Löschfristen und Aufbewahrungsdauer: Warum „Kundendaten sechs Jahre“ fast immer die falsche Antwort ist
Ein langjähriger Geschäftskunde beendet die Zusammenarbeit und schreibt kurz darauf: „Da wir nicht mehr zusammenarbeiten, löschen Sie bitte meine Daten.“ Auf den ersten Blick wirkt die Antwort einfach: Vertrag beendet, Zweck erfüllt, also löschen. Tatsächlich liegen in einem solchen Fall aber meist Kontaktdaten im CRM, Rechnungen in der Buchhaltung, Kopien beim Steuerberater, Belege im Dokumentenmanagement und weitere Versionen in der Datensicherung – und für jede dieser Datenarten kann eine andere Antwort richtig sein. Genau hier liegt die eigentliche Herausforderung beim Thema Löschfristen: Eine Verarbeitungstätigkeit hat fast nie nur eine einzige Löschfrist.
Die wichtigste Vorschrift steht nicht beim „Recht auf Löschung“ in Art. 17 DSGVO, sondern schon bei den Grundsätzen in Art. 5 DSGVO. Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e) DSGVO) dürfen personenbezogene Daten nur so lange in identifizierbarer Form gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist. Das bedeutet: Die Löschpflicht entsteht nicht erst, wenn sich jemand meldet und die Löschung verlangt. Verantwortliche müssen von sich aus dafür sorgen, dass Daten nach Wegfall des Verarbeitungszwecks nicht unbegrenzt im Unternehmen verbleiben. Das individuelle Löschverlangen nach Art. 17 DSGVO kommt als eigener Anspruch der betroffenen Person zusätzlich hinzu, ersetzt aber nicht die Notwendigkeit einer funktionierenden, planmäßigen Löschroutine.
Es gibt keine universelle Tabelle mit Löschfristen
Die DSGVO enthält nur selten konkrete Zahlen. Der Grundsatz lautet: Daten dürfen so lange gespeichert werden, wie dies für einen rechtmäßigen Zweck erforderlich ist – und das kann für dieselbe Information völlig unterschiedlich ausfallen. Die geschäftliche Anschrift eines Kunden steht vielleicht auf einem unverbindlichen Angebot, auf einem angenommenen Auftrag und auf einer Rechnung. Das Angebot ist schnell verzichtbar, der Auftrag wird länger benötigt, und die Rechnung unterliegt gesetzlichen Aufbewahrungspflichten. Deshalb führt die in der Praxis beliebte Pauschale „Kundendaten sechs Jahre“ oder „Mitarbeiterdaten zehn Jahre“ in die Irre: Sie vermischt unterschiedliche Datenarten und Zwecke, die eigentlich getrennt betrachtet werden müssen – etwa Rechnung, Vertragsakte, Angebot, Supportticket oder CRM-Notiz.
Auch endet mit dem Vertragsende nicht automatisch jeder rechtmäßige Speichergrund. Nach der aktiven Verarbeitungsphase kann sich eine Aufbewahrungsphase anschließen, in der nur noch ein begrenzter Zweck besteht – etwa eine gesetzliche Aufbewahrungspflicht. Ein ehemaliger Kunde muss deshalb nicht acht Jahre im aktiven CRM verbleiben, nur weil eine Rechnung acht Jahre aufbewahrt werden muss. Die Rechnung gehört ins Buchhaltungsarchiv, die nicht mehr benötigten Vertriebsnotizen und Interessenprofile werden getrennt beurteilt.
Ein Kunde, viele Speicherorte: Personenbezogene Daten verteilen sich häufig auf mehrere Systeme. Deshalb müssen Datenart, Zweck, Rechtsgrundlage und Löschfrist für jeden Speicherort getrennt geprüft und dokumentiert werden.
Gesetzliche Aufbewahrungspflichten: was seit 2025 gilt
Für viele Unterlagen bestehen gesetzliche Aufbewahrungspflichten, die dem Grundsatz der Speicherbegrenzung nicht entgegenstehen, sondern selbst eine Rechtsgrundlage nach Art. 6 Abs. 1 lit. c) DSGVO liefern. Seit dem 1. Januar 2025 gilt dabei eine wichtige Änderung: Für Buchungsbelege wurde die Aufbewahrungsfrist durch das Vierte Bürokratieentlastungsgesetz von zehn auf acht Jahre verkürzt (§ 257 HGB, § 147 AO). Für Rechnungen sieht auch § 14b UStG grundsätzlich acht Jahre vor. Unverändert bei zehn Jahren bleiben dagegen Handelsbücher, Inventare, Eröffnungsbilanzen und Jahresabschlüsse. Empfangene und abgesandte Handels- oder Geschäftsbriefe unterliegen regelmäßig einer sechsjährigen Frist. Für bestimmte beaufsichtigte Finanzunternehmen gelten Übergangsbesonderheiten.
