Stell dir Folgendes vor: Ein Mitarbeiter hat dein Unternehmen vor sechs Monaten verlassen, doch sein Google Workspace-Konto ist noch immer aktiv, ein Laptop-Backup liegt unberührt auf einem gemeinsamen Laufwerk, und die Gehaltsabrechnungen sind auf drei verschiedene Tools verteilt. Wenn du Personalverantwortlicher, Büroleiter oder Gründer eines kleinen oder mittelständischen Unternehmens in der DACH-Region bist, kommt dir dieses Szenario wahrscheinlich bekannt vor. Viele Leitfäden verweisen pauschal auf eine „DSGVO-7-Jahres-Regel" für Mitarbeiterdaten. Diese Zahl gilt jedoch nur für einen kleinen Teil der Finanzunterlagen nach deutschem Steuerrecht – nicht für den Großteil dessen, was du speicherst. Die Realität ist differenzierter, und die Folgen von Fehlern werden immer gravierender.

In Deutschland wurden im 12-Monatszeitraum vom 28. Januar 2024 bis zum 27. Januar 2025 insgesamt 27.829 Meldungen über Datenschutzverletzungen verzeichnet – die zweithöchste Zahl in Europa nach den Niederlanden (DLA Piper). Ein erheblicher Teil dieser Vorfälle lässt sich auf Zugriffsrechte zurückführen, die nie widerrufen wurden, oder auf Daten, die nie gelöscht wurden. Dieser Artikel erläutert, was die DSGVO tatsächlich vorschreibt – was du aufbewahren und was du löschen musst –, welche spezifischen deutschen Aufbewahrungsfristen für verschiedene Kategorien von Mitarbeiterdaten gelten und wie du die Lücke zwischen gesetzlicher Verpflichtung und IT-Realität schließen kannst, insbesondere wenn du kein eigenes Rechts- oder DSGVO-IT-Compliance-Team hast.

Was schreibt die DSGVO eigentlich vor, wenn ein Mitarbeiter das Unternehmen verlässt?

Die DSGVO schreibt keine einheitliche Aufbewahrungsfrist für Mitarbeiterdaten vor. Stattdessen legt sie zwei Grundsätze fest, die Hand in Hand gehen: Zweckbindung und Datenminimierung. Gemäß Artikel 5 Absatz 1 Buchstabe b dürfen personenbezogene Daten nur für den Zweck aufbewahrt werden, für den sie erhoben wurden. Artikel 5 Absatz 1 Buchstabe e ergänzt, dass Daten in einer Form gespeichert werden müssen, die eine Identifizierung nur so lange ermöglicht, wie es zur Erfüllung dieses Zwecks erforderlich ist. Sobald das Arbeitsverhältnis endet, entfällt der ursprüngliche Verarbeitungszweck für den Großteil dieser Daten.

Das bedeutet, dass du für jede Datenkategorie, die du über einen ehemaligen Mitarbeiter speicherst, zwei separate Fragen stellen musst. Erstens: Darfst du die Daten noch aufbewahren? Und zweitens: Bist du durch ein anderes Gesetz dazu verpflichtet? Die DSGVO erkennt ausdrücklich an, dass nationale Rechtsvorschriften (Steuergesetze, Sozialversicherungsvorschriften, Arbeitsrecht) eine Aufbewahrung über das Ende des Arbeitsverhältnisses hinaus vorschreiben können. Genau hier wird es kompliziert, denn „erlaubt" und „vorgeschrieben" sind nicht dasselbe.

Wer Daten ohne Rechtsgrundlage länger als nötig aufbewahrt, verstößt gegen den Grundsatz der Datenminimierung. Europäische Aufsichtsbehörden haben im Jahr 2025 DSGVO-Bußgelder in Höhe von insgesamt rund 1,2 Milliarden Euro verhängt (DLA Piper). Löschst du hingegen Lohnunterlagen, die du nach deutschem Steuerrecht zehn Jahre lang aufbewahren musst, hast du bei der nächsten Prüfung ein ganz anderes Problem. Es gilt, den Spagat zwischen diesen beiden Verpflichtungen zu meistern.

