Wie lange dürfen personenbezogene Daten gespeichert bleiben? Entscheidend sind die konkrete Datenart, der weiterhin zulässige Zweck und gegebenenfalls eine gesetzliche Aufbewahrungspflicht. Eine Fristentabelle hilft erst dann zuverlässig, wenn sie auch den Fristbeginn, den betroffenen Adressaten und mögliche Ausnahmen nennt. Die DSGVO setzt mit der Speicherbegrenzung den Rahmen; sie schreibt keine allgemeine Aufbewahrungsdauer für sämtliche Unternehmensdaten vor.
Diese Übersicht unterscheidet gesetzliche Mindestfristen von betrieblich zu begründenden Löschfristen. Rechtsstand ist der 28. September 2026. Sie richtet sich an Verantwortliche in Deutschland, die Buchhaltung, Personalverwaltung und Fachverfahren in eine nachvollziehbare Fristenstruktur überführen möchten. Für einzelne Berufsgruppen und öffentliche Stellen können zusätzliche Vorschriften gelten.
Aufbewahrungsfristen-Tabelle 2026
| Unterlagen | Gesetzliche Frist oder Einordnung | Maßgeblicher Ausgangspunkt |
|---|---|---|
| Handelsbücher, Inventare, Abschlüsse und zugehörige Organisationsunterlagen | Regelmäßig zehn Jahre, § 257 Abs. 1 Nr. 1, Abs. 4 HGB; § 147 Abs. 1 Nr. 1, Abs. 3 AO | Jahresende des jeweils gesetzlich bestimmten Ereignisses |
| Buchungsbelege | Grundsätzlich acht Jahre; für die in § 257 Abs. 4 Satz 2 HGB genannten Finanzunternehmen zehn Jahre | Jahresende der Entstehung des Belegs |
| Empfangene und abgesandte Handels- beziehungsweise Geschäftsbriefe | Grundsätzlich sechs Jahre, soweit die jeweilige Vorschrift anwendbar ist | Jahresende des Empfangs beziehungsweise Versands |
| Umsatzsteuerliche Rechnungen beim Unternehmer | Grundsätzlich acht Jahre, § 14b Abs. 1 UStG; weitere einschlägige Pflichten bleiben zu prüfen | Jahresende der Rechnungsausstellung |
| Lohnkonten | Bis zum Ablauf des sechsten Kalenderjahres nach der zuletzt eingetragenen Lohnzahlung, § 41 Abs. 1 EStG | Jahr der letzten eingetragenen Zahlung |
| Sozialversicherungsrechtliche Entgeltunterlagen | Bis Ende des Kalenderjahres nach der letzten Prüfung, § 28f Abs. 1 SGB IV | Maßgebliche Prüfung nach § 28p SGB IV |
| Behandlungsakte | Zehn Jahre nach Behandlungsabschluss, sofern keine andere Vorschrift abweichende Fristen bestimmt, § 630f Abs. 3 BGB | Abschluss der Behandlung |
| Abgelehnte Bewerbungen | Keine pauschale gesetzliche Sechsmonats-Aufbewahrungspflicht; begrenzte Speicherung zur Rechtsverteidigung prüfen | Zugang der Absage und Verlauf möglicher Ansprüche |
| Allgemeine Vertragsunterlagen | Keine einheitliche Dreijahres-Aufbewahrungspflicht aus dem BGB | Datenart, laufender Zweck, Spezialrecht und konkrete Ansprüche |
| Einwilligungsnachweise | Keine allgemeine feste Jahreszahl; Nachweiserfordernis und weitere Rechtsgrundlagen prüfen | Verarbeitung auf Einwilligungsbasis und begründeter Nachweisbedarf |
Die Tabelle beschreibt typische Ausgangspunkte. Ein Dokument kann mehrere Funktionen erfüllen: Eine Rechnung kann zugleich Buchungsbeleg sein; eine E-Mail kann einen Handelsbrief enthalten. Umgekehrt ist eine Nachricht nicht allein deshalb sechs Jahre aufzubewahren, weil sie im geschäftlichen Postfach liegt. Klassifizieren Sie nach Inhalt und Funktion, nicht nach Dateiendung oder Speicherort.
