Löschkonzept im ERP: revDSG und Aufbewahrungspflichten (CH)

Ein Löschkonzept im ERP beantwortet für jede Datenklasse zwei Fragen: Wann ist der Zweck erreicht, zu dem die Daten beschafft wurden, und hält eine Aufbewahrungspflicht länger an? Die zweite Frage entscheidet zwischen Löschen, Anonymisieren und Sperren.

Was das revidierte Datenschutzgesetz verlangt

Das Datenschutzgesetz (DSG, SR 235.1) gilt seit 1. September 2023 in der revidierten Fassung. Art. 6 Abs. 4 DSG stellt nicht auf ein Datum ab, sondern auf den Zweck: Ist er erreicht, endet die Speicherung, und das Gesetz nennt dafür zwei Wege, die Vernichtung und die Anonymisierung. Wer den Bestand nur für Statistik braucht, anonymisiert ihn.

Dazu treten Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit und Zweckbindung (Art. 6 Abs. 1 bis 3 DSG) sowie die Pflicht, unrichtige oder unvollständige Daten zu berichtigen, zu löschen oder zu vernichten (Abs. 5).

Art. 7 DSG verlangt, die Bearbeitung ab der Planung so auszugestalten, dass diese Grundsätze eingehalten werden (Abs. 1), und Voreinstellungen auf das Mindestmass (Abs. 3). Für Bearbeitungen, die vor dem 1. September 2023 begonnen wurden, gilt Art. 7 DSG nicht, solange der Bearbeitungszweck unverändert bleibt und keine neuen Daten beschafft werden (Art. 69 DSG).

Personendaten beziehen sich auf eine bestimmte oder bestimmbare natürliche Person (Art. 5 Bst. a DSG). Reine Firmendaten fallen nicht darunter, die Kontaktperson eines Geschäftspartners schon.

Für wen das Löschkonzept gilt

Das OR knüpft die Buchführungspflicht an Rechtsform und Umsatz: Juristische Personen unterliegen der vollen Buchführung ohne Umsatzgrenze, Einzelunternehmen und Personengesellschaften ab CHF 500’000 Umsatzerlös im letzten Geschäftsjahr (Art. 957 Abs. 1 OR). Die erleichterte Stufe nach Art. 957 Abs. 2 OR (nur über die Einnahmen und Ausgaben sowie über die Vermögenslage Buch führen) gilt für Einzelunternehmen und Personengesellschaften mit weniger als CHF 500’000 Umsatzerlös, für Vereine und Stiftungen, die nicht verpflichtet sind, sich ins Handelsregister eintragen zu lassen, und für Stiftungen, die nach Art. 83b Abs. 2 ZGB von der Pflicht zur Bezeichnung einer Revisionsstelle befreit sind; aufbewahrungspflichtig sind diese Aufzeichnungen und Belege trotzdem (Art. 958f Abs. 1 OR).

Art. 958f OR gilt in der Fassung seit 1. Januar 2013, die Geschäftsbücherverordnung seit 1. Juni 2002, das MWSTG seit 1. Januar 2010.

Das DSG knüpft dagegen an den Umgang mit Personendaten an, nicht an Umsatz oder Rechtsform, sodass auch ein Kleinbetrieb Regeln für Kundendaten, Kontaktpersonen und Bewerbungsunterlagen braucht. Die Ausnahme von der Pflicht zum Verzeichnis der Bearbeitungstätigkeiten für Unternehmen unter 250 Mitarbeitenden ohne besonders schützenswerte Daten in grossem Umfang und ohne Profiling mit hohem Risiko (Art. 24 DSV) entlastet nur beim Verzeichnis; die Löschpflicht nach Art. 6 Abs. 4 DSG bleibt.

Eine Aufbewahrungspflicht rechtfertigt die Aufbewahrung für den gesetzlich verlangten Zweck. Eine weitere Bearbeitung ist zulässig, soweit sie mit dem Beschaffungszweck vereinbar ist (Art. 6 Abs. 3 DSG) oder durch einen Rechtfertigungsgrund nach Art. 31 DSG gedeckt ist.

Datenklassen im ERP mit Frist und Vorgehen

Die Tabelle ordnet die Daten im ERP nach ihrer Aufbewahrung; wo das Gesetz nur einen Rahmen setzt, ist die Spalte Vorgehen unsere redaktionelle Empfehlung.

