Die längere Antwort
Die DSGVO nennt keine Zahl. Sie nennt ein Prinzip: Kundendaten speichern darfst du nur so lange, wie es für den Zweck erforderlich ist, für den du sie erhoben hast (Art. 5 Abs. 1 lit. e DSGVO). Fällt der Zweck weg, entsteht eine Löschpflicht (Art. 17 Abs. 1 lit. a DSGVO). Frag dich deshalb: Wofür brauche ich diesen Datensatz noch? Ein gekündigter Vertrag von 2014 ist kein Zweck. Eine noch offene Beratungshaftung schon.
Dagegen steht die Aufbewahrungspflicht. Art. 17 Abs. 3 lit. b DSGVO stellt klar: Wo ein Gesetz Aufbewahrung verlangt, wird nicht gelöscht. Die Fristen dafür stehen in § 257 HGB und § 147 AO und sind gestaffelt: Geschäftskorrespondenz sechs Jahre, Buchungsbelege und Rechnungen acht Jahre (seit 2025, vorher zehn), Handelsbücher und Jahresabschlüsse zehn Jahre. Dazu kommt die Beratungsdokumentation, die § 61 Abs. 1 VVG von dir verlangt. Die hebst du sinnvollerweise auf, bis Ansprüche verjährt sind: Die Regelverjährung beträgt drei Jahre (§ 195 BGB), kenntnisunabhängig endet sie aber erst zehn Jahre nach Entstehung des Anspruchs (§ 199 Abs. 3 BGB).
Werbedaten laufen nach einer anderen Uhr. Widerspricht ein Kunde der Nutzung seiner Daten für Werbung, ist damit sofort Schluss, ohne Begründung, ohne Frist und ohne Abwägung (Art. 21 Abs. 2 DSGVO). Seine Rechnungen bleiben trotzdem in der Buchhaltung. Genau daran scheitern viele in der Praxis: Sie löschen entweder gar nichts oder alles auf einmal. Richtig ist, den Datensatz zu trennen. In einer Empfehlungsanfrage darf dieser Kunde nie wieder auftauchen, in der Steuerakte bleibt er.
Praktisch heißt das: Schreib einmal auf, welche Daten in welchem Topf liegen und wann sie raus müssen. Dieses Löschkonzept brauchst du ohnehin. Ohne ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) kannst du eine Auskunft nach Art. 15 DSGVO gar nicht sauber beantworten, und die kommt irgendwann. Wer dann in vier Ordnern, zwei Tabellen und einem alten Mailpostfach suchen muss, verliert einen Arbeitstag und liefert trotzdem unvollständig.
- Pflichtakte: Verträge, Rechnungen, Belege, Beratungsdokumentation. Sechs bis zehn Jahre, unabhängig davon, was der Kunde möchte.
- Laufende Beziehung: Adresse, Telefonnummer, Vertragsstand. Solange das Mandat läuft, danach nur noch das, was zur Pflichtakte gehört.
- Werbung und Empfehlung: Einwilligung, Kanal, letzter Kontakt, Zufriedenheit. Endet mit dem Widerspruch, sofort und dauerhaft.
- Sperrliste: der kleinstmögliche Datensatz, mit dem du sicherstellst, dass ein Widerspruch auch nach dem nächsten Import noch wirkt.
Worauf sich das stützt
Art. 5 Abs. 1 lit. e und Art. 17 DSGVO (Speicherbegrenzung und Löschung), Art. 21 Abs. 2 DSGVO (Widerspruch gegen Werbung), Art. 15 und Art. 30 DSGVO (Auskunft und Verarbeitungsverzeichnis), § 257 HGB und § 147 AO (Aufbewahrungsfristen), § 61 Abs. 1 VVG (Beratungsdokumentation) sowie § 195 und § 199 BGB (Verjährung).
Fundstellen
- § 147 AO
- § 195 BGB
- § 199 BGB
- § 257 HGB
- § 61 VVG
- Art. 15 DSGVO
- Art. 17 DSGVO
- Art. 21 DSGVO
- Art. 30 DSGVO
- Art. 5 DSGVO
Die Gesetzestexte stehen beim Bundesministerium der Justiz, die Artikel der Datenschutz-Grundverordnung bei dsgvo-gesetz.de.
- Dieser Beitrag ist keine Rechtsberatung. Für deinen Einzelfall frag deinen Anwalt. ↩