Zum Inhalt springen
SimpleAct Logo

Kostenlose Vorlage · Excel & PDF

Stand: 4. Oktober 2026 · Buchungsbelege 8 Jahre

Lösch­konzept-Vorlage nach DSGVO mit Löschfristen

Ein Löschkonzept legt fest, welche personenbezogenen Daten wann gelöscht werden – und wie Sie das nachweisen. Hier laden Sie unsere Vorlage als Excel-Datei herunter: Löschklassen, Fristen mit Rechtsgrundlage, Auslöser, Verantwortliche, Löschmethode und ein Löschprotokoll. Dazu eine geprüfte Fristentabelle und ein Rechner für das früheste Löschdatum.

Excel-Vorlage herunterladenDruckversion (PDF)

XLSX · 26 KB · ohne Anmeldung

  • 7 Beispiel-Löschklassen mit Rechtsgrundlage
  • Blatt für das Löschprotokoll
  • Fristen nach HGB und AO, Stand 2026
  • Dropdowns für Frist, Auslöser, Methode
app.simpleact.de

Löschkonzept

Demo Organisation GmbH · Vorschau der Vorlage

A
KlasseDatenartFristBeginn
  • LK-01Buchungsbelege8 JahreJahresende
  • LK-02Jahresabschlüsse10 JahreJahresende
  • LK-03Geschäftsbriefe6 JahreJahresende
  • LK-05Bewerbungen6 MonateAbsage

Löschprotokoll

15.01.2026 · LK-01 · Belege 2017 · vernichtet

7 Beispielzeilen · 150 leere Zeilen mit Dropdowns

Kurz gesagt

Ein Löschkonzept ist eine Übersicht, die für jede Art personenbezogener Daten festlegt, wie lange sie gespeichert werden, ab wann die Frist läuft, wer löscht und wie die Löschung belegt wird. Es setzt Speicherbegrenzung (Art. 5 DSGVO) und Löschpflicht (Art. 17 DSGVO) um. Gesetzliche Aufbewahrungsfristen – etwa 8 Jahre für Buchungsbelege – gehen der Löschung vor.

Grundlagen

Was ein Lösch­konzept ist – und warum Sie eins brauchen

Die DSGVO erlaubt es nicht, personenbezogene Daten „für alle Fälle“ aufzuheben. Nach dem Grundsatz der Speicherbegrenzung dürfen Daten nur so lange in einer Form gespeichert werden, die die Identifizierung der Betroffenen ermöglicht, wie es für die Zwecke der Verarbeitung erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Sind die Daten für den Zweck nicht mehr notwendig, muss der Verantwortliche sie unverzüglich löschen (Art. 17 Abs. 1 lit. a DSGVO) – auch ohne dass jemand danach fragt.

Ein Löschkonzept macht aus diesem Grundsatz eine Regel, die sich anwenden lässt. Es ordnet jede Datenart einer Löschklasse zu und hält fest: wofür die Daten da sind, welche Frist gilt und warum, ab welchem Ereignis die Frist läuft, wer für die Löschung zuständig ist, wie gelöscht wird und wie das dokumentiert wird. Das Wort „Löschkonzept“ steht nicht in der DSGVO. Ohne ein solches Dokument können Sie die Speicherbegrenzung aber kaum nachweisen – und nachweisen müssen Sie sie nach der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

Das Löschkonzept hängt eng mit anderen Pflichten zusammen. Im Verzeichnis von Verarbeitungstätigkeiten sollen Sie, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien angeben (Art. 30 Abs. 1 lit. f DSGVO). In den Datenschutzhinweisen müssen Sie Betroffenen die Speicherdauer oder die Kriterien dafür nennen (Art. 13 Abs. 2 lit. a, Art. 14 Abs. 2 lit. a DSGVO). Und wenn jemand die Löschung seiner Daten verlangt, brauchen Sie schnell eine Antwort, welche Daten Sie wo und wie lange aufbewahren müssen.

Gesetzliche Aufbewahrungspflichten gehen der Löschung vor. Art. 17 Abs. 3 lit. b DSGVO nimmt Verarbeitungen aus, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind. Die wichtigsten Pflichten in Deutschland stehen in § 257 HGB und § 147 AO: Bücher und Jahresabschlüsse 10 Jahre, Buchungsbelege seit 1. Januar 2025 nur noch 8 Jahre, Handels- und Geschäftsbriefe 6 Jahre. Während dieser Zeit werden die Daten nicht gelöscht, sondern gesperrt: aus dem aktiven Zugriff genommen und nur noch für den Aufbewahrungszweck genutzt.

