Welche Politik soll in Bezug auf die Aufbewahrungsdauer von Personendaten verfolgt werden?

Sowohl das Datenschutzgesetz (DSG) als auch die Datenschutz-Grundverordnung der Europäischen Union (DSGVO) verlangen, dass die Bearbeitung von Personendaten verhältnismässig sein muss. Dementsprechend dürfen diese Daten weder in Papierformat noch in elektronischer Form auf unbestimmte Zeit aufbewahrt werden. Ihre Aufbewahrung muss sich auf die Dauer beschränken, die für die Zwecke erforderlich ist, für die sie verarbeitet werden (Art. 5 Abs. 1 Bst. e DSGVO – Grundsatz der Einschränkung der Aufbewahrung).
Konkret muss sich somit jeder für die Bearbeitung von Personendaten Verantwortliche (z. B. schweizerisches KMU) fragen, welche Personendaten er zu welchem Zweck bearbeitet, wie lange er sie aufbewahrt und wie er sie zu vernichten hat. Die Definition einer internen Datenaufbewahrungspolitik gibt dem Verantwortlichen nicht nur Richtlinien für seine Mitarbeitenden, sondern erlaubt ihm auch die Überprüfung und in gewissem Masse den Nachweis, dass er die gesetzlichen Pflichten erfüllt (Art. 5 Abs. 2 DSGVO).
Die Aufbewahrungsdauer wird entweder von einer allfälligen gesetzlichen Grundlage oder von dem für die Bearbeitung Verantwortlichen vorgegeben. Dieser sollte dabei allerdings auf die Empfehlungen des Eidgenössischen Datenschutzbeauftragten abstellen.

Bei der Definition einer solchen Aufbewahrungspolitik sind folgende Gesetzesbestimmungen zu beachten:

– Art. 958f OR: Die Geschäftsbücher, die Buchungsbelege, der Geschäftsbericht und der Revisionsbericht sind nach Ablauf des Geschäftsjahres während zehn Jahren aufzubewahren.

– Art. 46 ArG und Art. 73 Abs. 2 ArGV 1: Alle relevanten Unterlagen bei einer Ermittlung über Verstösse gegen das Arbeitsgesetz sind nach Ablauf ihrer Gültigkeit für mindestens fünf Jahre aufzubewahren.

– Art. 41 Abs. 2 BVG: Forderungen auf periodische Beiträge und Leistungen verjähren nach fünf, andere nach zehn Jahren. Dementsprechend empfehlen wir die Aufbewahrung von Daten der Altersvorsorge während zehn Jahren.

– Art. 7 Abs. 3 GwG: Die gestützt auf Art. 7 Abs. 1 GwG erstellten Belege sind nach Beendigung der Geschäftsbeziehung oder nach Abschluss der Transaktion während zehn Jahren aufzubewahren.

– Art. 127 und 128 OR: Gewisse Forderungen verjähren nach zehn, andere nach fünf Jahren (für Mietzinse, für Beköstigung, aus Dienstleistungen und aus Arbeiten von Handwerkern usw.). Unter Berücksichtigung dieser Fristen vertreten wir die Ansicht, dass insbesondere Vertragsunterlagen (Verträge, Nachträge usw.) bis zehn Jahre nach Vertragsende oder -erfüllung aufzubewahren sind.

– Personaldossiers sind unserer Meinung nach je nach den betroffenen Daten während einem, fünf oder zehn Jahren aufzubewahren. Der Datenschutzbeauftragte scheint diesen Standpunkt zu teilen, wie dem auf seiner Website veröffentlichten Leitfaden über die Bearbeitung von Personendaten im Arbeitsbereich zu entnehmen ist.

Aus diesen Ausführungen ergibt sich, dass der schweizerische Gesetzgeber diese Problematik nicht in einem einzigen Spezialgesetz, sondern in verschiedenen Gesetzen behandelt hat, die somit zu beachten sind, um die Vorschriften zu erfüllen.