Löschkonzept im ERP: Datenschutz und Aufbewahrung in Österreich

Was gilt?

Im ERP treffen zwei Pflichten aufeinander: personenbezogene Daten müssen weg, sobald sie nicht mehr gebraucht werden, und dieselben Daten müssen für die Abgabenprüfung bleiben. Art. 17 Abs. 1 lit. a DSGVO verlangt die unverzügliche Löschung, wenn die Daten für die Zwecke der Verarbeitung nicht mehr notwendig sind; Art. 5 Abs. 1 lit. e DSGVO begrenzt schon die Speicherung auf den erforderlichen Zeitraum. Seit 25. Mai 2018 gilt die Verordnung (EU) 2016/679 in Österreich unmittelbar (Art. 99 Abs. 2 DSGVO); Art. 2 § 4 Abs. 1 DSG wiederholt ihren Anwendungsbereich für automatisierte Verarbeitung und für nichtautomatisierte Verarbeitung in Dateisystemen.

Art. 17 Abs. 3 lit. b DSGVO nimmt die Löschung zurück, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Solche Verpflichtungen sind in Österreich § 132 Abs. 1 BAO für Bücher, Aufzeichnungen und die zugehörigen Belege, § 212 Abs. 1 UGB für Bücher, Inventare, Abschlüsse, Geschäftsbriefe und Buchungsbelege sowie § 18 Abs. 10 UStG 1994 für Grundstücksunterlagen. Verlangt eine Person die Löschung, dürfen Sie nur die Daten behalten, die die Aufbewahrung verlangt.

Art. 1 § 1 DSG schützt als Verfassungsbestimmung zusätzlich den Geheimhaltungsanspruch jeder Person (Abs. 1) und gibt in Abs. 3 Z 2 das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

Für wen gilt das?

Verantwortlicher ist, wer über die Zwecke und Mittel der Verarbeitung entscheidet, also Ihr Betrieb (Art. 4 Nr. 7 DSGVO). Ein ERP-Dienstleister, der die Daten in Ihrem Auftrag hostet, ist Auftragsverarbeiter; die Löschpflichten treffen Sie (Auftragsverarbeitung im ERP).

Aufbewahren müssen Unternehmer, die nach § 190 UGB Bücher führen (§ 212 Abs. 1 UGB), und Abgabepflichtige, die Aufzeichnungen führen. Dazu zählt auch, wer keine Bücher führt, aber nach § 126 Abs. 1 und 2 BAO seine Betriebseinnahmen und Betriebsausgaben aufzeichnen muss. Wer Barzahlungen annimmt und darüber einen Beleg erteilt, bewahrt dessen Zweitschrift auf (§ 132a Abs. 6 BAO; Unternehmer nach § 2 Abs. 1 UStG 1994). Die Buchführungsanforderungen selbst stehen im Artikel Ordnungsmäßige Buchführung im ERP.

Die Daten einer GmbH als juristischer Person sind keine personenbezogenen Daten; personenbezogen sind Daten einer identifizierten oder identifizierbaren natürlichen Person (Art. 4 Nr. 1 DSGVO). Das betrifft die Daten ihrer Ansprechpartner und Beschäftigten und bei einem Einzelunternehmen oder einer Personengesellschaft auch die Daten der Inhaber und Gesellschafter.

Die Datenklassen im ERP

Die Tabelle ordnet die Datenklassen eines ERP der Frist in Österreich, dem Löschungsanlass und der Maßnahme im System zu. Für Deutschland und die Schweiz stehen die Regeln in eigenen Artikeln (Löschkonzept Deutschland, Löschkonzept Schweiz).

