nachhaltigen Absicherung führen.

Büros in Deutschland und Europa bewegen sich in einem dichten Regelwerk. Die DSGVO regelt den Umgang mit personenbezogenen Daten und verpflichtet Unternehmen zu Transparenz, Zweckbindung und Datensparsamkeit. Parallel dazu schreiben das Handelsgesetzbuch (HGB) und die Abgabenordnung (AO) konkrete Aufbewahrungsfristen für Geschäftsunterlagen vor – in der Regel sechs oder zehn Jahre, abhängig vom Dokumenttyp.

Ergänzend dazu definieren die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form (GoBD) technische und organisatorische Mindestanforderungen. Wer digitale Dokumente archiviert, muss sicherstellen, dass diese unveränderbar, vollständig und jederzeit lesbar sind.

Das Zusammenspiel dieser drei Regelwerke schafft ein Spannungsfeld: Einerseits verlangt die DSGVO, Daten zu löschen, sobald sie nicht mehr benötigt werden. Andererseits schreiben Steuer- und Handelsrecht teils jahrelange Aufbewahrungspflichten vor. Diesen Widerspruch müssen Unternehmen durch kluge Prozesse auflösen.

Die größten Herausforderungen im Büroalltag

Unklare Verantwortlichkeiten und fehlende Prozesse

In vielen Büros fehlt eine klar definierte Zuständigkeit für das Dokumentenmanagement. Unterlagen werden dezentral abgelegt – mal digital auf Netzlaufwerken, mal physisch in Ordnern –, ohne dass einheitliche Kategorisierungs- oder Löschregeln existieren. Das Ergebnis: Im Falle einer Prüfung durch Aufsichtsbehörden oder das Finanzamt kann kein lückenloser Nachweis über die ordnungsgemäße Handhabung erbracht werden.

Aufbewahrungsfristen werden systematisch übersehen

Viele Unternehmen sammeln Dokumente, anstatt sie systematisch zu verwalten. Unterlagen, deren Aufbewahrungsfrist längst abgelaufen ist, stapeln sich in Archivräumen oder belegen wertvollen Speicherplatz auf Servern. Das ist nicht nur ineffizient, sondern birgt ein ernstes datenschutzrechtliches Risiko: Gemäß DSGVO gilt das Prinzip der Speicherbegrenzung – personenbezogene Daten dürfen nicht länger gespeichert werden, als es der ursprüngliche Zweck erfordert.

Unsichere Vernichtung und digitale Risiken

Dokumente, die nicht mehr aufbewahrt werden dürfen oder müssen, einfach in den Hausmüll zu werfen oder als normalen Papiermüll zu entsorgen, ist ein klassischer Compliance-Fehler. Gleiches gilt für das Löschen digitaler Dateien ohne zertifizierte Verfahren. Sensible Daten auf Festplatten oder in der Cloud können bei unsachgemäßer Behandlung wiederhergestellt werden – mit potenziell gravierenden Folgen für die betroffenen Personen und das Unternehmen.

Lösungsansätze für eine rechtssichere Dokumentenverwaltung

Dokumentenklassifikation als Fundament

Eine strukturierte Datenschutz- und Dokumentenverwaltungsstrategie beginnt mit der Klassifikation. Alle im Unternehmen genutzten Dokumenttypen werden erfasst und nach Schutzbedarf, gesetzlicher Aufbewahrungspflicht und Zugriffsberechtigung kategorisiert. Eine solche Klassifikationsmatrix unterscheidet typischerweise zwischen:

• Öffentlichen Dokumenten ohne Personenbezug
• Internen Dokumenten mit eingeschränktem Zugriff
• Vertraulichen Unterlagen mit Personenbezug (z. B. Personalakten, Verträge)
• Streng vertraulichen Dokumenten (z. B. Gesundheitsdaten, Bankverbindungen)

Diese Kategorien bilden die Grundlage für alle weiteren Prozesse – von der Zugriffssteuerung bis zur Löschung.

Aufbewahrungsfristen systematisch hinterlegen

Ein revisionssicheres System hinterlegt zu jedem Dokumenttyp die geltende Aufbewahrungsfrist und löst am Ende der Frist automatisch einen Überprüfungsworkflow aus. In der Praxis bieten Dokumentenmanagementsysteme (DMS) diese Funktionalität. Wer noch mit analogen Akten arbeitet, kann Fristen über einfache Aktendeckel mit Verfallsdatum oder über Fristenkalender in der Bürosoftware nachhalten.