Das Löschkonzept ist kein einmaliges Dokument. Neue Systeme, neue Datenarten, geänderte Gesetze – wie die Verkürzung der Frist für Buchungsbelege durch das Vierte Bürokratieentlastungsgesetz – machen eine regelmäßige Überprüfung nötig. Bewährt hat sich ein fester Jahrestermin, an dem Fristen geprüft und fällige Löschungen ausgeführt und protokolliert werden.

für Buchungsbelege seit 1.1.2025 (§ 147 AO, § 257 HGB)
8 Jahre
für Buchungsbelege seit 1.1.2025 (§ 147 AO, § 257 HGB)
für Bücher, Inventare, Jahresabschlüsse
10 Jahre
für Bücher, Inventare, Jahresabschlüsse
für Handels- und Geschäftsbriefe
6 Jahre
für Handels- und Geschäftsbriefe

Fristentabelle

Aufbewahrungs­fristen 2026: was 10, 8 und 6 Jahre gilt

Die wichtigsten gesetzlichen Fristen für Unternehmen in Deutschland, geprüft am Gesetzestext. Die letzten drei Zeilen sind keine gesetzlichen Aufbewahrungspflichten, sondern verbreitete Festlegungen bzw. eine Mindestfrist – das ist jeweils vermerkt.

Tabelle seitlich scrollen →

Aufbewahrungsfristen 2026: was 10, 8 und 6 Jahre gilt
UnterlagenFristRechtsgrundlageFristbeginnHinweis
Bücher und Aufzeichnungen, Inventare, Eröffnungsbilanz, Jahresabschlüsse, Lageberichte, Konzernabschlüsse sowie die zum Verständnis erforderlichen Arbeitsanweisungen und Organisationsunterlagen10 Jahre§ 257 Abs. 1 Nr. 1, Abs. 4 HGB; § 147 Abs. 1 Nr. 1, Abs. 3 AOSchluss des KalenderjahresUnverändert durch das Vierte Bürokratieentlastungsgesetz.
Unterlagen nach Art. 15 Abs. 1 und Art. 163 Zollkodex der Union10 Jahre§ 147 Abs. 1 Nr. 4a, Abs. 3 AOSchluss des KalenderjahresNur steuerrechtlich (AO).
Buchungsbelege: Rechnungen, Kontoauszüge, Quittungen, Kassenbelege und andere Belege für Buchungen8 Jahre§ 257 Abs. 1 Nr. 4, Abs. 4 Satz 1 HGB; § 147 Abs. 1 Nr. 4, Abs. 3 AOSchluss des KalenderjahresSeit 1.1.2025 (vorher 10 Jahre) für alle Belege, deren Frist am 31.12.2024 noch lief (Art. 97 § 19a Abs. 2 EGAO).
Buchungsbelege bei Kreditinstituten, Versicherungen und Wertpapierinstituten10 Jahre§ 257 Abs. 4 Satz 2 HGB; Art. 97 § 19a Abs. 3 EGAOSchluss des KalenderjahresAusnahme von der Verkürzung.
Empfangene Handels- oder Geschäftsbriefe und Wiedergaben abgesandter Briefe (auch E-Mails mit Geschäftsbezug)6 Jahre§ 257 Abs. 1 Nr. 2, 3, Abs. 4 HGB; § 147 Abs. 1 Nr. 2, 3, Abs. 3 AOSchluss des KalenderjahresIst ein Brief zugleich Buchungsbeleg, gelten 8 Jahre.
Sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind6 Jahre§ 147 Abs. 1 Nr. 5, Abs. 3 AOSchluss des Kalenderjahres
Lieferscheine, die keine Buchungsbelege sindbis Rechnung§ 147 Abs. 3 Satz 3 und 4 AO–Empfangene: bis Erhalt der Rechnung; abgesandte: bis Versand der Rechnung.
Lohnkonten6 Jahre§ 41 Abs. 1 Satz 9 EStGAblauf des Jahres der letzten LohnzahlungBis zum Ablauf des 6. Kalenderjahres nach der letzten eingetragenen Lohnzahlung.
Protokolle von Hochrisiko-KI-Systemen beim Betreibermind. 6 MonateArt. 26 Abs. 6 KI-VOErzeugungMindestfrist, keine Höchstfrist; für Anhang-III-Systeme ab 2.12.2027.
Vertragsdaten ohne Belegcharakter nach Vertragsende (z. B. Korrespondenz zu Gewährleistung)oft 3 JahreOrientierung an der regelmäßigen Verjährung, §§ 195, 199 BGBSchluss des Jahres der AnspruchsentstehungKeine Aufbewahrungspflicht – interne Festlegung mit Begründung.
Bewerbungsunterlagen nach Absageoft 6 MonateOrientierung an § 15 Abs. 4 AGG (2 Monate) und § 61b Abs. 1 ArbGG (3 Monate)Zugang der AbsageKeine Aufbewahrungspflicht – verbreitete Praxis; Talentpool nur mit Einwilligung.
  • Die Fristen nach § 147 AO laufen nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für die die Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 Satz 5 AO). Im Zweifel vor der Vernichtung mit der Steuerberatung abstimmen.
  • Die Aufstellung ist nicht abschließend. Branchenspezifische Pflichten – etwa im Gesundheitswesen, im Arbeitsschutz oder in der Finanzbranche – kommen hinzu. Kürzere Fristen aus anderen Gesetzen lassen die steuerlichen Fristen unberührt (§ 147 Abs. 3 Satz 2 AO).