Datenklasse im ERP	Aufbewahrung in Österreich	Löschungsanlass	ERP-Maßnahme
Bücher und Aufzeichnungen: Journal, Hauptbuch, Personen- und Sachkonten	7 Jahre ab Schluss des Kalenderjahres, für das die Eintragungen vorgenommen wurden (§ 132 Abs. 1 BAO; § 212 Abs. 1 und 2 UGB)	Fristablauf und kein anhängiges Verfahren, in dem die Partei die Bücher zu führen hatte (§ 132 Abs. 1 BAO; § 212 Abs. 1 UGB)	Bis zum Fristende nur lesenden, zweckgebundenen Zugriff zulassen; danach prüfen, ob die Daten noch personenbezogen sind (Art. 4 Nr. 1 DSGVO)
Rechnungen und sonstige Belege, ausgestellt und empfangen, samt Zweitschriften	7 Jahre ab Schluss des Kalenderjahres, auf das sich der Beleg bezieht (§ 132 Abs. 1 BAO); Zweitschrift 7 Jahre ab Schluss des Kalenderjahres der Belegausstellung (§ 132a Abs. 6 BAO)	Fristablauf	Aufbewahrung auf Datenträgern nur zulässig, wenn die Wiedergabe vollständig, geordnet, inhaltsgleich und urschriftgetreu möglich ist; liegen die Belege nur auf Datenträgern vor, entfällt die urschriftgetreue Wiedergabe (§ 132 Abs. 2 BAO); keine Löschung vor Fristablauf
Inventare, Eröffnungsbilanzen, Jahresabschlüsse samt Lageberichten	7 Jahre ab Schluss des Kalenderjahres, in dem das Inventar aufgestellt, die Eröffnungsbilanz oder der Jahresabschluss festgestellt wurde (§ 212 Abs. 1 und 2 UGB)	Fristablauf ohne anhängiges Verfahren, in dem der Unternehmer Parteistellung hat (§ 212 Abs. 1 UGB)	Abschlussdaten und ihre Belege nur lesend halten; nach Fristablauf prüfen und die personenbezogenen Anteile löschen
Empfangene Geschäftsbriefe, Abschriften abgesendeter Geschäftsbriefe, Geschäftspapiere und sonstige Unterlagen	7 Jahre ab Schluss des Kalenderjahres des Empfangs oder Absendens (§ 212 Abs. 1 und 2 UGB); Geschäftspapiere und sonstige Unterlagen 7 Jahre, soweit sie für die Abgabenerhebung von Bedeutung sind (§ 132 Abs. 1 BAO)	Fristablauf; für Unterlagen ohne Bedeutung für die Abgabenerhebung das Ende des Zwecks	Brief- und E-Mail-Archive einer eigenen Klasse zuordnen und getrennt von Marketingdaten führen
Aufzeichnungen und Unterlagen zu Grundstücken	22 Jahre; nur Eigentumsübertragungen nach § 15c WGG zwölf Jahre, ausgenommen Geschäftsräume (§ 18 Abs. 10 UStG 1994, in Kraft seit 1. April 2022)	Fristablauf	Eigene Klasse mit langer Frist; bis zum Fristende sperren, danach prüfen und löschen
Lohnkonto der Beschäftigten	Das Bundesministerium für Finanzen zählt alle Buchhaltungsunterlagen und Aufzeichnungen zur Siebenjahresfrist des § 132 Abs. 1 BAO (Stand 1. Jänner 2025); das Lohnkonto ist nach § 76 Abs. 1 EStG 1988 zu führen	Fristablauf; das Ende des Dienstverhältnisses allein ist kein Löschungsgrund, solange die Frist läuft	Personalstamm und Lohnaufzeichnungen getrennt führen, damit nach Fristablauf nur die Lohnaufzeichnungen geprüft werden
Stammdaten von Kundinnen, Kunden und Lieferanten	Für Felder, deren einziger verbleibender Zweck die Aufbewahrung der zugehörigen Belege ist, bis zum Ablauf von deren Frist; dient ein Feld einem weiteren Zweck, etwa einem laufenden Vertrag, richtet sich die Speicherung nach diesem Zweck; für Felder ohne Belegbezug gilt Art. 5 Abs. 1 lit. e DSGVO	Zweckende (Art. 17 Abs. 1 lit. a DSGVO): für Felder, deren einziger verbleibender Zweck die Belegaufbewahrung ist, der Fristablauf des Belegs; für Felder mit einem weiteren fortbestehenden Zweck dessen Ende; für Kontaktfelder ohne Belegbezug das Ende des Zwecks	Belegrelevante Felder (Name, Anschrift, UID-Nummer) mit den Belegen halten; E-Mail, Telefon und Ansprechpartner zum Zweckende löschen; Felder mit einem weiteren Zweck erst nach dessen Ende löschen; den Datensatz bis zum nächsten Löschlauf einschränken (§ 4 Abs. 2 DSG)
Marketing- und Newsletterdaten	Keine feste Frist; Speicherung nur so lange, wie sie für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO)	Widerruf der Einwilligung (Art. 17 Abs. 1 lit. b DSGVO), Widerspruch (lit. c) oder Wegfall des Zwecks (lit. a)	Werbedaten löschen; den Einwilligungsnachweis getrennt davon aufbewahren, solange er zum Nachweis erforderlich ist (Art. 7 Abs. 1 DSGVO)

Beispiel: ein Kundendatensatz (Beispielrechnung)

Eine Kundin bestellt am 12. Mai 2023; die Rechnung wird am selben Tag ausgestellt. Alle Zahlen sind erfunden (Beispielrechnung).

