Der Datenlebenszyklus beschreibt alle Phasen, die ein Datensatz von seiner Entstehung bis zu seiner endgültigen Löschung oder Archivierung durchläuft: Erstellung, Speicherung, aktive Nutzung, gemeinsame Nutzung, Archivierung und Vernichtung. Datenlebenszyklus-Management (DLM) stellt sicher, dass Daten in jeder Phase korrekt behandelt werden – mit den richtigen Sicherheitsmaßnahmen, Zugriffsrechten, Aufbewahrungsfristen und Löschprozessen.
Für Automatisierungsprojekte ist der Datenlebenszyklus ein praktisches Planungswerkzeug: Jeder Workflow, der Daten erzeugt oder verarbeitet, sollte explizit definiert haben, wie lange diese Daten aufbewahrt werden, wann sie archiviert werden und wann sie gelöscht werden – insbesondere wenn personenbezogene Daten betroffen sind, für die DSGVO und Datenschutzgesetze konkrete Anforderungen stellen.
Die fünf Lebenszyklusphasen
Erstellung
Erfassung, Import, Generierung
Aktive Nutzung
Verarbeitung, Analyse, Zugriff
Freigabe
Interne / externe Weitergabe
Archivierung
Kaltlagerung, eingeschränkter Zugriff
Löschung
Sicheres, nachweisbares Löschen
Aufbewahrungsfristen: Was wie lange gespeichert werden muss
- Geschäftsbriefe und E-Mails (HGB § 257): 6 Jahre Aufbewahrungspflicht – alle geschäftliche Korrespondenz, auch wenn automatisiert verarbeitet
- Buchungsbelege, Rechnungen (HGB § 257, AO § 147): 10 Jahre – Pflicht für alle steuerlich relevanten Dokumente
- Personenbezogene Daten (DSGVO): Nur so lange wie für den Zweck der Erhebung notwendig – danach Löschpflicht. Kein unbegrenzt „für die Zukunft“ aufbewahren
- Vertragsunterlagen: Mindestens Vertragslaufzeit + gesetzliche Verjährungsfristen (3–30 Jahre je nach Vertragsart)
- Automatisierungslog-Daten: Für Compliance-relevante Prozesse (Finanz, Personal) mind. 6–10 Jahre; operative Logs oft 90 Tage bis 1 Jahr ausreichend
Praxisbeispiel
Ein Automationsdienstleister definiert Datenlebenszyklus-Regeln für alle Datenklassen, die seine Workflows verarbeiten. Rechnungsdaten: Produktionsdatenbank 2 Jahre (aktive Nutzung), dann automatisch ins Cold-Archive (S3 Glacier) verschoben, dort 8 weitere Jahre aufbewahrt (Gesamtaufbewahrung 10 Jahre gemäß HGB), dann automatisch gelöscht. Workflow-Execution-Logs: 90 Tage in Hot-Storage, danach gelöscht – kein Compliance-Relevanz. Kundenkontaktdaten (personenbezogen): maximal Vertragslaufzeit + 6 Monate Kulanz für Rückfragen, dann automatisches Lösch-Ticket an Datenschutzbeauftragten. Automatisierter Löschprozess: wöchentlicher Job prüft Aufbewahrungsfristen und löscht oder archiviert automatisch. Ergebnis: Datenbankgröße wächst nicht unbegrenzt, Datenschutz-Compliance gesichert, Audit-fähige Dokumentation aller Löschvorgänge.
