Wann muss ich Kundendaten löschen? Meine Routine für die DSGVO Löschpflicht

Es ist weit nach Mitternacht, und eigentlich sollte ich längst schlafen. Stattdessen starre ich auf eine Excel-Liste, die ich in den Tiefen meiner Festplatte ausgegraben habe. Es sind Kontakte aus meinem ersten Jahr als Texterin in Leipzig – Leute, die mal angefragt, aber nie gebucht haben. Digitale Karteileichen. Das bläuliche Licht des Monitors spiegelt sich in meiner Kaffeetasse, während ich zögerlich auf den Papierkorb-Button für einen alten Lead-Ordner klicke. Darf ich das einfach löschen? Oder schlimmer: Darf ich das überhaupt noch besitzen?

Als ich 2024 mit meiner Website startete, war ich froh, wenn überhaupt jemand meine Daten hinterließ. Heute, im Spätsommer 2026, fühlt sich mein digitales Archiv eher wie ein überquellender Dachboden an. Man weiß, dass man ausmisten muss, aber man hat Angst, dabei das Erbstück der Oma – oder in meinem Fall: die eine Rechnung, die das Finanzamt in acht Jahren sehen will – versehentlich zu schreddern.

Anfang Januar: Der Sammler-Instinkt gegen das Gesetz

Ich erinnere mich noch gut an den Jahreswechsel. Mein Vorsatz war: Ordnung im digitalen Büro. Aber mein innerer Sammler-Instinkt schrie sofort auf: "Vielleicht meldet sich der Kunde von vor zwei Jahren ja doch noch mal!" In meinem Kopf war das Löschen von Daten gleichbedeutend mit dem Verbrennen von Brücken. Aber die Datenschutz-Grundverordnung (DSGVO) sieht das leider anders. Das Zauberwort heißt Zweckbindung.

Ich habe damals gelernt, dass personenbezogene Daten gelöscht werden müssen, sobald der Zweck für ihre Speicherung wegfällt. Wenn jemand vor zwei Jahren ein Angebot angefordert und dann nie wieder geantwortet hat, gibt es eigentlich keinen Grund mehr, seine Privatadresse in meinem System zu behalten. Es sei denn, ich will eine Brieffreundschaft anfangen – was rechtlich gesehen eher eine mittelgute Idee ist.

Damals fühlte sich die Recherche an wie das Lesen eines Apothekenbeipackzettels: Man sucht nach einer Lösung für ein kleines Problem und hat danach Angst vor inneren Blutungen und Haarausfall. Überall liest man von Bußgeldern, aber niemand sagt einem konkret, wann man auf den Lösch-Button drücken soll, ohne dass das Finanzamt vor der Tür steht.

Mitte April: Das große Dilemma zwischen 10 Jahren und 'sofort'

Mitte April saß ich dann vor meinen ersten abgeschlossenen Projekten und war völlig verwirrt. Auf der einen Seite steht Art. 17 DSGVO – das Recht auf Löschung (oder auch das wunderbar poetisch klingende 'Recht auf Vergessenwerden'). Auf der anderen Seite peitscht das deutsche Steuerrecht mit seinen Fristen. Ein kurzes Stechen in der Magengrube bei der Vorstellung, aus Versehen eine wichtige Rechnung zu löschen, die das Finanzamt noch sehen will, begleitete mich durch diesen gesamten Vormittag.

Ich habe mich dann durch das Handelsgesetzbuch (HGB) und die Abgabenordnung gewühlt. Das Ergebnis meiner Recherche (ich bin keine Juristin, nur eine Texterin, die keine Lust auf Ärger hat): In Deutschland gibt es die 10-Jahres-Frist für Rechnungen und Buchungsbelege gemäß § 14b UStG. Das bedeutet: Alles, was mit Geld zu tun hat, muss bleiben. Punkt. Da kann die DSGVO noch so sehr auf Löschung pochen – die gesetzliche Aufbewahrungspflicht geht hier vor.

Für Handels- und Geschäftsbriefe, also die E-Mails, in denen wir Projekte besprechen oder Verträge aushandeln, gilt eine Frist von 6 Jahren. Das war für mich der erste Durchbruch. Ich muss nicht alles sofort löschen, aber ich darf es auch nicht ewig horten. Ein wichtiger Punkt, den ich fast falsch gemacht hätte: Die 10-Jahres-Frist beginnt erst mit dem Ende des Kalenderjahres, in dem die Rechnung ausgestellt wurde. Eine Rechnung vom März 2026 muss also bis Ende 2036 aufgehoben werden. Uff.

An einem verregneten Sonntag im Mai: Mein Ampelsystem

An diesem grauen Sonntag im Mai beschloss ich, dass ich ein System brauche, das weniger Panik verursacht. Ich nenne es meine 'Quartals-Routine'. Anstatt jedes Mal neu zu überlegen, habe ich meine Daten in drei Kategorien unterteilt, wie ein Ampelsystem für meinen digitalen Schreibtisch.

