Wer alles aufbewahrt, verletzt die DSGVO. Wer alles löscht, verletzt die GoBD. Die Lösung heißt Differenzierung.
Zuletzt fachlich geprüft am 25. Juli 2026 · Rechtsstand 2026
Der Löschanspruch aus Art. 17 DSGVO greift nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 Abs. 3 Buchst. b). Genau das sind die Aufbewahrungspflichten aus § 147 AO und § 257 HGB. Richtig ist deshalb nicht Löschung, sondern Einschränkung der Verarbeitung: Die Daten werden archiviert, gesperrt und nur noch für den Aufbewahrungszweck genutzt. Für Buchungsbelege gilt seit dem Vierten Bürokratieentlastungsgesetz eine verkürzte Frist von acht Jahren, für Bücher, Abschlüsse und Inventare bleiben es zehn Jahre.
Die Fristen 2026 im Überblick
| Unterlage | Frist |
|---|---|
| Bücher, Aufzeichnungen, Jahresabschlüsse, Inventare, Lageberichte | 10 Jahre |
| Buchungsbelege (z. B. Rechnungen, Kontoauszüge) | 8 Jahre |
| Sonstige steuerlich relevante Unterlagen | 6 Jahre |
| Lohnkonten (lohnsteuerlich) | 6 Jahre |
| Unterlagen mit Bedeutung für offene Verfahren | bis zum Abschluss – Frist läuft nicht ab |
Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die letzte Eintragung gemacht, der Abschluss festgestellt oder der Beleg entstanden ist. Achtung: Solange die Unterlagen für eine begonnene Prüfung, ein Rechtsbehelfsverfahren oder eine noch nicht abgelaufene Festsetzungsfrist von Bedeutung sind, endet die Aufbewahrungsfrist nicht.
So löst du den Zielkonflikt
Der Schlüssel liegt in Art. 18 DSGVO: Einschränkung der Verarbeitung. Statt zu löschen, überführst du die Daten in einen Zustand, in dem sie nur noch für den gesetzlichen Aufbewahrungszweck verfügbar sind – technisch durch ein separates Archiv, Zugriffsbeschränkung auf wenige Rollen und Sperrkennzeichen im System.
Wichtig ist die Differenzierung nach Datenfeld, nicht nach Datensatz. Ein Kundendatensatz kann aus aufbewahrungspflichtigen Rechnungsdaten und nicht aufbewahrungspflichtigen Marketingdaten bestehen. Erstere bleiben archiviert, Letztere werden gelöscht – auch wenn sie im selben System liegen.
Nicht jedes Dokument ist aufbewahrungspflichtig. Bewerbungsunterlagen, Marketing-Einwilligungen ohne Bezug zu Geschäftsvorfällen und interne Notizen fallen nicht unter § 147 AO – sie müssen nach Zweckerreichung gelöscht werden.
Ein Löschkonzept in vier Schritten
1. Datenarten inventarisieren. Welche Kategorien liegen in welchem System? Grundlage ist dein Verzeichnis der Verarbeitungstätigkeiten.
2. Fristen zuordnen. Jeder Kategorie eine Rechtsgrundlage und eine Frist – steuerlich, handelsrechtlich, sozialversicherungsrechtlich oder rein zweckbezogen.
3. Auslöser definieren. Wann beginnt die Frist? Vertragsende, letzte Eintragung, Ablauf des Kalenderjahres. Ohne definierten Auslöser läuft kein Löschlauf zuverlässig.
4. Umsetzung und Protokoll. Löschläufe terminieren, Ergebnisse protokollieren, Ausnahmen begründen. Das Protokoll ist dein Nachweis nach Art. 5 Abs. 2 DSGVO – und in der Prüfung ein Zeichen sauberer Organisation.
Und für Privatpersonen?
Privatpersonen treffen die handelsrechtlichen Pflichten nicht. Trotzdem lohnt Aufbewahrung: Belege zu Handwerkerleistungen und haushaltsnahen Dienstleistungen sind zwei Jahre aufzubewahren, Nachweise zu Anschaffungskosten von Immobilien und Wertpapieren so lange, wie ein Verkauf steuerlich relevant sein kann.
Praktische Regel: Steuerbescheide und Erklärungen dauerhaft behalten, Belege bis zum Ablauf der Festsetzungsfrist – regelmäßig vier Jahre nach Abgabe, bei Steuerhinterziehung bis zu zehn Jahre. Details im Ratgeber Aufbewahrungsfristen 2026.
Deine Checkliste
Hak ab, was du erledigt hast – dein Fortschritt wird automatisch gespeichert.
Löschkonzept umsetzen
0 von 7 erledigt- Datenarten erfassenKategorien und Systeme aus dem Verarbeitungsverzeichnis übernehmen.
- Fristen zuordnen8, 10 oder 6 Jahre – je Kategorie mit Rechtsgrundlage.
- Auslöser festlegenVertragsende, letzte Eintragung, Jahresende.
- Archiv trennenAufbewahrungspflichtige Daten gesperrt speichern.
- Nicht pflichtige Daten löschenMarketing, Bewerbungen, interne Notizen.
- Löschläufe protokollierenNachweis nach Art. 5 Abs. 2 DSGVO.
- Verfahrensdokumentation ergänzenGoBD-Dokumentation aktuell halten.
Häufige Fragen (FAQ)
Muss ich löschen, wenn ein Kunde es verlangt?
Nur soweit keine Aufbewahrungspflicht besteht. Rechnungs- und Buchungsdaten bleiben archiviert; Marketingdaten, Newsletter-Profile und nicht benötigte Kontaktdaten sind zu löschen. Antworte dem Kunden mit dieser Differenzierung – das erfüllt Art. 12 DSGVO.
Wie lange muss ich Rechnungen aufbewahren?
Buchungsbelege acht Jahre, Bücher und Jahresabschlüsse zehn Jahre – jeweils ab Schluss des Kalenderjahres der letzten Eintragung bzw. Entstehung.
Was bedeutet Einschränkung der Verarbeitung praktisch?
Die Daten werden aus dem aktiven Betrieb genommen: eigenes Archiv, Zugriff nur für wenige Rollen, Sperrkennzeichen, keine Nutzung für andere Zwecke. Technisch reicht oft ein Archivmandant plus Berechtigungskonzept.
Darf ich E-Mails automatisch nach 90 Tagen löschen?
Nur soweit sie keine aufbewahrungspflichtigen Handels- oder Geschäftsbriefe bzw. Buchungsbelege sind. Steuerlich relevante Anhänge und Korrespondenz müssen vorher aussortiert und archiviert werden.
Verlängert eine Betriebsprüfung die Fristen?
Ja. Solange Unterlagen für eine begonnene Prüfung, ein Rechtsbehelfsverfahren oder eine laufende Festsetzungsfrist von Bedeutung sind, endet die Aufbewahrungsfrist nicht.
Quellen & Rechtsgrundlagen
Alle Angaben wurden am 25. Juli 2026 anhand der folgenden Quellen geprüft. Rechtsstand: 2026.
Wir übersetzen Steuer- und Datenschutzrecht in verständliche Sprache und prüfen jede Aussage gegen die Primärquelle. Dieser Beitrag ersetzt keine individuelle Beratung durch Steuerberater, Rechtsanwalt oder Lohnsteuerhilfeverein.