Wie lange Bewachungsprotokolle aufbewahren?

Ein Auftraggeber bestreitet drei Monate nach einem Vorfall, dass die Kontrollrunde stattgefunden hat. Der Dienstplan ist längst überschrieben, die WhatsApp-Nachricht nicht auffindbar - aber das Bewachungsprotokoll belegt Uhrzeit, Kontrollpunkt, Feststellung und Reaktion. Genau dann wird die Frage relevant: Wie lange Bewachungsprotokolle aufbewahren? Eine pauschale Jahreszahl gibt es nicht. Entscheidend ist, welche Funktion das einzelne Protokoll erfüllt, welche Daten darin stehen und ob gesetzliche, vertragliche oder beweisrechtliche Gründe eine längere Speicherung tragen.

Für Sicherheitsdienste ist das kein Archivthema am Rand. Bewachungsprotokolle sind Leistungsnachweis, Grundlage für Rechnungen, Beweismittel bei Reklamationen und häufig Teil der Einsatzdokumentation. Wer alles gleich behandelt, löscht entweder zu früh oder speichert personenbezogene Daten ohne tragfähigen Grund zu lange.

Wie lange Bewachungsprotokolle aufbewahren - die Grundregel

Bewachungsprotokolle haben keine einheitliche Aufbewahrungsfrist allein deshalb, weil sie aus einem Sicherheitsauftrag stammen. Die Frist richtet sich nach dem Zweck und der Einordnung des Dokuments. Ein digitaler Streifennachweis ohne Besonderheit ist etwas anderes als ein Vorfallsbericht mit Personenbezug, ein vom Kunden abgezeichnetes Leistungsprotokoll oder ein Bericht, der eine Rechnung belegt.

In der Praxis entstehen meist vier Kategorien. Erstens der operative Routinenachweis: Kontrollgänge, Schließrunden, Übergaben und Meldungen ohne besonderen Vorfall. Zweitens Leistungs- und Abrechnungsnachweise, etwa vom Auftraggeber bestätigte Stunden oder Objektprotokolle, die einer Rechnung zugeordnet sind. Drittens Vorfalls- und Ereignisberichte, beispielsweise bei Sachschäden, Zutrittsverstößen, Hausrechtsmaßnahmen oder Polizeieinsätzen. Viertens Protokolle mit besonders sensiblen Daten, etwa Gesundheitsangaben, Fotos, Ausweisdaten oder Angaben zu Verdächtigen.

Die Aufbewahrung beginnt deshalb nicht mit einer Zahl, sondern mit einer sauberen Klassifizierung. Wer den gleichen Bericht zugleich als Kontrollnachweis, Rechnungsanlage und Vorfallsakte nutzt, muss die längste einschlägige und zulässige Frist nachvollziehbar begründen.

Diese Fristen sind in der Praxis relevant

Für die zivilrechtliche Beweisführung ist die regelmäßige Verjährungsfrist nach § 195 BGB ein wichtiger Orientierungspunkt: drei Jahre. Sie beginnt in vielen Fällen nicht am Einsatztag, sondern erst mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Berechtigte Kenntnis hatte oder haben musste. Ein Protokoll vom Mai 2026 kann deshalb für eine Reklamation oder Vergütungsforderung deutlich länger relevant sein als drei Kalenderjahre ab dem Einsatztag.

Ist ein Protokoll Beleg für eine Rechnung, eine Buchung oder einen abrechnungsrelevanten Geschäftsvorgang, greifen zusätzlich handels- und steuerrechtliche Aufbewahrungspflichten. Handelsbriefe werden grundsätzlich sechs Jahre aufbewahrt; Buchungsbelege und bestimmte steuerlich relevante Unterlagen regelmäßig acht Jahre. Bücher und Aufzeichnungen können längeren Fristen unterliegen. Ob ein einzelnes Bewachungsprotokoll selbst Buchungsbeleg ist oder nur eine interne Leistungsunterlage, hängt vom Prozess ab. Wird es als Anlage zur Rechnung geführt oder dient es unmittelbar dem Nachweis der berechneten Leistung, sollte es in der Abrechnungsakte mitgedacht werden.

Bei Vorfällen ist die Lage noch differenzierter. Ein Bericht über einen Schaden, einen Streit mit einem Besucher oder eine nicht ordnungsgemäß verschlossene Tür kann für Gewährleistungs-, Schadensersatz- oder Versicherungsfragen benötigt werden. Hier kann eine längere Aufbewahrung gerechtfertigt sein. Das bedeutet aber nicht, dass jedes Routineprotokoll vorsorglich zehn Jahre im Volltext gespeichert werden darf.