Folgende Fristen sind im deutschen Unternehmensalltag besonders relevant:

Dokumenttyp	Aufbewahrungsfrist
Buchungsbelege, Rechnungen	10 Jahre
Handels- und Geschäftsbriefe	6 Jahre
Personalakten (nach Ausscheiden)	bis zu 10 Jahre
Bewerbungsunterlagen (abgelehnte Bewerber)	6 Monate
Verträge mit laufender Relevanz	Laufzeit + 3 Jahre

Datenschutzkonforme Entsorgung sicherstellen

Wenn Dokumente ihre Aufbewahrungsfrist erreicht haben, ist eine nachweislich sichere Vernichtung Pflicht. Für physische Unterlagen empfiehlt sich die Zusammenarbeit mit einem zertifizierten Dienstleister. Viele Büros entscheiden sich dafür, professionelle Aktenvernichtung in Anspruch zu nehmen, um DSGVO-konforme Vernichtungsnachweise zu erhalten und das Haftungsrisiko zu minimieren. Für digitale Datenträger gelten ebenfalls strenge Anforderungen: Eine DIN-66399-konforme Vernichtung stellt sicher, dass Daten nicht wiederhergestellt werden können.

Best Practices für die Umsetzung im Büro

Datenschutz- und Dokumentenverwaltung als kontinuierlichen Prozess verstehen

Compliance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Unternehmen, die diesen Grundsatz verinnerlicht haben, etablieren regelmäßige interne Audits – mindestens einmal pro Jahr –, um Schwachstellen frühzeitig zu identifizieren. Dabei werden nicht nur Aktenbestände überprüft, sondern auch digitale Speicherorte, Zugriffsrechte und Schulungsstand der Mitarbeitenden.

Neue Mitarbeitende erhalten von Beginn an eine Einweisung in die internen Dokumentenrichtlinien. Das reduziert Fehler durch Unwissenheit und schärft das Bewusstsein für den Stellenwert des Datenschutzes im Tagesgeschäft.

Verfahrensverzeichnis und Datenschutz-Folgenabschätzung pflegen

Artikel 30 DSGVO verpflichtet Unternehmen mit mehr als 250 Mitarbeitenden – und unter bestimmten Bedingungen auch kleinere Betriebe – zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten. Dieses Verzeichnis dokumentiert, welche personenbezogenen Daten zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeitet werden. Es ist gleichzeitig ein nützliches Steuerungsinstrument für das Dokumentenmanagement, weil es alle datenschutzrelevanten Prozesse sichtbar macht.

Für besonders sensible Verarbeitungsvorgänge – etwa beim Einsatz neuer Software mit umfangreicher Datenverarbeitung – ist zusätzlich eine Datenschutz-Folgenabschätzung (DSFA) gemäß Artikel 35 DSGVO durchzuführen. Das klingt aufwendig, schützt aber vor kostspieligen Fehlern bei der Einführung neuer Systeme.

Häufig gestellte Fragen

Wie lange müssen Personalakten nach dem Ausscheiden eines Mitarbeitenden aufbewahrt werden?

Personalakten unterliegen keiner einheitlich gesetzlich festgelegten Frist, jedoch ergeben sich aus verschiedenen Vorschriften Mindestaufbewahrungszeiten. Lohnunterlagen und steuerlich relevante Dokumente sind in der Regel zehn Jahre aufzubewahren. Sonstige Personalakteninhalte ohne steuerliche Relevanz können in vielen Fällen nach drei bis fünf Jahren vernichtet werden, sofern keine laufenden Rechtsstreitigkeiten bestehen.

Was passiert, wenn ein Unternehmen Dokumente zu früh vernichtet?

Die vorzeitige Vernichtung aufbewahrungspflichtiger Unterlagen kann steuerrechtliche und handelsrechtliche Konsequenzen haben, etwa die Schätzung von Steuern durch das Finanzamt mangels Nachweismöglichkeit. Zusätzlich können Bußgelder nach DSGVO drohen, wenn durch die Vernichtung Nachweispflichten verletzt werden. Eine klare Fristenmatrix und ein internes Freigabeverfahren vor jeder Vernichtungsmaßnahme bieten wirksamen Schutz.

Müssen digitale Dokumente genauso sicher vernichtet werden wie physische?

Ja. Für digitale Datenträger wie Festplatten, USB-Sticks oder ausgemusterte Server gelten dieselben Datenschutzanforderungen wie für Papierdokumente. Eine einfache Formatierung oder das Löschen im Betriebssystem reicht nicht aus – Daten können mit geeigneter Software wiederhergestellt werden. Die DIN-Norm 66399 definiert Sicherheitsstufen für die physische Vernichtung digitaler Datenträger; Unternehmen sollten zertifizierte Dienstleister beauftragen und sich einen Vernichtungsnachweis ausstellen lassen.