德国数据保护机构喊你春季大扫除：提示数据删除义务 | 德国发布2025年执法重点是数据删除义务履行

是时候与过时文件说再见了
随着白昼渐长，家中和公寓里再次洒满了阳光，一年一度的春季大扫除时节又到了。对于企业而言，春季的开始也是清理过时文件的绝佳时机。如果数字文档和纸质档案中包含个人数据，根据《通用数据保护条例》（GDPR），这些数据只能在必要的时间内被保存。因此，至少每年一次，企业需要对存储的数据进行全面梳理，判断这些数据或档案是否仍需继续保留。专业的数据控制者通常会采用自动化流程来完成这一任务。然而，在尚未建立自动化流程的地方，就需要手动删除数据。在此过程中，企业和机构必须确保其删除流程已经考虑了从2025年起生效的新的法定存储期限。
许多文档都有法定的最低存储期限，这些期限通常来源于《税收征管法》（AO）和《商法典》（HGB），形成了一个包含六年、八年和十年期限的分级体系。商会等机构已经发布了关于不同类型文件应保存多长时间的详细指南。根据数据类型和业务领域，还可能适用特殊的存储期限。例如，诊所需要遵守《民法典》（BGB）规定的十年职业法规期限，或者《辐射防护条例》（StrlSchVO）规定的三十年期限。另一个例子是雇主，他们需要保存员工工作时间记录、青少年保护和孕妇保护相关记录等，保存期限为两年。
当存储期限届满时，数据通常必须立即删除。然而，数据保护法并不要求在新年夜立即删除数据——根据系统的复杂性，删除过程可能需要数周甚至数月时间。重要的是，删除过程应在年初立即启动，并在春季开始前完成年度删除工作。
2025年起的新期限
今年的数字化春季大扫除需要特别关注。联邦立法者缩短了一些存储期限，这意味着相关数据也需要更早被删除。通过第四部《行政减负法》，《税收征管法》和《商法典》得到了调整。在实践中最重要的凭证存储期限类别，现在需要保存八年，而不是之前的十年，之后必须删除。对于其他文件类型，如商业账簿和年度财务报表，仍需保存十年。这些法律变更导致今年春季需要清理更多的数据字段，并调整删除概念。
内部删除概念
对于没有法定存储期限的个人数据，如果不再需要，也必须删除。企业有责任了解这些数据通常的使用期限。在删除概念中，需要制定、记录并内部实施独立的删除期限。这些期限的长度可以根据数据类型和业务领域有很大差异。通常，行业协会会为内部决策提供指导。参考民法中的时效期限也是有意义的。例如，对于数据保护文件（如信息请求答复）的删除，可以参考三年的行政违规行为时效期限。
汉堡数据保护和信息自由专员（HmbBfDI）特别强调，企业必须制定一个可追溯的删除概念，并确保随后的删除操作真正有效。只要基于企业经验且合理有据，且不过度延长，监管机构不会质疑概念中设定的时间跨度。
监管执行：因数据删除不足而被罚款
删除义务的概念和实际执行是HmbBfDI的重点关注领域。在对企业数据存储的例行检查中，通常会询问存储期限和删除流程。例如，在2024年秋季，HmbBfDI检查了债权管理服务提供商的相关实践，并因一家企业数据删除不足而对其处以90万欧元的罚款。在该行业的另一个案例中，目前正在进行的罚款程序仍在进行中。数据删除问题也已成为欧洲数据保护委员会成员的协调执法框架的年度主题，受到全欧洲的关注。
Thomas Fuchs，汉堡数据保护和信息自由专员：“大数据不是旧数据。客户不应永远留在多年前有过联系的企业数据存储中。仅仅为了将来可能需要信息而让数据孤岛不断增长是不可接受的。合理的删除概念是企业良好数据合规性的体现，也是一种法律义务。”