1. Die Rechnung ist ein Beleg nach § 132 Abs. 1 BAO. Die Siebenjahresfrist läuft ab Schluss des Kalenderjahres, auf das sich der Beleg bezieht, also ab dem 31. Dezember 2023, und endet mit Ablauf des 31. Dezember 2030.
2. Name, Anschrift und UID-Nummer bleiben so lange, wie sie für diesen Beleg erforderlich sind; ist die Belegaufbewahrung ihr einziger verbleibender Zweck, bis zum 31. Dezember 2030 (Art. 17 Abs. 3 lit. b DSGVO).
3. Die Kundin verlangt am 3. Februar 2026 die Löschung. Diese ist insoweit ausgeschlossen, als die Verarbeitung für die Aufbewahrung erforderlich ist (Art. 17 Abs. 3 lit. b DSGVO). Die E-Mail-Adresse der Kundin im Newsletterverteiler ist für die Rechnung nicht erforderlich und wird gelöscht (Art. 17 Abs. 1 lit. a DSGVO).
4. Der Löschlauf im ERP findet monatlich statt. Bis zu diesem Lauf ist die Verarbeitung der verbleibenden personenbezogenen Daten mit der Wirkung des Art. 18 Abs. 2 DSGVO einzuschränken (§ 4 Abs. 2 DSG).
5. Nach dem 31. Dezember 2030 prüfen Sie, ob noch ein anhängiges Verfahren die Aufbewahrung verlangt (§ 132 Abs. 1 BAO) und ob eine andere Rechtsgrundlage trägt; wenn nicht, löschen Sie die personenbezogenen Daten.

Fristbeginn, Verlängerung und Aufbewahrung auf Datenträgern

Die Fristen des § 132 Abs. 1 BAO laufen für Bücher und Aufzeichnungen ab dem Schluss des Kalenderjahres, für das die Eintragungen vorgenommen wurden, für Belege, Geschäftspapiere und sonstige Unterlagen ab dem Schluss des Kalenderjahres, auf das sie sich beziehen; bei einem vom Kalenderjahr abweichenden Wirtschaftsjahr ab dem Schluss des Kalenderjahres, in dem das Wirtschaftsjahr endet. § 212 Abs. 2 UGB stellt für Inventar, Eröffnungsbilanz und Jahresabschluss auf die Aufstellung beziehungsweise Feststellung ab. Die Fristen des § 132 Abs. 1 BAO gelten unverändert in der Fassung, die seit 13. Jänner 1999 in Kraft ist.

Über die Frist hinaus aufzubewahren ist, solange die Unterlagen für die Abgabenerhebung in einem anhängigen Verfahren von Bedeutung sind, in dem die Partei steht, die die Bücher oder Aufzeichnungen zu führen hatte (§ 132 Abs. 1 BAO), und solange ein anhängiges gerichtliches oder behördliches Verfahren mit Parteistellung sie braucht (§ 212 Abs. 1 UGB). Der Fristablauf allein löst daher keine Löschung aus.

Die Fassungen sind auseinanderzuhalten. § 212 Abs. 1 UGB in der Fassung BGBl. I Nr. 22/2015 ist mit 20. Juli 2015 in Kraft getreten und erstmals auf Unterlagen der Rechnungslegung für Geschäftsjahre anzuwenden, die nach dem 31. Dezember 2015 beginnen; auf Unterlagen für Geschäftsjahre, die vor dem 1. Jänner 2016 begonnen haben, ist die frühere Fassung weiter anzuwenden (§ 906 Abs. 28 UGB). Die Fristen von 22 Jahren und von zwölf Jahren für Eigentumsübertragungen nach § 15c WGG, ausgenommen Geschäftsräume, des § 18 Abs. 10 UStG 1994 gelten in der Fassung seit 1. April 2022.

Aufbewahrung auf Datenträgern ist nach § 132 Abs. 2 BAO zulässig, wenn die vollständige, geordnete, inhaltsgleiche und urschriftgetreue Wiedergabe bis zum Ablauf der Frist jederzeit gewährleistet ist; liegen die Unterlagen nur auf Datenträgern vor, entfällt das Erfordernis der urschriftgetreuen Wiedergabe. Bei einer Einsicht müssen Sie auf eigene Kosten die Hilfsmittel bereitstellen, die die Unterlagen lesbar machen, und nötigenfalls ohne Hilfsmittel lesbare, dauerhafte Wiedergaben beibringen (§ 132 Abs. 3 BAO). Was das für gescannte Papierbelege bedeutet, steht unter Papierbelege scannen und vernichten.