Acht Jahre für Belege: die aktuelle Ausnahme im Finanzbereich
§ 257 HGB unterscheidet aktuell zehn Jahre für die dort bezeichneten Bücher und Abschlüsse, acht Jahre für Buchungsbelege und sechs Jahre für die übrigen erfassten Unterlagen. Für Institute im Sinne des § 1 Abs. 1b KWG einschließlich der bezeichneten Zweigstellen, dem Versicherungsaufsichtsrecht unterliegende Unternehmen und Wertpapierinstitute nach der genannten WpIG-Vorschrift enthält Absatz 4 Satz 2 jedoch eine zehnjährige Belegaufbewahrung.
Die Aussage, alle beaufsichtigten Finanzunternehmen könnten seit Januar 2026 auf acht Jahre verkürzen, ist damit keine geeignete aktuelle Löschregel. Prüfen Sie die genaue gesetzliche Unternehmenskategorie, statt lediglich ein allgemeines Merkmal „Finanzbranche“ zu verwenden. Ein Softwareanbieter für Banken fällt nicht schon wegen seiner Kundschaft unter dieselbe handelsrechtliche Sonderregel wie das Institut selbst.
Die Verkürzung durch das Vierte Bürokratieentlastungsgesetz wirkt deshalb nicht als pauschaler Löschauftrag für sämtliche älteren Belege. Für einen Altbestand sind neben der geltenden Frist die Anwendungsvorschriften, insbesondere Artikel 95 EGHGB, und weitere Aufbewahrungsgründe relevant. Bei einer Umstellung sollten Finanzabteilung und Rechtsabteilung die zugrunde gelegte Fassung und den erfassten Dokumentbestand gemeinsam freigeben.
Für umsatzsteuerliche Rechnungen bestimmt § 14b UStG grundsätzlich acht Jahre. Daraus folgt keine Erlaubnis, eine parallel bestehende längere handelsrechtliche Pflicht zu unterschreiten. Arbeiten mehrere Gesellschaften mit demselben Archiv, braucht die Regel deshalb eine Zuordnung zum jeweils verpflichteten Unternehmen. Eine zentrale technische Einstellung darf unterschiedliche Rechtspflichten nicht verdecken.
Den Fristbeginn anhand des richtigen Ereignisses bestimmen
Handels- und steuerrechtliche Jahresfristen beginnen häufig mit dem Schluss des Kalenderjahres. Das konkrete Ereignis unterscheidet sich jedoch: Ein Buchungsbeleg entsteht, ein Handelsbrief wird empfangen oder abgesandt, ein Abschluss wird aufgestellt beziehungsweise nach der einschlägigen Norm festgestellt. Das Geschäftsjahr, auf das sich ein Dokument bezieht, ist nicht automatisch sein maßgebliches Entstehungsjahr.
Ein gewöhnlicher Buchungsbeleg, der im März 2026 entsteht und einer achtjährigen Frist unterliegt, ist grundsätzlich bis Ende 2034 aufzubewahren. Die reguläre Frist ermöglicht frühestens danach die Freigabe zur Löschung. Wird ein Jahresabschluss für 2026 erst 2027 aufgestellt beziehungsweise festgestellt, darf eine Software seine Frist nicht ungeprüft vom Jahresende 2026 berechnen. Halten Sie das tatsächlich relevante Ereignis im Datensatz fest.
§ 147 Abs. 3 AO enthält außerdem eine wichtige Ablaufhemmung: Die Aufbewahrungsfrist endet nicht, soweit und solange Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist. Eine Außenprüfung, ein offener steuerlicher Sachverhalt oder eine andere relevante Verfahrenslage muss daher vor dem Löschlauf fachlich bewertet werden. Nicht jede abgeschlossene Kalenderfrist führt sofort zur Vernichtung.