• Grün (Sofort oder zeitnah löschen): Das sind Leads, die nie zu Kunden wurden. Wenn nach sechs Monaten kein Kontakt mehr bestand, fliegt die E-Mail-Adresse aus meiner Liste. Auch Bewerbungen oder einfache Anfragen ohne Vertragsbezug lösche ich nach spätestens sechs Monaten.
• Gelb (6 Jahre aufbewahren): Hier landen die Geschäftsbriefe. Also die Abstimmungen über Texte, die Korrekturschleifen und die Projektplanung. Früher dachte ich, ich müsste das alles 10 Jahre behalten, aber 6 Jahre reichen oft aus, sofern es kein Buchungsbeleg ist.
• Rot (10 Jahre aufbewahren): Das sind die harten Fakten. Rechnungen, Verträge, Buchungsunterlagen. Die liegen sicher in meinem Archiv (und natürlich in meinem Cloud-Speicher, über den ich hier schon mal geschrieben habe: Wie ich Cloud-Speicher wie Dropbox rechtssicher für Kundendaten nutze).

Was ich dabei gelernt habe: Die automatische Löschung nach einer starren Frist (zum Beispiel durch ein Skript im CRM) ist oft ein Compliance-Fehler. Warum? Weil die gesetzliche Aufbewahrungspflicht für Rechnungen die DSGVO-Pflicht zur Datenlöschung rechtlich überlagert. Wenn man einfach alles nach drei Jahren löscht, weil man 'datensparsam' sein will, bekommt man beim nächsten Audit mit dem Finanzamt richtig Probleme. Die Steuerpflicht ist hier quasi der Endgegner, der die DSGVO-Regeln für diesen speziellen Teil der Daten pausiert.

Nach etwa sechs Monaten: Die Erkenntnis der Ordnung

Jetzt, nach über einem halben Jahr mit dieser Routine, fühlt es sich nicht mehr wie ein Behördengang an. Es ist eher wie Zähneputzen für das Business. Ich setze mir alle drei Monate einen Termin in den Kalender, mache mir eine Kanne Tee und gehe meine Ordner durch. Das Schöne daran ist: Man ist auch vorbereitet, falls mal jemand nachfragt.

Ich hatte neulich den Fall, dass ein ehemaliger Kontakt wissen wollte, welche Daten ich noch über ihn gespeichert habe. Früher hätte mich das in totale Panik versetzt. Aber durch meine Routine konnte ich ganz entspannt antworten. Falls du auch mal in die Situation kommst, findest du hier Tipps, wie ich ein Auskunftsersuchen nach DSGVO als Solopreneur richtig beantworte, ohne Schweißausbrüche zu bekommen.

Ein Löschkonzept ist übrigens auch für uns Einzelunternehmer Pflicht. Das klingt nach einem 50-seitigen Wälzer, ist aber in der Realität oft nur ein Dokument, in dem steht: Was speichere ich? Warum? Und wann lösche ich es? Es ist die schriftliche Bestätigung, dass man sich Gedanken gemacht hat. Es ist quasi die Hausordnung für deine Daten.

Das befreiende Gefühl des digitalen Schredders

Man unterschätzt, wie viel mentale Energie diese 'digitalen Karteileichen' fressen. Jedes Mal, wenn ich durch meine Kontaktliste scrolle und Namen sehe, mit denen ich seit drei Jahren nichts mehr zu tun hatte, ploppt kurz das schlechte Gewissen auf. 'Müsste ich da mal löschen?' 'Darf ich das noch?'

Heute weiß ich: Rechtssicherheit bedeutet auch Ordnung. Wenn mein digitaler Schreibtisch aufgeräumt ist, arbeite ich viel freier. Es ist ein bisschen wie bei der Steuererklärung: Der Berg sieht riesig aus, aber wenn man ihn Schritt für Schritt abträgt, ist das Gefühl danach unbezahlbar. Ich habe sogar angefangen, dieses Prinzip auf andere Bereiche meiner Website anzuwenden. Manchmal frage ich mich zum Beispiel, ob ich überhaupt noch ein Impressum für meine Website im Wartungsmodus brauche, wenn ich mal kurz offline gehe – Spoiler: Ja, meistens schon, aber das ist eine andere Geschichte.

Wenn du also auch vor diesem Berg aus Daten sitzt: Fang klein an. Such dir die einfachsten Sachen raus (die alten Leads ohne Vertrag) und drück auf Löschen. Es passiert nichts Schlimmes. Im Gegenteil: Dein Business wird leichter. Und falls du unsicher bist, frag bitte immer einen echten Datenschutzprofi oder schau beim Landesdatenschutzbeauftragten vorbei. Ich teile hier nur meine Reise, damit du dich in deinem Chaos nicht so allein fühlst.