Kurz beantwortet
Wie lange darf ich Kundendaten speichern?
Eine feste Frist gibt es nicht: Du löschst Kundendaten, sobald der Zweck erledigt ist (Art. 5 Abs. 1 lit. e DSGVO), behältst aber alles, was unter die handels- und steuerrechtlichen Aufbewahrungsfristen von sechs bis zehn Jahren fällt (§ 257 HGB, § 147 AO).
Ausführlich
Die längere Antwort
Die DSGVO nennt keine Zahl. Sie nennt ein Prinzip: Kundendaten speichern darfst du nur so lange, wie es für den Zweck erforderlich ist, für den du sie erhoben hast (Art. 5 Abs. 1 lit. e DSGVO). Fällt der Zweck weg, entsteht eine Löschpflicht (Art. 17 Abs. 1 lit. a DSGVO). Die Frage ist deshalb nie „wie lange darf ich“, sondern „wofür brauche ich diesen Datensatz noch“. Ein gekündigter Vertrag von 2014 ist kein Zweck. Eine noch offene Beratungshaftung schon.
Dagegen steht die Aufbewahrungspflicht. Art. 17 Abs. 3 lit. b DSGVO stellt klar: Wo ein Gesetz Aufbewahrung verlangt, wird nicht gelöscht. Die Fristen dafür stehen in § 257 HGB und § 147 AO und sind gestaffelt: Geschäftskorrespondenz sechs Jahre, Buchungsbelege und Rechnungen acht Jahre (seit 2025, vorher zehn), Handelsbücher und Jahresabschlüsse zehn Jahre. Dazu kommt die Beratungsdokumentation, die § 61 Abs. 1 VVG von dir verlangt. Die hebst du sinnvollerweise auf, bis Ansprüche verjährt sind: Die Regelverjährung beträgt drei Jahre (§ 195 BGB), kenntnisunabhängig endet sie aber erst zehn Jahre nach Entstehung des Anspruchs (§ 199 Abs. 3 BGB).
Werbedaten laufen nach einer anderen Uhr. Widerspricht ein Kunde der Nutzung seiner Daten für Werbung, ist damit sofort Schluss – ohne Begründung, ohne Frist, ohne Abwägung (Art. 21 Abs. 2 DSGVO). Seine Rechnungen bleiben trotzdem in der Buchhaltung. Genau daran scheitern viele in der Praxis: Sie löschen entweder gar nichts oder alles auf einmal. Richtig ist, den Datensatz zu trennen. In einer Empfehlungsanfrage darf dieser Kunde nie wieder auftauchen, in der Steuerakte bleibt er.
Praktisch heißt das: Schreib einmal auf, welche Daten in welchem Topf liegen und wann sie raus müssen. Dieses Löschkonzept ist keine Kür. Ohne ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) kannst du eine Auskunft nach Art. 15 DSGVO gar nicht sauber beantworten, und die kommt irgendwann. Wer dann in vier Ordnern, zwei Tabellen und einem alten Mailpostfach suchen muss, verliert einen Arbeitstag und liefert trotzdem unvollständig.
- Pflichtakte: Verträge, Rechnungen, Belege, Beratungsdokumentation – sechs bis zehn Jahre, unabhängig davon, was der Kunde möchte.
- Laufende Beziehung: Adresse, Telefonnummer, Vertragsstand – solange das Mandat läuft, danach nur noch das, was zur Pflichtakte gehört.
- Werbung und Empfehlung: Einwilligung, Kanal, letzter Kontakt, Zufriedenheit – endet mit dem Widerspruch, sofort und dauerhaft.
- Sperrliste: der kleinstmögliche Datensatz, mit dem du sicherstellst, dass ein Widerspruch auch nach dem nächsten Import noch wirkt.
Grundlage
Worauf sich das stützt
Art. 5 Abs. 1 lit. e und Art. 17 DSGVO (Speicherbegrenzung und Löschung), Art. 21 Abs. 2 DSGVO (Widerspruch gegen Werbung), Art. 15 und Art. 30 DSGVO (Auskunft und Verarbeitungsverzeichnis), § 257 HGB und § 147 AO (Aufbewahrungsfristen), § 61 Abs. 1 VVG (Beratungsdokumentation) sowie § 195 und § 199 BGB (Verjährung). Ob eine bestimmte Unterlage in deinem Bestand unter eine Aufbewahrungspflicht fällt, beurteilt im Einzelfall ein Anwalt.
Zuletzt geprüft am 09. September 2026.
Passt dazu
Aus einer Antwort wird noch kein Termin.
Bestandsgold macht aus zufriedenen Kunden Empfehlungen – mit Vorschlägen, die du in dreißig Sekunden freigibst.