Löschkonzept im ERP: DSGVO-Löschung gegen Aufbewahrungspflicht (DE)

Was gilt?

Im ERP treffen zwei Pflichten aufeinander: die Pflicht zur Löschung personenbezogener Daten und die Pflicht zur Aufbewahrung von Unterlagen. Art. 17 Abs. 1 lit. a DSGVO verlangt, dass Sie personenbezogene Daten unverzüglich löschen, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Art. 17 Abs. 3 lit. b DSGVO schränkt das ein: Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert. Die deutschen Aufbewahrungspflichten – § 147 AO, § 257 HGB, § 14b UStG – sind genau solche rechtlichen Verpflichtungen.

§ 35 Abs. 3 BDSG regelt einen Sonderfall: Stehen einer Löschung nach Art. 17 Abs. 1 lit. a DSGVO satzungsgemäße oder vertragliche Aufbewahrungsfristen entgegen, gilt § 35 Abs. 1 BDSG entsprechend; an die Stelle der Löschung tritt die Einschränkung der Verarbeitung nach Art. 18 DSGVO. Gesetzliche Aufbewahrungsfristen wie § 147 AO oder § 257 HGB fallen nicht unter diese Vorschrift; dort greift allein Art. 17 Abs. 3 lit. b DSGVO. Die Einschränkung der Verarbeitung ist keine automatische Sperrpflicht: Art. 18 DSGVO gewährt der betroffenen Person das Recht auf Einschränkung nur in den Fällen des Art. 18 Abs. 1 DSGVO. Solange die Frist läuft, halten Sie nur die für die Aufbewahrungspflicht erforderlichen Daten zurück; andere zulässige Verarbeitungszwecke werden dadurch nicht automatisch verboten. Nach Fristablauf prüfen Sie weitere Rechtsgrundlagen und löschen die personenbezogenen Daten, wenn keine weitere Verarbeitung zulässig ist.

Für wen gilt das

Die Pflicht trifft jeden, der in Deutschland personenbezogene Daten im ERP verarbeitet und zugleich den deutschen Aufbewahrungspflichten unterliegt. Das sind Kaufleute nach § 238 HGB (Aufbewahrung nach § 257 HGB) und Steuerpflichtige, die Aufzeichnungen zu führen haben (Aufbewahrung nach § 147 AO). Die DSGVO gilt unmittelbar ab dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO) und erfasst jeden Verantwortlichen, der in Deutschland eine Niederlassung hat und im Rahmen seiner Tätigkeiten personenbezogene Daten verarbeitet (Art. 3 Abs. 1 DSGVO).

Die Datenklassen im ERP

Die Tabelle ordnet die typischen Datenklassen eines ERP der deutschen Aufbewahrungsfrist, dem Löschungsanlass und der ERP-Maßnahme zu:

Datenklasse im ERP	Aufbewahrungsfrist (DE)	Löschungsanlass	ERP-Maßnahme
Ausgestellte und erhaltene Rechnungen	8 Jahre ab Schluss des Kalenderjahrs der Ausstellung (§ 14b Abs. 1 UStG; § 147 Abs. 1 Nr. 4 AO); bei Kreditinstituten, Versicherern und Wertpapierinstituten 10 Jahre (§ 257 Abs. 4 Satz 2 HGB in der ab dem 30. Dezember 2025 geltenden Fassung; Art. 97 § 19a Abs. 3 EGAO)	Ablauf der Aufbewahrungsfrist	Aufbewahren bis Fristablauf; danach weitere Rechtsgrundlagen prüfen und die personenbezogenen Daten löschen, wenn keine weitere Verarbeitung zulässig ist; keine Löschung vor Fristablauf (Art. 17 Abs. 3 lit. b DSGVO)
Bücher und Aufzeichnungen (Debitoren-, Kreditoren-, Hauptbuch)	10 Jahre ab Schluss des Kalenderjahrs der letzten Eintragung (§ 147 Abs. 1 Nr. 1 AO; § 257 Abs. 1 Nr. 1 HGB)	Ablauf der Aufbewahrungsfrist	Aufbewahren bis Fristablauf; danach weitere Rechtsgrundlagen prüfen und die personenbezogenen Daten löschen, wenn keine weitere Verarbeitung zulässig ist; keine Löschung vor Fristablauf
Empfangene Handels- und Geschäftsbriefe (E-Mails, Briefe)	6 Jahre ab Schluss des Kalenderjahrs des Empfangs (§ 147 Abs. 1 Nr. 2 AO)	Ablauf der Aufbewahrungsfrist	Aufbewahren bis Fristablauf; danach weitere Rechtsgrundlagen prüfen und die personenbezogenen Daten löschen, wenn keine weitere Verarbeitung zulässig ist
Lieferscheine, die keine Buchungsbelege sind	Bis zum Erhalt (empfangene) bzw. Versand (abgesandte) der Rechnung (§ 147 Abs. 3 Satz 3 und 4 AO)	Erhalt bzw. Versand der Rechnung	Nach Erhalt/Versand der Rechnung löschen, sofern der Lieferschein kein Handelsbrief ist und keine steuerliche Verlängerung vorliegt
Kunden- und Lieferantenstamm (personenbezogene Daten: Name, Adresse, E-Mail, Telefon)	Die für die Belege erforderlichen Stammdaten (z. B. Name, Adresse, Kontonummer) so lange, wie die eindeutige Zuordnung zu den zugehörigen Belegen erforderlich ist (GoBD Rz. 111); übrige Kontaktfelder (E-Mail, Telefon) nicht automatisch bis zur Rechnungsfrist (GoBD Rz. 113)	Für die Belege erforderliche Stammdaten: Ablauf der Aufbewahrungsfrist der zugehörigen Belege; übrige Kontaktfelder: nicht mehr für den Zweck erforderlich (Art. 17 Abs. 1 lit. a DSGVO; Art. 5 Abs. 1 lit. e DSGVO), auch vor Fristablauf der Belege	Nur die für die Belege erforderlichen Stammdaten aufbewahren; übrige Kontaktfelder (E-Mail, Telefon) löschen, sobald sie für den Zweck nicht mehr erforderlich sind und keine weitere Rechtsgrundlage vorliegt — nicht erst nach Fristablauf der Belege; nach Fristablauf verbleibende Zuordenbarkeit (z. B. über die Kontonummer) und Rechtsgrundlage prüfen (Art. 4 Nr. 1 DSGVO, ErwG 26)
Marketingdaten (z. B. Newsletter-Einwilligung)	Keine feste Frist: so lange, wie die Daten für den Zweck erforderlich sind (Art. 5 Abs. 1 lit. e DSGVO)	Nicht mehr für den Zweck erforderlich (Art. 17 Abs. 1 lit. a DSGVO); Widerruf der Einwilligung (Art. 17 Abs. 1 lit. b DSGVO); Widerspruch (Art. 17 Abs. 1 lit. c DSGVO)	Löschen, sobald die Daten für den Zweck nicht mehr erforderlich sind und keine weitere Rechtsgrundlage vorliegt — auch vor Widerruf; den Einwilligungsnachweis als eigene Unterlage aufbewahren, soweit er zur Nachweisführung erforderlich ist (Art. 7 Abs. 1 DSGVO)

