Jedes Dokument hat einen Lebenszyklus – von der Erstellung über die aktive Nutzung bis zur Archivierung oder Löschung. Microsoft Purview Retention Policies helfen Ihnen, diesen Lebenszyklus in SharePoint Online automatisch zu steuern und gleichzeitig gesetzliche Aufbewahrungspflichten zu erfüllen.
Warum Retention Management so wichtig ist
Gesetzliche Anforderungen in der Schweiz
Schweizer Unternehmen unterliegen verschiedenen Aufbewahrungspflichten:
- Geschäftsbücher und Belege: 10 Jahre gemäss OR Art. 958f
- Personalakten: Unterschiedlich je nach Dokumenttyp (5–10 Jahre nach Austritt)
- Verträge: In der Regel 10 Jahre nach Vertragsende
- Steuerdokumente: 10 Jahre gemäss DBG
- Medizinische Unterlagen: 10–20 Jahre je nach Kanton
- E-Mails mit Geschäftsrelevanz: Gleiche Fristen wie die zugrunde liegenden Geschäftsvorgänge
Das Risiko: Zu viel und zu wenig
Ohne aktive Retention-Strategie entstehen zwei Probleme gleichzeitig:
Over-Retention: Alles wird aufbewahrt, nichts wird gelöscht. Die Datenmenge wächst unkontrolliert, Speicherkosten steigen, und bei Rechtsstreitigkeiten müssen riesige Datenmengen gesichtet werden (E-Discovery-Risiko).
Under-Retention: Dokumente werden zu früh gelöscht. Gesetzliche Pflichten werden verletzt, und bei Audits oder Rechtsstreitigkeiten fehlen Nachweise.
Microsoft Purview Retention: Die Grundlagen
Retention Labels vs. Retention Policies
Microsoft Purview bietet zwei Mechanismen:
Retention Policies wirken auf Containerebene – Sie wenden sie auf ganze SharePoint Sites, OneDrive-Konten oder Exchange-Postfächer an. Alle Inhalte im Container unterliegen der gleichen Regel.
Retention Labels wirken auf Dokumentebene – Sie heften sie an einzelne Dokumente oder Ordner. Labels ermöglichen granulare Steuerung und können auch von Benutzer:innen manuell angewendet werden.
Wie Retention technisch funktioniert
Wenn ein Retention-Zeitraum abläuft, geschieht Folgendes:
- 1Aufbewahren und dann löschen: Das Dokument bleibt für die definierte Dauer erhalten. Wird es vorher gelöscht, wandert es in die Preservation Hold Library (versteckter Papierkorb). Nach Ablauf wird es endgültig gelöscht.
- 1Nur aufbewahren: Das Dokument wird dauerhaft aufbewahrt und kann nicht gelöscht werden – selbst nicht von Administrator:innen.
- 1Nur löschen: Nach Ablauf der Frist wird das Dokument automatisch gelöscht. Es gibt keine Aufbewahrungspflicht.
Die Preservation Hold Library ist für Benutzer:innen unsichtbar. Sie stellt sicher, dass Dokumente auch dann erhalten bleiben, wenn jemand sie aus SharePoint löscht – solange die Aufbewahrungsfrist läuft.
Retention-Strategie für Schweizer Unternehmen
Schritt 1: Dokumententypen inventarisieren
Erfassen Sie alle Dokumententypen in Ihrer Organisation und ordnen Sie ihnen Aufbewahrungsfristen zu:
| Dokumententyp | Aufbewahrung | Rechtsgrundlage |
|---|---|---|
| Jahresabschlüsse | 10 Jahre | OR Art. 958f |
| Verträge | 10 Jahre nach Ende | OR Art. 127 |
| Personalakten | 5 Jahre nach Austritt | OR Art. 328b |
| Bewerbungen (abgelehnt) | 6 Monate | DSG Best Practice |
| Rechnungen | 10 Jahre | MWSTG Art. 70 |
| E-Mails (geschäftsrelevant) | 10 Jahre | OR Art. 958f |
| Projektdokumentation | 5 Jahre nach Abschluss | Branchenstandard |
| Marketing-Material | 2 Jahre | Keine gesetzl. Pflicht |
Schritt 2: Retention Labels erstellen
Im Microsoft Purview Compliance Portal erstellen Sie Labels für jede Aufbewahrungskategorie:
Label «Geschäftsdokument – 10 Jahre»
- Aufbewahrung: 10 Jahre ab Erstellungsdatum
- Nach Ablauf: Disposition Review (manuelle Prüfung vor Löschung)
- Auto-Apply: Auf Dokumentenbibliotheken mit Geschäftsdokumenten
Label «Personalakte – 5 Jahre nach Austritt»
- Aufbewahrung: 5 Jahre ab Label-Anwendung (wird beim Austritt gesetzt)
- Nach Ablauf: Automatische Löschung
- Anwendung: Manuell durch HR bei Mitarbeiteraustritt
Label «Temporär – 1 Jahr»
- Aufbewahrung: 1 Jahr ab Erstellung
- Nach Ablauf: Automatische Löschung
- Für: Entwürfe, temporäre Arbeitsdokumente, Meeting-Notizen
Schritt 3: Retention Policies für Basislinie
Zusätzlich zu Labels empfehlen wir eine Basis-Retention-Policy auf alle SharePoint Sites:
- Standardaufbewahrung: 7 Jahre für alle Inhalte
- Danach: Löschung (es sei denn, ein spezifischeres Label überschreibt)
- Dies stellt sicher, dass kein Dokument ohne Mindest-Aufbewahrung durchrutscht
Schritt 4: Disposition Reviews einrichten
Für kritische Dokumententypen empfehlen wir Disposition Reviews. Vor der endgültigen Löschung erhalten definierte Prüfer:innen eine Benachrichtigung und können entscheiden:
- Genehmigen: Dokument wird gelöscht
- Verlängern: Aufbewahrungsfrist wird erneuert
- Relabeln: Ein anderes Retention Label wird angewendet
- Als Record deklarieren: Dokument wird zum unveränderlichen Record
Records Management: Der nächste Schritt
Was sind Records?