Neu seit 2025

Buchungsbelege: 8 statt 10 Jahre – was das konkret heißt

Mit dem Vierten Bürokratieentlastungsgesetz (BGBl. 2024 I Nr. 323) hat der Gesetzgeber die Aufbewahrungsfrist für Buchungsbelege in § 257 Abs. 4 HGB und § 147 Abs. 3 AO von zehn auf acht Jahre verkürzt. Die neue Frist gilt seit 1. Januar 2025 für alle Unterlagen, deren Frist nach altem Recht am 31. Dezember 2024 noch nicht abgelaufen war (Art. 97 § 19a Abs. 2 EGAO).

Nicht verkürzt wurden die Fristen für Bücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse und Lageberichte (weiter 10 Jahre) sowie für Handels- und Geschäftsbriefe (weiter 6 Jahre). Kreditinstitute, Versicherungen und Wertpapierinstitute bewahren Buchungsbelege weiterhin zehn Jahre auf (§ 257 Abs. 4 Satz 2 HGB, Art. 97 § 19a Abs. 3 EGAO).

Viele Löschkonzepte und Vorlagen im Umlauf nennen für Rechnungen noch zehn Jahre. Prüfen Sie Ihre Löschklassen: Wer Belege länger aufbewahrt als erforderlich, speichert personenbezogene Daten – etwa auf Rechnungen an Privatkundschaft – ohne Grund.

Beispiel: Wann dürfen Buchungsbelege vernichtet werden?

  • Belege aus 2016Frist endete nach neuem Recht am 31.12.2024 → seit 1.1.2025 vernichtbar
  • Belege aus 2017Frist endete am 31.12.2025 → seit 1.1.2026 vernichtbar
  • Belege aus 2018Frist endet am 31.12.2026 → ab 1.1.2027 vernichtbar
  • Belege aus 2026Frist endet am 31.12.2034 → ab 1.1.2035 vernichtbar

Jeweils vorbehaltlich § 147 Abs. 3 Satz 5 AO (offene Festsetzungsfrist) und abweichender Pflichten für Banken, Versicherungen und Wertpapierinstitute.

Interaktiv

Fristenrechner: Ab wann darf gelöscht werden?

Wählen Sie eine Datenart und geben Sie das maßgebliche Datum ein. Der Rechner zeigt Fristbeginn, Fristende und das früheste Löschdatum – zum Übertragen in Ihr Löschkonzept. Es werden keine Daten gespeichert oder übertragen.

Datenart
app.simpleact.de

Ergebnis

Buchungsbeleg (Rechnung, Kontoauszug)

A

Datenart wählen und Datum eingeben – hier erscheinen Fristbeginn, Fristende und frühestes Löschdatum.

