Wie du eine Datenaufbewahrungsrichtlinie erstellst, mit der dein Unternehmen konform bleibt

Unternehmen sammeln während ihres Betriebs eine unglaubliche Menge an Daten, halten aber selten inne, um diese zu überprüfen oder gar zu löschen.

Eine Datenaufbewahrungsrichtlinie legt fest, wie lange dein Unternehmen verschiedene Arten von Informationen aufbewahrt, warum es sie aufbewahrt, wer darauf zugreifen kann und wie sie gelöscht werden sollten, wenn sie nicht mehr benötigt werden. Für kleine und mittlere Unternehmen ist dies eine der praktischsten Methoden, um Compliance-Risiken zu minimieren, ohne die täglichen Abläufe zu kompliziert zu machen.

Viele Unternehmen bewahren Daten länger als nötig auf, weil sich das Löschen riskant anfühlt. Alte Kundendaten verbleiben im CRM. Dateien ehemaliger Mitarbeiter verbleiben in geteilten Drives. Verträge liegen jahrelang in Posteingängen. Exportierte Tabellen werden „für alle Fälle“ gespeichert. Mit der Zeit speichert das Unternehmen schließlich mehr personenbezogene Daten (PII), Finanzunterlagen und interne Informationen, als es ordnungsgemäß verwalten kann.

Das schafft ein Problem unter der GDPR. Der Grundsatz der Speicherbegrenzung besagt, dass personenbezogene Daten nicht länger aufbewahrt werden sollten, als es für den Zweck, für den sie erhoben wurden, erforderlich ist. Eine Aufbewahrungsrichtlinie hilft dabei, diesen Grundsatz in ein funktionierendes System zu verwandeln: was du aufbewahrst, wie lange, wo es sich befindet, wer dafür verantwortlich ist, wie es entfernt wird und wie der Zugriff auf die aufbewahrten Daten geschützt wird.

Das ist wichtig, weil schwache Passwörter nach wie vor eine der häufigsten Schwachstellen für Unternehmen aller Größen sind und aufbewahrte Daten immer noch gefährdet sind, wenn die Zugriffskontrollen schwach sind.

Was ist eine Datenaufbewahrungsrichtlinie?

Warum ist eine Datenaufbewahrungsrichtlinie wichtig?

Welche Arten von Daten benötigen einen Aufbewahrungsplan?

Anforderungen an die Datenaufbewahrung in Großbritannien: Was KMU wissen sollten

Vorlage für eine Datenaufbewahrungsrichtlinie für KMU

Zugriffskontrolle und aufbewahrte Daten

Häufige Fehler bei Datenaufbewahrungsrichtlinien

Aufbewahrungsregeln in die tägliche Praxis umsetzen

Was ist eine Datenaufbewahrungsrichtlinie?

Eine Datenaufbewahrungsrichtlinie ist ein Regelwerk, das festlegt, wie lange verschiedene Datenkategorien in einem Unternehmen aufbewahrt werden sollten und was nach Ablauf der Aufbewahrungsfrist geschieht. Sie umfasst in der Regel personenbezogene Daten, Kundendaten, Mitarbeiterdateien, Finanzdokumente, Verträge, Kommunikation, Betriebsaufzeichnungen und geschäftskritische Dokumente.

Eine nützliche Richtlinie sollte diese vier Fragen beantworten:

• Welche Arten von Daten besitzen wir?
• Warum müssen wir sie aufbewahren?
• Wie lange sollten wir sie aufbewahren?
• Wie werden wir sie sicher löschen, anonymisieren oder archivieren?

Die GDPR legt keine spezifischen Fristen für jede Art von Daten fest. Daher müssen Organisationen selbst entscheiden, was für ihre eigenen Zwecke erforderlich ist, diese Begründung dokumentieren und darauf vorbereitet sein, sie zu rechtfertigen.