Der Mythos der „7-Jahres-Regel"

Wer online nach „Aufbewahrungsfristen für Mitarbeiterdaten nach DSGVO" sucht, findet Dutzende Beiträge, die sich auf eine pauschale 7-Jahres-Regel berufen. Das ist irreführend. Die Zahl „7 Jahre" entspricht ungefähr der 6-jährigen Aufbewahrungsfrist für Handelsbriefe und Geschäftskorrespondenz gemäß § 257 HGB (Handelsgesetzbuch), die mitunter aufgerundet wird. Die tatsächliche 10-Jahres-Frist gemäß § 147 AO (Abgabenordnung) gilt für Buchungsbelege, Jahresabschlüsse und steuerrelevante Buchhaltungsunterlagen. Keine der beiden Regeln erfasst alle Mitarbeiterdaten. Mitarbeiterbeurteilungen, interne Chat-Protokolle, persönliche E-Mail-Inhalte und Gerätedaten unterliegen keiner automatischen 7-jährigen Aufbewahrungspflicht. Wer den Slack-Verlauf eines ehemaligen Mitarbeiters „nur für den Fall" aufbewahrt und sich dabei auf die 7-Jahres-Regel beruft, verstößt wahrscheinlich gegen den Grundsatz der Datenminimierung der DSGVO – ohne jede Rechtsgrundlage.

Welche Aufbewahrungsfristen gelten nach deutschem Recht?

Das deutsche Recht sieht ein gestaffeltes System von Aufbewahrungspflichten vor. Jede Stufe gilt für bestimmte Dokumenttypen, nicht für „Mitarbeiterdaten" als pauschale Kategorie. Eine praktische Übersicht:

Allgemeine Arbeitsunterlagen (3 Jahre, § 195 BGB)

Die reguläre Verjährungsfrist nach deutschem Zivilrecht beträgt drei Jahre und beginnt am Ende des Kalenderjahres, in dem das Arbeitsverhältnis geendet hat. Sie erfasst die meisten Ansprüche, die ein Mitarbeiter geltend machen könnte: Streitigkeiten über den Arbeitsvertrag selbst, Arbeitszeugnisse, Überstundenansprüche oder nicht genommenen Urlaub. Sobald diese drei Jahre abgelaufen sind und keine Ansprüche mehr bestehen, erlischt die Rechtsgrundlage für die Aufbewahrung dieser Unterlagen.

In der Praxis bedeutet das: Du solltest den unterzeichneten Arbeitsvertrag, etwaige Nachträge, das Kündigungsschreiben, das Arbeitszeugnis und Aufzeichnungen über ausstehende Ansprüche drei Jahre nach dem Ausscheiden des Mitarbeiters aufbewahren. Danach greift der Grundsatz der Datenminimierung der DSGVO – diese Unterlagen sind dann zu löschen oder zu anonymisieren.

Lohnsteuer- und Buchhaltungsunterlagen (6 bis 10 Jahre, § 41 EStG, § 257 HGB, § 147 AO)

Hier gelten die längeren Aufbewahrungsfristen, allerdings nur für bestimmte Finanzunterlagen.

• 6 Jahre (§ 257 HGB): Geschäftskorrespondenz, einschließlich arbeitsrechtlicher Schreiben mit geschäftlicher Relevanz.

• 10 Jahre (§ 147 AO / § 41 EStG): Lohnsteuerunterlagen, Lohnabrechnungsunterlagen, Buchungsbelege und Jahresabschlüsse. Ist eine Lohnabrechnung steuerlich relevant, fällt sie in diese Kategorie.

Diese Fristen beginnen am Ende des Kalenderjahres, in dem der letzte relevante Eintrag vorgenommen oder das Dokument erstellt wurde. Eine Lohnabrechnung vom Dezember 2024 löst eine Aufbewahrungspflicht aus, die bis Ende 2034 läuft.

