Kurz gesagt: Archivieren bleibt Pflicht, revisionssicher und vollständig. Aufbewahrungsfristen sind aber Untergrenzen, keine Obergrenzen. Zum 1. Januar 2027 läuft ein ganzer Jahrgang ab — und was danach noch personenbezogen im Bestand liegt, ist nicht Sorgfalt, sondern ein offenes Risiko.
Zwei Tage im Dezember, an denen bei uns nichts Neues entsteht
In der zweiten Dezemberhälfte stehen in unserem Kalender zwei Tage, an denen niemand Features baut und niemand Angebote schreibt. Wir räumen das eigene Haus auf.
Auf der Liste stehen jedes Jahr dieselben Posten: Bewerbungsunterlagen aus abgeschlossenen Verfahren, Angebotsmappen für Interessenten, die nie Kunde wurden, Support-Anhänge mit echten Dokumenten aus Testinstallationen. Dazu die Buchhaltung, bei der die Frist durch ist.
Das erste Mal haben wir das Ende 2022 gemacht. Es dauerte eine ganze Woche — nicht weil es viel zu löschen gab, sondern weil niemand sagen konnte, ab welchem Ereignis eine Frist eigentlich zu laufen beginnt.
Heute sind es zwei Tage. Der Unterschied liegt nicht in der Software.
Das Urteil vom 9. Juni, das ich seither in fast jedem Erstgespräch zitiere
Am 9. Juni 2026 hat das Landgericht Berlin I das DSGVO-Bußgeld gegen die Deutsche Wohnen SE von 14,5 Millionen auf 900.000 Euro reduziert, Aktenzeichen 526 OWi LG 1/20. Die Pressemitteilung des Gerichts ist zwei Seiten lang und lohnt sich.
Die Schlagzeile war die Kürzung. Mich interessiert der Vorwurf, der stehen geblieben ist: Das Unternehmen hatte nach Inkrafttreten der DSGVO nicht rechtzeitig die erforderlichen Änderungen im IT-System vorgenommen, deshalb war die fristgemäße Löschung der Daten ehemaliger Mieter nicht gewährleistet.
In den Beständen lagen Gehaltsnachweise, Kontoauszüge und Ausweiskopien. Auch von Interessenten, die die Wohnung am Ende nie bekommen haben.
Als Softwareanbieter nehme ich daraus einen Satz mit: Ein Löschkonzept auf Papier hat nicht gereicht. Es musste im System angekommen sein.
Zwischen „wir haben ein Löschkonzept" und „das System löscht" liegen in den meisten Unternehmen zwei Jahre und ein Projekt, das niemand eingeplant hat.
Bei unseren Kunden aus der Immobilienverwaltung sind Mieterakten regelmäßig der dickste Bestand überhaupt — und der mit den sensibelsten Anlagen. Wer dort nie eine Löschregel definiert hat, sammelt Selbstauskünfte von Menschen, mit denen er nie einen Vertrag geschlossen hat.
Was zum 1. Januar 2027 tatsächlich weg darf
Die Fristen laufen nicht ab Belegdatum, sondern ab dem Ende des Kalenderjahres, in dem die letzte Eintragung erfolgt ist. Das ist die Stelle, an der sich die meisten um ein Jahr verrechnen.
Seit dem Bürokratieentlastungsgesetz IV sind Buchungsbelege acht statt zehn Jahre aufzubewahren. 2027 ist erst das zweite Jahr, in dem sich die Verkürzung bemerkbar macht.
Drei Fristen, ein Stichtag
| Unterlagenart | Frist | Letzter Jahrgang, der ab 1.1.2027 weg darf |
|---|---|---|
| Buchungsbelege: Rechnungen, Kontoauszüge, Lohnlisten | 8 Jahre | 2018 |
| Handels- und Geschäftsbriefe, Mails mit Vertragsbezug | 6 Jahre | 2020 |
| Jahresabschlüsse, Inventare, Organisationsunterlagen | 10 Jahre | 2016 |
Die Grundlagen stehen in § 147 AO und § 257 HGB. Das ist die Theorie des Schredders. In der Praxis bleibt er an sechs Stellen stehen.