Orientierungshilfe, keine Rechtsberatung. Fristen nach deutschem Recht, Stand 4. Oktober 2026.

Aufbau

Die 8 Bausteine eines Lösch­konzepts

Diese Bausteine bilden die Spalten unserer Vorlage. Die Gliederung orientiert sich an der Praxis und an den Normen zum Thema (DIN 66398, ISO/IEC 27555); gesetzlich vorgeschrieben ist kein bestimmtes Format.

01

Datenarten

Welche personenbezogenen Daten Sie verarbeiten – am besten abgeleitet aus dem Verarbeitungsverzeichnis und so konkret, dass jede Abteilung ihre Daten wiedererkennt.

02

Löschklassen

Datenarten mit gleicher Frist und gleichem Auslöser werden zu einer Klasse zusammengefasst. So bleiben es zehn bis zwanzig Regeln statt hunderter Einzelfälle.

03

Zweck

Wofür die Daten erhoben wurden. Entfällt der Zweck und steht keine Aufbewahrungspflicht entgegen, beginnt die Löschpflicht.

04

Frist und Rechtsgrundlage

Wie lange die Daten bleiben und warum: Gesetz, Vertrag oder dokumentierte interne Festlegung. Empfehlungen als solche kennzeichnen.

05

Fristbeginn und Auslöser

Ab wann die Frist läuft: Ende des Kalenderjahres, Vertragsende, Absage, Widerruf. Ohne Auslöser lässt sich keine Frist berechnen.

06

Verantwortlichkeit

Wer die Löschung veranlasst und nachhält – je Löschklasse eine Rolle, nicht „die IT“ für alles.

07

Löschmethode

Automatisch im System, manuell, Anonymisierung, Aktenvernichtung oder Löschung beim Auftragsverarbeiter – passend zum Speicherort.

08

Löschprotokoll

Der Nachweis, dass gelöscht wurde: Datum, Löschklasse, Umfang, System, wer. Ohne neue überflüssige personenbezogene Daten zu erzeugen.

Die Vorlage

Was in der Excel-Vorlage steckt

Die Vorlage hat vier Blätter. Das Hauptblatt enthält eine Zeile je Löschklasse mit diesen zwölf Spalten, sieben ausgefüllten Beispielzeilen und 150 leeren Zeilen mit Dropdowns.

Tabelle seitlich scrollen →

Was in der Excel-Vorlage steckt
SpalteWas hinein gehörtBeispiel
LöschklasseKennung der KlasseLK-01
DatenartWelche Daten genauBuchungsbelege: Rechnungen, Kontoauszüge
System / AblageortWo die Daten liegenBuchhaltungssoftware, DMS
ZweckWofür die Daten verarbeitet werdenHandels- und steuerrechtliche Aufbewahrung
FristAufbewahrungs- oder Löschfrist (Dropdown)8 Jahre
Rechtsgrundlage der FristGesetz, Vertrag oder interne Festlegung§ 257 Abs. 4 HGB; § 147 Abs. 3 AO
Fristbeginn / AuslöserEreignis, ab dem die Frist läuft (Dropdown)Ende des Kalenderjahres der Entstehung
VerantwortlichRolle, die löscht und nachhältLeitung Buchhaltung
LöschmethodeWie gelöscht wird (Dropdown)Manuelle Löschung im System
Nachweis / ProtokollWie die Löschung belegt wirdLöschprotokoll, Jahreslauf Januar
StatusEntwurf, freigegeben, umgesetzt (Dropdown)Freigegeben
BemerkungenAusnahmen, Sperrvermerke, LinksBanken: 10 Jahre

Die vier Blätter

  • Löschkonzept

    Eine Zeile je Löschklasse, Kopfzeile fixiert, Filter aktiv, Erklärung als Kommentar an jeder Spalte.

  • Löschprotokoll

    Datum, Löschklasse, Umfang, System, Methode, durchgeführt und geprüft von – 300 vorbereitete Zeilen.

  • Anleitung

    Erklärung aller Spalten mit Bezug, Hinweise zu Sperrung und Fristbeginn, Stand und Quellen.

  • Listen

    Die Dropdown-Werte für Frist, Auslöser, Methode und Status – frei erweiterbar.

