Aufbewahren und löschen: wie lange Formularantworten liegen bleiben

Ein Gartenbaubetrieb in Sursee öffnet die Auswertungstabelle seines Offertformulars. Ganz unten, auf Zeile vier, steht eine Anfrage vom März vor zwei Jahren: Name, Adresse, Telefonnummer, die Grösse des Grundstücks, ein Satz über einen Hang, der abzustützen wäre. Die Anfrage wurde damals beantwortet. Zum Auftrag kam es nicht.

Die Zeile steht noch da, weil niemand einen Grund hatte, sie zu löschen — und weil niemand einen Grund hatte, sie zu behalten. Genau das ist die Ausgangslage: Die Frage stellt sich nicht von selbst, und wenn sie einmal gestellt wird, ziehen drei Kräfte in verschiedene Richtungen.

Die erste Kraft: der Zweck endet

Das Datenschutzgesetz formuliert den Grundsatz in einem einzigen Satz. Art. 6 Abs. 4 DSG: Personendaten «werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.»

Der Satz enthält keine Frist. Er enthält einen Auslöser, und der Auslöser hängt am Zweck. Welcher Zweck das ist, bestimmt sich nach Art. 6 Abs. 3 DSG: Daten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden. Der Zweck steht also schon fest, bevor die erste Antwort eintrifft — er ist das, was auf dem Formular versprochen wurde.

Damit lässt sich die Frage für einzelne Fälle durchspielen:

• Die beantwortete Anfrage. Der Zweck war, auf eine Anfrage zu antworten. Die Antwort ist geschrieben, die Offerte ist gestellt, die Sache ist erledigt. Von diesem Moment an trägt der ursprüngliche Zweck die Zeile nicht mehr.
• Die Anmeldung zu einem Anlass. Der Kurs hat stattgefunden, die Teilnehmenden standen im Raum. Die Teilnahmeliste hat ihre Aufgabe erfüllt, sobald der Anlass vorbei und abgerechnet ist.
• Die Bewerbung, die zu keiner Anstellung führte. Hier liegt sogar eine Zahl vor. Der EDÖB schreibt in seiner FAQ, der Arbeitgeber könne die Bewerbungsdaten bis zu drei Monate nach Mitteilung der Ablehnung aufbewahren, um sich im Fall einer Klage wegen diskriminierender Ablehnung verteidigen zu können, und nennt dazu Art. 8 Abs. 2 in Verbindung mit Art. 5 Abs. 2 des Gleichstellungsgesetzes. Eine Verlängerung um einige Wochen hält er für den Fall einer verzögerten Zustellung der Klageschrift für möglich. Dass für Bewerbungen überhaupt ein engerer Rahmen gilt, ergibt sich aus Art. 328b OR: Der Arbeitgeber darf Daten über Arbeitnehmende nur bearbeiten, soweit sie deren Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind.

Auffällig an diesen drei Fällen ist, dass der Auslöser jedes Mal ein Ereignis ist und nicht ein Datum: die versandte Antwort, der durchgeführte Anlass, die mitgeteilte Absage. Das ist der Punkt, an dem sich eine Löschregel später festmachen lässt.

Die zweite Kraft: Fristen, die das Behalten verlangen

Gegen den Grundsatz aus dem DSG steht eine Reihe von Bestimmungen, die ausdrücklich das Gegenteil anordnen. Die bekannteste steht im Obligationenrecht.

Art. 958f Abs. 1 OR: «Die Geschäftsbücher und die Buchungsbelege sowie der Geschäftsbericht und der Revisionsbericht sind während zehn Jahren aufzubewahren. Die Aufbewahrungsfrist beginnt mit dem Ablauf des Geschäftsjahres.»

Zwei Details an diesem Satz werden im Alltag oft überlesen. Erstens beginnt die Frist nicht am Tag des Belegs, sondern mit dem Ablauf des Geschäftsjahres — eine Rechnung vom Februar ist damit rund elf Jahre lang erfasst. Zweitens betrifft die Bestimmung Geschäftsbücher und Buchungsbelege, nicht «alle Unterlagen». Was ein Buchungsbeleg ist, definiert Art. 957a Abs. 3 OR: alle schriftlichen Aufzeichnungen auf Papier oder in elektronischer oder vergleichbarer Form, die notwendig sind, um den einer Buchung zugrunde liegenden Geschäftsvorfall oder Sachverhalt nachvollziehen zu können.

Hier entscheidet sich, ob eine Formularantwort überhaupt erfasst ist. Die unbeantwortete Offertanfrage, aus der nie eine Buchung wurde, ist kein Buchungsbeleg. Die Anmeldung, die zu einer Rechnung führte und auf die sich diese Rechnung stützt, kann einer sein. Dieselbe Tabelle enthält damit unter Umständen Zeilen in beiden Kategorien — und das ist der Grund, weshalb «wir bewahren Formulardaten zehn Jahre auf» ebenso ungenau ist wie «wir löschen sie nach dem Anlass».