Eine belastbare Orientierung statt einer Einheitsfrist

Für eine interne Löschregel kann folgende Logik sinnvoll sein:

| Protokollart | Typischer Zweck | Praktische Aufbewahrungslogik | |---|---|---| | Routine-Kontrollnachweis | Nachweis der täglichen Leistung | Frist nach Vertrag, Reklamationsrisiko und Datenschutzkonzept festlegen | | Abrechnungsrelevanter Leistungsnachweis | Rechnung und Buchhaltung belegen | Mit der zugehörigen Abrechnungsakte nach Handels- und Steuerrecht behandeln | | Vorfallsbericht | Ansprüche, Versicherung, Behördenanfragen | Bis zum Wegfall konkreter Beweis- und Anspruchsrisiken aufbewahren | | Bericht mit sensiblen Daten | Vorfall dokumentieren, Schutzpflichten erfüllen | Zugriff stark begrenzen, Daten minimieren, Frist gesondert prüfen |

Die Tabelle ersetzt keine Prüfung des Einzelfalls. Sie verhindert aber den häufigsten Fehler: Eine Aufbewahrungsfrist für alle digitalen Wachbücher, Kontrollgänge und Ereignismeldungen festzulegen, obwohl deren rechtliche Funktion unterschiedlich ist.

Datenschutz setzt eine zweite Grenze

Die DSGVO verlangt nicht nur eine sichere Speicherung, sondern auch Speicherbegrenzung. Personenbezogene Daten dürfen nicht länger aufbewahrt werden, als es für den dokumentierten Zweck erforderlich ist. Das betrifft nicht nur Mitarbeitende, sondern auch Besucher, Lieferanten, Mieter, Kundenkontakte und Personen, die in Vorfallsberichten genannt werden.

Ein Bericht kann personenbezogene Daten enthalten, obwohl er auf den ersten Blick wie ein reines Objektprotokoll aussieht: Name der diensthabenden Sicherheitskraft, Kennzeichen, Foto, Besuchername, Gesundheitsbezug oder eine Einschätzung zu einer Person. Je sensibler der Inhalt, desto genauer müssen Zweck, Rechtsgrundlage, Berechtigungen und Löschzeitpunkt definiert sein.

Besonders kritisch sind Freitextfelder. Sie werden im Einsatz schnell genutzt, enthalten aber oft mehr Informationen als nötig. Für die Dokumentation eines Zutrittsverstoßes genügt häufig eine sachliche Feststellung mit Uhrzeit, Ort, Maßnahme und Vorgangsnummer. Wertende Formulierungen, Vermutungen oder unnötige Details erhöhen das Datenschutzrisiko und helfen im Streitfall selten.

Eine längere gesetzliche Aufbewahrungspflicht kann die Speicherung rechtfertigen. Fehlt sie, kommen berechtigte Interessen wie die Abwehr oder Durchsetzung von Ansprüchen in Betracht. Diese Abwägung muss dokumentiert sein. Ein bloßes „man weiß ja nie“ ist keine belastbare Löschstrategie.

Vertrag und Auftraggeber sauber einordnen

Viele Sicherheitsunternehmen dokumentieren im Auftrag ihrer Kunden. Daraus folgt nicht automatisch, dass jedes Protokoll vollständig dem Auftraggeber gehört oder der Sicherheitsdienst alle Daten beliebig lange selbst nutzen darf. Maßgeblich sind Leistungsvereinbarung, Datenschutzrollen und die tatsächliche Verarbeitung.

Ist der Sicherheitsdienst Auftragsverarbeiter, muss der Auftraggeber Vorgaben zu Zwecken, Kategorien, Weisungen und Löschung machen. Verarbeitet das Unternehmen Daten für eigene Zwecke - etwa zur Rechnungsstellung, zur Verteidigung gegen Forderungen oder zur Erfüllung eigener gesetzlicher Pflichten - kann es eigenständig Verantwortlicher sein. In vielen realen Einsatzmodellen bestehen beide Ebenen nebeneinander. Das muss im Prozess klar voneinander getrennt werden.

