DSGVO-Bußgelder erreichen 6,11 Milliarden Euro — ist „alles für immer aufbewahren“ ein Compliance-Risiko?

Stand März 2026 belaufen sich die kumulierten DSGVO-Bußgelder in der EU auf rund €6,11 Milliarden, verteilt auf 2.685 erfasste Verfahren, so der CMS GDPR Enforcement Tracker Report für 2025/2026. Einzelne Fälle in diesem Datensatz reichen bis zu €1,2 Milliarden. Wie das Risikomodell deiner Organisation auch ausgesehen hat, als die DSGVO 2018 neu war — acht Jahre später ist das Durchsetzungsmuster nicht mehr theoretisch. Es ist ein stetiger, gut dokumentierter Kostenblock für Unternehmen, die beim Umgang mit Daten danebenliegen.

Die meisten Ratschläge zur Aufbewahrung von E-Mail zielen auf die falsche Fehlerart. Sie sagen dir, wie lange du Kategorien von E-Mail für die Compliance aufbewahren sollst — sieben Jahre Finanzunterlagen, zwei Jahre Support-Tickets —, als bestünde das Risiko immer darin, etwas zu früh zu löschen. Dieses Risiko ist real. Aber Aufsichtsbehörden stellen zunehmend klar, dass der umgekehrte Fehler, alles unbefristet aufzuheben, weil Löschen sich riskant anfühlt, für sich genommen ein Verstoß ist.

Das Prinzip, das die meisten Aufbewahrungsrichtlinien überspringen

Die DSGVO gibt dir keine feste Aufbewahrungsfrist für E-Mails, und genau diese Unschärfe ist der Grund, warum so viele Organisationen auf „nie etwas löschen, nur für den Fall“ zurückfallen. Doch Artikel 5 Absatz 1 Buchstabe e, der Grundsatz der Speicherbegrenzung, verlangt, dass personenbezogene Daten „nicht länger als nötig“ für die Zwecke gespeichert werden, für die sie erhoben wurden — und Artikel 5 Absatz 1 Buchstabe c, die Datenminimierung, steht direkt daneben. Unbefristete Aufbewahrung ist unter keinem der beiden Grundsätze ein sicherer Standard. Sie ist genau das, was sie verbieten sollen.

In der Praxis heißt das: Eine Organisation muss für jede Kategorie von E-Mails, die sie hält, beantworten können, warum sie aufbewahrt wird und wie lange noch. „Wir könnten sie irgendwann brauchen“ ist keine Antwort, die Aufsichtsbehörden akzeptieren, so nachvollziehbar der Reflex dahinter auch ist.

Behörden wollen jetzt Belege, kein Richtliniendokument

Die andere bemerkenswerte Verschiebung: Eine schriftliche Aufbewahrungsrichtlinie, die in einem Compliance-Ordner liegt, genügt den Erwartungen der Aufsicht allein nicht mehr. Verlangt werden prüfbare Nachweise, dass die Richtlinie tatsächlich durchgesetzt wird — dokumentierte Löschabläufe, Aufbewahrungsfristen, die auf Serverebene angewendet und nicht dem Ermessen einzelner Beschäftigter überlassen werden, und Verfahren für Legal Holds, die routinemäßiges Löschen korrekt aussetzen, wenn ein Rechtsstreit vernünftigerweise zu erwarten ist.

Das zeigt sich auch in angrenzenden Verfahren. Die französische CNIL und die italienische Garante haben im April 2026 beide formelle Leitlinien erlassen, die den Posteingang als Verlängerung des Privatlebens einer Person behandeln — ihre neuen Regeln zu Tracking-Pixeln in E-Mails verlangen eine vorherige Einwilligung, bevor irgendetwas Unsichtbares zurückmeldet, was im Postfach der empfangenden Person geschieht. Das ist ein anderer Mechanismus als die Durchsetzung von Aufbewahrungsfristen, aber die Haltung dahinter ist dieselbe: Aufsichtsbehörden schauen gezielt darauf, was Unternehmen mit den Inhalten von E-Mails tun, nicht nur darauf, ob irgendwo ein Richtliniendokument existiert.

Eine Aufbewahrungsfrist, die tatsächlich standhält

Nichts davon verlangt exotische Werkzeuge. Eine belastbare Struktur besteht aus wenigen Kategorien, jede mit einem dokumentierten Grund und einer Dauer:

Alltägliche Betriebspost — interne Abstimmung, Terminplanung, tägliche Korrespondenz ohne eigenständige rechtliche oder finanzielle Bedeutung. Wird üblicherweise etwa ein Jahr aufbewahrt und dann entfernt.

Korrespondenz aus dem Kundensupport — wird typischerweise länger aufbewahrt, oft zwei Jahre, um Garantie- und Streitfristen abzudecken.

Finanz- und steuerrelevante Unterlagen — richten sich nach den Steuer- und Prüfvorschriften deiner Rechtsordnung, häufig sieben Jahre.

Alles unter aktivem Legal Hold — wird unabhängig von der Kategorie aufbewahrt, bis der Hold aufgehoben ist, und schlägt jeden anderen Zeitplan.

Die konkreten Zahlen unterscheiden sich je nach Branche und Land — die DSGVO legt sie nicht fest, das tun deine Aufsichtsbehörde oder deine eigene dokumentierte Begründung. Entscheidend ist, dass an jeder Kategorie eine Zahl hängt und diese Zahl auch tatsächlich durchgesetzt wird, statt bloß angestrebt zu werden.

Wo ein persönliches Archiv hier hineinpasst

Für Einzelpersonen und kleine Teams entsteht hier ein echter Zielkonflikt: Aufbewahrungsdisziplin spricht dafür, alte Post vom Server zu löschen, aber niemand will fünfzehn Jahre Korrespondenz verlieren, weil eine Compliance-Regel sagt, das aktive Postfach solle sie nicht mehr halten. Die Auflösung ist dieselbe wie beim Backup-Risiko — trenne, was auf dem Server bleibt, von dem, wovon du eine Kopie behältst.

MailVault archiviert jeden Ordner deines IMAP- oder OAuth-Kontos als einzelne .eml-Dateien auf deiner eigenen Festplatte, ganz unabhängig vom Postfach deines Anbieters. Das gibt dir Raum, auf dem aktiven Konto tatsächlich einen Aufbewahrungsplan durchzusetzen — zu löschen, was seine begründete Frist überschritten hat —, ohne den zugrunde liegenden Nachweis zu verlieren, denn der liegt bereits an einem Ort, den du kontrollierst, in einem Format, das jeder Client öffnen kann. Manuelle Backups sind kostenlos und unbegrenzt; geplante Backups, die das Archiv automatisch aktuell halten, sind eine Premium-Funktion für $4/Monat oder $25/Jahr, mit 14 Tagen Testphase im Jahresplan.

Weiterführend: wie du Tausende alter E-Mails sicher löschst, E-Mail-Archivierung für Freelancer und wie du E-Mails behältst, nachdem du sie vom Server gelöscht hast.