DSGVO-Bußgelder erreichen 6,11 Milliarden Euro — ist „alles für immer aufbewahren“ ein Compliance-Risiko?

Bis März 2026 erreichten die erfassten DSGVO-Geldbußen in der EU insgesamt rund €6.11 Milliarden. Der CMS GDPR Enforcement Tracker Report 2025/2026 erfasst dabei 2.685 Geldbußen mit bekanntem Betrag und Datum. Einschließlich Einträgen mit unvollständigen Informationen nennt der Bericht 3.062 Fälle. Einzelne Geldbußen erreichen €1.2 Milliarden. Unabhängig davon, wie dein Unternehmen die Risiken bei Einführung der DSGVO 2018 eingeschätzt hat: Acht Jahre später sind Sanktionen keine theoretische Möglichkeit mehr, sondern dokumentierte Kosten für fehlerhaften Umgang mit Daten.

Die meisten Ratschläge zur Aufbewahrung von E-Mail zielen auf die falsche Fehlerart. Sie sagen dir, wie lange du Kategorien von E-Mail für die Compliance aufbewahren sollst — sieben Jahre Finanzunterlagen, zwei Jahre Support-Tickets —, als bestünde das Risiko immer darin, etwas zu früh zu löschen. Dieses Risiko ist real. Aber Aufsichtsbehörden stellen zunehmend klar, dass der umgekehrte Fehler, alles unbefristet aufzuheben, weil Löschen sich riskant anfühlt, für sich genommen ein Verstoß ist.

Das Prinzip, das die meisten Aufbewahrungsrichtlinien überspringen

Die DSGVO gibt dir keine feste Aufbewahrungsfrist für E-Mails, und genau diese Unschärfe ist der Grund, warum so viele Organisationen auf „nie etwas löschen, nur für den Fall“ zurückfallen. Doch Artikel 5 Absatz 1 Buchstabe e, der Grundsatz der Speicherbegrenzung, verlangt, dass personenbezogene Daten „nicht länger als nötig“ für die Zwecke gespeichert werden, für die sie erhoben wurden — und Artikel 5 Absatz 1 Buchstabe c, die Datenminimierung, steht direkt daneben. Unbefristete Aufbewahrung ist unter keinem der beiden Grundsätze ein sicherer Standard. Sie ist genau das, was sie verbieten sollen.

In der Praxis heißt das: Eine Organisation muss für jede Kategorie von E-Mails, die sie hält, beantworten können, warum sie aufbewahrt wird und wie lange noch. „Wir könnten sie irgendwann brauchen“ ist keine Antwort, die Aufsichtsbehörden akzeptieren, so nachvollziehbar der Reflex dahinter auch ist.

Behörden wollen jetzt Belege, kein Richtliniendokument

Die andere bemerkenswerte Verschiebung: Eine schriftliche Aufbewahrungsrichtlinie, die in einem Compliance-Ordner liegt, genügt den Erwartungen der Aufsicht allein nicht mehr. Verlangt werden prüfbare Nachweise, dass die Richtlinie tatsächlich durchgesetzt wird — dokumentierte Löschabläufe, Aufbewahrungsfristen, die auf Serverebene angewendet und nicht dem Ermessen einzelner Beschäftigter überlassen werden, und Verfahren für Legal Holds, die routinemäßiges Löschen korrekt aussetzen, wenn ein Rechtsstreit vernünftigerweise zu erwarten ist.

Das zeigt sich auch in angrenzenden Verfahren. Frankreichs CNIL und Italiens Garante veröffentlichten im April 2026 formelle Leitlinien, die den Posteingang als Teil des Privatlebens behandeln — sie verlangen für Tracking-Pixel grundsätzlich eine Einwilligung, mit festgelegten Ausnahmen und Übergangsregelungen. Prüfe für den konkreten Einsatz die Regeln der zuständigen Aufsichtsbehörde. Das ist ein anderer Mechanismus als die Durchsetzung von Aufbewahrungsfristen, aber die Haltung dahinter ist dieselbe: Aufsichtsbehörden schauen gezielt darauf, was Unternehmen mit den Inhalten von E-Mails tun, nicht nur darauf, ob irgendwo ein Richtliniendokument existiert.

Eine Aufbewahrungsfrist, die tatsächlich standhält

Nichts davon verlangt exotische Werkzeuge. Eine belastbare Struktur besteht aus wenigen Kategorien, jede mit einem dokumentierten Grund und einer Dauer:

Alltägliche Betriebspost — interne Abstimmung, Terminplanung, tägliche Korrespondenz ohne eigenständige rechtliche oder finanzielle Bedeutung. Wird üblicherweise etwa ein Jahr aufbewahrt und dann entfernt.

Korrespondenz aus dem Kundensupport — wird typischerweise länger aufbewahrt, oft zwei Jahre, um Garantie- und Streitfristen abzudecken.

Finanz- und steuerrelevante Unterlagen — richten sich nach den Steuer- und Prüfvorschriften deiner Rechtsordnung, häufig sieben Jahre.

Alles unter aktivem Legal Hold — wird unabhängig von der Kategorie aufbewahrt, bis der Hold aufgehoben ist, und schlägt jeden anderen Zeitplan.

Die konkreten Zahlen unterscheiden sich je nach Branche und Land — die DSGVO legt sie nicht fest, das tun deine Aufsichtsbehörde oder deine eigene dokumentierte Begründung. Entscheidend ist, dass an jeder Kategorie eine Zahl hängt und diese Zahl auch tatsächlich durchgesetzt wird, statt bloß angestrebt zu werden.

Wo ein persönliches Archiv hier hineinpasst

Ein lokales Archiv ändert den Speicherort eines Datensatzes und hebt Aufbewahrungspflichten nicht auf. Lege für geschäftliche E-Mails mit personenbezogenen Daten fest, warum jede Kategorie aufbewahrt werden muss, wer darauf zugreifen darf und wann sie gelöscht werden muss. Wende diese Richtlinie auf Server-E-Mails, lokale Archive und Sicherungskopien an. Weitere Aufbewahrung braucht einen gültigen Zweck oder eine rechtliche Verpflichtung; das Verschieben vom Server schafft keine solche Grundlage. Siehe die Aufbewahrungshinweise der CNIL.

MailVault archiviert jeden Ordner deines IMAP- oder OAuth-Kontos als einzelne .eml-Dateien auf deiner eigenen Festplatte, ganz unabhängig vom Postfach deines Anbieters. Verwende die lokale Kopie nur für Unterlagen, die du aufbewahren darfst, und berücksichtige sie in deinen Zugriffskontrollen und Löschfristen. MailVault bietet keine zentral durchgesetzten Aufbewahrungsrichtlinien, rechtlichen Aufbewahrungssperren oder Compliance-Zertifizierung. Manuelle Backups sind kostenlos und unbegrenzt; geplante Backups, die das Archiv automatisch aktuell halten, sind eine Premium-Funktion für $4/Monat oder $25/Jahr, mit 14 Tagen Testphase im Jahresplan. Diese Angaben zur Dateistruktur gelten für das Standardformat Maildir. Unter Einstellungen → Speicher gibt es auch JMAP-Speicher, der die ursprünglichen Nachrichtenbytes mit JSON-Datensätzen aufbewahrt und identische Nachrichten dedupliziert.

Weiterführend: wie du Tausende alter E-Mails sicher löschst, E-Mail-Archivierung für Freelancer und wie du E-Mails behältst, nachdem du sie vom Server gelöscht hast.