Datenklasse im ERP	Aufbewahrung in der Schweiz	Vorgehen im ERP
Geschäftsbücher: Hauptbuch, Konten, Journal, Hilfsbücher	Zehn Jahre ab Ablauf des Geschäftsjahres (Art. 958f Abs. 1 OR); Änderungen müssen feststellbar bleiben (Art. 3 GeBüV)	Bis zum Fristende schreibgeschützt archivieren; Löschsperre statt Löschfunktion
Buchungsbelege: Rechnungen, Kassenzettel, Spesenbelege	Zehn Jahre ab Ablauf des Geschäftsjahres (Art. 958f Abs. 1 OR); Beleg ist jede Aufzeichnung, die den Vorgang nachvollziehbar macht (Art. 957a Abs. 3 OR)	Belegbild mit dem Journal verknüpft halten; Zugriff berechtigten Personen vorbehalten (Art. 6 und 8 GeBüV)
Mehrwertsteuer: Geschäftsbücher, Belege und Geschäftspapiere	Bis zur absoluten Verjährung, zehn Jahre nach Ablauf der Steuerperiode (Art. 70 Abs. 2 und Art. 42 Abs. 6 MWSTG)	Frist aus der Steuerperiode berechnen, nicht aus dem Belegdatum
Geschäftsunterlagen zu unbeweglichen Gegenständen (Einlageentsteuerung, Eigenverbrauch)	20 Jahre (Art. 70 Abs. 3 MWSTG)	Eigene Frist führen; der Standardlauf erfasst diese Belege nicht
Direkte Bundessteuer: Geschäftsbücher, Aufstellungen und sonstige Belege	Zehn Jahre; Führung und Aufbewahrung richten sich nach Art. 957 bis 958f OR (Art. 126 Abs. 3 DBG)	Fristbeginn nach Art. 958f Abs. 1 OR: Ablauf des Geschäftsjahres
Lohnbuchhaltung: Lohnjournale, Lohnausweise, Abzüge	Hilfsbuch: zehn Jahre ab Ablauf des Geschäftsjahres (Art. 1 Abs. 3 GeBüV mit Art. 958f Abs. 1 OR)	Personenbezug bleibt über die ganze Frist; nach Fristablauf prüfen, ob ein Zweck oder ein Rechtfertigungsgrund nach Art. 31 DSG fortbesteht; entfällt er, anonymisieren oder vernichten (Art. 6 Abs. 4 DSG)
Arbeitszeit-, Ferien- und Absenzdaten	Das DSG nennt keine Frist; fünf Jahre gelten für Forderungen von Arbeitnehmern aus dem Arbeitsverhältnis (Art. 128 Ziff. 3 OR; Grundlage der Lohnforderung ist Art. 322 OR), für die übrigen Forderungen aus einem Arbeitsverhältnis die allgemeine Frist von zehn Jahren (Art. 127 OR). Aus der Fünfjahresfrist leitet der EDÖB eine fünfjährige Aufbewahrung der für die Lohnzahlung nötigen Daten ab. In Betrieben, die dem Arbeitsgesetz unterstehen, sind die Verzeichnisse und Unterlagen nach Art. 46 ArG mit den Angaben nach Art. 73 Abs. 1 ArGV 1 zu führen und nach Ablauf ihrer Gültigkeit mindestens fünf Jahre aufzubewahren (Art. 73 Abs. 2 ArGV 1)	Die Pflichtangaben nach Art. 73 Abs. 1 ArGV 1 nicht vor Ablauf der Mindestfrist löschen; für weitere Aufzeichnungen nach Fristablauf prüfen, ob ein Zweck oder Rechtfertigungsgrund fortbesteht, und sie sonst löschen (Art. 6 Abs. 4 DSG)
Bewerbungsunterlagen abgelehnter Bewerbender	Das DSG nennt keine Frist; der Entschädigungsanspruch wegen diskriminierender Ablehnung verwirkt ohne Klage innert drei Monaten (Art. 8 Abs. 2 in Verbindung mit Art. 5 Abs. 2 GlG), der EDÖB nennt dafür bis zu drei Monate	Nach Ablauf löschen, sofern kein Zweck oder Rechtfertigungsgrund fortbesteht; ein Bewerberpool braucht Zweck, Einwilligung und eigene Frist
Protokolle nach Art. 4 DSV	Mindestens ein Jahr, getrennt vom System; nur für die Prüfung der Datenschutzvorschriften und für die Sicherheit verwendbar (Art. 4 Abs. 5 DSV). Protokollpflicht bei privaten Verantwortlichen, wenn besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet oder ein Profiling mit hohem Risiko durchgeführt wird und die präventiven Massnahmen den Datenschutz nicht gewährleisten (Art. 4 Abs. 1 DSV)	Löschvorgänge und Zugriffe protokollieren; Auswertung zu Leistungs- oder Verhaltenszwecken ausschliessen
Kunden- und Lieferantenstammdaten samt Kontaktpersonen	Frist folgt allein aus dem Zweck: Löschung, sobald er entfällt (Art. 6 Abs. 4 DSG)	Nach der Darstellung des EDÖB kommt die Sperrung unter Umständen in Frage; sie trifft als redaktionelle Empfehlung nur die Angaben, die ein aufbewahrungspflichtiger Beleg tatsächlich braucht. Nach Fristablauf prüfen, ob ein Zweck oder Rechtfertigungsgrund fortbesteht; sonst löschen oder anonymisieren (Art. 6 Abs. 4 DSG)
Marketing- und Newsletterdaten	Frist folgt aus dem Zweck; Widerruf der Einwilligung und Wegfall des Zwecks führen zur Löschung (Art. 6 Abs. 4 DSG)	Einwilligung mit Datum und Quelle speichern; Adresse auf eine Sperrliste setzen, wenn sonst neue Werbung entstünde