Eine Datenaufbewahrungsrichtlinie ist mehr als eine Liste von Daten. Sie ist ein Protokoll der Entscheidungen, die hinter diesen Daten stehen. Wenn jemand fragt, warum Kundendaten drei Jahre lang aufbewahrt oder Bewerberdaten nach sechs Monaten gelöscht wurden, muss ein Unternehmen in der Lage sein, einen klaren Grund zu nennen.

Warum ist eine Datenaufbewahrungsrichtlinie wichtig?

Eine Aufbewahrungsrichtlinie hilft bei der Compliance, der Sicherheit und der betrieblichen Klarheit. Sie schützt ein Unternehmen auf dreifache Weise:

• Sie reduziert die Datenmenge, die bei einem Datenleck offengelegt werden könnte
• Sie senkt die rechtlichen und Compliance-Risiken, die durch eine länger als notwendige Aufbewahrung von Informationen entstehen
• Sie senkt die Speicherkosten für veraltete Datensätze. 

Aus Compliance-Sicht unterstützt sie die GDPR-Datenaufbewahrungspflichten, indem sie zeigt, dass dein Unternehmen personenbezogene Daten nicht ohne Grund auf unbestimmte Zeit aufbewahrt. In Großbritannien stellt das ICO klar, dass personenbezogene Daten nicht „für alle Fälle“ aufbewahrt werden sollten, sondern nur so lange, wie es für den jeweiligen Zweck erforderlich ist.

Aus Sicherheitsaspekten bedeuten weniger unnötige Daten auch weniger Gefährdung. Wenn dein Unternehmen von einem Datenleck betroffen ist, kann jeder veraltete Kundendatensatz, jede alte Gehaltsabrechnungsdatei, jeder ungenutzte Export oder jeder vergessene Posteingangsanhang die Menge der betroffenen Informationen erhöhen.

Aus diesem Grund sollte die Aufbewahrung Teil deines umfassenderen Ansatzes zur Prävention von Datenlecks sein. Wie lange du Daten aufbewahrst, wirkt sich direkt auf das Risiko aus: Je länger unnötige Datensätze in deinen Systemen verbleiben, desto mehr kann ein Angreifer stehlen, offenlegen oder darauf zugreifen.

Aus betrieblicher Sicht verringern Aufbewahrungsregeln das Rätselraten. Deine Mitarbeiter sollten wissen, was sie aufbewahren, wo sie es speichern, wann sie es löschen müssen und wer die Entscheidung trifft. Das ist besonders wichtig für wachsende Teams, bei denen Daten über E-Mail, Cloud-Speicher, HR-Systeme, Finanzsoftware, CRMs, geteilte Drives und Drittanbieter-Plattformen verteilt sein können.

Welche Arten von Daten benötigen einen Aufbewahrungsplan?

Ein Datenaufbewahrungsplan ist der praktische Teil einer Datenaufbewahrungsrichtlinie. Er ordnet jeder Datenkategorie eine Aufbewahrungsfrist, einen Verantwortlichen, einen Speicherort, eine Löschmethode, Maßnahmen zum Schutz vor Datenlecks und den Grund für die Aufbewahrung zu.

KMU sollten mit den Datenkategorien beginnen, die sie täglich nutzen.

Mitarbeiterdaten

Mitarbeiterdaten folgen nicht alle der gleichen Aufbewahrungslogik. Einige müssen aufgrund gesetzlicher Vorschriften aufbewahrt werden, andere, weil sie zur Beilegung von Streitigkeiten benötigt werden könnten, und wieder andere nur so lange, wie ein eindeutiger geschäftlicher Grund vorliegt.

Beispielsweise besagt ACAS(neues Fenster), dass Arbeitgeber Urlaubsaufzeichnungen mindestens sechs Jahre ab dem Erstellungsdatum aufbewahren müssen, während der Leitfaden von GOV.UK(neues Fenster) zu Personalakten besagt, dass Mitarbeiterinformationen nur so lange aufbewahrt werden sollten, wie das Unternehmen einen eindeutigen Bedarf dafür hat, und danach sicher entsorgt werden müssen.