Beispiel: ein Kundenstammrecord (Beispielrechnung)

Ein Kunde, Herr Max Mustermann, hat zuletzt am 15. März 2021 bestellt; die Rechnung wurde am 20. März 2021 ausgestellt. Die Zahlen sind erfunden (Beispielrechnung).

• Rechnung vom 20. März 2021: Achtjahresfrist ab Schluss des Kalenderjahrs 2021 (§ 14b Abs. 1 UStG; § 147 Abs. 1 Nr. 4 AO) → aufzubewahren bis zum 31. Dezember 2029, vorbehaltlich der Festsetzungsfrist der betroffenen Steuer (§ 147 Abs. 3 Satz 5 AO).
• Kundenstamm: Die für die Rechnung erforderlichen Stammdaten (Name, Adresse, Kontonummer) müssen mitbleiben, damit die Rechnung lesbar und zuordenbar bleibt (GoBD Rz. 111; GoBD). Die Aufbewahrungspflicht ist auf den Aufzeichnungsumfang begrenzt (GoBD Rz. 113); übrige Kontaktfelder wie E-Mail und Telefon müssen nicht automatisch bis zur Rechnungsfrist aufbewahrt werden.
• Herr Mustermann verlangt im Jahr 2024 die Löschung nach Art. 17 DSGVO. Die Löschung ist für die Dauer der Aufbewahrungsfrist insoweit ausgeschlossen, als die Verarbeitung zur Erfüllung der Aufbewahrungspflicht erforderlich ist (Art. 17 Abs. 3 lit. b DSGVO). Sie halten nur die für die Aufbewahrungspflicht erforderlichen Daten zurück; andere zulässige Verarbeitungszwecke werden dadurch nicht automatisch verboten.
• Nach dem 31. Dezember 2029 (vorbehaltlich der Festsetzungsfrist): Sie prüfen, ob die Daten noch personenbezogen sind (Art. 4 Nr. 1 DSGVO, ErwG 26). Sind sie es noch, prüfen Sie weitere Rechtsgrundlagen und löschen die personenbezogenen Daten (Name, Adresse, E-Mail, Telefon), wenn keine weitere Verarbeitung zulässig ist. Die Kontonummer allein ist keine Anonymisierung, wenn sie über die Belege noch zu einer natürlichen Person zuordenbar ist; bleibt sie zuordenbar, bleibt sie personenbezogen und muss gelöscht werden, wenn keine Rechtsgrundlage mehr vorliegt.