Sperren statt löschen: Löschverlangen und Aufbewahrungspflicht

Betroffene Personen können die Löschung gerichtlich verlangen (Art. 32 Abs. 2 Bst. c DSG); die Berichtigung nach Art. 32 Abs. 1 DSG setzt voraus, dass keine gesetzliche Vorschrift die Änderung verbietet.

Das Löschverlangen ist also nicht absolut: Nach der Darstellung des EDÖB kann der Verantwortliche die Löschung ablehnen, wenn er die Bearbeitung auf einen anderen Rechtfertigungsgrund stützen kann, etwa eine gesetzliche Pflicht; unter Umständen kommt dann die Sperrung der Daten in Frage. Rechtfertigungsgründe nennt Art. 31 Abs. 1 DSG: Einwilligung, überwiegendes privates oder öffentliches Interesse oder Gesetz. Art. 958f Abs. 1 OR und Art. 70 Abs. 2 MWSTG sind solche gesetzlichen Pflichten. Nach Fristablauf prüft der Löschlauf, ob ein Zweck oder ein Rechtfertigungsgrund fortbesteht; ist keiner mehr gegeben, sind die Daten nach Art. 6 Abs. 4 DSG zu vernichten oder zu anonymisieren.

Für die Buchhaltung heisst das: Geschäftsbücher und Buchungsbelege dürfen nicht geändert werden können, ohne dass sich dies feststellen lässt (Art. 3 GeBüV). Über die ganze Frist müssen sie von einer berechtigten Person innert angemessener Frist eingesehen und geprüft werden können, und im Rahmen des Einsichtsrechts muss die Möglichkeit bestehen, sie auf Begehren auch ohne Hilfsmittel lesbar zu machen (Art. 6 Abs. 1 bis 3 GeBüV). Art. 3 GeBüV schreibt keine bestimmte Korrekturtechnik vor; als Verfahren empfiehlt sich eine Storno- oder Korrekturbuchung statt des Löschens des Datensatzes.