Wer der Pflicht zur Buchführung unterliegt, regelt Art. 957 OR: Einzelunternehmen und Personengesellschaften ab 500 000 Franken Umsatzerlös im letzten Geschäftsjahr sowie juristische Personen. Darunter, und für nicht eintragungspflichtige Vereine und Stiftungen, ist nach Art. 957 Abs. 2 OR nur über Einnahmen, Ausgaben und Vermögenslage Buch zu führen. Für einen Verein mit einem Anmeldeformular ist das eine relevante Unterscheidung.

Zwei weitere Fristen laufen parallel dazu:

Bestimmung	Was sie anordnet
Art. 70 Abs. 2 MWSTG	Geschäftsbücher, Belege, Geschäftspapiere und sonstige Aufzeichnungen bis zum Eintritt der absoluten Verjährung der Steuerforderung; Art. 958f OR bleibt vorbehalten
Art. 42 Abs. 6 MWSTG	Diese absolute Verjährung tritt in jedem Fall zehn Jahre nach Ablauf der Steuerperiode ein, in der die Steuerforderung entstanden ist
Art. 70 Abs. 3 MWSTG	20 Jahre für Unterlagen zur Einlageentsteuerung und zum Eigenverbrauch unbeweglicher Gegenstände
Art. 126 Abs. 3 DBG	Zehn Jahre für Geschäftsbücher, Aufstellungen und sonstige Belege bei Selbständigerwerbenden und juristischen Personen

Neben den Aufbewahrungspflichten steht die Verjährung, die kein Gebot zum Behalten ist, aber dieselbe Wirkung entfalten kann: Art. 127 OR lässt alle Forderungen nach zehn Jahren verjähren, für die das Bundeszivilrecht nichts anderes bestimmt; Art. 128 OR nennt fünf Jahre unter anderem für Handwerksarbeit, den Kleinverkauf von Waren und Forderungen aus dem Arbeitsverhältnis; Art. 128a OR sieht für Schadenersatz aus vertragswidriger Körperverletzung drei Jahre ab Kenntnis und jedenfalls zwanzig Jahre ab dem schädigenden Verhalten vor. Der EDÖB zieht dieselbe Linie für das Personaldossier und leitet aus Art. 330a in Verbindung mit Art. 127 OR eine Aufbewahrung von zehn Jahren für die Daten ab, die zur Ausstellung eines Arbeitszeugnisses nötig sind, und aus Art. 322 in Verbindung mit Art. 128 OR fünf Jahre für Arbeitszeiten, Krankheitsabwesenheiten und Ferien.

Was geschieht, wenn beide Kräfte auf dieselbe Zeile zeigen

Der Fall ist häufiger, als er klingt: Jemand verlangt die Löschung seiner Daten, und dieselben Daten stehen unter einer Aufbewahrungspflicht.

Das DSG regelt den Anspruch in Art. 32 Abs. 2 Bst. c: Wer klagt, kann insbesondere verlangen, dass Personendaten gelöscht oder vernichtet werden. Der Anspruch setzt aber eine widerrechtliche Persönlichkeitsverletzung voraus, und Art. 31 Abs. 1 DSG hält fest, dass eine Persönlichkeitsverletzung widerrechtlich ist, «wenn sie nicht durch Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist». Eine gesetzliche Aufbewahrungspflicht ist eine Rechtfertigung durch Gesetz.

Praktisch heisst das: Die beiden Bestimmungen widersprechen sich nicht, sie betreffen verschiedene Daten. Eine Offertanfrage, die nie zu einer Buchung wurde, fällt unter keine Aufbewahrungspflicht. Die Rechnung, die aus derselben Anfrage entstand, schon. Wie weit sich das eine vom anderen trennen lässt, ist eine Frage des Einzelfalls — und keine, die sich aus dem Gesetzestext ablesen lässt.

Erwähnenswert ist, dass das DSG an genau einer Stelle selbst ein Höchstalter nennt. Art. 31 Abs. 2 Bst. c DSG erlaubt die Bearbeitung von Daten zur Prüfung der Kreditwürdigkeit unter mehreren Voraussetzungen, darunter Ziff. 3: «Die Daten sind nicht älter als zehn Jahre.» Eine allgemeine Regel für Formulardaten ist das nicht — aber es zeigt, dass das Gesetz eine Zahl nennt, wenn es eine nennen will.

Die dritte Kraft: Löschen ist selten ein Klick

Die dritte Schwierigkeit ist keine rechtliche. Eine Formularantwort existiert fast nie nur an einer Stelle.