Auch Qualitätsstandards und Kundenverträge können Dokumentationsfristen verlangen. Eine vereinbarte Frist ist operativ verbindlich, hebt aber Datenschutzrecht nicht auf. Verlangt ein Kunde eine zehnjährige Vollarchivierung aller Tagesprotokolle, sollte geprüft werden, ob der Zweck das wirklich erfordert, ob Daten reduziert werden können und wer die Verantwortung für die Speicherung trägt.

Aufbewahrung funktioniert nur mit einem festen Ablauf

Papierordner im Objektbüro und PDF-Dateien in wechselnden E-Mail-Postfächern erfüllen weder den Beweiszweck noch die Anforderungen an Zugriff und Löschung zuverlässig. Entscheidend ist ein Ablauf, der vom Einsatz bis zur Löschung durchgängig funktioniert.

Zunächst braucht jedes Protokoll eine eindeutige Zuordnung: Objekt, Auftrag, Schicht, Ersteller, Zeitstempel und Vorgangsart. Bei Änderungen sollte erkennbar bleiben, wer was wann korrigiert hat. Gerade bei Vorfällen ist ein nachträglich überschriebenes Dokument schlechter als kein Dokument - weil seine Beweiskraft sofort angreifbar wird.

Danach folgt die Aktenlogik. Ein gewöhnlicher Kontrollnachweis sollte nicht automatisch in derselben Ablage landen wie eine Rechnung oder ein sensibler Incident-Report. Über Metadaten und Regeln lässt sich festlegen, welche Frist gilt, wer zugreifen darf und ob ein Bericht nach Ablauf automatisiert gelöscht oder zur Prüfung vorgelegt wird.

Ein System wie Securo Hub kann diese Trennung im Tagesgeschäft abbilden: Dienst, Objekt, Kontrollpunkt, Meldung und Abrechnungsbezug liegen in einem nachvollziehbaren Datensatz statt in mehreren Dateien. Der Nutzen ist nicht „mehr Digitalisierung“ als Selbstzweck. Es geht darum, dass der Nachweis bei einer Reklamation auffindbar ist, dass die Lohn- und Rechnungsprozesse nicht auf ungesicherten Kopien beruhen und dass Löschfristen nicht vom Erinnerungsvermögen einzelner Disponenten abhängen.

Was bei digitalen Protokollen geprüft werden muss

Ein digitales Bewachungsprotokoll muss nicht ausgedruckt werden, um belastbar zu sein. Es muss aber nachvollziehbar, vollständig und gegen unbemerkte Manipulation geschützt sein. Dazu gehören Rechtekonzepte, Protokollierung von Änderungen, nachvollziehbare Zeitstempel und ein geregeltes Backup. Ein Backup ist allerdings kein Freibrief, gelöschte Daten unbegrenzt weiter vorzuhalten. Auch Sicherungskopien brauchen dokumentierte Lösch- und Überschreibkonzepte.

Für steuerlich relevante Unterlagen gelten zusätzlich Anforderungen an Nachvollziehbarkeit und Unveränderbarkeit, insbesondere wenn das Protokoll Teil der Buchführungs- oder Rechnungsdokumentation wird. Nicht jedes Wachbuch fällt automatisch unter die GoBD. Wird es jedoch als Belegkette für fakturierte Stunden oder Zusatzleistungen genutzt, sollte die Speicherung diesem Anspruch standhalten.

Zugriffsrechte verdienen besondere Aufmerksamkeit. Die Einsatzleitung benötigt andere Informationen als die Lohnbuchhaltung, der Objektleiter des Kunden oder eine externe Revision. Rollenbasierter Zugriff ist hier kein IT-Extra, sondern Schutz vor unberechtigter Kenntnisnahme und vor unnötigen Rückfragen im Ernstfall.

Die Regel muss vor dem nächsten Vorfall stehen

Erstellen Sie ein Verzeichnis Ihrer Protokollarten und ordnen Sie jeder Art Zweck, Datenkategorien, Verantwortlichkeit, Frist, Startpunkt der Frist und Löschmethode zu. Prüfen Sie anschließend stichprobenartig, ob die Regel im Alltag funktioniert: Kann die Leitstelle einen Bericht wiederfinden? Ist die Rechnung damit belegbar? Werden sensible Einträge nur von berechtigten Personen gesehen? Und wird ein abgelaufener Datensatz tatsächlich gelöscht?

Die richtige Frage lautet deshalb nicht nur, wie lange Bewachungsprotokolle aufbewahrt werden. Entscheidend ist, ob Ihr Unternehmen für jeden Nachweis erklären kann, warum er noch vorhanden ist - oder warum er nicht mehr vorhanden sein darf.