Aufbewahrungspflichten: Was Betriebe wie lange aufbewahren müssen

Warum Aufbewahren und Löschen zusammengehören

Die meisten Inhaber kennen die Faustregel, dass man Steuerunterlagen zehn Jahre aufheben muss. Daraus wird im Alltag oft: Wir heben alles auf, so lange es geht. Das fühlt sich sicher an, ist es aber nicht. Wer alles aufbewahrt, findet im Ernstfall wenig, zahlt für Platz und Speicher und verstößt beim Umgang mit personenbezogenen Daten womöglich gegen den Datenschutz.

Daraus folgt die Leitfrage dieser Einordnung: Was muss ein kleiner Betrieb wie lange aufbewahren, und wie organisiert er Aufbewahren und Löschen so, dass beides mit wenig Aufwand gelingt? Dafür klären wir zuerst die Begriffe und die Fristen nach dem Stand im November 2026. Danach stellen wir ein Denkmodell vor, das Aufbewahrungs- und Löschpflichten verbindet, gehen auf elektronische Unterlagen ein, wägen zwei Sichtweisen ab und beschreiben einen Aufbewahrungsplan auf einer Seite.

Begriffe: Aufbewahrungspflicht, Frist, Fristbeginn

Eine Aufbewahrungspflicht verlangt, bestimmte Unterlagen für eine festgelegte Zeit vollständig, geordnet und lesbar aufzubewahren. Für Betriebe ergeben sich die wichtigsten aus dem Handelsrecht (§ 257 HGB) und dem Steuerrecht (§ 147 AO), für Rechnungen zusätzlich aus dem Umsatzsteuergesetz (§ 14b UStG). Die Aufbewahrungsfrist ist die Mindestdauer. Ein Handels- oder Geschäftsbrief ist jede Unterlage, die ein Geschäft vorbereitet, abschließt oder rückgängig macht, etwa ein Angebot, eine Auftragsbestätigung oder ein Vertrag, gleich ob auf Papier oder per E-Mail.

Wichtig ist der Fristbeginn. Die Frist läuft nicht ab dem Datum auf der Unterlage, sondern ab dem Ende des Kalenderjahres, in dem sie entstanden ist oder die letzte Eintragung erfolgte. Eine Rechnung vom 15. März 2018 muss deshalb acht Jahre ab dem 31. Dezember 2018 aufbewahrt werden, also bis zum 31. Dezember 2026. Sie darf ab dem 1. Januar 2027 vernichtet werden. Die Frist verlängert sich, solange die Unterlage für eine Steuerfestsetzung noch von Bedeutung ist, etwa während einer begonnenen Außenprüfung, bei vorläufigen Bescheiden oder in laufenden Rechtsbehelfs-, Straf- oder Bußgeldverfahren (§ 147 Abs. 3 AO).

Die Fristen im Überblick: zehn, acht und sechs Jahre

Mit dem Vierten Bürokratieentlastungsgesetz wurde die Frist für Buchungsbelege von zehn auf acht Jahre verkürzt. Sie gilt seit dem 1. Januar 2025 für alle Belege, deren Frist zu diesem Zeitpunkt noch nicht abgelaufen war. Damit gibt es drei steuer- und handelsrechtliche Fristen. Hinzu kommen kürzere Fristen aus dem Arbeitsrecht und Hinweise für Personalunterlagen.

Für Verträge lohnt ein zweiter Blick. Die steuerliche Frist läuft ab dem Ende des Jahres, in dem der Brief verschickt wurde. Ansprüche aus dem Vertrag können aber länger bestehen, etwa bei Gewährleistung oder einer Verjährung, die erst später beginnt. Viele Betriebe heben Verträge deshalb bis einige Jahre nach Vertragsende auf. Das ist keine gesetzliche Pflicht, sondern eine Vorsorge für den Beweis.

Das Denkmodell: zwei Uhren für jede Unterlage

Für jede Unterlage laufen zwei Uhren, die in entgegengesetzte Richtungen zeigen. Die erste ist die Aufbewahrungsuhr aus Handels- und Steuerrecht. Sie sagt: nicht vor. Vor ihrem Ablauf darf eine Unterlage nicht vernichtet werden. Die zweite ist die Löschuhr aus dem Datenschutz. Nach dem Grundsatz der Speicherbegrenzung in Art. 5 Abs. 1 lit. e DSGVO dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für ihren Zweck nötig ist. Sie sagt: nicht nach.