Kunden- und Interessentendaten

Kundendaten können Kontaktdaten, Kaufhistorie, Support-Tickets, Rechnungsinformationen, Verträge, Kontodaten und den Kommunikationsverlauf umfassen. Interessentendaten können Marketing-Leads, Terminanmeldungen, Newsletter-Abonnements und Verkaufsnotizen umfassen.

Bewahre Kundendaten so lange auf, wie du sie benötigst, um den Service bereitzustellen, vertragliche Verpflichtungen zu erfüllen, Streitigkeiten beizulegen, Rechnungslegungsvorschriften einzuhalten oder gesetzliche Anforderungen zu erfüllen. Marketingdaten erfordern besondere Sorgfalt, da Einwilligung, berechtigtes Interesse, Anfragen zur Kündigung des Abonnements und Zweckbindungen die Aufbewahrungsdauer beeinflussen.

Finanz- und Steuerunterlagen

Zu den Finanzunterlagen gehören Rechnungen, Bestätigungen, Gehaltsabrechnungen, Bankauszüge, Spesenabrechnungen, Umsatzsteuerunterlagen, Buchhaltungsunterlagen, Steuerdokumente, Verträge und Bestellungen, Prüfungsberichte, Kreditkarten- und Darlehensbelege sowie gegebenenfalls Unterlagen zu Mitarbeitervergünstigungen oder Rentenversicherungen.

In vielen Ländern legen das Gesellschafts- und Steuerrecht eine Mindestfrist für die Aufbewahrung von Buchhaltungs- und Finanzunterlagen fest, wobei die genaue Dauer je nach Land und Unternehmenstyp variiert.

Verträge und rechtliche Dokumente

Verträge, Leistungsbeschreibungen, Lieferantenvereinbarungen, Kundenvereinbarungen, Mietverträge und rechtliche Korrespondenz müssen möglicherweise für die Vertragslaufzeit und einen Zeitraum danach aufbewahrt werden, falls es zu Streitigkeiten kommt.

Die genaue Frist hängt vom Vertrag, den Verjährungsfristen, den Branchenanforderungen und der rechtlichen Beratung ab. Die Richtlinie sollte eine verantwortliche Person für diese Unterlagen definieren, in der Regel aus den Bereichen Recht, Finanzen, Betrieb oder Geschäftsführung.

E-Mail-Kommunikation und interne Dokumente

Geschäftliche E-Mails sind oft der Bereich, in dem Aufbewahrungsrichtlinien auf die Probe gestellt werden. Posteingänge können Verträge, personenbezogene Daten, Anhänge, Kundenbeschwerden, Rechnungen, Bewerberdaten, Passwörter und vertrauliche geschäftliche Entscheidungen enthalten.

Ein Aufbewahrungsplan sollte festlegen, was in eine E-Mail gehört, was in ein freigegebenes System verschoben werden sollte und wann alte Nachrichten gelöscht oder archiviert werden sollten. Dieselbe Logik lässt sich auf interne Dokumente, exportierte Berichte, Tabellen, geteilte Ordner und Chat-Anhänge anwenden. Aber die Richtlinie benötigt auch einen Durchsetzungsmechanismus.

Aufbewahrungsregeln sollten an zugelassene Systeme, automatisierte Löscheinstellungen, sofern machbar, Archivierungsregeln und Zuständigkeitsprüfungen gekoppelt sein, damit Daten nicht unbegrenzt gespeichert bleiben, nur weil nach Ablauf der Aufbewahrungsfrist niemand gehandelt hat.

Anmeldedaten, Zugriffsaufzeichnungen und Sicherheitsprotokolle

Die Aufbewahrung wird auch auf Sicherheitsaufzeichnungen angewendet. Dazu gehören unter anderem Zugriffsprotokolle, Audit-Trails, Passwortdaten, Wiederherstellungscodes, Administratoraktivitäten, Vorfallsberichte und Authentifizierungsprotokolle.