Wichtig: Das bedeutet nicht, dass du die gesamte Personalakte des Mitarbeiters zehn Jahre lang aufbewahrst. Es bedeutet, dass du die spezifischen Finanzunterlagen für diesen Zeitraum aufbewahrst und alles andere nach den jeweils kürzeren eigenen Fristen löschst. Wenn du dir unsicher bist, wie du deine Datenspeicherungspflichten und DSGVO-Verpflichtungen strukturieren sollst, ist eine systematische Bestandsaufnahme, wo welcher Dokumenttyp liegt, der erste Schritt.

Betriebliche Altersvorsorge und titulierte Ansprüche (bis zu 30 Jahre)

Das ist die Ausnahme, mit der die meisten KMU nicht rechnen. Bietet dein Unternehmen eine betriebliche Altersvorsorge an, müssen die Daten, die diese Ansprüche belegen, so lange aufbewahrt werden, bis die Verpflichtungen vollständig erfüllt sind – was gemäß § 18a BetrAVG 30 Jahre oder länger bedeuten kann. Ähnliches gilt, wenn ein Gericht ein Urteil (einen „titulierten Anspruch") gegenüber einem ehemaligen Mitarbeiter gefällt hat: Die Verjährungsfrist für die Vollstreckung beträgt gemäß § 197 BGB 30 Jahre.

Für die meisten wachsenden Unternehmen in der DACH-Region betrifft diese Kategorie nur einen kleinen Teil der Datensätze. Trifft sie dennoch auf dich zu, ist es entscheidend, diese Dokumente zu kennzeichnen und getrennt von den allgemeinen Personaldaten zu speichern, damit sie bei einer routinemäßigen Bereinigung nicht versehentlich gelöscht werden.

Noch ein wichtiger Hinweis: Nach § 38 BDSG (Bundesdatenschutzgesetz) sind Unternehmen mit 20 oder mehr Mitarbeitern, die regelmäßig an der automatisierten Verarbeitung personenbezogener Daten beteiligt sind, verpflichtet, einen Datenschutzbeauftragten (DSB) zu benennen. Hast du diese Schwelle überschritten, sollte dein DSB in die Festlegung von Aufbewahrungsfristen und IT-Compliance-Richtlinien eingebunden werden.

Wo kommen IT-Daten ins Spiel: Geräte, Konten und Zugriffsprotokolle?

Rechtliche Aufbewahrungsleitfäden konzentrieren sich in der Regel auf Verträge und Gehaltsabrechnungen. Sie gehen selten auf die IT-Artefakte ein, die sich nach dem Ausscheiden eines Mitarbeiters ansammeln: E-Mail-Konten, SaaS-Lizenzen, Geräte-Backups, Zugriffsprotokolle und Chat-Verläufe. All das sind personenbezogene Daten im Sinne der DSGVO – auch dafür braucht es klare Richtlinien.

E-Mail- und Messaging-Konten

Der E-Mail-Posteingang sowie der Slack- oder Teams-Verlauf eines ehemaligen Mitarbeiters enthalten personenbezogene Daten – sowohl die des Mitarbeiters selbst als auch möglicherweise die von Kunden, Partnern und anderen Mitarbeitern. Diese Konten „für den Fall, dass jemand etwas braucht" aktiv zu lassen, ist einer der häufigsten Fehler, den KMU begehen. Er verursacht gleich drei Probleme auf einmal.

Erstens ist ein aktives Konto eine Angriffsfläche. 53 % der IT-Führungskräfte nennen das Risiko eines Cyberangriffs über ein nicht verwaltetes Konto als ihre größte Sorge, wenn ein Mitarbeiter nicht ordnungsgemäß deaktiviert wurde (Gartner). Zweitens verstößt es gegen den Grundsatz der Datenminimierung: Es gibt keinen legitimen Grund, einen vollständigen Posteingang auf unbestimmte Zeit zugänglich zu halten. Drittens kann ein ehemaliger Mitarbeiter gemäß Artikel 15 DSGVO jederzeit einen Auskunftsantrag stellen. Jedes Konto, das „nur für den Fall" aufbewahrt wurde, enthält Daten, die du nun ausfindig machen, prüfen und offenlegen oder begründen musst. Je mehr Konten aktiv bleiben, desto aufwendiger und teurer wird dieser Prozess.

Der praktische Ansatz: Leite am letzten Arbeitstag wichtige geschäftliche E-Mails an ein gemeinsames Postfach oder an die Führungskraft weiter, exportiere alle Unterlagen, die gesetzlich aufzubewahren sind, und deaktiviere das Konto anschließend, um es später vollständig zu löschen. Für KI-Tools wie ChatGPT auf Firmengeräten gilt dieselbe Logik: Entzieht den Zugriff sofort und prüft, ob Abfrageverläufe sensible Daten enthalten, die gelöscht werden müssen.

Geräte, Backups und Zugriffsprotokolle

Firmenlaptops und Mobilgeräte enthalten häufig lokale Kopien von Dateien, zwischengespeicherte Anmeldedaten, Browserverläufe und VPN-Konfigurationen. Wer ein gelöschtes Gerät in den Bestand zurückführt, ohne zuvor gesetzlich erforderliche Unterlagen zu sichern und alles andere zu löschen, riskiert entweder den Verlust benötigter Daten oder die Aufbewahrung von Daten, die nicht aufbewahrt werden dürfen.

Zugriffsprotokolle stellen eine subtilere Herausforderung dar. Audit-Trails, aus denen hervorgeht, wer wann auf welche Systeme zugegriffen hat, können für Untersuchungen im Rahmen von IT-Sicherheitsrichtlinien oder behördliche Prüfungen erforderlich sein. Sie enthalten jedoch auch personenbezogene Daten. Eine angemessene Aufbewahrungsfrist für Zugriffsprotokolle liegt in der Regel bei 6 bis 12 Monaten – es sei denn, ein konkreter Vorfall oder ein laufendes Verfahren erfordert eine längere Aufbewahrung.

Die weltweiten Durchschnittskosten einer Datenpanne beliefen sich im Jahr 2026 auf 4,99 Millionen US-Dollar – ein Anstieg von 12 % gegenüber dem Vorjahr (IBM). Ein erheblicher Anteil der Datenpannen geht auf kompromittierte Zugangsdaten zurück, wobei verwaiste Konten ehemaliger Mitarbeiter zu den häufigsten Angriffsvektoren zählen. Zwischen Januar 2025 und Januar 2026 stieg die durchschnittliche Anzahl täglicher DSGVO-Meldungen um 22 % und überstieg damit erstmals seit 2018 die Marke von 400 pro Tag. Die Bereinigung von IT-Daten nach dem Ausscheiden eines Mitarbeiters ist keine reine Compliance-Aufgabe – sie ist ein grundlegendes Sicherheitsgebot.

So reduzierst du Compliance-Risiken durch automatisiertes Offboarding

Wer das Offboarding mit einer Checkliste in einer Tabellenkalkulation und Erinnerungs-E-Mails verwaltet, verlässt sich bei einer Aufgabe, die Präzision erfordert, auf das menschliche Gedächtnis. Die Lücke zwischen „Wir wollten den Zugriff entziehen" und „Wir haben es tatsächlich getan" ist genau der Punkt, an dem Sicherheitsvorfälle entstehen.

Warum manuelle Prozesse versagen

Beim manuellen Offboarding benachrichtigt die Personalabteilung in der Regel die IT – manchmal erst Tage nach dem letzten Arbeitstag des Mitarbeiters –, die IT arbeitet eine Liste von Konten nacheinander ab, und irgendwann fällt jemandem ein, den Laptop abzuholen. Jeder Übergabeschritt führt zu Verzögerungen und erhöht das Risiko, dass ein Schritt übersprungen wird. In einem Unternehmen, das 15 bis 30 SaaS-Tools nutzt, ist es leicht, den Überblick zu verlieren – etwa dass der ausscheidende Mitarbeiter auch Zugriff auf ein Design-Tool, ein Analyse-Dashboard oder ein KI-Tool hatte, das Unternehmensdaten verarbeitet.