Beide Uhren werden durch eine Regel verbunden. Solange eine gesetzliche Aufbewahrungspflicht besteht, schließt sie den Anspruch auf Löschung aus (Art. 17 Abs. 3 lit. b DSGVO). Ist sie abgelaufen und gibt es keinen anderen Zweck, beginnt die Löschpflicht. Das Bild einer Parkuhr hilft: Vor Ablauf der Mindestzeit darf man nicht wegfahren, nach Ablauf der Höchstparkdauer darf man nicht stehen bleiben. Ein Betrieb, der alles behält, parkt dauerhaft im Halteverbot.

Elektronische Unterlagen, E-Rechnung und GoBD

Die GoBD, die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form, legen fest, wie digitale Unterlagen aufzubewahren sind. Der Kern: Was elektronisch entstanden oder eingegangen ist, wird elektronisch aufbewahrt, vollständig, unveränderbar und für die gesamte Frist lesbar. Ein Ausdruck einer E-Mail mit Rechnung genügt nicht, wenn die Rechnung elektronisch kam. Papierbelege dürfen eingescannt und danach vernichtet werden, wenn das Verfahren beschrieben ist und das Bild mit dem Original übereinstimmt.

Für die E-Rechnung, die seit 2025 jeder Betrieb empfangen können muss, hat das Bundesfinanzministerium die GoBD mit Schreiben vom 14. Juli 2025 angepasst. Aufzubewahren ist der strukturierte Datensatz. Bei gemischten Formaten wie ZUGFeRD muss die menschenlesbare Bilddatei nach Berichten von Fachstellen nur zusätzlich aufbewahrt werden, wenn sie weitere steuerlich wichtige Angaben enthält. Wie die Umstellung insgesamt gelingt, beschreibt der Beitrag E-Rechnungspflicht.

• Unveränderbar: Ablage in einem System, das Änderungen protokolliert oder ausschließt, nicht in einem frei bearbeitbaren Ordner.
• Lesbar: Auch nach einem Softwarewechsel müssen alte Daten lesbar sein. Vor dem Abschalten eines Programms werden die Daten in lesbarer Form gesichert.
• Im Inland: Unterlagen sind grundsätzlich in Deutschland aufzubewahren. Eine elektronische Aufbewahrung in einem anderen EU-Staat ist unter Bedingungen möglich (§ 146 Abs. 2 AO).
• Gesichert: Eine Sicherung, die nur am selben Ort liegt, schützt nicht vor Brand oder Verschlüsselung durch Schadsoftware.

Gerade der Softwarewechsel wird unterschätzt. Wer ein Werkzeug abschaltet, wie es der Leitfaden zum Werkzeug-Wildwuchs empfiehlt, muss vorher klären, welche Daten aufbewahrt werden müssen. Wie eine Ordnerstruktur aussieht, in der man sie nach Jahren noch findet, zeigt der Beitrag Digitale Ablage.

Alles aufheben oder gezielt löschen? Zwei Sichtweisen

Die erste Sichtweise sagt: Lieber zu viel als zu wenig. Ein fehlender Beleg kann bei einer Prüfung teuer werden, weil das Finanzamt dann schätzen darf. Ein Brief aus dem Jahr 2015 kann in einem Streit der entscheidende Beweis sein. Speicher ist billig, also wird nichts gelöscht.

Die zweite Sichtweise sagt: Wer alles behält, verliert die Übersicht und schafft neue Risiken. Unbegrenzt gespeicherte Bewerbungen, Kundendaten und Mitarbeiterunterlagen verstoßen gegen die Speicherbegrenzung. Jede zusätzliche Datei ist bei einem Datenleck eine mehr, die betroffen ist. Und in einer Ablage, die nie bereinigt wird, ist der eine Beleg, den der Prüfer sehen will, schwer zu finden.

Wie verbreitet die Unsicherheit ist, zeigt eine Befragung von Mladinić, Vukić und Rončević (2023) unter 345 kleinen und mittleren Unternehmen in Kroatien. Auch mehr als vier Jahre nach Geltungsbeginn der DSGVO verstanden viele Betriebe ihre Pflichten nur unzureichend, und die Umsetzung war nach den Autoren nicht zufriedenstellend. Kleinen Betrieben fehlen dafür oft Personal und Geld. Die Studie betrifft ein Land und beruht auf Selbstauskunft, die Richtung dürfte aber übertragbar sein.