Wichtig für die Fristberechnung: Sie beginnt meist nicht am Entstehungstag des Dokuments, sondern erst mit dem Ende des Kalenderjahres, in dem die letzte Eintragung erfolgte oder der Beleg entstanden ist. Eine Rechnung vom 10. Oktober 2026 läuft damit regelmäßig bis zum 31. Dezember 2034, gelöscht werden kann also ab dem 1. Januar 2035 – sofern keine steuerliche Ablaufhemmung wegen einer noch offenen Betriebsprüfung entgegensteht. Für die praktische Umsetzung bietet sich statt einer minutengenauen Löschung ein jährlicher Löschlauf an, etwa im Januar für die im Vorjahr abgelaufenen Jahresbestände.
Drei besonders hartnäckige Irrtümer
Im Unternehmensalltag halten sich einige Faustregeln, die bei genauerem Hinsehen nicht tragen. Der erste betrifft E-Mails: „Geschäftliche E-Mails müssen sechs Jahre aufbewahrt werden“ stimmt so pauschal nicht. Entscheidend ist Inhalt und Funktion der Nachricht – eine E-Mail, die tatsächlich einen Handels- oder Geschäftsbrief darstellt, unterliegt der Frist; eine organisatorische Mitteilung wie „Besprechung morgen um 10 Uhr“ wird dadurch nicht automatisch aufbewahrungspflichtig, nur weil sie über das geschäftliche Postfach lief.
Der zweite Irrtum betrifft die dreijährige Regelverjährung nach § 195 BGB, auf die häufig verwiesen wird, wenn Daten „vorsichtshalber“ für mögliche Rechtsstreitigkeiten aufbewahrt werden sollen. § 195 BGB ist aber keine gesetzliche Aufbewahrungspflicht. Eine solche Speicherung kann sich allenfalls auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO stützen, wenn Erforderlichkeit und Interessenabwägung tatsächlich vorliegen und dokumentiert werden – eine pauschale jahrelange Vorratsspeicherung „für alle Fälle“ reicht nicht aus. Der Europäische Gerichtshof hat diese Trennung mit Urteil vom 18. Juni 2026 in der Rechtssache C-484/24 (NTH Haustechnik) noch einmal bestätigt: Art. 17 Abs. 3 lit. e) DSGVO, wonach kein Löschanspruch besteht, soweit die Verarbeitung zur Rechtsverteidigung erforderlich ist, stellt selbst keine eigenständige Rechtsgrundlage dar. Für die fortgesetzte Speicherung braucht es daneben immer eine tragfähige Grundlage nach Art. 6 DSGVO.
Der dritte Irrtum betrifft Bewerberdaten: Die vielzitierten sechs Monate stehen nirgends im Gesetz. Auch die niedersächsische Datenschutzaufsicht hat das in einer im Juli 2026 aktualisierten Information ausdrücklich klargestellt. Eine unternehmensintern festgelegte Frist von etwa sechs Monaten kann als praktikabler Sicherheitszeitraum vertretbar sein, orientiert an den Fristen aus AGG und Arbeitsgerichtsgesetz – sie muss aber begründet werden und darf nicht als vermeintliche gesetzliche Vorgabe verkauft werden.
Eine Aufbewahrungspflicht rechtfertigt nicht alles
Eine der wichtigsten praktischen Regeln lautet: Die Pflicht, ein bestimmtes Dokument aufzubewahren, legitimiert nicht automatisch die Speicherung aller damit zusammenhängenden Daten. Dass eine Rechnung acht Jahre aufbewahrt werden muss, erlaubt nicht, auch die komplette CRM-Historie, Gesprächsnotizen oder Newsletterpräferenzen des betroffenen Kunden ebenso lange vorzuhalten. Wie teuer eine fehlende Trennung werden kann, zeigte die französische Aufsichtsbehörde CNIL im Januar 2026 gegen den Mobilfunkanbieter Free Mobile: Ein Teil der insgesamt verhängten Sanktion – 27 Millionen Euro gegen Free Mobile, weitere 15 Millionen Euro gegen die Muttergesellschaft Free – betraf auch die unzureichende Trennung zwischen Daten, die aus buchhalterischen Gründen noch benötigt wurden, und Daten, die längst hätten gelöscht werden müssen.
