Aufbewahren ohne Plan: Wie KMU ein Löschregime für Dateien, Mail und Backups etablieren

Speicherplatz ist billig geworden. Genau deshalb wächst in vielen mittelständischen Unternehmen ein Archiv, das niemand mehr überblickt: alte Angebote, Zwischenstände, doppelte Projektordner, Mailanhänge und Sicherungen aus zurückliegenden Systemwechseln. Das ist nicht nur unordentlich. Es erhöht die Angriffsfläche, erschwert Auskunftsersuchen und bindet Zeit, wenn actually schnell etwas gefunden werden soll.

Die DSGVO verlangt in Art. 5 Abs. 1 lit. e eine Begrenzung der Speicherung auf das notwendige Maß. Das bedeutet nicht, dass alles sofort gelöscht werden muss. Es bedeutet, dass Unternehmen begründen können sollten, warum bestimmte Daten noch vorhanden sind. Ein Löschkonzept ist deshalb weniger ein technisches Großprojekt als eine betriebliche Ordnungsfrage.

Warum Löschen schwerfällt

In der Praxis gibt es drei wiederkehrende Hemmnisse. Erstens die Sorge, eine Datei könnte später noch gebraucht werden. Zweitens die unklare Rechtslage: Niemand möchte versehentlich Unterlagen vernichten, die für Steuern, Personal oder einen Rechtsstreit relevant sind. Drittens die Technik: Wer löscht schon Ordner, wenn unklar ist, ob sie in einem Backup oder Mailarchiv noch vorhanden sind?

Diese Unsicherheit führt oft zur bequemsten Lösung: nichts tun. Das ist nachvollziehbar, aber riskant. Ein unstrukturiertes Archiv macht Datenschutzanfragen teurer, erhöht die Kosten für Storage und Backups und erschwert die Trennung zwischen aktiven Informationen und rechtlich gebotener Aufbewahrung.

Drei Ebenen getrennt betrachten

Ein tragfähiges Konzept unterscheidet mindestens drei Ebenen: File-Shares, Mail und Backups. Für jede Ebene braucht es eigene Regeln.

File-Shares. Hier hilft eine einfache Ordnerlogik: aktiv, archiviert, löschbar. Projektordner erhalten ein Enddatum. Nach Ablauf einer definierten Frist wandern sie in einen Archivbereich oder werden gelöscht. Wichtig ist, dass die Frist nicht am Gefühl einzelner Mitarbeitender hängt, sondern an einer dokumentierten Regel.

Mail. Postfächer und Mailarchive wachsen oft unbemerkt. Sinnvoll sind Regeln für Projektpostfächer, Funktionsadressen und persönliche Postfächer. Nicht jede E-Mail ist ein Geschäftsdokument. Wer geschäftlich relevante Korrespondenz in einem Ablagesystem führt, kann persönliche Postfächer eher begrenzen. Entscheidend ist die nachvollziehbare Zuordnung.

Backups. Ein Backup ist keine Archivlösung. Es dient der Wiederherstellung, nicht der dauerhaften Aufbewahrung. Das Löschkonzept muss deshalb auch die Rotation und Aufbewahrungsdauer von Sicherungen beschreiben. Gelöschte Daten verschwinden nicht automatisch aus allen Sicherungsständen. Wer das nicht dokumentiert, kann gegenüber Betroffenen oder Prüfern schwer erklären, warum alte Kopien noch existieren.

Fristen, Verantwortliche und Ausnahmen

Ein Löschkonzept beginnt mit einem einfachen Register. Für jede Datenkategorie wird festgehalten: Zweck, Aufbewahrungsgrund, Frist, verantwortliche Rolle und technischer Ablageort. Beispiele sind Bewerbungsunterlagen, Rechnungen, Verträge, Projektakten, Support-Tickets oder Marketinglisten. Die konkreten Fristen sollten mit Steuerberatung oder Rechtsberatung abgestimmt werden. Dieser Beitrag ersetzt keine Rechtsberatung.

Wichtig ist die Trennung zwischen Regel und Ausnahme. Eine Löschfrist ist keine automatische Vernichtungsanweisung. Bei einem Rechtsstreit, einer Betriebsprüfung, einem Insolvenzverfahren oder einer internen Untersuchung können Daten vorübergehend weiter benötigt werden. Für solche Fälle braucht es einen dokumentierten Legal Hold: Die Löschung wird ausgesetzt, der Grund und die verantwortliche Person werden festgehalten. Nach Wegfall des Grundes greift die reguläre Frist wieder.

Verankerung im Betrieb

Ein Löschkonzept auf Papier verändert nichts. Es muss in den Arbeitsalltag eingebaut werden. Dazu gehören ein vierteljährlicher Löschlauf, eine kurze Prüfung durch die IT und eine Freigabe durch die jeweilige Fachabteilung. Automatische Regeln können unterstützen, sollten aber nicht blind löschen. Kritische Ordner erhalten eine manuelle Freigabe.

Ebenso wichtig ist die Kommunikation. Mitarbeitende müssen wissen, welche Ablageorte vorgesehen sind und was mit alten Dateien passiert. Ein kurzer Leitfaden, eine Schulung im Onboarding und eine klare Ansprechperson reichen häufig aus. Wer Löschen nur als Verbot kommuniziert, erzeugt neue Schattenablagen. Wer den Nutzen erklärt – schnellere Suche, weniger Risiko, geringere Kosten –, erhöht die Bereitschaft zur Mitarbeit.

Pragmatischer Start

Ein realistischer Einstieg besteht aus vier Schritten: erstens die wichtigsten Datenkategorien erfassen, zweitens die größten Ablageorte prüfen, drittens drei priorisierte Löschregeln festlegen und viertens einen Termin für die erste Auswertung bestimmen. Nach 90 Tagen lässt sich erkennen, ob die Regeln funktionieren oder zu viel Aufwand erzeugen.

Das Archiv, das niemand vermisst, entsteht nicht durch einen radikalen Schnitt. Es entsteht durch klare Regeln, dokumentierte Ausnahmen und eine Routine, die auch dann weiterläuft, wenn das Tagesgeschäft drängt. Für den Mittelstand ist das der entscheidende Punkt: Löschen muss so einfach sein, dass es im Betrieb tatsächlich passiert.