Ich halte die zweite Sichtweise für tragfähiger, mit dem berechtigten Kern der ersten. Was eine Aufbewahrungspflicht hat, bleibt bis zum Ende der Frist, und wer einen Beweisgrund hat, darf ihn begründet länger halten. Alles andere wird nach einem festen Plan gelöscht. Der Unterschied zwischen beiden Haltungen liegt nicht in der Vorsicht, sondern darin, ob die Vorsicht aufgeschrieben ist.

Der Aufbewahrungsplan auf einer Seite

Das Werkzeug für die Praxis ist eine Tabelle, die hier Aufbewahrungsplan heißt. Sie ordnet jeder Art von Unterlage zwei Daten und einen Ort zu und ist die Verbindung von Ablage, Dokumentenlenkung und Datenschutz. Der Beitrag Dokumente lenken unterscheidet Vorgaben, die gelenkt werden, von Nachweisen, die nur sicher aufbewahrt werden. Der Aufbewahrungsplan betrifft vor allem die Nachweise.

1. Unterlagenarten sammeln

   Gehe die Ablage und die wichtigsten Programme durch und notiere, welche Arten von Unterlagen dort liegen. Zehn bis zwanzig Arten genügen für die meisten kleinen Betriebe.

2. Fristen zuordnen

   Ordne jeder Art die Mindestfrist zu und markiere, ob sie personenbezogene Daten enthält. Unklare Fälle klärst du mit der Steuerberatung.

3. Ort und Verantwortliche festlegen

   Jede Art hat genau einen Ort und eine verantwortliche Person, wie in der Ablage-Satzung aus dem Beitrag zur digitalen Ablage.

4. Einen jährlichen Löschtag festsetzen

   Einmal im Jahr, etwa im Januar, wird gelöscht und vernichtet, was abgelaufen ist, nach Prüfung auf laufende Verfahren. Der Termin gehört in den Pflichtenkalender.

Der jährliche Löschtag ist der Teil, der am häufigsten fehlt. Er passt in den Pflichtenkalender, den der Beitrag Bürokratie im Mittelstand als Mittel gegen selbst erzeugten Aufwand beschreibt. Für Kundendaten im Vertrieb beschreibt der Beitrag Datenschutz im Vertrieb, welche Regeln zusätzlich gelten.

Fazit: Was muss wie lange aufbewahrt werden?

Ausgangspunkt war die Frage, was ein kleiner Betrieb wie lange aufbewahren muss und wie er Aufbewahren und Löschen organisiert. Für Steuer und Handelsrecht gelten im November 2026 drei Fristen: zehn Jahre für Bücher und Jahresabschlüsse, acht Jahre für Buchungsbelege, sechs Jahre für Geschäftsbriefe. Die Frist beginnt mit dem Ende des Jahres, in dem die Unterlage entstand, und verlängert sich bei laufenden Prüfungen und Verfahren. Elektronische Unterlagen bleiben elektronisch, bei E-Rechnungen zählt der Datensatz.

Wie das Zwei-Uhren-Modell zeigt, ist Aufbewahren nur die halbe Pflicht. Für personenbezogene Daten gilt zugleich eine Höchstdauer, und wer alles behält, tauscht ein Risiko gegen ein anderes. Ein Aufbewahrungsplan mit Ort, Frist und Verantwortlichem und ein fester Löschtag machen aus beiden Pflichten eine Routine. Die nüchterne Feststellung lautet: Ein Betrieb ist nicht dann ordentlich, wenn er alles hat, sondern wenn er weiß, warum er etwas noch hat.

Der nächste Schritt

• Liste die zehn häufigsten Arten von Unterlagen in deinem Betrieb auf.
• Trage für jede Art Mindestfrist, Ort und verantwortliche Person ein.
• Markiere die Arten mit personenbezogenen Daten und lege für sie ein Löschdatum fest.
• Prüfe, ob E-Rechnungen im Originalformat und unveränderbar abgelegt werden.
• Setze einen jährlichen Löschtag in den Kalender und kläre offene Fragen mit deiner Steuerberatung.