Excel-Vorlage herunterladenDruckversion (PDF)

Löschen, sperren, anonymisieren

Drei Wege, mit Daten am Fristende umzugehen

Nicht immer heißt „Frist abgelaufen“ sofort „löschen“. Diese drei Varianten kommen im Löschkonzept vor:

Löschen

Die Daten werden so entfernt, dass sie nicht mehr wiederhergestellt werden können – im System, in Backups nach deren Rotationszyklus und beim Auftragsverarbeiter. Papier wird vernichtet.

Zweck entfallen, keine Aufbewahrungspflicht (Art. 17 Abs. 1 DSGVO).

Sperren (Einschränkung)

Die Daten bleiben gespeichert, werden aber markiert und aus dem aktiven Zugriff genommen. Sie dürfen nur noch für den Aufbewahrungszweck genutzt werden, etwa für eine Betriebsprüfung.

Gesetzliche Aufbewahrungspflicht besteht noch (Art. 17 Abs. 3 lit. b, Art. 4 Nr. 3, Art. 18 DSGVO; § 35 BDSG).

Anonymisieren

Der Personenbezug wird dauerhaft entfernt, sodass niemand mehr identifiziert werden kann. Echt anonyme Daten fallen nicht mehr unter die DSGVO. Pseudonymisierung reicht dafür nicht.

Daten sollen für Statistik oder Auswertung erhalten bleiben (Erwägungsgrund 26 DSGVO).

Anleitung

Lösch­konzept erstellen in 7 Schritten

So kommen Sie von der leeren Vorlage zu einem Löschkonzept, das gelebt wird. Reihenfolge und Rhythmus sind eine Empfehlung aus der Praxis.

  1. 1Datenarten erfassenNehmen Sie das Verarbeitungsverzeichnis als Grundlage und listen Sie die Datenarten je Verarbeitung. Ergänzen Sie, wo die Daten liegen – inklusive Dateiablagen, E-Mail-Postfächer und Auftragsverarbeiter.
  2. 2Zweck und Frist bestimmenKlären Sie je Datenart, wofür sie gebraucht wird und ob eine gesetzliche Aufbewahrungspflicht besteht. Wo keine besteht, legen Sie eine Frist fest und begründen sie kurz.
  3. 3Löschklassen bildenFassen Sie Datenarten mit gleicher Frist und gleichem Auslöser zusammen. Zehn bis zwanzig Klassen reichen in den meisten Unternehmen.
  4. 4Auslöser und Verantwortliche festlegenBestimmen Sie für jede Klasse, ab welchem Ereignis die Frist läuft und welche Rolle die Löschung veranlasst.
  5. 5Löschmethode je System klärenKann das System automatisch löschen? Wenn nicht: Wer löscht manuell, wann, und wie wird mit Backups und Papier verfahren? Auftragsverarbeiter vertraglich einbinden.
  6. 6Freigeben und kommunizierenLassen Sie das Löschkonzept von der Geschäftsleitung freigeben und informieren Sie die verantwortlichen Stellen. Übernehmen Sie die Fristen ins Verarbeitungsverzeichnis und in die Datenschutzhinweise.
  7. 7Löschen, protokollieren, prüfenFühren Sie fällige Löschungen zu festen Terminen aus – etwa jeden Januar für Jahresend-Fristen – und tragen Sie sie ins Löschprotokoll ein. Einmal im Jahr prüfen Sie das Konzept auf neue Systeme und Gesetzesänderungen.

KI und Löschung

Was KI-Systeme für Ihr Lösch­konzept bedeuten

KI-Tools erzeugen neue Datenarten, die in vielen Löschkonzepten fehlen. Diese Punkte sollten Sie ergänzen (Empfehlung):

Prompts und Verläufe

Chatverläufe mit KI-Assistenten enthalten oft personenbezogene Daten. Legen Sie eine Frist fest und nutzen Sie die Aufbewahrungseinstellungen des Tools. Prüfen Sie im AVV, wie lange der Anbieter Verläufe speichert.

Protokolle von Hochrisiko-KI

Betreiber von Hochrisiko-KI müssen automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren, soweit sie ihrer Kontrolle unterliegen (Art. 26 Abs. 6 KI-VO). Das ist eine Mindestfrist – die Höchstdauer gehört ins Löschkonzept.