Die Ausnahmen, an denen der Schredder stehen bleibt
- Angekündigte oder laufende Betriebsprüfung. Solange Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch offen ist, läuft die Aufbewahrungsfrist nicht ab. Ein einziger Prüfungsbescheid im Posteingang kann den gesamten Löschlauf um Jahre verschieben.
- Vorläufige Festsetzung, offener Einspruch, laufende Klage. Dasselbe Prinzip, nur dass es seltener auffällt, weil der Vorgang beim Steuerberater liegt und nicht in der eigenen Ablage.
- Bauwerke und Gewährleistung. Abnahmeprotokolle, Statik, Prüfberichte: zivilrechtlich sind fünf Jahre ab Abnahme nach § 634a BGB die relevante Größe, und die beginnt oft Jahre nach dem Buchungsbeleg.
- Produkthaftung. Zehn Jahre ab Inverkehrbringen. Wer in der Fertigung Chargennachweise und Prüfprotokolle führt, braucht dafür eine eigene Löschklasse — nicht die steuerliche.
- Verträge mit Nachwirkung. Arbeitsverträge, Mietverträge, Versorgungszusagen. Der Startzeitpunkt ist das Ende der Wirkung, nicht die Unterschrift. Versorgungszusagen überleben in der Praxis jeden Schredder.
- Entgeltunterlagen. Die folgen der Beitragsverfahrensverordnung und ab 1. Januar 2027 zwingend elektronisch. Was dahinter steckt, haben wir im Beitrag zum Personalordner mit Ablaufdatum aufgeschrieben.
Wer Papier vor dem Löschlauf noch digitalisiert, sollte das Verfahren vorher aufschreiben statt hinterher — die Fallen dabei stehen im Beitrag zum ersetzenden Scannen.
Die Norm, auf die sich halbe Branche beruft, gibt es nicht mehr
DIN 66398, die „Leitlinie zur Entwicklung eines Löschkonzepts", erschien 2016 und ist in Deutschland zur Standardreferenz geworden. Im September 2025 wurde sie formal zurückgezogen und durch DIN EN ISO/IEC 27555 abgelöst. Das Verfahren dahinter ist identisch geblieben.
Trotzdem bekomme ich bis heute Löschkonzept-Vorlagen auf den Tisch, deren Deckblatt stolz „nach DIN 66398" sagt. Inhaltlich kein Beinbruch. Aber ein verlässlicher Hinweis darauf, dass das Dokument aus einer Mustersammlung stammt und nie an die eigenen Prozesse angepasst wurde.
Ein Löschkonzept, das für jedes Unternehmen gleich aussieht, löscht in keinem.
Der Kern der Norm ist unspektakulär: Sie trennt den Startzeitpunkt vom Zeitraum. Erst wenn Sie sagen können, welches Ereignis die Uhr startet, wird die Frist überhaupt berechenbar. „Zehn Jahre" ist keine Regel, „zehn Jahre ab Ende des Geschäftsjahres der letzten Buchung" ist eine.
Was bei uns pro Dokumentart im Feld steht
- der Startzeitpunkt als Ereignis, nicht als Datum: „Ende des Beschäftigungsverhältnisses", „letzte Eintragung", „Abnahme"
- die Regelfrist in Jahren
- die Rechtsgrundlage in einer Zeile, damit beim nächsten Durchlauf niemand neu recherchiert
- die Rolle, die löschen darf
Mehr ist es nicht. Vier Angaben, bei uns für 58 Dokumentarten, gepflegt in einer Tabelle, die ein Mensch in zwei Stunden lesen kann. Die Grundbegriffe dazu haben wir auch im Glossar und auf der Seite zum Akten archivieren erklärt.