• Die Benachrichtigungs-E-Mail. Die meisten Formulardienste senden bei einer neuen Antwort eine E-Mail, und in vielen Konfigurationen steht der vollständige Inhalt darin. Die Zeile aus der Tabelle liegt damit auch im Postfach — und dort im Archiv, im Gesendet-Ordner der Weiterleitung und in der Offline-Kopie auf dem Laptop.
• Der Export. Jemand hat für die Jahresplanung eine CSV-Datei heruntergeladen. Sie liegt im Download-Ordner, vielleicht in einem geteilten Laufwerk, vielleicht als Anhang in einer weitergeleiteten Nachricht.
• Die Sicherung. Sicherungen erfüllen ihren Zweck, indem sie einen früheren Zustand aufbewahren. Ein Löschvorgang von heute wirkt nicht rückwirkend in die Sicherung von letztem Monat hinein. Die übliche Antwort darauf ist nicht, die Sicherung zu durchsuchen, sondern sie nach einer festgelegten Dauer auslaufen zu lassen.
• Das zweite System. Der Webhook in die Buchhaltung, der Kontakt, der ins Newsletter-Werkzeug übernommen wurde, der Eintrag im Terminkalender. Jede dieser Verbindungen hat einmal jemand eingerichtet, und jede erzeugt eine Kopie mit eigener Lebensdauer.
• Der Ausdruck. Das Blatt, das am Anlass auf dem Tisch lag.

Keine dieser Kopien ist ein Fehler; jede hatte einen Grund. Der Punkt ist ein anderer: Eine Löschregel, die nur den Formulardienst kennt, beschreibt einen Teil der Wirklichkeit.

Wie eine Löschregel aussieht, wenn sie aufgeschrieben ist

«Wir löschen, sobald wir die Daten nicht mehr brauchen» ist ein korrekt wiedergegebener Gesetzestext und keine Regel. Eine Regel wird sie erst, wenn vier Angaben dazukommen, weil sich erst dann feststellen lässt, ob sie eingehalten wurde.

Angabe	Warum sie fehlt, wenn sie fehlt
Welche Kategorie	Offertanfragen, Kursanmeldungen, Bewerbungen und Rechnungsbelege stehen in derselben Tabelle und folgen verschiedenen Regeln
Wie lange	Eine Dauer, die jemand nachrechnen kann — nicht «bis nicht mehr nötig»
Gezählt ab welchem Ereignis	Eingang, Beantwortung, Durchführung des Anlasses, Absage, Ablauf des Geschäftsjahres: vier verschiedene Startpunkte
Wer oder was löscht	Eine Person mit einem Termin im Kalender, oder eine Einstellung im System, die es ohne Erinnerung tut

Der EDÖB formuliert den ersten Punkt für das Personaldossier ausdrücklich: Das DSG sehe selbst keine Aufbewahrungsfrist vor, sondern lege die allgemeinen Grundsätze fest; die Aufbewahrungsdauer sei je nach Datenkategorie einzeln festzulegen. Diese Aufteilung nach Kategorien ist der Teil, den eine Software nicht übernehmen kann, weil nur der Betrieb weiss, wozu er welches Feld erhoben hat.

Die vierte Spalte ist dagegen fast immer eine technische Frage. Eine Regel, die von einem Kalendereintrag abhängt, überlebt den Wechsel der Person, die den Eintrag hat, selten. Eine Regel, die im Formular selbst hinterlegt ist, läuft weiter.

Wo die Antwort offen bleibt

Drei Punkte lassen sich aus den Gesetzestexten nicht beantworten, und es wäre unredlich, sie zu glätten.

Ob eine bestimmte Formularantwort ein Buchungsbeleg im Sinne von Art. 957a Abs. 3 OR ist, hängt davon ab, ob sie zum Nachvollziehen einer Buchung notwendig ist. Das ist eine Beurteilung des einzelnen Vorgangs.

Wie lange nach einer beantworteten Anfrage ein Betrieb noch ein eigenes Interesse an der Zeile hat — etwa wegen einer möglichen Gewährleistung oder einer drohenden Auseinandersetzung —, ist eine Abwägung nach Art. 31 DSG und keine Frist.

Und für einzelne Branchen gelten zusätzliche Bestimmungen. Der EDÖB verweist selbst auf bereichsspezifische Melde-, Offenlegungs- und Auskunftspflichten, etwa nach Geldwäschereigesetz oder Bankengesetz, aus denen sich weitere Aufbewahrungsfristen ergeben können. Im Gesundheitsbereich kommen kantonale Dokumentationspflichten dazu. Wer in einem solchen Bereich arbeitet, findet die massgebende Regel nicht im DSG.

Was davon am Formular hängt

Zurück zur Zeile vier. Sie lässt sich beurteilen, ohne dass jemand eine Rechtsauskunft einholt: Wozu wurde gefragt, ist das erledigt, hing daran eine Buchung, und wo liegt die Zeile ausser in dieser Tabelle noch. Vier Fragen, die sich auch für Privatpersonen stellen, die ein Formular für einen Anlass oder eine Sammelbestellung aufgesetzt haben und die Antworten seither in einer Tabelle liegen lassen.

Was eine Software dazu beitragen kann, ist die vierte Spalte der Tabelle weiter oben. Bei der App für Online-Formulare, die wir entwickeln, werden sich Aufbewahrungsfrist und automatische Löschregel je Formular festlegen lassen, damit das Löschen nicht an einer Erinnerung hängt; die Antworten werden bereits im Browser verschlüsselt und in der Schweiz gespeichert. Welche Kategorie ein Formular erhebt und wie lange sie sinnvollerweise bleibt, bleibt die Entscheidung des Betriebs — daran ändert Software nichts.