Definition
Internationale Norm für Records Management Systems. Definiert Anforderungen an die systematische Erstellung, Erfassung, Verwaltung, Bewertung und Entsorgung geschäftsrelevanter Aufzeichnungen über deren gesamten Lebenszyklus. Verzahnt sich gut mit ISO 9001 Klausel 7.5 (dokumentierte Information) und unterstützt regulatorische Compliance (HGB, DSGVO, BSI).
In der Praxis
Records Management wird in den meisten Häusern erst dann ernst, wenn es wehtut: bei der Betriebsprüfung, der Produkthaftungsklage oder der DSGVO-Anfrage. Die ISO 30301 liefert dafür das Managementsystem — und geht deutlich über das hinaus, was ISO 9001 zur dokumentierten Information fordert: Sie steuert Aufzeichnungen über den gesamten Lebenszyklus, von der Erstellung über die Erschließung bis zur fristgerechten, dokumentierten Vernichtung. Drei Fehlerbilder dominieren. Erstens der Datenfriedhof: Alles wird ewig aufbewahrt, weil niemand Löschregeln definiert — das kollidiert mit der Speicherbegrenzung der DSGVO und bläht jedes E-Discovery-Verfahren auf. Zweitens die Verwechslung mit dem DMS-Projekt: Software einführen ist nicht Records Management; ohne Record-Klassen, Aufbewahrungspläne und Verantwortliche archiviert das System nur schneller unsortiert. Drittens fehlende Fristen-Kompetenz: Handels- und Steuerrecht verlangen je nach Unterlagenart sechs, acht oder zehn Jahre, Produkthaftung und Branchenregeln oft deutlich mehr — wer das nicht je Record-Klasse festlegt, löscht entweder zu früh oder nie.
Verwandte Begriffe
Häufige Fragen zu ISO 30301
Was leistet ISO 30301 über die Anforderungen der ISO 9001 an dokumentierte Information hinaus?
ISO 9001 Abschnitt 7.5 fordert, dass dokumentierte Information erstellt, gekennzeichnet, gesteuert, verfügbar, geschützt und über ihren Verbleib entschieden wird — das ist die Basis, und für viele Zertifizierungen reicht sie. ISO 30301 baut darauf ein vollständiges Managementsystem für Schriftgut: mit Politik und Zielen für das Records Management, definierten Verantwortlichkeiten, systematischer Erschließung über Metadaten, Aufbewahrungs- und Verfügungsplänen sowie Leistungsbewertung und Verbesserung des Systems selbst. Der Kernunterschied liegt in der Systematik: Die 9001 sagt, Aufzeichnungen müssen beherrscht sein; die 30301 sagt, wie ein Unternehmen das über Hunderttausende von Aufzeichnungen und Jahrzehnte hinweg organisiert — inklusive der Entscheidung, was überhaupt eine Aufzeichnung wird und wann sie vernichtet werden darf. Für Unternehmen mit hohen regulatorischen Nachweislasten oder langen Haftungszeiträumen ist das die richtige Vertiefungsstufe (ISO 9001:2015, Abschnitt 7.5).
Welche gesetzlichen Aufbewahrungsfristen müssen wir mindestens kennen — und wie passt das zur DSGVO?
Die beiden zentralen Regelwerke sind Handels- und Steuerrecht: § 257 HGB verpflichtet Kaufleute zur geordneten Aufbewahrung — nach der aktuellen Fassung zehn Jahre für Handelsbücher, Inventare und Bilanzen, acht Jahre für Buchungsbelege und sechs Jahre für Handelsbriefe und die übrigen genannten Unterlagen; § 147 AO enthält die steuerrechtliche Parallelregelung dazu. Dazu kommen branchenspezifische Pflichten — Medizinprodukte, Luftfahrt und Arzneimittel kennen deutlich längere Zeiträume. Die DSGVO ist dabei kein Widerspruch, sondern der Gegenpol: Sie verlangt Speicherbegrenzung und Löschung, sobald der Zweck entfällt — aber gesetzliche Aufbewahrungspflichten sind ein zulässiger Zweck, der die Speicherung trägt. Praktisch heißt das: Sie brauchen einen Aufbewahrungs- und Löschplan, der je Record-Klasse die Frist, die Rechtsgrundlage und den Löschtermin festlegt. Ohne diesen Plan erfüllen Sie entweder die Aufbewahrungspflichten nicht oder die Löschpflichten — meist beides gleichzeitig (HGB § 257 Abs. 1 und 4; AO § 147).
Wie führen wir ein Records-Management-System nach ISO 30301 pragmatisch ein?
Beginnen Sie mit dem Inventar, nicht mit der Software. Erstens: Erfassen Sie Ihre Record-Klassen — Verträge, Buchhaltung, Personalakten, Prüfprotokolle, Entwicklungsunterlagen — und ordnen Sie jeder Klasse Frist, Verantwortlichen und Ablageort zu; daraus entsteht der Aufbewahrungs- und Löschplan als zentrales Steuerungsdokument. Zweitens die Regeln: Definieren Sie, wann ein Dokument zur Aufzeichnung wird — typischerweise bei Vertragschluss, Freigabe oder Abschluss des Vorgangs — und welche Metadaten es braucht, damit es zehn Jahre später noch auffindbar und lesbar ist. Drittens die Verfügung: Richten Sie einen dokumentierten Lösch- und Archivierungsprozess ein, der fristgerecht auslöst und die Vernichtung nachweist; gerade der Lösch-Nachweis fehlt in den meisten Häusern komplett. Viertens die Technik danach: Das DMS bildet die Regeln ab, nicht umgekehrt. Und fünftens: Verzahnen Sie das System mit Ihrem bestehenden Managementsystem — internes Audit und Managementbewertung gelten auch hier (ISO 30301).