Backups: der Ort, an dem Gelöschtes zurückkommt
Der Europäische Datenschutzausschuss hat am 18. Februar 2026 seinen Bericht zur Umsetzung des Löschrechts vorgelegt, ausgewertet wurden Antworten von 764 Verantwortlichen. Zwei Problemfelder zogen sich durch alle Branchen: die Bestimmung der Fristen und das Löschen in Backups.
Die Entwarnung zuerst: Aus Backups müssen Daten nicht zwingend herausoperiert werden, wenn das die Integrität und die Wiederherstellbarkeit gefährdet. Die Pflicht dahinter: Es muss ein Verfahren geben, das Löschungen nach einem Restore nachzieht.
Der Bayerische Landesbeauftragte für den Datenschutz hat das schon in seinem 30. Tätigkeitsbericht sauber formuliert — die Löschfrequenz im Backup richtet sich nach dem Schutzbedarf der Daten und gehört ins Datensicherungskonzept.
Im Audit kommt nicht die Frage „löschen Sie im Backup". Es kommt die Frage, was mit Ihren Löschungen passiert, wenn Sie am Montag ein Band zurückspielen.
Das Beweisstück ist das Protokoll, nicht die Datei
Unsere Antwort darauf ist unglamourös: Das Protokoll des Löschlaufs wird aufbewahrt — das Protokoll, nicht die Daten — und nach jedem Restore läuft die Liste einmal gegen den wiederhergestellten Stand. Das kostet zwanzig Minuten und ist der einzige Teil des Konzepts, den wir seit dem ersten Durchlauf nie geändert haben.
Was ein DMS abnimmt — und was es nicht entscheiden kann
Technisch braucht es wenig. Dieses Wenige muss aber da sein:
- ein Metadatenfeld, das den Startzeitpunkt pro Akte festhält
- eine Wiedervorlage, die daraus zum Jahresende eine Liste macht
- Rechte, die das endgültige Löschen auf eine Rolle beschränken
- einen Audit-Trail, der die Löschung selbst nachweisbar macht
Mehr steckt in unseren Funktionen auch nicht hinter dem Thema, und mehr braucht es nicht.
Was kein System für Sie entscheidet: ob ein Lieferschein ein Buchungsbeleg ist, ob eine Prüfung die Frist hemmt, ob ein Vertrag nachwirkt. Diese Zuordnung trifft ein Mensch, einmal pro Dokumentart, und schreibt sie auf. Ab dann ist es Mechanik.
Ein Nebeneffekt, über den 2026 öfter gesprochen wird: Löschen senkt die Speicherrechnung, und die steigt gerade spürbar — nachzulesen in unserem Beitrag zur Speicherkrise. Ich halte das trotzdem für das schwächere Argument. Das stärkere ist banaler: Daten, die weg sind, können nicht geleakt werden, nicht falsch ausgewertet werden und nicht in einem Auskunftsersuchen auftauchen.
Fazit: ein Termin, kein Projekt
Die Pflicht zur Aufbewahrung und die Pflicht zur Löschung sind kein Widerspruch. Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung, Art. 17 Abs. 3 lit. b nimmt gesetzliche Aufbewahrungspflichten davon aus. Beides gilt gleichzeitig, nur für unterschiedliche Zeiträume.
Was fehlt, ist meistens nicht das Wissen, sondern der Termin. Ein Löschlauf, der einmal im Jahr stattfindet, dokumentiert ist und nach Regel läuft statt nach Gefühl, ist in einer Prüfung mehr wert als das schönste Konzept im Qualitätsmanagement-Ordner.
Setzen Sie sich den Tag für Mitte Dezember in den Kalender. Wenn Sie vorher wissen wollen, welche Fristen in Ihrer Ablage überhaupt laufen und wie sich das abbilden lässt: Schreiben Sie uns, wir gehen das im Gespräch einmal durch.
