Wen dieser Artikel betrifft
- VVoller Rahmen
- 16Artikel 16
- IKTIKT-Dienstleister
Dieser Artikel richtet sich an die Aufsicht und begründet keine unmittelbare Pflicht für Finanzunternehmen oder Dienstleister. Er steht hier, weil man ihn kennen muss, um die Artikel davor und danach zu verstehen.
Verordnung (EU) 2022/2554 · Kapitel VII, Artikel 56 · gilt seit dem
17. Januar 2025 · Amtlicher Text bei EUR-Lex
(CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026
Wortlaut
Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.
(1) Die ESA und die zuständigen Behörden dürfen personenbezogene Daten nur verarbeiten, wenn dies zur Erfüllung ihrer jeweiligen Pflichten und Aufgaben gemäß dieser Verordnung erforderlich ist, insbesondere für Untersuchungen, Inspektionen, Auskunftsersuchen, Kommunikationszwecke, Veröffentlichungen, Evaluierungen, Verifizierungen, Bewertungen und die Erstellung von Überwachungsplänen. Die personenbezogenen Daten müssen im Einklang mit der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 verarbeitet werden, je nachdem, welche der beiden anwendbar ist.
(2) Sofern in anderen sektorspezifischen Rechtsakten nichts anderes vorgesehen ist, werden die in Absatz 1 genannten personenbezogenen Daten bis zur Erfüllung der geltenden Aufsichtspflichten, in jedem Fall aber für höchstens 15 Jahre aufbewahrt, außer bei anhängigen Gerichtsverfahren, die eine weitere Speicherung dieser Daten erfordern.
Neben jedem Absatz steht ein ¶. Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.
Worum es geht
Artikel 56 begrenzt, was die Aufsichtsbehörden mit personenbezogenen Daten tun dürfen: nur, soweit es zur Erfüllung ihrer Pflichten nach dieser Verordnung erforderlich ist und im Einklang mit der Datenschutz-Grundverordnung beziehungsweise der Verordnung (EU) 2018/1725.
Absatz 2 setzt eine Obergrenze, die man kennen sollte: Aufbewahrung bis zur Erfüllung der Aufsichtspflichten, in jedem Fall aber höchstens fünfzehn Jahre, außer bei anhängigen Gerichtsverfahren.
In der Praxis
Die fünfzehn Jahre gelten für die Behörde, nicht für Sie
Ihre eigenen Aufbewahrungsfristen ergeben sich aus dem Handels- und Steuerrecht, dem Aufsichtsrecht und Artikel 5 Absatz 1 Buchstabe e DSGVO, nicht aus Artikel 56 DORA. Wer diese Zahl in die eigene Löschkonzeption überträgt, begründet damit nichts.
Was sich aus Artikel 56 ableiten lässt, ist etwas anderes: Was Sie melden, wird lange aufbewahrt. Meldungen sollten deshalb so formuliert sein, dass sie auch in einigen Jahren noch verständlich und zutreffend sind.
Personenbezug in Vorfallmeldungen sparsam halten
Die Aufsicht braucht den Vorfall, die Auswirkungen und die Ursache, nicht die Namen der beteiligten Mitarbeiter. Wo eine Rolle genügt, gehört keine Person hinein. Das ist Datenminimierung nach der DSGVO und erspart zugleich eine Diskussion im eigenen Haus.
Was am Ende vorliegen muss
Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:
- Die eigene Löschkonzeption, abgeleitet aus dem anwendbaren Recht, nicht aus Artikel 56 DORA
- Die Prüfung, welche personenbezogenen Daten in Meldungen und Registern tatsächlich erforderlich sind
Häufige Fragen zu Artikel 56
Wie lange dürfen Aufsichtsbehörden Daten aus DORA-Meldungen speichern?
Nach Artikel 56 Absatz 2 DORA bis zur Erfüllung der geltenden Aufsichtspflichten, in jedem Fall aber höchstens fünfzehn Jahre, außer bei anhängigen Gerichtsverfahren, die eine weitere Speicherung erfordern, und soweit sektorspezifische Rechtsakte nichts anderes vorsehen.
Weiter
Stand: 28. September 2026