Die weltweiten Durchschnittskosten einer Datenpanne beliefen sich im Jahr 2024 auf 4,88 Millionen US-Dollar – ein Anstieg von 10 % gegenüber 2023 (IBM). Unternehmen, die KI und Automatisierung umfassend in ihren Sicherheitsabläufen einsetzen, sparten im Vergleich zu Unternehmen ohne solche Maßnahmen durchschnittlich 1,9 Millionen US-Dollar pro Datenpanne. Die Rechnung ist klar: Automatisierung amortisiert sich, und Geschwindigkeit ist der entscheidende Faktor, um das Risiko nach einem Mitarbeiteraustritt zu begrenzen.

So sieht automatisiertes Offboarding in der Praxis aus

Ein automatisierter Offboarding-Workflow verbindet dein HR-System (die maßgebliche Quelle für den letzten Arbeitstag des Mitarbeiters) mit deinem Identity Provider und deiner Geräteverwaltungsplattform. Zum festgelegten Zeitpunkt entzieht er den Zugriff auf alle verbundenen Konten, löst Befehle zur Gerätesperrung oder -löschung aus, archiviert aufbewahrungspflichtige Unterlagen an einem festgelegten Ort und erstellt einen Audit-Trail, der jede durchgeführte Maßnahme dokumentiert.

Genau für diese Art von Aufgabe wurden IT-Management-Plattformen entwickelt. deeploi beispielsweise verbindet sich mit deinem HR-System und deinen Arbeitsumgebungstools, um am letzten Arbeitstag des Mitarbeiters automatisiertes Offboarding durchzuführen: Konten werden deaktiviert, Geräte werden remote gelöscht und ein Prüfprotokoll hält jeden Schritt fest. Da die Plattform Daten in ISO 27001-zertifizierten EU-Rechenzentren speichert, erfolgt der Aufbewahrungs- und Löschprozess selbst DSGVO-konform. Nach Abschluss des Offboardings werden personenbezogene Daten gemäß den mit dem Arbeitgeber vereinbarten Aufbewahrungsfristen gelöscht oder anonymisiert.

Das zentrale Prinzip lautet: klar unterscheiden, was gelöscht und was archiviert wird – und beides automatisieren. Steuerrelevante Lohnunterlagen werden für zehn Jahre in das Buchhaltungssystem überführt. Der Arbeitsvertrag wird für drei Jahre in einem sicheren Archiv abgelegt. Alles andere – E-Mail-Konto, Slack-Nachrichten, Gerätedaten und zwischengespeicherte Anmeldedaten – wird termingerecht gelöscht. Wer Offboarding im Zeitalter der KI konsequent denkt, muss diese Logik auch auf API-Schlüssel, Copilot-Integrationen und Shadow-AI-Tools ausdehnen.

Häufig gestellte Fragen

Darf ich das E-Mail-Konto eines ehemaligen Mitarbeiters „für alle Fälle" aktiv lassen?

Nur kurzzeitig und mit einem dokumentierten Zweck. Der Grundsatz der Datenminimierung der DSGVO verlangt, dass Konten gelöscht oder deaktiviert werden, sobald der Verarbeitungszweck entfallen ist. Leite wichtige geschäftliche E-Mails an ein gemeinsames Postfach weiter, exportiere alles gesetzlich Erforderliche und deaktiviere das Konto innerhalb weniger Tage nach dem Ausscheiden des Mitarbeiters – nicht erst nach Monaten.

Unterscheiden sich die DSGVO-Aufbewahrungsvorschriften innerhalb der DACH-Region?