Trainings- und Testdaten

Wer eigene Modelle trainiert oder feinjustiert, braucht Regeln, wann Trainingsdaten gelöscht oder anonymisiert werden – und was das für bereits trainierte Modelle bedeutet.

Dateien beim Anbieter

Hochgeladene Dokumente liegen oft zusätzlich beim KI-Anbieter. Nehmen Sie den Anbieter als Speicherort in die Löschklasse auf und verweisen Sie auf die Löschregel im AVV.

Normen

DIN 66398 und ISO/IEC 27555

Für den Aufbau von Löschkonzepten gibt es zwei bekannte Normen: die deutsche DIN 66398, eine Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten, und die internationale ISO/IEC 27555:2021 mit Leitlinien zur Löschung personenbezogener Daten, die auf der DIN 66398 aufbaut.

Beide Normen sind freiwillig. Sie beschreiben unter anderem, wie Löschklassen gebildet, Löschregeln festgelegt und Rollen verteilt werden. Unsere Vorlage greift diese Grundidee auf – Datenarten zu Löschklassen bündeln, je Klasse Frist und Auslöser festlegen –, gibt aber keine Normtexte wieder.

Typische Fehler

Woran Lösch­konzepte in der Praxis scheitern

Noch 10 Jahre für Rechnungen

Viele Vorlagen sind vor 2025 entstanden. Buchungsbelege müssen in der Regel nur noch 8 Jahre aufbewahrt werden – zwei Jahre länger zu speichern heißt zwei Jahre ohne Grund.

Fristbeginn vergessen

Handels- und steuerrechtliche Fristen beginnen mit dem Schluss des Kalenderjahres, nicht mit dem Belegdatum. Eine Rechnung vom März 2026 darf erst ab 1. Januar 2035 vernichtet werden.

Nur das Hauptsystem

Kopien in E-Mail-Postfächern, Exporten, Netzlaufwerken und bei Auftragsverarbeitern bleiben oft liegen. Nehmen Sie alle Speicherorte in die Löschklasse auf.

Konzept ohne Termin

Ein Löschkonzept, das niemand ausführt, ist nur ein Dokument. Ein fester Löschtermin im Jahr und eine verantwortliche Rolle machen den Unterschied.

Protokoll mit zu vielen Daten

Das Löschprotokoll soll belegen, dass gelöscht wurde – nicht die gelöschten Daten konservieren. Namen einzelner Betroffener gehören in der Regel nicht hinein.

Backups ignoriert

Daten in Backups werden meist nicht einzeln gelöscht, sondern mit dem Rotationszyklus überschrieben. Halten Sie diesen Zyklus im Löschkonzept fest und stellen Sie sicher, dass gelöschte Daten bei einer Wiederherstellung nicht wieder genutzt werden.

Mit SimpleAct

Löschfristen und Verarbeitungsverzeichnis an einem Ort

Im DSGVO-Modul von SimpleAct (ab Professional) halten Sie Aufbewahrungsfristen und Löschauslöser je Datenkategorie fest, verknüpft mit dem Verarbeitungsverzeichnis. Die Excel-Vorlage auf dieser Seite ist der Einstieg – wenn mehrere Personen mitarbeiten und Prüftermine nachgehalten werden sollen, übernimmt die Software.

  • Fristen je Datenkategorie
  • Verknüpfung mit dem VVT
  • Erinnerungen an Prüftermine
  • Nachvollziehbare Änderungshistorie