Das spricht für zwei getrennte Felder: reguläres Fristende und tatsächliche Löschfreigabe. Eine Abweichung braucht einen Grund, einen zuständigen Menschen und einen Termin zur erneuten Prüfung. Eine unbegrenzt gesetzte Markierung „steuerlich relevant“ würde den Zweck der Fristentabelle unterlaufen. Im Archiv sollte erkennbar bleiben, welche Unterlagen von welcher Ausnahme betroffen sind.
Personalunterlagen nach ihrer Funktion trennen
Eine Personalakte hat keine einzige, für ihren gesamten Inhalt geltende Aufbewahrungsfrist. Sie kann einen Arbeitsvertrag, Abrechnungen, Krankheitsnachweise, Bewerbungsunterlagen und Dokumente zur Altersversorgung enthalten. Diese Unterlagen unterscheiden sich in Zweck, Sensibilität und rechtlichem Aufbewahrungsbedarf. Der Austritt eines Beschäftigten ist ein Anlass zur Prüfung, aber kein universeller Startpunkt einer einheitlichen Frist.
Für Lohnkonten gilt die konkrete Berechnung in § 41 Abs. 1 EStG: Aufbewahrung bis zum Ablauf des sechsten Kalenderjahres nach der zuletzt eingetragenen Lohnzahlung. „Bis zu sechs Jahre“ wäre missverständlich, weil damit eine freie Wahl zwischen kürzeren Zeiträumen suggeriert wird. Andere Lohnunterlagen können zugleich Belege sein und benötigen eine gesonderte Einordnung.
Bei sozialversicherungsrechtlichen Entgeltunterlagen knüpft § 28f Abs. 1 SGB IV an die letzte maßgebliche Prüfung an. Eine pauschale Angabe „fünf Jahre ab Erstellung“ bildet diese Regel nicht ab. Die Personalverwaltung benötigt deshalb Informationen zum Prüfungsabschluss. Ohne diese Rückmeldung kann die Software den einschlägigen Ablauf nicht zuverlässig ermitteln.
Nach einem Austritt sollte beispielsweise der Zugang zur aktiven Personalakte entfallen, während ausgewählte Abrechnungsunterlagen geschützt aufbewahrt bleiben. Eine fortbestehende Pflicht zur Aufbewahrung des Lohnkontos rechtfertigt nicht automatisch, sämtliche Leistungsbeurteilungen oder privaten Kontaktdaten gleich lange vorzuhalten. Erklären Sie die unterschiedlichen Zeiträume auch in den Datenschutzhinweisen für Mitarbeiter, soweit die jeweilige Informationspflicht dies verlangt.
Bewerberdaten: sechs Monate sind keine AGG-Klagefrist
Die ursprüngliche Bewerbung dient der Entscheidung über eine Einstellung. Nach einer Absage entfällt dieser Auswahlzweck regelmäßig. Ein begrenzter weiterer Bedarf kann sich aus der Verteidigung gegen mögliche Benachteiligungsansprüche ergeben. Das ist jedoch von einer gesetzlichen Pflicht zu unterscheiden, jede Bewerbung mindestens sechs Monate aufzubewahren.
§ 15 Abs. 4 AGG sieht grundsätzlich eine zweimonatige schriftliche Geltendmachung vor, sofern die Tarifvertragsparteien nichts anderes vereinbart haben. Bei einer Bewerbung beginnt diese Frist mit dem Zugang der Ablehnung. Für die Entschädigungsklage nennt § 61b Abs. 1 ArbGG anschließend drei Monate nach schriftlicher Geltendmachung. Keine dieser Vorschriften lautet „sechs Monate Aufbewahrung“.
Eine begründete betriebliche Regelfrist kann diese Abläufe und mögliche Zustellungszeiten berücksichtigen. Der Bayerische Landesbeauftragte für den Datenschutz beschreibt in einem älteren Tätigkeitsbericht mit Stand vom 23. Januar 2013 für unterlegene Bewerber regelmäßig allenfalls sechs Monate nach Abschluss des Bewerbungsverfahrens. Übertragen Sie diese Orientierung nicht ohne Prüfung auf jeden Sonderfall, etwa beamtenrechtliche Auswahlverfahren oder einen bereits anhängigen Rechtsstreit.
