Im Herbst räumen viele Unternehmen ihre Archive auf, bevor das neue Geschäftsjahr beginnt. Dabei hält sich eine Regel hartnäckig, die nicht mehr stimmt: „Rechnungen zehn Jahre aufheben.“ Seit dem 1. Januar 2025 gilt durch das Vierte Bürokratieentlastungsgesetz (BEG IV) für Buchungsbelege eine Frist von acht Jahren. Das betrifft auch Rechnungen. Wer am alten Wert festhält, bewahrt zu lange auf und verstößt damit unter Umständen gegen die DSGVO, weil in Belegen fast immer personenbezogene Daten stecken.
Die Fristen nach BEG IV im Überblick
- 8 Jahre: Buchungsbelege einschließlich Eingangs- und Ausgangsrechnungen (§ 257 Abs. 1 Nr. 4, Abs. 4 HGB, § 147 Abs. 1 Nr. 4, Abs. 3 AO, § 14b Abs. 1 UStG).
- 10 Jahre: Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Lageberichte sowie die zum Verständnis nötigen Arbeitsanweisungen und Organisationsunterlagen.
- 6 Jahre: empfangene und versandte Handels- und Geschäftsbriefe, sonstige steuerlich bedeutsame Unterlagen und das Lohnkonto (§ 41 Abs. 1 S. 9 EStG).
Die verkürzte Frist gilt für alle Unterlagen, deren Aufbewahrungsfrist am 1. Januar 2025 noch nicht abgelaufen war. Für Unternehmen unter BaFin-Aufsicht greift die Änderung ein Jahr später.
Was ab dem 1. Januar 2027 in den Schredder darf
Jede Frist beginnt erst mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist. Daraus ergibt sich zum Jahreswechsel 2026/27 folgende Rechnung:
- Buchungsbelege und Rechnungen aus dem Jahr 2018 und älter
- Handels- und Geschäftsbriefe sowie Lohnkonten aus 2020 und älter
- Bücher und Jahresabschlüsse aus 2016 und älter
Wer es für einzelne Dokumentarten genau wissen will, findet im Aufbewahrungsfristen-Rechner unseres Datenschutz-Portals die Fristen und das jeweils frühestmögliche Vernichtungsjahr für über 90 Unterlagenarten.
Drei Ausnahmen, die Sie vor dem Vernichten prüfen sollten
Offene Steuerverfahren. Nach § 147 Abs. 3 AO läuft die Frist nicht ab, solange die Unterlagen für Steuern relevant sind, deren Festsetzungsfrist noch nicht abgelaufen ist. Eine laufende Betriebsprüfung, ein Einspruch oder eine Ablaufhemmung stoppt die Vernichtung.
Belege mit Buchfunktion. Wer eine Offene-Posten-Buchhaltung führt, nutzt die Rechnungen selbst als Buch. Dann gilt für sie die Zehn-Jahres-Frist.
Laufende Rechtsstreitigkeiten. Unterlagen, die Sie als Beweismittel brauchen, bewahren Sie bis zum Abschluss des Verfahrens auf. Das ist dann eine eigene Rechtsgrundlage, die Sie dokumentieren sollten.
Aus dem Fristablauf wird eine Löschpflicht
Solange eine gesetzliche Aufbewahrungspflicht läuft, rechtfertigt sie die Speicherung (Art. 17 Abs. 3 lit. b DSGVO). Endet sie und gibt es keinen anderen Grund, müssen personenbezogene Daten gelöscht werden. Das gilt nicht nur für den Papierordner im Keller, sondern auch für das ERP-System, das E-Mail-Archiv, den DMS-Bestand und die Backups. Gerade digitale Archive löschen selten von allein.
Praktisch heißt das: Legen Sie den Jahreswechsel als festen Löschtermin fest, passen Sie die Fristen in Ihren Systemen auf acht Jahre an und halten Sie die Vernichtung kurz schriftlich fest. Wie man daraus ein dauerhaftes Verfahren mit Löschklassen und Verantwortlichen macht, beschreibt unser Beitrag zum Löschkonzept nach DSGVO.
Unterstützung
Ob Ihre Löschfristen in Verarbeitungsverzeichnis und Systemen noch zum aktuellen Recht passen, prüft ein externer Datenschutzbeauftragter regelmäßig mit, nicht nur zum Jahreswechsel. Wenn Sie dafür noch niemanden benannt haben, können Sie über unser Portal einen externen Datenschutzbeauftragten bestellen – Pakete ab 150 € im Monat. Für ein unverbindliches Gespräch können Sie direkt einen Termin buchen.