Löschkonzept-Prüfer – Aufbewahrungsfristen 2026

Bis zu €20.000.000 Bußgeld riskiert ein Unternehmen, das personenbezogene Daten länger speichert als nötig — und genau das steht in vielen deutschen Löschkonzepten, die Datenschutzbeauftragte und Buchhaltungen vor 2025 geschrieben haben. Die mitgelieferte Beispiel-Vorlage (Stand 2023) liefert im Löschkonzept-Prüfer 18 Befunde.

Der Grund ist eine Gesetzesänderung, die leicht zu übersehen war. Seit 01.01.2025 (BEG IV) gelten für Buchungsbelege und Rechnungen acht statt zehn Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB, § 14b Abs. 1 UStG). Bücher, Inventare und Jahresabschlüsse bleiben bei zehn Jahren, Handels- und Geschäftsbriefe bei sechs. § 147 Abs. 3 AO nennt heute drei Fristen nebeneinander: zehn, acht und sechs Jahre. Für Kreditinstitute, Versicherer und Wertpapierinstitute bleiben es bei Buchungsbelegen zehn Jahre (§ 257 Abs. 4 S. 2 HGB).

Warum ist das ein Datenschutzproblem? Buchungsbelege, Rechnungen und Lohnkonten enthalten Namen, Adressen, IBAN und Gehälter. Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Ist die gesetzliche Aufbewahrungspflicht abgelaufen, fällt der Grund weg. Verstöße gegen die Grundsätze aus Art. 5 fallen unter Art. 83 Abs. 5 lit. a DSGVO: bis zu €20.000.000 Bußgeld oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. a DSGVO).

Die Beispiel-Vorlage zeigt, wie sich die Fehler verteilen. Sechs Zeilen tragen eine falsche Frist oder gar keine: Buchungsbelege 10 statt 8 Jahre, Rechnungen 10 statt 8 Jahre, Geschäftsbriefe 10 statt 6 Jahre, Lohnkonten 10 statt 6 Jahre, Jahresabschlüsse 6 statt 10 Jahre, Newsletter-Daten unbegrenzt. Hinzu kommen Zollanmeldungen und Verfahrensdokumentation mit sechs statt zehn Jahren, Lieferscheine mit einer Jahresfrist, obwohl die Frist bei Lieferscheinen ohne Belegfunktion mit Erhalt oder Versand der Rechnung endet (§ 147 Abs. 3 S. 3 und 4 AO), und Bewerbungsunterlagen, die sofort nach der Absage gelöscht werden.

Das letzte Beispiel zeigt, dass zu kurz ebenso falsch sein kann wie zu lang. Nach § 15 Abs. 4 AGG kann ein abgelehnter Bewerber zwei Monate nach Zugang der Absage einen Anspruch geltend machen. Art. 17 Abs. 3 lit. e DSGVO erlaubt die Speicherung zur Verteidigung von Rechtsansprüchen. Wer sofort löscht, hat im Streitfall nichts in der Hand.

Der Löschkonzept-Prüfer arbeitet in VS Code und im Browser. Er liest die Markdown-Tabelle Zeile für Zeile, erkennt die Kategorie an üblichen Begriffen und vergleicht die erste Jahresangabe mit der gesetzlichen Frist. Jede Meldung nennt die Norm. Dazu kommen Prüfungen für das ganze Dokument: Steht der Fristbeginn drin (Schluss des Kalenderjahres, § 147 Abs. 4 AO)? Steht drin, dass nicht gelöscht wird, solange die Festsetzungsfrist läuft (§ 147 Abs. 3 S. 5 AO)? Hat jede Zeile mit Frist eine Rechtsgrundlage? Insgesamt sind es 16 Regeln.

Die mitgelieferte saubere Fassung (Stand 2026) liefert null Befunde. Wer seine eigene Tabelle einfügt, sieht sofort, welche Zeilen noch auf dem Stand von 2023 sind.

Kostenlos ist die Prüfung jeder einzelnen Datei mit allen 16 Regeln, ohne Key. Die Vollversion schreibt einen Ordner-Prüfbericht über alle Löschkonzepte eines Workspace als Datei — als Nachweis nach Art. 5 Abs. 2 DSGVO, wenn Auditoren oder Aufsichtsbehörde fragen.

Zum Vergleich: Steuerberater nach § 13 StBVV: Zeitgebühr €16,50 bis €41 je angefangene Viertelstunde. Das Werkzeug ersetzt keine Rechtsberatung, aber es findet die Zeilen, über die man reden muss.