Für einen Talentpool ist der weitere Zweck separat zu gestalten. Eine freiwillige, informierte Einwilligung kann hierfür in Betracht kommen; sie darf nicht mit der ursprünglichen Bewerbung verwechselt werden. Bestimmen Sie auch für den Pool eine überprüfbare Dauer und den Ablauf bei Widerruf. Ein nicht widerrufener Datensatz darf nicht automatisch jahrzehntelang als aktuelles Bewerberprofil weiterlaufen.
Vertragsunterlagen und Rechtsansprüche
Die regelmäßige Verjährungsfrist beträgt nach § 195 BGB drei Jahre. Ihr Beginn richtet sich grundsätzlich nach § 199 Abs. 1 BGB, insbesondere nach Anspruchsentstehung und Kenntnis beziehungsweise grob fahrlässiger Unkenntnis. Das ist keine allgemeine Vorschrift, sämtliche Kundendaten drei Jahre nach Vertragsende zu behalten.
Bestimmen Sie stattdessen, welche Unterlagen für welche Ansprüche erforderlich sind. Ein unterzeichneter Vertrag, ein Leistungsnachweis und ein konkreter Reklamationsverlauf können relevant sein. Ein parallel gespeichertes Marketingprofil oder eine vollständige Gerätehistorie ist damit nicht automatisch gerechtfertigt. Bei besonderen Datenkategorien sind zusätzlich die Voraussetzungen des Artikels 9 DSGVO zu beachten.
Ein laufender Rechtsstreit kann eine gezielte Ausnahme vom normalen Löschablauf begründen. Die Vorlage für eine begrenzte Löschsperre hilft, betroffene Datenarten, Verfahren, Zugriffsrechte und Wiedervorlage festzuhalten. Sobald der Grund entfällt, wird die Ausnahme aufgehoben oder neu begründet. Eine pauschale Sperre aller Daten einer Person wäre regelmäßig weitergehend als der konkrete Beweisbedarf.
Patientendaten und besondere Fachfristen
Für Behandlungsakten nennt § 630f Abs. 3 BGB zehn Jahre nach Abschluss der Behandlung, sofern andere Vorschriften keine abweichenden Fristen bestimmen. Das unterscheidet sich von der häufigen Jahresendberechnung in der Buchhaltung. Eine Praxis sollte daher nicht denselben Fristenrechner unverändert auf Rechnungen und Behandlungsakten anwenden.
Ein Beispiel für Fachrecht ist § 85 Strahlenschutzgesetz: Für bestimmte Behandlungsaufzeichnungen gilt eine dreißigjährige Aufbewahrung; bei Untersuchungen grundsätzlich zehn Jahre, bei untersuchten Minderjährigen bis zur Vollendung des 28. Lebensjahres. Die Einzelheiten betreffen die gesetzlich bezeichneten Aufzeichnungen, nicht unterschiedslos jede Information im Krankenhaus. Prüfen Sie Berufsrecht und weitere Fachvorgaben für den konkreten Bestand.
Lange Aufbewahrung erfordert auch langfristige Lesbarkeit und Zugriffsschutz. Eine zehnjährige Frist ist praktisch nutzlos, wenn nach einem Systemwechsel die Dateien nicht mehr entschlüsselt werden können. Planen Sie die Migration von Formaten, die Verfügbarkeit notwendiger Schlüssel und die spätere Vernichtung zusammen. Eine technische Archivkopie ist dabei kein neuer Zweck mit eigener unbegrenzter Lebensdauer.
Aus der Tabelle eine ausführbare Regel machen
Eine belastbare Regel verbindet Datenart, Verantwortlichen, Zweck, Rechtsgrundlage, Startereignis, Dauer und Löschweg. Ergänzen Sie das führende System und bekannte Kopien. Das Verarbeitungsverzeichnis liefert hierfür den fachlichen Zusammenhang; nach Artikel 30 Abs. 1 Buchstabe f DSGVO sind, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien anzugeben.