So richten Sie das Löschkonzept im ERP ein

1. Listen Sie die Datenklassen auf: Stammdaten, Bewegungsdaten, Belege, Lohn- und Personaldaten, Protokolle, Exporte und Auswertungen.
2. Halten Sie je Klasse Zweck, Frist und auslösendes Ereignis fest: Ablauf des Geschäftsjahres oder der Steuerperiode, Ende des Arbeitsverhältnisses, Ablauf der Klagefrist.
3. Führen Sie Fristen als Feld im System, nicht in einer separaten Liste: Art. 12 Abs. 2 Bst. e DSG verlangt im Verzeichnis, wenn möglich, die Aufbewahrungsdauer oder deren Kriterien.
4. Sperren Sie vor dem Löschen: Zugriff auf berechtigte Personen begrenzen, Datensatz gegen Änderung schützen. Anonymisieren Sie nur, wo der Belegbezug endet.
5. Planen Sie Löschläufe und halten Sie das Ergebnis je Datenklasse fest; greift die Protokollpflicht nach Art. 4 Abs. 1 DSV, werden die Protokolle nach Abs. 5 aufbewahrt.
6. Nehmen Sie die Kopien mit: Exporte, Testkopien und Sicherungen enthalten dieselben Personendaten; für Buchungsbelege auf veränderbaren Trägern verlangt Art. 9 Abs. 1 Bst. b GeBüV einen Integritätsnachweis.
7. Schreiben Sie das Verfahren auf: Arbeitsanweisungen zur Buchführung (Art. 4 GeBüV) und, wo nötig, das Bearbeitungsreglement nach Art. 5 DSV.
8. Prüfen Sie die Auskunftsfähigkeit: Auf Anfrage nennt der Betrieb die Aufbewahrungsdauer oder die Kriterien (Art. 25 Abs. 2 Bst. d DSG).

Was bei einem Verstoss droht

Der EDÖB kann bei einer Verletzung von Datenschutzvorschriften verfügen, dass eine Bearbeitung angepasst, unterbrochen oder abgebrochen und Personendaten gelöscht oder vernichtet werden (Art. 51 Abs. 1 DSG). Wer einer Verfügung des EDÖB oder einem Entscheid der Rechtsmittelinstanzen, die unter Hinweis auf die Strafdrohung dieses Artikels ergangen sind, vorsätzlich nicht Folge leistet, wird mit Busse bis CHF 250’000 bestraft (Art. 63 DSG).

Die Aufzählungen in Art. 60 und Art. 61 DSG nennen die Löschpflicht nach Art. 6 Abs. 4 DSG nicht. Bestraft wird, wer die Mindestanforderungen an die Datensicherheit nach Art. 8 Abs. 3 DSG vorsätzlich nicht einhält (Art. 61 Bst. c DSG) oder wer nach Art. 25 DSG vorsätzlich eine falsche Auskunft erteilt (Art. 60 Abs. 1 Bst. a DSG); beide Bussen betragen höchstens CHF 250’000 und werden auf Antrag ausgesprochen.

Steuerlich kommt die Aufbewahrung dazu: Fehlen Aufzeichnungen oder sind sie unvollständig, schätzt die ESTV die Steuerforderung nach pflichtgemässem Ermessen ein (Art. 79 Abs. 1 MWSTG). Mit Busse wird bestraft, wer Geschäftsbücher und Belege nicht ordnungsgemäss aufbewahrt (Art. 98 Bst. e MWSTG); der Höchstbetrag beträgt CHF 10’000 (Art. 106 Abs. 1 StGB).

Checkliste für Ihren Betrieb

1. Für jede Datenklasse sind Zweck, Frist und auslösendes Ereignis im System notiert.
2. Buchungsbelege und Journale sind während der Zehnjahresfrist für berechtigte Personen einsehbar und prüfbar und auf Begehren ohne Hilfsmittel lesbar (Art. 6 Abs. 1 und 3 GeBüV).
3. Der Fristbeginn folgt dem Ablauf des Geschäftsjahres (Art. 958f Abs. 1 OR) und bei der Mehrwertsteuer dem Ablauf der Steuerperiode (Art. 42 Abs. 6 MWSTG).
4. Soweit die Protokollpflicht nach Art. 4 Abs. 1 DSV greift, sind Löschvorgänge protokolliert (Art. 4 Abs. 5 DSV); das Verfahren steht in den Arbeitsanweisungen (Art. 4 GeBüV).
5. Nach Fristablauf wird je Klasse geprüft, ob ein Zweck oder ein Rechtfertigungsgrund nach Art. 31 DSG fortbesteht; entfällt er, werden die Daten nach Art. 6 Abs. 4 DSG gelöscht, vernichtet oder anonymisiert.

Die Fristen aus Art. 958f OR gelten auch für Altdaten nach einem Systemwechsel; die Varianten beschreibt Altdaten nach dem ERP-Wechsel (CH). Für die laufende Buchführung gilt Buchführung im ERP nach der GeBüV, für Kontrollen MWST-Kontrolle der ESTV. Wie Deutschland und Österreich lösen, zeigen Löschkonzept im ERP (DE) und Löschkonzept im ERP (AT).