Ja. Deutschland wendet die DSGVO an, ergänzt durch das BDSG und spezifische steuerrechtliche Aufbewahrungsvorschriften (AO, HGB, EStG). Auch Österreich unterliegt der DSGVO und hat ein eigenes Datenschutzgesetz (DSG) mit weitgehend ähnlicher Aufbewahrungslogik. Die Schweiz hingegen fällt nicht unter die DSGVO. Dort gilt das revidierte Bundesgesetz über den Datenschutz (revFADP, auch nDSG genannt), das im September 2023 in Kraft getreten ist. Wer in allen drei Ländern tätig ist, benötigt separate Aufbewahrungspläne für Daten von Schweizer Mitarbeitern.

Was soll ich tun, wenn ein ehemaliger Mitarbeiter einen Auskunftsantrag stellt?

Gemäß Artikel 15 DSGVO hast du einen Monat Zeit zu antworten. Du musst offenlegen, welche personenbezogenen Daten du noch speicherst, aus welchem Grund und wie lange du sie aufbewahren willst. Genau deshalb ist eine zeitnahe Datenbereinigung so wichtig: Je weniger du aufbewahrst, desto einfacher und kostengünstiger ist die Antwort. Hast du Daten bereits gemäß deinem Aufbewahrungsplan gelöscht, dokumentiere die Löschung und die jeweilige Rechtsgrundlage.

Wie dokumentiere ich meinen Aufbewahrungsplan so, dass er einer Prüfung standhält?

Erstelle eine schriftliche Aufbewahrungsrichtlinie, die jede Datenkategorie (Verträge, Gehaltsabrechnungen, Zugriffsprotokolle, Gerätedaten) der jeweiligen Rechtsgrundlage und Aufbewahrungsfrist zuordnet. Halte fest, wann Daten erstellt wurden, wann die Aufbewahrungsfrist beginnt und wann die Löschung fällig ist. Bewahre diese Dokumentation zusammen mit deinem Verzeichnis der Verarbeitungstätigkeiten auf, das gemäß Artikel 30 DSGVO vorgeschrieben ist. Automatisierte IT-Management-Tools können Prüfprotokolle erstellen, die als Nachweis für die fristgerechte Löschung dienen.

Gibt es wirklich eine 7-Jahres-Regel in der DSGVO?

Nicht als allgemeine Regel. Die DSGVO selbst legt keine feste Aufbewahrungsfrist fest. Die online häufig zitierte „7-Jahres-Regel" ist ein grober Verweis auf die 6-jährige Aufbewahrungsfrist für Geschäftskorrespondenz gemäß § 257 HGB, die oft aufgerundet wird. Die tatsächlichen Fristen reichen von 3 Jahren für allgemeine Arbeitsunterlagen bis zu 10 Jahren für Steuerunterlagen und in seltenen Fällen bis zu 30 Jahren für Daten im Zusammenhang mit der betrieblichen Altersvorsorge. Wer eine pauschale 7-Jahres-Regel auf alle Mitarbeiterdaten anwendet, verstößt in beide Richtungen: Manche Daten werden zu lange aufbewahrt, andere zu früh gelöscht.

Fazit

Die DSGVO-konforme Aufbewahrung von Mitarbeiterdaten lässt sich nicht auf eine einzige Regel reduzieren. Es handelt sich um ein System gestaffelter Pflichten, das je nach Datentyp, Rechtsgrundlage und Rechtsordnung variiert. Die gute Nachricht: Sobald der Aufbewahrungsplan steht, lässt sich die Umsetzung nahezu vollständig automatisieren. Zugriff am letzten Arbeitstag entziehen. Archivieren, was gesetzlich vorgeschrieben ist – am richtigen Ort und für die richtige Dauer. Alles andere termingerecht löschen. Das Ziel ist Compliance als Standard, nicht als Erinnerungsleistung. Und wenn euer aktueller Offboarding-Prozess davon abhängt, dass sich jemand drei Wochen nach dem Ausscheiden daran erinnert, ein Google-Konto zu deaktivieren, ist es Zeit, das System zu verbessern – nicht die Person.