Löschen ist eine Pflicht, kein Aufräumen
Zwischen Art. 17 DSGVO und den handels- und steuerrechtlichen Fristen liegt ein Widerspruch, der sich auflösen lässt – wenn man ihn kennt. Und eine Frist hat sich 2025 geändert.
„Wir heben alles auf, sicher ist sicher“ ist keine vorsichtige Haltung, sondern ein Verstoß. Art. 5 Abs. 1 lit. e DSGVO verlangt, personenbezogene Daten nur so lange zu speichern, wie es für den Zweck erforderlich ist. Fällt der Zweck weg, entsteht nach Art. 17 Abs. 1 lit. a eine Löschpflicht – ohne dass jemand sie beantragen muss.
Der scheinbare Widerspruch
Dem stehen Aufbewahrungspflichten gegenüber: § 257 HGB und § 147 AO verlangen, bestimmte Unterlagen jahrelang vorzuhalten. Art. 17 Abs. 3 lit. b löst das auf – die Löschpflicht entfällt, soweit eine rechtliche Aufbewahrungspflicht besteht. Das Wort „soweit“ trägt die ganze Konstruktion: Es gilt für die betroffenen Unterlagen, nicht für den gesamten Datenbestand.
Ein Kundendatensatz im CRM ist kein Buchungsbeleg. Dass die Rechnung acht Jahre aufbewahrt werden muss, rechtfertigt nicht, dass Kaufhistorie, Newsletter-Profil und Servicenotizen ebenso lange stehen bleiben.
Das Vierte Bürokratieentlastungsgesetz hat die Aufbewahrungsfrist für Buchungsbelege von zehn auf acht Jahre verkürzt (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Für Handelsbücher, Inventare und Jahresabschlüsse bleibt es bei zehn Jahren, für Handels- und Geschäftsbriefe bei sechs. Wer sein Löschkonzept seither nicht angefasst hat, hält Belege zwei Jahre länger vor als nötig – und verstößt damit gegen die Speicherbegrenzung.
Aufbewahren heißt nicht weiterverwenden
Der am häufigsten übersehene Punkt: Eine Aufbewahrungspflicht erlaubt das Vorhalten, nicht das Nutzen. Daten, die nur noch wegen einer steuerlichen Frist existieren, dürfen nicht mehr für Werbung, Auswertungen oder Bonitätsprüfungen herangezogen werden. Technisch heißt das: einschränken statt weiterlaufen lassen – eigener Speicherbereich, eingeschränkte Zugriffsrechte, kein Treffer in der normalen Suche.
Was in ein Löschkonzept gehört
Es ist keine Prosa, sondern eine Tabelle. Je Datenart eine Zeile:
| Datenart | Frist | Grundlage | Beginn |
|---|---|---|---|
| Buchungsbelege | 8 Jahre | § 147 Abs. 3 AO | Ende des Entstehungsjahres |
| Jahresabschlüsse, Handelsbücher | 10 Jahre | § 257 HGB | Ende des Entstehungsjahres |
| Handels- und Geschäftsbriefe | 6 Jahre | § 257 HGB | Ende des Entstehungsjahres |
| Lohnkonten | 6 Jahre | § 41 EStG | Ende des Kalenderjahres |
| Bewerbungsunterlagen (Absage) | i. d. R. 6 Monate | Fristen des AGG | Zugang der Absage |
| Bewerbungsunterlagen (Talentpool) | nach Einwilligung | Art. 6 Abs. 1 lit. a | Erteilung |
| Serverlogfiles | meist 7 Tage | Art. 6 Abs. 1 lit. f | Entstehung |
Die Spalte „Beginn“ wird gern vergessen. Die handels- und steuerrechtlichen Fristen laufen ab dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist – eine Rechnung vom März 2026 fällt also frühestens Anfang 2035 aus der Achtjahresfrist.
Der Punkt, an dem es unbequem wird: Backups
Ein gelöschter Datensatz lebt in den Sicherungen weiter. Einzelne Datensätze aus Backups herauszuoperieren ist technisch meist unmöglich und wird von Aufsichtsbehörden auch nicht verlangt. Erwartet wird stattdessen zweierlei: ein dokumentierter Sicherungszyklus, nach dem die Kopien ohnehin auslaufen, und ein Wiederherstellungsprozess, der gelöschte Daten nicht stillschweigend zurückholt. Wer ein Backup einspielt, muss die zwischenzeitlichen Löschungen erneut ausführen. Das gehört in den Notfallplan.
Wo Daten sonst noch liegen
Ein Löschkonzept, das nur das Hauptsystem betrachtet, ist unvollständig. Denken Sie an:
- Postfächer – der Klassiker, weil dort alles ankommt und nichts verfällt
- Exporte auf Laufwerken, Tabellen mit „Auswertung_final_v3“ im Namen
- Ticket- und Chatsysteme
- Archive beim Steuerberater oder im Rechenzentrum
- Papier – Aktenschränke unterliegen denselben Fristen
Der pragmatische Einstieg
Nehmen Sie Ihr Verarbeitungsverzeichnis und ergänzen Sie je Eintrag die Löschfrist. Art. 30 Abs. 1 lit. f verlangt diese Angabe ohnehin. Damit ist das Löschkonzept zu drei Vierteln fertig – es fehlt nur noch, wer wann auf welchen Knopf drückt.