Der Anwalt will die E-Mails „für alle Fälle behalten“. Der DSB will „minimieren“. Die IT möchte „den gemeinsam genutzten Server nicht überlasten“. Ergebnis: keine schriftliche Regelung, 50-Gigabyte-Boxen und E-Discovery, das ein Vermögen kostet – oder eine versehentliche Löschung von Beweisen.
Die Erhaltung gehosteter E-Mails – Exchange, IMAP, Messaging im Shared Sharing, Google Workspace oder Suite mit einem Host – ist ein Gleichgewicht zwischen sektoralen rechtlichen Verpflichtungen, DSGVO-Minimierung und technischer Kapazität. Ein „vertretbarer“ Begriff ist ein Begriff, den Sie einem Wirtschaftsprüfer erklären und automatisch anwenden können – und nicht einer, der aus einem allgemeinen Rechtsblog kopiert wurde.
Klassifizieren Sie, bevor Sie eine Dauer festlegen
Derselbe Mailserver enthält Rechnungen und Verträge – lange Aufbewahrung, manchmal zehn Jahre in der Buchhaltung; Personalwesen und Disziplinarmaßnahmen – bestimmte Dauer, eingeschränkter Zugang; Kundensupport – nach der Verschreibung oft kürzer; Newsletter – Tage bis Monate.
Ohne Klassifizierung ist die Gesamtaufbewahrung entweder zu lang für die DSGVO oder zu kurz für Rechtsstreitigkeiten.
| Kategorie | Ansatz | Gemeinsames Werkzeug |
|---|---|---|
| Aktuell | Aufbewahrung 12–36 Monate | Kontingent plus Säuberung |
| Beweiswert | Getrennte gesetzliche Archivierung | Archiv WORM |
| Vergänglich | 90 Tage | Automatische Regel |
„Wir löschen niemals“ ist keine Richtlinie – es ist ein Risiko.
Machen Sie die Richtlinie für den Host anwendbar
Freigegeben / IMAP: Kontingente, Löschskripts, manueller Export ins Archiv, falls erforderlich. Managed Messaging: Aufbewahrungsrichtlinien nach Ordner oder Compliance-Label. Cloud-Migration: Legal Hold versus automatische Bereinigung; Seien Sie vorsichtig mit lokalen Outlook- oder Thunderbird-Kopien.
Dokument im DSGVO-Register: Dauer nach Kategorie, Rechtsgrundlage, Tool, Verantwortlicher. Link zu Legal Archiving für Beweisabläufe.
Häufige Fehler
Einheitliche Bereinigung ohne vorgelagerte Archivierung. Geteilte Boxen ohne Besitzer. Kein Export vor Mitarbeiteraustritt. Host, der den Server ohne Vorwarnung recycelt – Beweisverlust.
Vom E-Mail-Dienstanbieter verlangen: E-Mail-Backup, konfigurierbare Aufbewahrung, Standardexport – PST, Mbox, API –, EU-Lokalisierung, falls erforderlich.
Pilot auf einer Box vor der Generalisierung
Testen Sie die Regel vor der globalen Bereitstellung 30 Tage lang in einem Pilotpostfach: Überprüfen Sie, ob Nachrichten mit Beweiswert gelöscht werden, ob Exporte funktionieren und ob Benutzer die neue Richtlinie verstehen. Passen Sie Dauer und Kategorien an, bevor Sie sie auf die gesamte Organisation ausweiten.
Der Gipfel: Abwesenheit oder Chaos
Entscheide dich und gehe ohne blinden Fleck voran
Organisieren Sie einen juristischen Workshop plus IT, um eine Tabelle mit Kategorien, Dauern und Tools zu erstellen, implementieren Sie diesen Monat eine Pilotregel auf einer Testbox, konsultieren Sie das Verzeichnis, um E-Mail-Angebote zu vergleichen, und stimmen Sie sich dann mit IP-Adressen-Erhaltung für die zugehörigen Protokolle ab.
Häufig gestellte Fragen
Welche gesetzliche Dauer?
Variabel je nach Inhalt – Abrechnung, Personalwesen, Support, Marketing. Klassifizieren Sie Nachrichten nach Kategorien, bevor Sie eine einzige Gesamtaufbewahrungsdauer festlegen, die entweder für die DSGVO zu lang oder für Rechtsstreitigkeiten zu kurz ist.
Automatische Hostbereinigung?
Ja, wenn das Tool dies zulässt – Kontingente, Exchange- oder IMAP-Regeln. Schützen Sie Feeds, die an anderer Stelle archiviert wurden oder einer gesetzlichen Aufbewahrungsfrist unterliegen, bevor Sie eine allgemeine automatische Bereinigung aktivieren.
Auf unbestimmte Zeit behalten?
Ohne dokumentierte Rechtsgrundlage nach Kategorie ist es schwierig, sich gegen die DSGVO zu verteidigen. Zur Minimierung sind angemessene Zeiträume und der Nachweis erforderlich, dass die Säuberung tatsächlich stattfindet.
Wer ist verantwortlich?
Sie legen die Richtlinie als Datenverantwortlicher fest. Der E-Mail-Dienstleister führt die Bereinigung und Archivierung gemäß DPA durch – mit technischem Nachweis, dass die Regeln gelten.
Eine ausgereifte E-Mail-Richtlinie passt in eine Tabelle – nicht in eine Kiste, die bis zur nächsten Panik wächst.