Wann Sie sperren statt löschen

Das Sperren hat im österreichischen Recht zwei Anknüpfungspunkte, und keiner davon begründet eine allgemeine Sperrpflicht.

• Art. 18 Abs. 1 DSGVO: Die betroffene Person verlangt die Einschränkung in einem der vier Fälle des Abs. 1 (bestrittene Richtigkeit, unrechtmäßige Verarbeitung mit Ablehnung der Löschung, Daten für Rechtsansprüche, Widerspruch nach Art. 21 Abs. 1 DSGVO). Ab der Einschränkung dürfen Sie die Daten – von der Speicherung abgesehen – nur noch mit Einwilligung, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, zum Schutz der Rechte anderer Personen oder aus Gründen eines wichtigen öffentlichen Interesses verarbeiten (Art. 18 Abs. 2 DSGVO).
• § 4 Abs. 2 DSG: Kann die Löschung aus wirtschaftlichen oder technischen Gründen nur zu bestimmten Zeitpunkten vorgenommen werden, etwa in einem monatlichen Löschlauf, ist die Verarbeitung bis zu diesem Zeitpunkt mit der Wirkung des Art. 18 Abs. 2 DSGVO einzuschränken. Das ist die österreichische Antwort auf die Frage nach dem Sperren: Bis der Löschlauf die Daten erfasst, bleiben sie gesperrt.

Eine allgemeine Regel, die bei jeder entgegenstehenden Aufbewahrungsfrist an die Stelle der Löschung die Sperre setzt, haben wir in den geöffneten Quellen (DSGVO, DSG) nicht gefunden. Laufen Aufbewahrungspflicht und Löschverlangen auseinander, stützen Sie das Behalten auf Art. 17 Abs. 3 lit. b DSGVO und beschränken die weitere Nutzung selbst: Sperrvermerk im Datensatz, Entzug der Bearbeitungsrechte, Ausschluss aus Werbe- und Auswertungsläufen. Diese Sperre ist Ihre eigene technische und organisatorische Maßnahme im Sinn des Art. 5 Abs. 1 lit. f DSGVO. Empfänger, denen Sie die Daten offengelegt haben, unterrichten Sie über die Löschung, sofern das nicht unmöglich oder mit unverhältnismäßigem Aufwand verbunden ist (Art. 19 DSGVO).

Was bei einem Verstoß droht

Bei Verstößen gegen die Grundsätze der Verarbeitung (Art. 5 DSGVO) und gegen die Rechte der betroffenen Person (Art. 12 bis 22 DSGVO, dazu Art. 17 und 18) drohen Geldbußen von bis zu 20 Millionen Euro oder, bei einem Unternehmen, bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Für Pflichten nach Art. 25 bis 39 DSGVO liegt der Rahmen bei 10 Millionen Euro oder 2 Prozent (Art. 83 Abs. 4 DSGVO). Das DSG bedroht bestimmte Handlungen, etwa den vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung, mit einer Geldstrafe bis 50.000 Euro, sofern die Tat nicht einen Tatbestand nach Art. 83 DSGVO verwirklicht (§ 62 Abs. 1 DSG).

Checkliste für Ihren Betrieb

1. Datenklassen im ERP festlegen: Bücher und Aufzeichnungen, Belege, Abschlüsse, Geschäftsbriefe, Grundstücksunterlagen, Stammdaten, Lohnkonten, Marketingdaten.
2. Für jede Klasse Frist und Fristbeginn aus dem Gesetz notieren: Schluss des Kalenderjahres der Eintragung beziehungsweise des Belegbezugs (§ 132 Abs. 1 BAO) oder der Aufstellung und Feststellung (§ 212 Abs. 2 UGB).
3. Prüfen, ob ein anhängiges Verfahren die Frist verlängert (§ 132 Abs. 1 BAO; § 212 Abs. 1 UGB).
4. Belegrelevante Stammdatenfelder von den übrigen trennen; Kontaktfelder ohne Belegbezug zum Zweckende löschen (Art. 17 Abs. 1 lit. a, Art. 5 Abs. 1 lit. e DSGVO).
5. Löschläufe planen und bis dahin einschränken (§ 4 Abs. 2 DSG); ein Verlangen nach Art. 18 Abs. 1 DSGVO mit Sperrvermerk und entzogenen Rechten umsetzen.
6. Löschungen und Sperren protokollieren und im Verzeichnis der Verarbeitungstätigkeiten dieselbe Frist führen wie im ERP.
7. Vor dem endgültigen Löschen prüfen, ob die Daten noch personenbezogen sind (Art. 4 Nr. 1 DSGVO) und ob eine andere Rechtsgrundlage oder Aufbewahrungspflicht trägt.