Das Löschkonzept beschreibt anschließend die Umsetzung. Sinnvoll ist eine kleine Zahl nachvollziehbarer Regelgruppen, ohne rechtlich verschiedene Bestände zwangsweise zusammenzufassen. Zwei Datenarten mit acht Jahren Dauer können unterschiedliche Startereignisse oder Ausnahmen haben. Eine gemeinsame Zahl allein rechtfertigt deshalb noch keine gemeinsame Löschregel.
Prüfen Sie die Regel zunächst an nachvollziehbaren Beispielen: einem neuen Beleg, einem Altbeleg und einem gesperrten Beleg. Fachliche Prüfung und technische Umsetzung sollten dieselben Ergebnisse erwarten. Bei einer Software für Löschkonzepte ist deshalb die Abbildung von Ereignissen, Ausnahmen und Nachweisen wichtiger als die bloße Anzahl mitgelieferter Standardfristen.
Auch Exporte benötigen einen Ablauf. Wenn eine Buchhaltung ein Archiv löscht, aber frühere Jahrespakete auf einem gemeinsamen Laufwerk liegen bleiben, ist der Bestand nicht vollständig behandelt. Ordnen Sie den Kopien entweder eine eigene notwendige Funktion zu oder führen Sie sie in denselben Löschprozess zurück. Ein kleiner, geschützter Nachweis über den Löschlauf genügt häufig besser als eine neue Liste sämtlicher gelöschter personenbezogener Inhalte.
Löschanträge und Informationen zur Speicherdauer
Ein Antrag auf Löschung setzt die Fristentabelle nicht außer Kraft, verlangt aber eine individuelle Prüfung. Nach Artikel 17 Abs. 3 Buchstabe b DSGVO kann eine gesetzlich erforderliche Verarbeitung der Löschung entgegenstehen. Das gilt nur im notwendigen Umfang. Ein noch aufzubewahrender Rechnungsbeleg schützt nicht zugleich das Werbeprofil vor Löschung.
Zugriffsbeschränkungen für aufbewahrte Unterlagen sollten ihre tatsächlichen Zwecke abbilden. Diese organisatorische Trennung ist nicht automatisch die förmliche Einschränkung der Verarbeitung nach Artikel 18 DSGVO; deren Voraussetzungen sind gesondert zu prüfen. Eine weitere Nutzung zu einem anderen Zweck benötigt eine tragfähige rechtliche Prüfung und darf nicht allein aus der Archivierung abgeleitet werden.
Die gespeicherten Fristen helfen auch bei Auskunftsersuchen. Artikel 15 verlangt die vorgesehene Speicherdauer oder, falls dies nicht möglich ist, die Kriterien für ihre Festlegung. Antworten Sie für die tatsächlich betroffenen Datenarten. „Wir speichern, solange erforderlich“ erklärt einer Person kaum, ob ihre Rechnung noch Jahre im Archiv bleibt oder ihr Kontaktprofil bereits zur Löschung ansteht.
Beispiel: ein Kundenkonto mit mehreren Fristen
Ein fiktiver Handwerksbetrieb beendet im September 2026 einen Auftrag. Im Kundenkonto liegen die Rechnung, Fotos vom Einbau, eine Reklamation, Terminabsprachen und die frühere Zustimmung zu Werbemails. Die Oberfläche zeigt alles gemeinsam, rechtlich sind die Inhalte jedoch zu trennen. Weder der Abschluss des Auftrags noch die Rechnungsfrist bestimmt automatisch die Lebensdauer aller fünf Datenarten.
Die Rechnung wird anhand der für den Betrieb geltenden handels- und steuerrechtlichen Vorschriften eingeordnet. Für die Reklamation prüft die zuständige Stelle den konkreten Anspruch und die erforderlichen Beweismittel. Fotos können hierfür relevant sein, müssen es aber nicht sämtlich sein. Terminabsprachen, die für keine weitere zulässige Aufgabe benötigt werden, dürfen nicht allein wegen ihrer Verbindung zur Rechnung im gleichen Archiv verbleiben.
Bei der Werbeeinwilligung sind Versandberechtigung und Nachweis zu unterscheiden. Nach einem Widerruf endet die auf diese Einwilligung gestützte Werbung. Ein begrenzter Nachweis über frühere Einwilligung und Widerruf kann für einen gesondert begründeten Zweck erforderlich bleiben. Eine sparsame Sperrliste kann außerdem verhindern, dass die Adresse versehentlich erneut angeschrieben wird. Ihr Umfang und ihre Dauer brauchen eine eigene Prüfung; sie rechtfertigt kein dauerhaftes Marketingprofil.
Technisch kann der Betrieb dafür Felder oder Dokumentgruppen getrennt verwalten. Wenn das System nur die Auswahl „Konto behalten“ oder „Konto vollständig löschen“ anbietet, muss dieser Konflikt vor dem automatischen Lauf gelöst werden. Möglich sind eine geeignete Archivtrennung, ein begrenzter Export notwendiger Belege oder eine Anpassung des Systems. Das bloße Umbenennen des gesamten Kundenkontos in „Archiv“ verändert seinen tatsächlichen Inhalt und seine Zugänglichkeit nicht.
Häufige Fragen zur Anwendung der Fristen
Müssen alle E-Mails sechs Jahre erhalten bleiben?
Nein. Entscheidend ist, ob die konkrete Nachricht unter eine einschlägige Aufbewahrungsvorschrift fällt. Ein geschäftsbezogener Brief kann erfasst sein, eine rein organisatorische Einladung muss es nicht sein. Enthält eine E-Mail einen aufbewahrungspflichtigen Anhang, prüfen Sie, welche Bestandteile zum Verständnis und Nachweis erforderlich sind. Ein vollständiges persönliches Postfach über Jahre zu speichern, ist keine notwendige Folge einer einzelnen aufzubewahrenden Rechnung.
Darf eine gesetzliche Frist durch Einwilligung verkürzt werden?
Eine wirksame gesetzliche Pflicht entfällt nicht dadurch, dass die betroffene Person eine frühere Löschung wünscht. Erklären Sie, welche Unterlagen aus welchem Grund verbleiben und wann eine erneute Prüfung stattfindet. Bei einem Löschantrag sind die übrigen Daten unabhängig davon zu behandeln. Eine gesetzliche Pflicht zur Belegaufbewahrung und eine widerrufene Werbeeinwilligung führen deshalb zu unterschiedlichen Ergebnissen innerhalb desselben Kontos.
Müssen nach Fristablauf ausnahmslos sämtliche Kopien sofort verschwinden?
Das Fristende löst die Prüfung und Umsetzung der Löschung aus, soweit kein anderer tragfähiger Grund besteht. Für operative Kopien, Archive und Sicherungen sind die jeweiligen technischen Abläufe zu bestimmen. Eine Sicherungskopie ist kein allgemeiner Ausnahmetatbestand von der DSGVO. Beschränken Sie Zugriff und Wiederverwendung, begründen Sie verbleibende Speicherzeiten und verhindern Sie, dass bereits gelöschte Daten nach einer Wiederherstellung dauerhaft in den aktiven Bestand zurückkehren.
Wie bleibt die Tabelle aktuell?
Benennen Sie eine fachlich zuständige Rolle je Rechtsgebiet. Änderungen an Gesetzen, Unternehmensstruktur oder Systemen müssen die Überprüfung der betroffenen Regeln auslösen. Dokumentieren Sie die vorherige Regel und den Grund der Anpassung, damit frühere Löschentscheidungen verständlich bleiben. Informieren Sie anschließend die technischen Verantwortlichen und kontrollieren Sie die Umsetzung. Eine aktualisierte Tabelle ohne geänderten Löschlauf korrigiert den tatsächlichen Datenbestand noch nicht.