Retention Labels und Aufbewahrung: löschen müssen, aufbewahren müssen

Deutsche Unternehmen stecken in einer charmanten Zwickmühle: Das Handels- und Steuerrecht verbietet das Löschen — Buchungsbelege acht Jahre, Handelsbücher zehn —, während die DSGVO das ewige Aufheben verbietet, sobald personenbezogene Daten im Spiel sind. Die meisten lösen das Dilemma auf die klassische Art: gar nicht. Es wird schlicht nie gelöscht, und das Löschkonzept lebt als Word-Datei im Ordner „Datenschutz“. Dabei bringt Microsoft 365 mit Purview genau das Werkzeug mit, das beide Pflichten in einer Regel vereint: das Retention Label. Dieser Artikel zeigt, wie Aufbewahrung in SharePoint wirklich funktioniert — und wie aus dem Papier-Löschkonzept gelebte Praxis wird.

Das deutsche Dilemma — und warum das Label es löst

Die beiden Pflichten ziehen in entgegengesetzte Richtungen, und genau deshalb funktioniert die übliche Bauchentscheidung nicht: Wer aus DSGVO-Angst zu früh löscht, bekommt Ärger mit dem Betriebsprüfer; wer aus Prüfer-Angst nie löscht, bekommt Ärger mit der Aufsichtsbehörde — und nebenbei ein Datengrab, in dem Auskunftsersuchen zur Wochenaufgabe werden. Das Retention Label vereint beide Pflichten in einer einzigen Regel je Dokumentklasse: Solange die Frist läuft, ist das Dokument gegen Löschen und Manipulieren geschützt. Ist sie abgelaufen, wird gelöscht — automatisch oder nach dokumentierter Prüfung:

Skizze 1: HGB/AO und DSGVO ziehen in Gegenrichtungen — das Retention Label vereint beide Pflichten in einer Regel je Dokumentklasse.

Der unterschätzte Nebeneffekt: Das Label macht dein Löschkonzept erst prüfbar. „Wir löschen Bewerbungsunterlagen nach sechs Monaten“ ist als Absichtserklärung wertlos, wenn es niemand tut — als Label mit Automatik ist es ein dokumentierter, nachweisbarer Vorgang. Und die Voraussetzung dafür kennst du aus diesem Cluster bereits: Ohne Inhaltstypen weiß niemand, was ein Buchungsbeleg ist — mit ihnen hängt die richtige Frist automatisch an der richtigen Dokumentklasse.

Der Werkzeugkasten: Richtlinien, Labels, Disposition

Richtlinie oder Label?

Die Aufbewahrungsrichtlinie ist der Flächenschutz: Sie gilt für ganze Speicherorte — alle Inhalte einer Website, eines OneDrive, eines Postfachs — und eignet sich als Grundsicherung nach dem Motto „nichts verschwindet vor Ablauf von X Jahren“. Das Label ist die Präzisionswaffe: Es hängt am einzelnen Dokument, kennt dessen Klasse und kann deshalb differenzieren — der Buchungsbeleg acht Jahre, der Handelsbrief sechs, das Sitzungsprotokoll drei. In der Praxis fährt man zweigleisig: eine moderate Richtlinie als Sicherheitsnetz, Labels für alles mit echter Frist.

Was während der Frist passiert

Der Alltag ändert sich zunächst nicht — gelabelte Dokumente lassen sich normal öffnen und bearbeiten. Die Magie passiert im Hintergrund: Löscht oder ändert jemand ein Dokument unter Aufbewahrung, sichert SharePoint den Originalstand in der Preservation Hold Library der Website. Für Anwender unsichtbar, für die Compliance Gold wert — und für die Speicherplanung relevant, denn diese Bibliothek zählt aufs Kontingent. Wer Aufbewahrung großflächig einführt, sollte den Speicherverlauf im Blick behalten.

Das Fristende: Disposition statt Datengrab

Am Fristende entscheidet die Label-Konfiguration: sofort und automatisch löschen — oder die Löschprüfung vorschalten. Bei der Disposition bekommen benannte Prüfer die ablaufenden Dokumente vorgelegt und entscheiden dokumentiert: endgültig löschen, Frist verlängern oder ein neues Label vergeben. Für alles mit Personenbezug oder Streitpotenzial ist die Prüfung der empfohlene Weg — sie erzeugt genau den Nachweis, den Datenschutzbeauftragte und Auditoren sehen wollen, ohne dass jemand Listen führt.