Einige Sicherheitsaufzeichnungen müssen für Untersuchungen, Compliance oder betriebliche Prüfungen aufbewahrt werden. Andere sollten nur für einen bestimmten Zweck und einen dokumentierten Zeitraum aufbewahrt und dann gemäß der Richtlinie gelöscht oder archiviert werden, insbesondere wenn sie zeigen, wie deine Systeme funktionieren, oder sensible Zugriffsdetails offenlegen.

Datenaufbewahrung, Anmeldedatenverwaltung und Zugriffskontrolle überschneiden sich: Aufbewahrte Sicherheitsaufzeichnungen erfordern strenge Zugriffskontrollen, da sie offenlegen können, wie deine Geschäftssysteme funktionieren.

Anforderungen an die Datenaufbewahrung in Großbritannien: Was KMUs wissen sollten

Die Anforderungen an die Datenaufbewahrung im Vereinigten Königreich variieren. Sie hängen von der Art der Daten, dem Grund für ihre Aufbewahrung und den dahinter stehenden rechtlichen, steuerlichen, vertraglichen oder geschäftlichen Verpflichtungen ab.

Bei der GDPR-Datenaufbewahrung ist der Ausgangspunkt die Speicherbegrenzung: Personenbezogene Daten sollten nur so lange aufbewahrt werden, wie es für den Zweck erforderlich ist. Die britische GDPR sieht keine feste Frist für jede Kategorie vor, sodass Unternehmen ihre eigenen Aufbewahrungsfristen festlegen und begründen müssen.

Für manche Unterlagen gelten klarere Regeln. Limited-Gesellschaften müssen Buchhaltungsunterlagen im Allgemeinen sechs Jahre lang ab dem Ende des Geschäftsjahres aufbewahren, auf das sie sich beziehen, in bestimmten Fällen auch länger. Personalakten variieren je nach Art der Unterlagen, daher sollten sensible Beschäftigungsdaten sorgfältig kategorisiert und bei Bedarf mit rechtlicher Unterstützung oder HR-Beratung überprüft werden.

Letztendlich ist es nicht möglich, eine einzige Aufbewahrungsfrist auf alles anzuwenden. Daten sollten nach Kategorien getrennt, der Grund für ihre Aufbewahrung definiert und dokumentiert werden, warum die jeweilige Frist angemessen ist.

Vorlage für eine Datenaufbewahrungsrichtlinie für KMUs

Nutze diese Struktur als einfache Vorlage für eine Datenaufbewahrungsrichtlinie. Passe die Formulierung an dein Unternehmen, deine Branche und deine rechtlichen Anforderungen an.

1. Zweck und Geltungsbereich

Vorlagentext: Diese Datenaufbewahrungsrichtlinie erklärt, wie [Company Name] geschäftliche und personenbezogene Daten speichert, aufbewahrt, archiviert, löscht und schützt. Sie wird auf Mitarbeiter, Auftragnehmer, Dienstleister, Systeme und Dienste angewendet, die Unternehmensdaten erfassen, verarbeiten, speichern oder auf diese zugreifen.

2. Datenkategorien

Vorlagentext: [Company Name] gruppiert Daten in Kategorien, darunter Kundendaten, Interessentendaten, Personalakten, Finanzberichte, Verträge, Betriebsaufzeichnungen, Sicherheitsprotokolle und interne Kommunikation. Jede Kategorie muss einen Verantwortlichen, einen Speicherort, eine Aufbewahrungsfrist und eine Löschmethode haben.

3. Aufbewahrungsplan

Vorlagentext: Daten dürfen nur so lange aufbewahrt werden, wie es für geschäftliche, rechtliche, regulatorische, vertragliche oder Sicherheitszwecke erforderlich ist. Jede Datenkategorie muss im Aufbewahrungsplan mit einer definierten Aufbewahrungsfrist und einem Grund aufgeführt sein.

