Aufbewahrungsfristen

Aufbewahrungsfristen legen fest, wie lange Unterlagen mindestens verfügbar gehalten werden müssen. Die praktisch wichtigsten Regeln stehen im Handels- und Steuerrecht: § 257 HGB und § 147 AO verlangen zehn Jahre für Bücher, Inventare, Jahresabschlüsse, Lageberichte und Eröffnungsbilanzen sowie sechs Jahre für empfangene und abgesandte Handels- und Geschäftsbriefe. Für Buchungsbelege wurde die Frist durch das Vierte Bürokratieentlastungsgesetz mit Wirkung zum 1. Januar 2025 von zehn auf acht Jahre verkürzt; parallel gilt für Rechnungen im Umsatzsteuerrecht die verkürzte Frist des § 14b Abs. 1 UStG. Hinzu kommen bereichsspezifische Pflichten, etwa das Lohnkonto nach § 41 Abs. 1 EStG oder Entgeltunterlagen nach § 28f Abs. 1 SGB IV. Die Fristen beginnen regelmäßig nicht mit der Entstehung des Dokuments, sondern mit dem Schluss des Kalenderjahres, in dem die letzte Eintragung erfolgt oder der Beleg entstanden ist (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO).

Datenschutzrechtlich stehen diese Pflichten in einem Spannungsverhältnis zum Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) und zum Recht auf Löschung (Art. 17 DSGVO). Die DSGVO löst den Konflikt selbst auf: Nach Art. 17 Abs. 3 lit. b DSGVO besteht die Löschpflicht nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung nach Unionsrecht oder mitgliedstaatlichem Recht erforderlich ist. Rechtsgrundlage der weiteren Aufbewahrung ist dann Art. 6 Abs. 1 lit. c DSGVO. Wichtig ist die Blickrichtung: Eine Aufbewahrungspflicht erlaubt keine Weiternutzung der Daten zum ursprünglichen operativen Zweck, sondern nur das Vorhalten zu Nachweiszwecken. Deshalb sieht § 35 Abs. 3 BDSG vor, dass an die Stelle der Löschung die Einschränkung der Verarbeitung tritt: Die Daten werden gesperrt, aus dem aktiven Arbeitsbestand genommen und nur noch für den gesetzlichen Nachweiszweck zugänglich gemacht.

Zu unterscheiden sind echte Aufbewahrungspflichten von bloßen Aufbewahrungsinteressen. Wer Daten wegen möglicher Ansprüche bis zum Ablauf der regelmäßigen Verjährung von drei Jahren (§§ 195, 199 BGB) vorhält, stützt sich nicht auf eine gesetzliche Pflicht, sondern auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO und muss eine Interessenabwägung dokumentieren. Umgekehrt rechtfertigt eine Aufbewahrungspflicht für den steuerrelevanten Beleg nicht die Aufbewahrung des gesamten Kundendatensatzes im CRM. Praktisch gelöst wird das über ein Löschkonzept, das je Datenkategorie und System eine Löschregel definiert, sowie über das Verzeichnis von Verarbeitungstätigkeiten, in dem nach Art. 30 Abs. 1 lit. f DSGVO die vorgesehenen Löschfristen anzugeben sind. Als methodische Grundlage hat sich die DIN 66398 etabliert, die Datenarten zu Löschklassen mit einheitlichen Fristen und Startzeitpunkten bündelt.