Umsetzung: vom Fristenkatalog zum Label-Plan

Der Einstieg ist keine Technik-, sondern eine Inventurarbeit: Welche Dokumentklassen gibt es, welche Frist gilt jeweils, und wer entscheidet am Fristende? Aus dieser Liste — abgestimmt mit Steuerberatung und Datenschutz, denn Fristen sind am Ende eine juristische Frage — entsteht der Label-Plan. Als Startpunkt für die Diskussion die gängigen Orientierungswerte:

Wichtig fürs Erwartungsmanagement: Diese Werte sind Orientierung, kein Rechtsrat — Sonderfälle wie laufende Prüfungen, Branchenregeln oder der Umsatzsteuer-Blick auf Rechnungen können abweichen. Der Label-Plan gehört einmal juristisch abgesegnet, danach trägt ihn die Technik.

Bleibt die Frage, wie die Labels an die Dokumente kommen — und hier scheitern die meisten Projekte, weil sie auf Freiwilligkeit setzen. Der tragfähige Weg führt über die Vorarbeit aus diesem Cluster:

Skizze 2: Drei Zuweisungswege — Standardlabels je Bibliothek und Inhaltstyp als Rückgrat, manuell für Ausnahmen, Automatik für Masse und Altbestand.

FAQ zu Retention und Aufbewahrung

Was ist der Unterschied zwischen einer Aufbewahrungsrichtlinie und einem Retention Label?

Die Richtlinie wirkt auf ganze Speicherorte — alles in einer Website oder einem Postfach — und eignet sich als Grundschutz. Das Label hängt am einzelnen Dokument und differenziert nach Dokumentklasse: unterschiedliche Fristen, Löschautomatik, Prüfprozesse. In der Praxis kombiniert man beides: Richtlinie als Netz, Labels für alles mit echter Frist.

Können Anwender gelabelte Dokumente noch bearbeiten oder löschen?

Bearbeiten ja, je nach Label-Konfiguration — der Clou ist, dass Purview bei Änderung oder Löschung den Originalstand in der Preservation Hold Library sichert. Für die Anwender fühlt sich alles normal an, für die Compliance ist trotzdem nichts verloren. Erst die Deklaration als Datensatz (Record) sperrt Dokumente auch spürbar gegen Änderungen.

Was passiert, wenn ein Dokument mehrere Fristen treffen — Richtlinie und Label zugleich?

Dann gelten die Purview-Konfliktregeln: Aufbewahrung gewinnt immer gegen Löschung, und von mehreren Aufbewahrungsfristen setzt sich die längste durch. Ein Dokument verschwindet also nie, solange irgendeine Regel es noch hält — genau deshalb ist der Flächenschutz per Richtlinie so ein wirksames Sicherheitsnetz.

Brauche ich für Retention Labels eine E5-Lizenz?

Nicht grundsätzlich. Manuelle Labels und Standardlabels je Bibliothek oder Inhaltstyp sind mit gängigen Business- und E3-Lizenzierungen machbar — das reicht für das Rückgrat der meisten Mittelständler. Lizenzpflichtig nach oben ist vor allem die regelbasierte automatische Zuweisung, etwa nach Schlüsselwörtern oder trainierbaren Klassifizierern. Für den konkreten Lizenz-Zuschnitt lohnt der Blick in den eigenen Vertrag — oder eine kurze Beratung.

Wie setze ich die 8-Jahres-Frist für Buchungsbelege technisch um?

Mit einem Label „Buchungsbeleg: 8 Jahre aufbewahren, danach löschen“ — idealerweise als Standardlabel an der Rechnungsbibliothek oder am Inhaltstyp, sodass jedes neue Dokument es automatisch erbt. Ereignisbasierte Fristen (etwa ab Vertragsende statt ab Erstellung) sind ebenfalls möglich. Und weil die Fristverkürzung von zehn auf acht Jahre auch Altbestände betrifft, lohnt eine Nachklassifizierungswelle gleich mit.

Ersetzt Retention mein Backup?

Nein — Retention beantwortet die Frage „Wie lange muss das existieren und wann muss es weg?“, Backup die Frage „Wie komme ich nach einem Desaster zurück?“. Die Preservation Hold Library rettet zwar manches Missgeschick, ist aber kein Wiederherstellungskonzept für Ransomware oder Massenverlust. Beides gehört ins Betriebskonzept, jedes für seinen Zweck.