Auch Auftragsverarbeiter gehören in dieses Bild. Ein besonders lehrreicher Fall: Die CNIL verhängte im Dezember 2025 ein Bußgeld von einer Million Euro gegen den IT-Dienstleister Mobius Solutions, weil dieser nach Ende der Zusammenarbeit mit dem Musikstreaming-Dienst Deezer weiterhin eine Kopie der Daten von mehr als 46 Millionen Nutzern in einer Nicht-Produktivumgebung vorhielt – ein klarer Verstoß gegen die Löschpflicht nach Art. 28 Abs. 3 lit. g) DSGVO. Wer Dienstleister einsetzt, sollte deshalb schon bei der Auswahl klären, ob Daten dort überhaupt in der benötigten Granularität gelöscht werden können.
Löschen heißt nicht: in den Papierkorb verschieben
Auch technisch wird der Begriff „Löschen“ oft unterschätzt. Die DSGVO schreibt kein bestimmtes Löschverfahren vor, entscheidend ist laut Standard-Datenschutzmodell allein das Ergebnis: Die Daten dürfen nach dem Löschvorgang nicht mehr weiterverarbeitet werden können. Ein Verschieben in den Papierkorb, in „Gelöschte Elemente“ oder einen Cloud-Papierkorb erfüllt das häufig nicht, solange die Wiederherstellung ohne Weiteres möglich bleibt. Auch Backups sind kein Grund zur Beunruhigung, wenn sie sauber organisiert sind: Sie dürfen eine eigene Rotationsfrist haben und müssen nicht bei jeder einzelnen Löschung im Produktivsystem sofort durchsucht werden – vorausgesetzt, sie dienen tatsächlich nur der Wiederherstellung und werden turnusmäßig überschrieben, statt zum heimlichen Dauerarchiv zu werden. Wie teuer es wird, wenn Systeme eine fristgerechte Löschung technisch gar nicht ermöglichen, zeigte zuletzt das Landgericht Berlin I: Es verhängte am 9. Juni 2026 gegen Deutsche Wohnen ein Bußgeld von 900.000 Euro, weil erforderliche Anpassungen der IT-Systeme zur Löschung von Daten ehemaliger Mietinteressenten und Mieter – darunter Gehaltsnachweise, Kontoauszüge und Ausweisdokumente – nicht rechtzeitig umgesetzt worden waren.
Was ein funktionierendes Löschkonzept braucht
Für die Praxis lohnt es sich, nicht bei der Personengruppe „Kunde“ oder „Mitarbeiter“ anzusetzen, sondern bei konkreten Datenarten wie Rechnung, Bewerbungsunterlage, Vertragsakte oder Supportticket. Für jede dieser Datenarten lassen sich fünf Dinge festlegen:
ein auslösendes Ereignis (etwa Vertragsende oder Ausscheiden eines Mitarbeiters),
eine nachvollziehbare Aufbewahrungs- oder Löschregel,
ein konkreter Speicherort,
eine verantwortliche Person
und – wo sinnvoll – ein praktikabler Handlungszeitraum für die Umsetzung, etwa fünf Arbeitstage oder ein monatlicher Löschlauf.
Wer dazu noch Sonderfälle wie Rechtsstreitigkeiten (Stichwort „Legal Hold“) und den Umgang mit Auftragsverarbeitern und Backups regelt, hat den größten Teil der Arbeit bereits erledigt. Als Orientierung für den Gesamtaufbau eines solchen Konzepts bietet sich die im September 2025 veröffentlichte DIN EN ISO/IEC 27555, Nachfolgerin der zurückgezogenen DIN 66398, an – verpflichtend ist sie nicht, ihre Systematik hat sich aber in der Praxis bewährt.
Ein wirksames Löschkonzept ordnet für jede Datenart fest zu, wann eine Löschprüfung beginnt, welche Aufbewahrungsregel gilt, wo die Daten gespeichert sind, wer verantwortlich ist und innerhalb welchen Zeitraums die Löschung umgesetzt wird. Sonderfälle wie Legal Hold, Auftragsverarbeiter und Backups müssen ebenfalls berücksichtigt werden.
Am Ende zeigt sich: Ein gutes Löschkonzept ist selten das Ergebnis einer einzigen pauschalen Frist, sondern einer sauberen Betrachtung nach Datenarten. Wer diese Betrachtung einmal sorgfältig aufbaut, muss Datenschutz nicht bei jeder einzelnen Datei neu erfinden – wiederkehrende Datenarten bekommen wiederkehrende Regeln, und genau das macht Löschfristen auch für kleinere Unternehmen beherrschbar.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