Fristen und Fristbeginn

Nach § 147 Abs. 4 AO beginnt die Frist mit dem Schluss des Kalenderjahrs, in dem die letzte Eintragung gemacht, das Inventar, die Eröffnungsbilanz, der Jahresabschluss oder der Lagebericht aufgestellt, der Handels- oder Geschäftsbrief empfangen oder abgesandt, der Buchungsbeleg entstanden, die Aufzeichnung vorgenommen oder die sonstigen Unterlagen entstanden sind. Nach § 257 Abs. 5 HGB beginnt sie mit dem Schluss des Kalenderjahrs, in dem die letzte Eintragung gemacht, das Inventar aufgestellt, die Eröffnungsbilanz oder der Jahresabschluss festgestellt, der Handelsbrief empfangen oder abgesandt oder der Buchungsbeleg entstanden ist; für die Eröffnungsbilanz und den Jahresabschluss ist also das Jahr der Feststellung maßgebend, nicht das der Aufstellung. Für eine Rechnung, die am 20. März 2021 ausgestellt wurde, beginnt die Achtjahresfrist also am 31. Dezember 2021 und endet am 31. Dezember 2029.

Die Aufbewahrungsfrist läuft nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für welche die Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 Satz 5 AO); § 169 Abs. 2 Satz 2 AO gilt dabei nicht. Solange also die Festsetzungsfrist der betroffenen Steuer noch nicht abgelaufen ist, bleibt die Unterlage aufbewahrungspflichtig, auch wenn die reguläre Frist abgelaufen wäre.

Die Fristen gelten in unterschiedlichen Fassungen, deren Inkrafttreten auseinanderzuhalten ist. Die Achtjahresfrist für Buchungsbelege und Rechnungen gilt seit dem 1. Januar 2025 (Viertes Bürokratieentlastungsgesetz vom 23. Oktober 2024, BGBl. 2024 I Nr. 323, Art. 1 Nr. 2, Art. 3 Nr. 4, Art. 5 Nr. 1, Art. 74 Abs. 1); sie ist auf Unterlagen anzuwenden, deren Aufbewahrungsfrist nach der bis einschließlich 31. Dezember 2024 geltenden Fassung noch nicht abgelaufen war (§ 147 Abs. 3 Satz 1 AO; § 257 Abs. 4 Satz 1 HGB; § 14b Abs. 1 Satz 1 UStG; Art. 97 § 19a Abs. 2 EGAO; Art. 95 EGHGB; § 27 Abs. 40 UStG). Art. 18 und Art. 17 des Gesetzes vom 22. Dezember 2025 (BGBl. 2025 I Nr. 369) haben § 257 Abs. 4 HGB und Art. 97 § 19a Abs. 3 EGAO neu gefasst; diese Fassungen gelten für die Zehnjahresfrist für Buchungsbelege bei Kreditinstituten, Versicherern und Wertpapierinstituten seit dem 30. Dezember 2025 (Art. 23 Abs. 1 des Gesetzes).

Was bei einem Verstoß droht

Bei Verstößen gegen die Grundsätze der Verarbeitung (Art. 5 DSGVO) und die Rechte der betroffenen Person (Art. 12 bis 22 DSGVO) drohen Geldbußen von bis zu 20.000.000 Euro oder, im Fall eines Unternehmens, bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO).

Checkliste für Ihren Betrieb

1. Datenklassen im ERP erfassen: Welche Daten sind personenbezogene Daten, welche sind aufbewahrungspflichtig (Rechnungen, Bücher, Briefe), welche nicht (Marketing).
2. Aufbewahrungsfrist je Datenklasse festlegen (zehn, acht oder sechs Jahre; Fristbeginn mit dem Schluss des Kalenderjahrs der letzten Eintragung, der Aufstellung (AO) bzw. Feststellung (HGB) der Abschlüsse, des Empfangs oder Absandts des Briefs oder der Entstehung des Belegs, je nach Datenklasse).
3. Solange die Aufbewahrungsfrist läuft, nur die dafür erforderlichen Daten zurückhalten; andere zulässige Verarbeitungszwecke werden dadurch nicht automatisch verboten.
4. Nach Fristablauf prüfen, ob die Daten noch personenbezogen sind (Art. 4 Nr. 1 DSGVO, ErwG 26); sind sie es noch, weitere Rechtsgrundlagen prüfen und die personenbezogenen Daten löschen, wenn keine weitere Verarbeitung zulässig ist; die Kontonummer ist keine pauschale Anonymisierung, wenn sie über die Belege noch zuordenbar ist.
5. Löschkonzept dokumentieren (DIN 66398:2016-05 ist zurückgezogen; DIN EN ISO/IEC 27555:2025-09 als Referenz; beide Normen sind Leitlinien, keine Rechtsquellen).
6. Löschungsverlangen beantworten: für die Dauer der Aufbewahrungsfrist insoweit ablehnen, als die Verarbeitung zur Erfüllung der Aufbewahrungspflicht erforderlich ist (Art. 17 Abs. 3 lit. b DSGVO); nur die erforderlichen Daten zurückhalten.
7. Empfänger, denen die Daten offengelegt wurden, über die Löschung unterrichten, sofern dies nicht unmöglich oder mit unverhältnismäßigem Aufwand verbunden ist (Art. 19 DSGVO).
8. Löschung von Buchungen, Aufzeichnungen und aufbewahrungspflichtigen Unterlagen im Änderungsprotokoll festhalten (GoBD Rz. 59); die Dokumentation jeder DSGVO-Löschung im ERP ist eine eigene Empfehlung, keine GoBD-Pflicht.