Beispielhafter Plan:

Datenkategorie	Beispiele für Aufzeichnungen	Empfohlener Aufbewahrungsansatz	Verantwortlicher	Löschmethode
Kundendaten	Kontodaten, Support-Tickets, Serviceverlauf	Aufbewahren, solange die Kundenbeziehung aktiv ist, danach nur so lange wie für rechtliche, vertragliche oder streitige Zwecke erforderlich	Betrieb oder Customer Success	Aus CRM- und Support-Systemen löschen oder anonymisieren
Finanzunterlagen	Rechnungen, Bestätigungen, Gehaltsabrechnungen, Steuerdokumente	In der Regel sechs Jahre nach dem entsprechenden Geschäftsjahr aufbewahren, es sei denn, eine längere Aufbewahrung ist erforderlich	Finanzen	Sicher archivieren, dann löschen
Mitarbeiterdaten	Verträge, Gehaltsabrechnungen, Urlaubsaufzeichnungen, HR-Dateien	Aufbewahrung basierend auf Art der Aufzeichnung, gesetzlichen Vorschriften und geschäftlichen Anforderungen	HR oder Betrieb	Sicher aus HR-Systemen und geteilten Speichern löschen
Verträge	Kundenvereinbarungen, Lieferantenverträge, Leistungsbeschreibungen	Für die Vertragslaufzeit plus einen definierten Zeitraum für Streitigkeiten aufbewahren	Rechtsabteilung, Finanzen oder Geschäftsführung	Sicher archivieren, dann löschen
Sicherheitsprotokolle	Zugriffsprotokolle, Administratoraktivitäten, Vorfallsberichte	Für Untersuchungs-, Sicherheits- und Rechenschaftspflichten aufbewahren, danach basierend auf dem Risiko löschen oder archivieren	IT- oder Sicherheitsverantwortlicher	Sicher löschen oder archivieren
Marketingdaten	Leads, Newsletter-Listen, Kampagnenaufzeichnungen	Aufbewahren, solange ein gültiger Zweck vorliegt und Sperrregeln beachtet werden	Marketing	Löschen, anonymisieren oder sperren, je nach Bedarf

4. Zugriffskontrollen

Kopie der Vorlage: Der Zugriff auf aufbewahrte Daten muss auf Personen beschränkt sein, die diese für ihre Rolle benötigen. Sensible Daten müssen in genehmigten Systemen gespeichert, durch eine starke Authentifizierung geschützt und regelmäßig überprüft werden. Geteilte Anmeldedaten dürfen nicht für den Zugriff auf aufbewahrte Daten verwendet werden, es sei denn, sie werden über einen genehmigten geschäftlichen Passwort-Manager verwaltet.

In diesem Abschnitt wird die Aufbewahrung direkt mit der Anmeldedatenverwaltung verknüpft. Daten, die aufbewahrt werden müssen, benötigen weiterhin Schutz. Wenn alte Verträge, Gehaltsabrechnungsdateien, Kundendaten oder Sicherheitsprotokolle für Personen zugänglich bleiben, die sie nicht mehr benötigen, löst die Aufbewahrungsrichtlinie nur die Hälfte des Problems.

Ein Passwort-Manager für Unternehmen unterstützt die Zugriffskontrolle, indem er Teams dabei hilft, starke Anmeldedaten zu erstellen, diese sicher zu speichern und den Zugriff nur mit autorisierten Personen zu teilen. Proton Pass for Business hilft Teams, Anmeldedaten in verschlüsselten Tresoren zu verwalten und sicheres Teilen zu nutzen, sodass aufbewahrte Daten seltener durch wiederverwendete Passwörter oder informelle Zugriffe offengelegt werden.

