Aufbewahrungsfrist

Bevor alte Server, Archivlaufwerke oder Notebooks gelöscht werden, stellt sich eine Pflichtfrage: Liegen darauf Unterlagen, die Sie noch aufbewahren müssen? Aufbewahrungsfristen und Löschpflichten gehören zusammen. Dieser Eintrag erklärt die wichtigsten Fristen und was sie für die IT-Ausmusterung bedeuten.

Welche Aufbewahrungsfristen gelten?

Die zentralen Regeln stehen in § 257 HGB und § 147 AO. Mit dem Vierten Bürokratieentlastungsgesetz wurde die Frist für Buchungsbelege von zehn auf acht Jahre verkürzt. Die neue Frist gilt für alle Belege, deren Aufbewahrungsfrist am 1. Januar 2025 noch nicht abgelaufen war.

Unterlagen	Frist (Stand: 10/2026)
Handelsbücher, Inventare, Jahresabschlüsse, Lageberichte, Eröffnungsbilanzen, Arbeitsanweisungen und Organisationsunterlagen	10 Jahre
Buchungsbelege, zum Beispiel Rechnungen und Kontoauszüge	8 Jahre
Empfangene Handels- und Geschäftsbriefe, Kopien versandter Geschäftsbriefe, sonstige steuerlich bedeutsame Unterlagen	6 Jahre

Für einige Branchen, etwa Kreditinstitute, Versicherungen und Wertpapierinstitute, gelten abweichende Regeln. Weitere Fristen können sich aus dem Arbeits- und Sozialrecht oder aus Branchenvorschriften ergeben.

Wann beginnt und endet die Frist?

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die letzte Eintragung gemacht oder das Dokument erstellt oder empfangen wurde. Eine Rechnung aus dem Juni 2026 ist also ab dem 1. Januar 2027 acht Jahre lang aufzubewahren. Die Frist läuft nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch läuft, zum Beispiel wegen einer Außenprüfung.

Elektronisch entstandene Unterlagen müssen nach den GoBD elektronisch und maschinell auswertbar aufbewahrt werden. Ein Ausdruck reicht dann nicht.

Aufbewahrung und Datenschutz: zwei Seiten einer Medaille

Die DSGVO verlangt, personenbezogene Daten nur so lange zu speichern, wie es für den Zweck nötig ist. Eine gesetzliche Aufbewahrungsfrist ist ein solcher Zweck. Ist sie abgelaufen, entfällt der Grund, und die Daten müssen gelöscht werden. Ein Löschkonzept legt dafür je Datenart eine Regellöschfrist fest. Wie man ein solches Konzept aufbaut, beschreibt die Norm DIN 66398.

Was das für die IT-Ausmusterung bedeutet

• Vorab prüfen: Welche Systeme enthalten Buchhaltungs-, Personal- oder Vertragsdaten? Das betrifft besonders Server, NAS-Systeme und Backup-Medien.
• Daten übernehmen: Aufbewahrungspflichtige Daten werden ins neue System oder ein Archiv migriert, bevor das alte Gerät gelöscht wird.
• Löschung nachweisen: Erst danach wird der Datenträger zertifiziert gelöscht oder vernichtet. Das Löschzertifikat dokumentiert den Schritt.
• Abgang dokumentieren: Auch der Anlagenabgang selbst erzeugt Unterlagen, die aufzubewahren sind. Mehr dazu im Ratgeber Verschrottungsprotokoll für IT.

Was im Datenschutz-Audit bei der Entsorgung von Datenträgern zählt, erklärt unser Ratgeber Datenträger entsorgen nach DSGVO. Dieser Eintrag ersetzt keine Rechts- oder Steuerberatung.

Aufbewahrungsfristen und Second IT

Second IT übernimmt den letzten Schritt: Nachdem Sie Ihre Daten gesichert haben, werden die Geräte mit Blancco zertifiziert gelöscht, mit Löschprotokoll je Seriennummer. Nicht löschbare Datenträger werden im eigenen Haus nach DIN 66399 (bis Sicherheitsstufe H-5 und E-5) vernichtet. Mehr zur Datensicherheit bei Second IT.

Häufige Fragen zu Aufbewahrungsfristen

Gilt für Rechnungen jetzt eine Frist von acht oder zehn Jahren?

Rechnungen sind Buchungsbelege. Für sie gilt seit 2025 grundsätzlich eine Frist von acht Jahren, sofern die alte Frist am 1. Januar 2025 noch lief. Für einige Finanzbranchen gelten Sonderregeln. Im Zweifel klären Sie das mit Ihrer Steuerberatung.

Darf ich ein altes Buchhaltungssystem nach dem Wechsel löschen?

Erst wenn die aufbewahrungspflichtigen Daten in einer Form gesichert sind, die den GoBD entspricht, also vollständig, unverändert und maschinell auswertbar. Danach kann der Datenträger zertifiziert gelöscht werden.

Muss ich Daten nach Ablauf der Frist löschen?

Bei personenbezogenen Daten in der Regel ja, wenn kein anderer Grund für die Speicherung besteht. Das folgt aus dem Grundsatz der Speicherbegrenzung der DSGVO. Legen Sie Löschfristen deshalb im Löschkonzept fest.