FAQ

Häufige Fragen zum Löschkonzept

Der Begriff steht nicht in der DSGVO. Sie müssen aber die Speicherbegrenzung einhalten (Art. 5 Abs. 1 lit. e), Daten nach Zweckwegfall löschen (Art. 17) und das nachweisen können (Art. 5 Abs. 2). Im Verzeichnis von Verarbeitungstätigkeiten sollen, wenn möglich, die Löschfristen stehen (Art. 30 Abs. 1 lit. f). Ein Löschkonzept ist der praktische Weg, all das belegbar umzusetzen.
Rechnungen sind in der Regel Buchungsbelege und müssen seit 1. Januar 2025 acht Jahre aufbewahrt werden (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO). Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist. Kreditinstitute, Versicherungen und Wertpapierinstitute bewahren Buchungsbelege weiterhin zehn Jahre auf.
Bücher und Aufzeichnungen, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Lageberichte und die zu ihrem Verständnis erforderlichen Arbeitsanweisungen und Organisationsunterlagen (§ 257 Abs. 1 Nr. 1, Abs. 4 HGB; § 147 Abs. 1 Nr. 1, Abs. 3 AO), außerdem bestimmte Zollunterlagen nach § 147 Abs. 1 Nr. 4a AO und Buchungsbelege bei Banken, Versicherungen und Wertpapierinstituten.
Empfangene Handels- oder Geschäftsbriefe und Wiedergaben der abgesandten Briefe sowie sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO). Lohnkonten sind bis zum Ablauf des sechsten Kalenderjahres nach der letzten Lohnzahlung aufzubewahren (§ 41 Abs. 1 Satz 9 EStG).
Die gesetzliche Aufbewahrungspflicht. Art. 17 Abs. 3 lit. b DSGVO nimmt Verarbeitungen aus, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind. Bis zum Fristablauf werden die Daten gesperrt – also markiert, aus dem aktiven Zugriff genommen und nur noch für den Aufbewahrungszweck genutzt – und danach gelöscht.
Für Unterlagen nach HGB und AO mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden, der Brief empfangen oder abgesandt, die letzte Eintragung gemacht oder der Abschluss aufgestellt wurde (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO). Ein Beleg vom 15. März 2026 ist deshalb bis 31. Dezember 2034 aufzubewahren.
Eine gesetzliche Frist gibt es nicht. Nach einer Absage dürfen Sie die Unterlagen so lange aufbewahren, wie Sie sie zur Abwehr möglicher Ansprüche brauchen. Ansprüche nach dem AGG müssen innerhalb von zwei Monaten nach Zugang der Absage schriftlich geltend gemacht werden (§ 15 Abs. 4 AGG), die Klage folgt innerhalb von drei Monaten danach (§ 61b Abs. 1 ArbGG). In der Praxis sind deshalb rund sechs Monate verbreitet. Für einen Talentpool brauchen Sie eine Einwilligung.
Ja, wenn die Anonymisierung echt ist, also niemand mehr identifiziert werden kann. Anonyme Daten sind keine personenbezogenen Daten mehr (Erwägungsgrund 26 DSGVO). Pseudonymisierte Daten bleiben dagegen personenbezogen und fallen weiter unter das Löschkonzept.
Datum der Löschung, Löschklasse oder Datenart, Umfang (z. B. „Belege 2017“), System, Löschmethode und wer gelöscht bzw. geprüft hat. Das Protokoll soll die Löschung belegen, ohne selbst neue überflüssige personenbezogene Daten zu erzeugen – Namen einzelner Betroffener gehören in der Regel nicht hinein.
Die DSGVO nennt keinen Rhythmus; Maßnahmen sind erforderlichenfalls zu überprüfen und zu aktualisieren (Art. 24 Abs. 1 DSGVO). Bewährt hat sich eine Durchsicht einmal im Jahr sowie anlassbezogen bei neuen Systemen, neuen Datenarten und Gesetzesänderungen – wie der Verkürzung der Frist für Buchungsbelege 2025.

Noch Fragen? Wir helfen gerne weiter. E-Mail schreiben · 7 Tage testen (Kreditkarte nötig)

Quellen und Stand

Zuletzt geprüft am · Redaktion SimpleAct

Diese Seite, die Vorlage und der Rechner dienen der Orientierung und ersetzen keine Rechts- oder Steuerberatung. Maßgeblich ist der Gesetzestext. Fristen ohne gesetzliche Grundlage, Vorgehen und Prüfrhythmus sind Empfehlungen.

Änderungen an dieser Seite

  • 4. Oktober 2026 – Neu aufgebaut: kostenlose Excel-Vorlage mit Löschprotokoll, geprüfte Fristentabelle (10/8/6 Jahre), Fristenrechner, Anleitung, KI-Abschnitt.
  • 26. September 2026 – PDF-Vorlage ergänzt.
  • 14. Juni 2026 – Erste Fassung.

Weiterführend

Löschfristen, die nicht in Vergessenheit geraten

SimpleAct verbindet Löschfristen, Verarbeitungsverzeichnis und Prüftermine – damit Ihr Löschkonzept nicht nur auf dem Papier steht.

Demo buchen7 Tage testen (Kreditkarte nötig)