Records sind Dokumente mit rechtlicher oder geschäftlicher Bedeutung, die als unveränderlich erklärt werden. In SharePoint können Sie Dokumente als Records deklarieren:
- Regulatory Records: Können von niemandem gelöscht oder verändert werden – nicht einmal von globalen Administrator:innen
- Standard Records: Können von berechtigten Personen entsperrt werden, sind aber standardmässig geschützt
Wann Records verwenden?
- Verträge nach Unterzeichnung
- Jahresabschlüsse nach Prüfung
- Regulatorische Einreichungen
- Protokolle (Verwaltungsrat, Generalversammlung)
- Zertifizierungsdokumente
Adaptive Scopes: Dynamische Zuweisung
Anstatt Policies manuell auf einzelne Sites anzuwenden, können Sie Adaptive Scopes verwenden. Diese dynamischen Regeln finden automatisch die richtigen Ziele:
- Alle SharePoint Sites mit «HR» im Namen: Automatische Anwendung der HR-Retention-Policy
- Alle OneDrive-Konten der Abteilung Finanzen: Automatische 10-Jahres-Aufbewahrung
- Alle Sites, die in den letzten 2 Jahren nicht bearbeitet wurden: Automatische Archivierung
Adaptive Scopes aktualisieren sich automatisch, wenn neue Sites erstellt oder Mitarbeitende die Abteilung wechseln.
Integration mit dem Schweizer DSG
Recht auf Löschung
Das Schweizer DSG gibt betroffenen Personen das Recht, die Löschung ihrer Personendaten zu verlangen (sofern keine gesetzliche Aufbewahrungspflicht besteht). Retention Labels unterstützen diesen Prozess:
- 1Suchen Sie mit Content Search nach allen Dokumenten der betroffenen Person
- 2Prüfen Sie, ob Aufbewahrungspflichten bestehen
- 3Löschen Sie Dokumente ohne Aufbewahrungspflicht
- 4Dokumentieren Sie den Prozess für die Nachweispflicht
Verhältnismässigkeit
Das DSG verlangt, dass Daten nur so lange aufbewahrt werden, wie es für den Zweck erforderlich ist. Retention Policies setzen diesen Grundsatz technisch um – Daten werden nach Ablauf der Frist automatisch gelöscht.
Best Practices
Starten Sie mit einer Pilotphase
Beginnen Sie mit einer Abteilung (z.B. HR oder Finanzen), testen Sie die Policies und sammeln Sie Feedback. Erst dann rollen Sie unternehmensweit aus.
Dokumentieren Sie Ihre Strategie
Erstellen Sie ein Retention Schedule – ein zentrales Dokument, das alle Aufbewahrungsfristen, Rechtsgrundlagen und Verantwortlichkeiten festhält. Dieses Dokument ist auch bei Audits Gold wert.
Kombinieren Sie mit Sensitivity Labels
Retention Labels und Sensitivity Labels ergänzen sich perfekt: Sensitivity Labels steuern den Zugriff, Retention Labels steuern die Lebensdauer. Ein Dokument kann beide Labels tragen.
Schulen Sie die Mitarbeitenden
Erklären Sie den Mitarbeitenden, warum Retention wichtig ist und wie sie Labels anwenden. Machen Sie klar: Es geht nicht um Kontrolle, sondern um Schutz und Compliance.
CNEXT unterstützt Sie
Die Einführung einer Retention-Strategie erfordert juristische, organisatorische und technische Expertise. CNEXT bringt alle drei Dimensionen zusammen. Wir helfen Ihnen, Ihre Aufbewahrungspflichten zu verstehen, die richtige Strategie zu definieren und sie technisch sauber in Microsoft Purview umzusetzen.
Kontaktieren Sie uns für ein unverbindliches Beratungsgespräch.
Weiterführende Links & Quellen
Intern:
Extern:
Weiterführende Links & Quellen
Intern:
Extern: