Die Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e DSGVO verlangt, personenbezogene Daten in identifizierbarer Form nur so lange aufzubewahren, wie der jeweilige Zweck es erfordert. Daneben können konkrete gesetzliche Pflichten die Aufbewahrung bestimmter Unterlagen vorschreiben. Ein Unternehmen braucht deshalb Regeln nach Datenkategorie und Zweck: Ein Buchungsbeleg, ein Kundenprofil und ein Supportticket haben nicht automatisch dieselbe Frist. Dieser Leitfaden erklärt die wichtigsten deutschen Fristen und zeigt, wie Sie aus ihnen ein prüfbares Löschkonzept machen.
Das Wichtigste in Kürze
- Art. 5 Abs. 1 Buchst. e DSGVO verlangt eine zweckgebundene Speicherdauer und gegebenenfalls einen begründeten, dokumentierten Fristbeginn.
- In Deutschland überlagern nationale Aufbewahrungspflichten (HGB, AO, BDSG) die DSGVO teilweise, schaffen aber keine pauschale Rechtsgrundlage für unbegrenzte Speicherung.
- Im Verzeichnis von Verarbeitungstätigkeiten sind vorgesehene Löschfristen nach Art. 30 Abs. 1 Buchst. f nach Möglichkeit anzugeben; nach Art. 13 Abs. 2 Buchst. a nennt die Datenschutzerklärung die Speicherdauer oder die Kriterien dafür.
- Am Ende der Frist müssen Daten gelöscht oder wirksam anonymisiert werden – eine bloße Sperrung genügt grundsätzlich nicht.
Was Art. 5(1)(e) DSGVO verlangt
Der Wortlaut von Art. 5(1)(e) DSGVO ist eindeutig: Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Nach Wegfall eines Zwecks prüfen Sie, ob eine andere konkrete Aufbewahrungspflicht oder ein zulässiger Zweck noch greift; andernfalls löschen Sie die Daten oder anonymisieren sie wirksam.
Art. 89(1) DSGVO eröffnet eine Ausnahme: Für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke dürfen Daten länger aufbewahrt werden, sofern geeignete Garantien bestehen. Die Verlängerung ist an geeignete Garantien nach Artikel 89 geknüpft und ersetzt keine Prüfung der Rechtsgrundlage und der tatsächlichen Archiv- oder Forschungszwecke.
Überprüfen Sie Fristen bei neuen Zwecken, geänderten Gesetzen und Systemwechseln. Ein dokumentiertes Löschkonzept hilft, den Grundsatz und die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO praktisch umzusetzen.
Aufbewahrungsfristen nach Branche und Rechtsgrundlage
Die folgende Übersicht betrifft Deutschland und nur die jeweils bezeichneten Unterlagen. Für Österreich und die Schweiz gelten eigene Regeln; deutsche HGB- und AO-Fristen dürfen nicht auf diese Rechtsordnungen übertragen werden. Gerade bei gemischten Kundendatensätzen ist entscheidend, welche Bestandteile wirklich unter eine Pflicht fallen. Für kleinere Betriebe gibt es ergänzend den Überblick zu Aufbewahrungsfristen im Handwerk.
| Unterlage | Deutsche Regel | Ausgangspunkt |
|---|---|---|
| Handelsbücher, Inventare, Jahresabschlüsse | Zehn Jahre nach § 257 Abs. 4 HGB | Schluss des nach § 257 Abs. 5 maßgeblichen Kalenderjahrs |
| Buchungsbelege | Grundsätzlich acht Jahre nach § 257 Abs. 4 HGB und § 147 Abs. 3 AO; nach HGB zehn Jahre für dort genannte Institute, Versicherer und Wertpapierinstitute | Schluss des Kalenderjahrs, in dem der Beleg entstand; steuerliche Sonderregeln prüfen |
| Handelsbriefe | Sechs Jahre nach § 257 Abs. 4 HGB | Schluss des Kalenderjahrs des Empfangs oder Versands |
| Patientenakte | Zehn Jahre nach Abschluss der Behandlung nach § 630f Abs. 3 BGB, soweit andere Vorschriften keine andere Frist vorsehen | Abschluss der Behandlung |
| GwG-Aufzeichnungen | Grundsätzlich fünf Jahre, soweit andere Gesetze nicht länger verlangen; § 8 Abs. 4 GwG sieht eine Vernichtung spätestens nach zehn Jahren vor | Je nach Fall Schluss des Jahres des Endes der Geschäftsbeziehung oder der Feststellung |
Die aktuelle Fassung von § 257 HGB unterscheidet Buchungsbelege von Handelsbüchern und Handelsbriefen. § 147 AO enthält eine ähnliche Differenzierung, lässt steuerliche Fristen aber unter bestimmten Umständen länger laufen, solange Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist. Die Umstellung auf acht Jahre ist nach Art. 95 EGHGB auch für bestimmte ältere, Ende 2024 noch nicht abgelaufene Fristen relevant; für die dort genannten Finanzunternehmen ist die Übergangsregel gesondert zu lesen. Nicht jedes Dokument mit einem Kundennamen ist deshalb ein Buchungsbeleg.
Im Gesundheitswesen ist § 630f Abs. 3 BGB der Ausgangspunkt für Behandlungsakten, nicht eine pauschale Spanne von zehn bis dreißig Jahren für sämtliche Gesundheitsdaten. Im Finanzbereich gilt § 8 Abs. 4 GwG nur für die dort beschriebenen Aufzeichnungen und Verpflichteten. Ordnen Sie jede weitere spezialgesetzliche Pflicht der betroffenen Datenkategorie zu und prüfen Sie ihren Fristbeginn. Eine Kundendatenbank darf nicht allein wegen eines einzelnen aufzubewahrenden Rechnungsdatensatzes insgesamt zehn Jahre aktiv bleiben.
Durchsetzung und Nachweis
Aufsichtsbehörden können bei unzulässiger Speicherung Abhilfe verlangen und nach den Regeln der DSGVO Bußgelder verhängen. Für ein belastbares Konzept ist die Frage wichtiger, ob die Organisation zeigen kann, welchen Zweck und welche konkrete Pflicht sie für eine Datenkategorie angenommen hat, wann der Zeitraum begann und was nach seinem Ende geschieht. Frühere Einzelfallentscheidungen ersetzen diese Prüfung nicht. Legen Sie bei einer Kontrolle die aktuelle Fristenmatrix, umgesetzte Löschjobs, Stichproben und begründete Ausnahmen vor. Ein pauschaler Verweis auf „gesetzliche Fristen“ erklärt weder den Datenbestand noch die gewählte Dauer.
Eine Frist richtig berechnen: Beleg, Konto und Supportfall
Ein Kauf am 18. März 2026 erzeugt verschiedene Datensätze. Der Buchungsbeleg kann unter § 257 HGB und § 147 AO fallen. Die achtjährige Frist beginnt nach den genannten Regeln grundsätzlich mit dem Schluss des Kalenderjahrs, in dem der Beleg entstanden ist. Sie läuft dann nicht schlicht acht Jahre ab dem Kaufdatum. Prüfen Sie außerdem steuerliche Verlängerungen und besondere Verpflichtungen, bevor ein Löschjob ausgelöst wird. Die Daten im Kundenkonto werden dagegen für Anmeldung und Betreuung verarbeitet. Wenn der Kunde das Konto schließt, endet dieser Zweck möglicherweise früher; der Beleg darf dann in einem gesondert zugänglichen Archiv verbleiben, während Profil, Präferenzen und unnötige Historie gelöscht werden. Ein Supportticket kann wiederum eine eigene Frist für die Bearbeitung oder einen konkreten Streitfall haben.
Diese Trennung ist technisch wichtig. Wer die komplette Kundenakte wegen eines Belegs für acht Jahre in allen operativen Systemen aktiv hält, setzt die Aufbewahrungspflicht zu weit um. Halten Sie nur die für den Beleg notwendigen Angaben vor und beschränken Sie Zugriff und weitere Nutzung auf den gesetzlichen Zweck. Bei einer laufenden Prüfung oder einem Rechtsstreit kann eine befristete Ausnahme nötig sein. Dokumentieren Sie deren Anlass, Umfang, Verantwortliche und Wiedervorlage. Die Vorlage für eine begrenzte Löschsperre zeigt, wie diese Entscheidung von der normalen Löschregel getrennt bleibt.
Auslöser und Datenorte festlegen
Eine Tabelle mit „acht Jahre“ genügt nicht, wenn niemand weiß, wann die Frist beginnt. Schreiben Sie für jede Kategorie den auslösenden Vorgang auf: Entstehung des Buchungsbelegs, Abschluss der Behandlung, Ende einer Geschäftsbeziehung oder Schließung eines Kontos. Halten Sie fest, welche Person oder welches System den Auslöser meldet und wie Fehler korrigiert werden. Unterschiedliche Fristen können für dasselbe Dokument gelten; maßgeblich ist dann die längste tatsächlich anwendbare Pflicht, mit Zugriffsbeschränkung für Zwecke, die schon weggefallen sind. Vermerken Sie die konkrete Vorschrift und ihren Versionsstand, damit spätere Gesetzesänderungen überprüfbar bleiben.
Kartieren Sie anschließend die Kopien. Das Primärsystem ist nur ein Teil des Problems: Exporte in Tabellen, E-Mail-Anhänge, analytische Datenbanken, Suchindizes, Supportwerkzeuge und Auftragsverarbeiter können denselben Personenbezug enthalten. Für jedes System braucht es eine Lösch- oder Anonymisierungsaktion und einen Nachweis, dass sie ausgeführt wurde. Bei Backups prüfen Sie Aufbewahrungszyklus und Wiederherstellungsprozess. Eine Wiederherstellung darf Daten, die rechtmäßig gelöscht wurden, nicht dauerhaft in den produktiven Bestand zurückbringen. Der Leitfaden zum Löschkonzept hilft, Regeln und Verantwortlichkeiten in einer umsetzbaren Struktur zu erfassen.
Betroffenenanfrage ohne pauschale Antwort bearbeiten
Fordert eine Person Löschung nach Artikel 17 DSGVO, prüfen Sie die einzelnen Daten und Zwecke. Für das aktive Profil kann eine Löschpflicht bestehen, während ein gesetzlich aufzubewahrender Buchungsbeleg unter eine Ausnahme nach Artikel 17 Abs. 3 fallen kann. Auch für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen gibt es eine bedingte Ausnahme; sie rechtfertigt aber keine unbegrenzte Vollkopie aller Kundendaten. Dokumentieren Sie, welcher Datensatz aus welchem Grund weiter gespeichert bleibt, begrenzen Sie Zugriffe und bestimmen Sie den nächsten Prüfungstermin. Der eigene Leitfaden zum Recht auf Löschung vertieft die Voraussetzungen und Ausnahmen.
Die Antwort an die betroffene Person sollte diese Differenzierung verständlich erklären. Wenn Sie einem Antrag nicht oder nur teilweise entsprechen, müssen nach Artikel 12 Abs. 4 DSGVO die Gründe sowie die Möglichkeit einer Beschwerde bei einer Aufsichtsbehörde und eines gerichtlichen Rechtsbehelfs mitgeteilt werden. Verwechseln Sie eine interne Zugriffssperre nicht mit Löschung: Sie kann während einer gültigen Aufbewahrungspflicht eine wichtige Zweckbegrenzung sein, beendet aber den Personenbezug nicht. Nach Ablauf der Ausnahme muss die normale Löschregel wieder greifen. Ein sauberes Fallprotokoll verhindert, dass eine einmalige Sperre unbegrenzt bestehen bleibt.
Nachweise prüfen, ohne unnötig neue Daten zu sammeln
Prüfen Sie regelmäßig Stichproben aus allen Schritten: Wurde der Fristbeginn richtig erfasst? Erreichte der Löschauftrag sämtliche produktiven Kopien? Hat ein Dienstleister die Rückgabe oder Löschung nach Vertragsende umgesetzt? Wurde ein Ausnahmefall rechtzeitig erneut entschieden? Ein Protokoll sollte für den Nachweis so wenig personenbezogene Daten wie möglich enthalten; häufig genügt eine Vorgangskennung mit Zeit, Regelversion und Ergebnis. Bewahren Sie Prüfprotokolle nicht unbegrenzt auf, nur weil sie Compliance belegen sollen.
Ein fachlicher Eigentümer pflegt die Fristenmatrix, IT setzt sie um und testet sie, Datenschutz und Recht prüfen besondere Rechtsgrundlagen. Bei einer Gesetzesänderung müssen alle drei Seiten wissen, welche Regeln betroffen sind. Das gilt gerade für die verkürzte Buchungsbelegfrist und ihre Übergangsvorschriften. Beginnen Sie mit einer kleinen Menge klar abgegrenzter Datenkategorien und kontrollieren Sie reale Löschläufe. Ein großes Schema ohne ausgeführte Löschung ist weniger wert als wenige geprüfte Regeln. Die Übersicht zu Aufbewahrungsfristen kann als Einstieg dienen; maßgeblich bleibt für jede Kategorie der aktuelle Normtext und der dokumentierte Verwendungszweck.
Ein Löschkonzept in fünf Schritten umsetzen
Die Umsetzung der DSGVO Speicherbegrenzung erfordert ein systematisches Löschkonzept. Die DIN 66398 bietet hierfür einen anerkannten Rahmen.
Schritt 1 – Dateninventar erstellen: Identifizieren Sie alle personenbezogenen Daten in Ihrem Unternehmen. Das Verzeichnis von Verarbeitungstätigkeiten ist der logische Ausgangspunkt. Für Verarbeitungstätigkeiten sind vorgesehene Löschfristen nach Möglichkeit im Verzeichnis zu erfassen; im Löschkonzept braucht jede relevante Datenkategorie eine handhabbare Regel.
Schritt 2 – Aufbewahrungsfristen festlegen: Bestimmen Sie für jede Datenkategorie die maximale Speicherdauer. Berücksichtigen Sie gesetzliche Aufbewahrungspflichten (HGB, AO, GwG), vertragliche Anforderungen und Verjährungsfristen. Besonders heikel sind Bewerberdaten in Personalvermittlung und Zeitarbeit, wo eine pauschale Sechs-Monats-Regel ohne Einzelfallprüfung zu kurz greift.
Schritt 3 – Löschregeln definieren: Legen Sie fest, wie Daten am Ende der Aufbewahrungsfrist behandelt werden: vollständige Löschung, Anonymisierung oder Übertragung in ein Archiv mit eingeschränktem Zugriff (nur wenn der fortbestehende Zweck, die Rechtsgrundlage und gegebenenfalls Garantien nach Art. 89 DSGVO dies tragen).
Schritt 4 – Technische Umsetzung: Implementieren Sie automatisierte Löschroutinen in Ihren IT-Systemen. Manuelle Löschprozesse sind fehleranfällig und skalieren nicht. Die Auftragsverarbeitung muss ebenfalls Löschvorgaben enthalten – Art. 28 Abs. 3 Buchst. g DSGVO verlangt nach Ende der Dienste grundsätzlich Löschung oder Rückgabe nach Wahl des Verantwortlichen, soweit keine unions- oder mitgliedstaatliche Pflicht zur Speicherung besteht.
Schritt 5 – Regelmäßige Überprüfung: Prüfen Sie in einem festgelegten Rhythmus und bei Rechts- oder Prozessänderungen, ob die Fristen noch passen und ob die Löschroutinen ordnungsgemäß funktionieren. Dokumentieren Sie die Ergebnisse.
Was bei einer Friständerung zu tun ist
Ändert sich eine gesetzliche Frist, vergleichen Sie nicht nur die Zahl in einer Tabelle. Prüfen Sie Übergangsvorschriften, den betroffenen Dokumenttyp und den Fristbeginn; ermitteln Sie dann, welche vorhandenen Datensätze nun früher oder später gelöscht werden müssen. Bei einer Verkürzung dürfen alte Bestände nicht automatisch erhalten bleiben, nur weil sie vor der Änderung entstanden sind. Umgekehrt kann ein offener steuerlicher Vorgang die Aufbewahrung einer einzelnen Unterlage verlängern. Dokumentieren Sie die rechtliche Prüfung, passen Sie Löschjobs und Zugriffsvorgaben an und führen Sie einen Testlauf an echten, aber kontrolliert ausgewählten Fällen durch. Informieren Sie die zuständigen Auftragsverarbeiter über geänderte Weisungen. So wird aus einer neuen Frist eine nachweisbare betriebliche Änderung.
Häufige Fehler bei der Speicherbegrenzung
Pauschale Aufbewahrungsfristen: Viele Unternehmen setzen eine einheitliche Frist von 10 Jahren für alle Daten. Das ist regelmäßig unhaltbar, weil Art. 5(1)(e) DSGVO eine zweckbezogene Differenzierung verlangt. Handelsrechtliche Fristen (§257 HGB) gelten nur für buchungsrelevante Unterlagen, nicht für alle personenbezogenen Daten.
Fehlende Dokumentation: Die Fristenentscheidung muss nachvollziehbar sein. Das Verzeichnis nennt vorgesehene Löschfristen nach Möglichkeit; die Datenschutzhinweise nennen Dauer oder Kriterien und Auskünfte an Betroffene müssen zutreffen.
Backup-Systeme vergessen: Gelöschte Daten, die noch in Backups vorhanden sind, gelten als weiterhin gespeichert. Die verantwortlichen Fach- und IT-Teams müssen Wiederherstellungsabläufe und Backup-Zyklen berücksichtigen; der Datenschutzbeauftragte berät und überwacht im Rahmen seiner gesetzlichen Aufgaben.
Löschung bei Auftragsverarbeitern nicht kontrolliert: Art. 28 Abs. 3 Buchst. g DSGVO verlangt die Regelung von Rückgabe oder Löschung nach Ende der Dienste mit dem gesetzlich vorgesehenen Vorbehalt. Prüfen Sie die tatsächliche Durchführung bei Auftragsverarbeitern.
Anonymisierung als Alternative zur Löschung
Am Ende der Aufbewahrungsfrist stehen zwei Wege offen: vollständige Löschung oder wirksame Anonymisierung. Beide beenden die Anwendbarkeit der DSGVO — anonymisierte Daten sind keine personenbezogenen Daten mehr (Erwägungsgrund 26 DSGVO). Maßgeblich ist, ob eine Person mit Mitteln, die vernünftigerweise wahrscheinlich eingesetzt werden, wieder identifiziert werden kann. Bleibt dies möglich, liegt keine wirksame Anonymisierung, sondern regelmäßig eine Pseudonymisierung vor — und die Daten bleiben in vollem Umfang DSGVO-relevant.
Für Analyse- und Statistikzwecke ist die Anonymisierung oft die praktikablere Wahl: Das Unternehmen behält aggregierte Auswertungen, ohne einen Löschzeitpunkt für Rohdaten dauerhaft überwachen zu müssen. Wichtig ist, dass die Anonymisierung selbst dokumentiert wird — welches Verfahren angewandt wurde, wann und mit welchem Ergebnis. Das Entfernen des Namens kann unzureichend sein, wenn andere Merkmale in Verbindung mit verfügbaren Zusatzinformationen die Person erkennbar machen.
Für die Umsetzung genügt nicht die Auswahl einer Software. Frist, Auslöser, Rechtsgrundlage, System, Löschmethode und Prüfbeleg müssen zusammenpassen; die fachliche Freigabe bleibt bei der Organisation.
FAQ
Wie lange dürfen Kundendaten nach der DSGVO gespeichert werden?
Es gibt keine pauschale Frist. Die Speicherdauer richtet sich nach dem Verarbeitungszweck und eventuellen gesetzlichen Aufbewahrungspflichten. Für Buchungsbelege gelten nach den aktuellen §§ 257 HGB und 147 AO grundsätzlich acht Jahre; andere Unterlagen und bestimmte Finanzunternehmen können abweichen. Für übrige Kundendaten prüfen Sie Zweck, mögliche Ansprüche und konkrete Rechtsgrundlagen getrennt. Die regelmäßige Verjährungsfrist des § 195 BGB beträgt drei Jahre, ist aber keine automatische Speicherfrist für alle Kundendaten.
Was passiert, wenn mein Unternehmen kein Löschkonzept hat?
Die DSGVO verlangt Speicherbegrenzung und Rechenschaft, aber kein Dokument mit dem vorgeschriebenen Namen „Löschkonzept“. Fehlen nachvollziehbare Fristen und funktionieren Löschregeln nicht, kann die Organisation diese Pflichten kaum belegen und gegen sie verstoßen. Aufsichtsbehörden können Abhilfe verlangen und bei einem festgestellten Verstoß nach den Umständen des Einzelfalls eine Sanktion verhängen. Ein schriftliches Konzept ist ein geeignetes Mittel, ersetzt die tatsächliche Löschung jedoch nicht.
Müssen Daten in Backups ebenfalls gelöscht werden?
Grundsätzlich ja. Personenbezogene Daten in Backups unterliegen denselben Löschpflichten wie die Originaldaten. Ein technisch nicht einzeln überschreibbares Backup verlangt eine begründete Lösung mit begrenztem Zyklus, Zugriffsschutz und einer Regel, die gelöschte Daten nach einer Wiederherstellung nicht wieder produktiv macht. Dokumentieren Sie, warum die Lösung den konkreten Pflichten genügt.
Wie unterscheidet sich die Speicherbegrenzung von der Datenminimierung?
Die Datenminimierung (Art. 5(1)© DSGVO) begrenzt den Umfang der erhobenen Daten auf das Notwendige. Die Speicherbegrenzung (Art. 5(1)(e) DSGVO) begrenzt die Dauer der Speicherung. Beide Grundsätze ergänzen sich: Unternehmen dürfen nur die Daten erheben, die sie benötigen, und dürfen diese nur so lange speichern, wie sie sie benötigen.
Konkrete Vorgänge und Nachweise
Bei konkret benötigten Unterlagen für Rechtsansprüche hilft die Vorlage für eine begrenzte Löschsperre, Umfang, Zugriff und Wiedervorlage zu dokumentieren. Nicht benötigte Daten bleiben im normalen Löschverfahren; nach Wegfall des Grundes wird die Ausnahme überprüft und aufgehoben.