5. Löschung und Entsorgung

Kopie der Vorlage: Wenn die Aufbewahrungsfrist endet, müssen die Daten gemäß dem Aufbewahrungsplan sicher gelöscht, anonymisiert oder archiviert werden. Papierdokumente müssen geschreddert oder sicher entsorgt werden. Digitale Aufzeichnungen müssen aus genehmigten Systemen, geteilten Drives, gegebenenfalls aus Sicherungen und allen nicht verwalteten Speicherorten gelöscht werden. Die Löschung sollte für sensible Daten dokumentiert werden. Deine Mitarbeiter sollten auch wissen, wo sie Informationen nicht speichern dürfen, wie z. B. auf persönlichen Drives, nicht genehmigten Tabellen oder in Chat-Threads. Wenn eine Datenkategorie Gegenstand einer gesetzlichen Aufbewahrungspflicht, eines Rechtsstreits, einer Prüfung oder einer Untersuchung wird, muss das Löschen pausiert werden, bis die Rechtsabteilung oder die Geschäftsführung den nächsten Schritt autorisiert.

6. Verantwortlichkeiten

Kopie der Vorlage: Jede Datenkategorie muss einen Verantwortlichen haben, der für Aufbewahrungsentscheidungen, Zugriffsüberprüfungen, Löschungen und Richtlinienaktualisierungen zuständig ist. Die Mitarbeiter sind dafür verantwortlich, Daten in genehmigten Systemen zu speichern und Daten zu melden, von denen sie glauben, dass sie veraltet, dupliziert oder am falschen Ort gespeichert sind.

7. Überprüfungsintervall

Kopie der Vorlage: Diese Richtlinie und der Aufbewahrungsplan werden mindestens einmal jährlich überprüft, und früher, wenn [Company Name] neue Systeme einführt, rechtliche Verpflichtungen ändert, einen Sicherheitsvorfall erleidet oder die Art und Weise ändert, wie personenbezogene Daten erfasst oder verarbeitet werden.

Zugriffskontrolle und aufbewahrte Daten

Eine Aufbewahrungsrichtlinie sollte niemals von der Zugriffskontrolle getrennt werden. Daten aus einem gültigen Grund aufzubewahren, bedeutet nicht, dass jeder darauf zugreifen können sollte.

Aufbewahrte Daten enthalten oft sensible Informationen: Mitarbeiterdateien, Kundendaten, Steuerdokumente, Verträge, Sicherheitsprotokolle und Vorfallsberichte. Wenn der Zugriff ungesteuert ist, können ältere Daten bei einer Gefährdung des Kontos zu einem leichten Ziel werden. Es kann auch ein internes Risiko darstellen, wenn Mitarbeiter Datensätze öffnen können, die nichts mit ihrer Rolle zu tun haben.

Zugriffskontrollen sollten folgende Fragen beantworten:

• Wer kann auf die einzelnen aufbewahrten Datenkategorien zugreifen?
• In welchen Systemen werden sie gespeichert?
• Welche Anmeldedaten schützen sie?
• Ist MFA aktiviert?
• Werden geteilte Anmeldedaten kontrolliert?
• Wann wurde der Zugriff zuletzt überprüft?
• Was passiert, wenn jemand das Unternehmen verlässt oder die Rolle wechselt?
• Erhalten Drittanbieter und Lieferanten Zugriff und wird dieser kontrolliert?

Die Datenaufbewahrung ist mit der Anmeldedatenverwaltung verknüpft. Zur Prävention von Datenlecks verringert die Zugriffskontrolle auch den Schadensradius. Wenn ein Angreifer ein einzelnes Konto gefährdet, sollte er nicht automatisch Zugriff auf jahrelang archivierte Kundendaten, alte Verträge oder Mitarbeiterdaten erhalten. Das Erstellen einer Passwortrichtlinie⁠ kann Teams dabei helfen, Regeln für die Passworterstellung, das Teilen, die Zugriffsverwaltung und die Authentifizierung zu definieren.

Zur Datenleckprävention verringert die Zugriffskontrolle auch den Schadensradius. Wenn ein Angreifer ein einzelnes Konto gefährdet, sollte er nicht automatisch Zugriff auf jahrelang archivierte Kundendaten, alte Verträge oder Mitarbeiterdaten erhalten. Der Leitfaden von Proton zum Schutz vor Datenlecks für Unternehmen⁠ erklärt, warum die Beschränkung des Zugriffs und die Reduzierung unnötiger Gefährdung wichtig sind, bevor es zu einem Vorfall kommt.

Ein Passwort-Manager für Unternehmen wie Proton Pass for Business⁠ kann Teams auch dabei helfen, den Zugriff auf die Anmeldedaten zu kontrollieren und zu überprüfen, die aufbewahrte Daten freischalten – dank zentraler Verwaltung, sicherem Teilen und einer klareren Verantwortlichkeit über die Admin-Konsole.

Häufige Fehler bei Datenaufbewahrungsrichtlinien

Viele KMU haben bereits informelle Aufbewahrungsgewohnheiten, aber keine verlässliche Richtlinie. Die häufigsten Fehler passieren schnell: zu viele Daten aufzubewahren, eine einzige Regel auf jeden Datensatz anzuwenden, Kopien in Alltagssystemen zu vergessen, Daten ohne Prüfung von Aufbewahrungspflichten zu löschen oder aufbewahrte Daten für zu viele Personen zugänglich zu machen.

Fehler	Warum dies ein Risiko darstellt	Was du stattdessen tun solltest
Alles für immer aufbewahren	Das Speichern von Daten „für alle Fälle“ kann das Compliance-Risiko und die Gefährdung durch Datenlecks erhöhen.	Bewahre Daten nur auf, wenn ein eindeutiger rechtlicher, vertraglicher, sicherheitstechnischer oder geschäftlicher Grund vorliegt.
Eine einzige Aufbewahrungsfrist für alles verwenden	Finanzunterlagen, Mitarbeiterdateien, Marketing-Leads, Verträge und Protokolle dienen unterschiedlichen Zwecken.	Definiere Aufbewahrungsfristen nach Datenkategorie.
E-Mails, Tabellen und Exporte vergessen	Kopien können in Posteingängen, Download-Ordnern, geteilten Drives oder unverwalteten Dateien verbleiben.	Nimm sekundäre Speicherorte in die Richtlinie auf.
Löschen, ohne die gesetzlichen Aufbewahrungspflichten zu prüfen	Einige Daten müssen möglicherweise für Streitigkeiten, Prüfungen, Untersuchungen oder regulatorische Verpflichtungen aufbewahrt werden.	Füge vor dem Löschen einen Überprüfungsschritt hinzu.
Den Zugriff auf aufbewahrte Daten ignorieren	Aufbewahrte Daten können immer noch offengelegt werden, wenn zu viele Personen darauf zugreifen können.	Weise Verantwortliche zu, beschränke Berechtigungen und überprüfe regelmäßig den Zugriff.

Aufbewahrungsregeln in die tägliche Praxis umsetzen

Eine praktische Richtlinie beginnt mit den Daten, die dein Unternehmen bereits besitzt, und verwandelt diese in einen Plan, dem man folgen kann. Jede Kategorie sollte einen Grund für die Aufbewahrung, einen Verantwortlichen, ein Überprüfungsintervall und einen klaren Löschprozess haben. Solange diese Daten in deinen Systemen verbleiben, sollte der Zugriff auf die Personen beschränkt bleiben, die sie tatsächlich benötigen.

Für viele KMU ist die Anmeldedatenverwaltung einer der am einfachsten zu verbessernden Bereiche. Starke Passwörter, sicheres Teilen und ein kontrollierter Zugriff helfen sicherzustellen, dass aufbewahrte Daten nur den Personen zur Verfügung stehen, die sie benötigen.

Kontrolliere mit einem sicheren Passwort-Manager für Unternehmen, wer in deinem Unternehmen auf aufbewahrte Daten zugreifen kann.