DSGVO vs GoBD – Alle Unternehmer kriminell?

Zuletzt aktualisiert am 13. August 2026

Die GoBD (Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form) enthält ebenso wie die DSGVO Aufbewahrungspflichten. An welche müssen sich Unternehmen nun halten, damit ihnen keine Bußgelder oder ähnliches drohen? Steht die Aufbewahrungspflicht aus der GoBD eventuell sogar im Widerspruch zur DSGVO?

Was ist die GoBD?

GoBD steht als Abkürzung für „Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form“. Dabei handelt es sich um eine Verwaltungsanweisung vom Finanzministerium, die 2014 in Kraft getreten und Anfang 2020 neu gefasst wurde. Sie enthält grundsätzliche Prinzipien, die Unternehmer für ihre Bücher und sonstigen Aufzeichnungen beachten müssen. Zweck ist die Anerkennung dieser Unterlagen für steuerliche Beweiszwecke von der Finanzbehörde. Von diesen Regelungen sind alle Unternehmen unabhängig von ihrer Größe betroffen.

Die GoBD regelt dabei nur die Grundprinzipien der Aufbewahrung und Speicherung. Welche Unterlagen überhaupt aufzubewahren sind und wie lange die Aufbewahrung zu erfolgen hat, regelt sie dagegen nicht. Dies ergibt sich aber aus anderen Gesetzen.

Welche Aufbewahrungspflicht regelt die GoBD?

Nach der GoBD ist alles, was eine Bedeutung für die Besteuerung des Unternehmens hat, zu dokumentieren und aufzubewahren. Dazu enthält diese den Grundsatz der Nachvollziehbarkeit und Nachprüfbarkeit. Zusätzlich finden sich hier auch die Grundsätze der Wahrheit, Klarheit und der fortlaufenden Aufzeichnung (diese enthalten die Grundsätze der Vollständigkeit, Richtigkeit, zeitgerechte Belegsicherung, Ordnung und Unveränderbarkeit).

Demnach sind alle Buchungen mit einem Beleg zu versehen. Dieser hat zeitgemäß zu erfolgen und muss richtig sein. Diese müssen der Revisionssicherheit unterliegen, das heißt, dass die Buchungen systematisch und die Belege und Aufzeichnungen unveränderlich erfasst werden. Zu diesem Vorgehen ist ein Verfahrensverzeichnis zu führen. All das muss auch archiviert werden.

Widerspruch zur DSGVO?

In der Praxis kommt häufig die Frage auf, ob die Vorschriften zur Aufbewahrung und Archivierung nach der GoBD im Widerspruch zur DSGVO stehen. Wäre dies der Fall, würden alle Unternehmer, die den Vorgaben der GoBD folgen, datenschutzwidrig handeln.

Kern des Problems ist, dass die nach der GoBD aufzubewahrenden Belege oftmals personenbezogene Daten enthalten und damit unter den Anwendungsbereich der DSGVO fallen. Die DSGVO regelt selbst Aufbewahrungsbegrenzungen bis zum Zweckfortfall (Art. 5 DSGVO). Widerspricht die GoBD dieser Regelung?

Die Antwort ist klar: Nein! Für die Aufbewahrung nach der GoBD sind gesetzliche Fristen zu beachten. Dies gilt unabhängig davon, ob der aufzubewahrende Beleg personenbezogene Daten enthält oder nicht. Während dieser Aufbewahrung liegt ein Zweck vor, nämlich der steuerrechtliche Zweck der GoBD. Läuft die Frist nach der GoBD ab, entfällt auch der Zweck der Datenverarbeitung im Sinne der DSGVO und die Daten sind zu löschen. Wichtig ist hierbei ein entsprechendes Löschkonzept.

Ein Verstoß gegen das Datenschutzrecht liegt erst vor, wenn personenbezogene Daten über die gesetzliche Aufbewahrungspflicht hinaus aufbewahrt werden oder das Konzept der GoBD als Deckmantel zur unerlaubten Speicherung von Daten genutzt wird.

Fazit

Die Aufbewahrungspflicht nach der GoBD steht nicht im Widerspruch zur DSGVO. Unternehmer, die dieser Aufbewahrung und den entsprechenden gesetzlichen Fristen folgen, handeln nicht datenschutzwidrig. Enthalten die aufzubewahrenden Daten personenbezogene Daten, sind im Rahmen der GoBD aber auch die DSGVO mit deren Grundprinzipien zu beachten. Nach Ablauf der Aufbewahrungspflichten ist eine datenschutzkonforme Löschung der Daten durchzuführen.

Unser Team an Experten berät Sie gern zu allen Themen rund um Datenschutz und Datensicherheit!

Konkrete Aufbewahrungsfristen im Überblick

Für die praktische Umsetzung ist es wichtig, die verschiedenen gesetzlichen Aufbewahrungsfristen zu kennen und voneinander abzugrenzen. Die steuerrechtlichen Aufbewahrungsfristen ergeben sich aus § 147 AO und § 257 HGB. Handelsbücher, Inventare und Jahresabschlüsse müssen zehn Jahre aufbewahrt werden. Für Handels- und Geschäftsbriefe sowie sonstige steuerlich relevante Unterlagen gilt eine Frist von sechs Jahren.

Daneben existieren branchenspezifische Aufbewahrungsfristen, etwa im Medizinrecht (Patientenakten: zehn Jahre nach Abschluss der Behandlung), im Baurecht (Bauunterlagen: bis zu 30 Jahre) oder im Arbeitsrecht (Lohnunterlagen: sechs Jahre nach Beendigung des Arbeitsverhältnisses). Unternehmen müssen sämtliche für sie geltenden Fristen identifizieren und in ihrem Löschkonzept berücksichtigen.

Das Löschkonzept als Brücke zwischen GoBD und DSGVO

Ein strukturiertes Löschkonzept ist das zentrale Instrument, um die Anforderungen der GoBD und der DSGVO miteinander in Einklang zu bringen. Das Löschkonzept definiert für jede Datenkategorie den Aufbewahrungszweck, die gesetzliche Aufbewahrungsfrist und den Zeitpunkt der Löschung. Dabei muss es sowohl die steuerrechtlichen Aufbewahrungspflichten als auch die datenschutzrechtliche Speicherbegrenzung berücksichtigen.

In der Praxis empfiehlt sich ein regelbasiertes Vorgehen: Sobald die längste anwendbare Aufbewahrungsfrist abgelaufen ist, werden die betroffenen Daten automatisch zur Löschung vorgemerkt. Dabei ist zu beachten, dass die Löschung erst nach Ablauf des Kalenderjahres erfolgen muss, in dem die Frist endet. Ein gut dokumentiertes Löschkonzept ist nicht nur datenschutzrechtlich geboten, sondern dient auch als Nachweis der DSGVO-Compliance gegenüber Aufsichtsbehörden.

Technische Anforderungen der GoBD an IT-Systeme

Die GoBD stellt konkrete technische Anforderungen an IT-Systeme, die für die Aufbewahrung steuerlich relevanter Unterlagen genutzt werden. Das Prinzip der Unveränderbarkeit verlangt, dass einmal erfasste Buchungen und Belege nicht mehr gelöscht oder verändert werden können. Korrekturen müssen durch Stornobuchungen erfolgen, sodass der ursprüngliche Eintrag nachvollziehbar bleibt.

Diese Anforderung der Unveränderbarkeit steht nicht im Widerspruch zum Recht auf Löschung nach Art. 17 DSGVO. Denn das Löschrecht des Betroffenen findet seine Grenzen dort, wo gesetzliche Aufbewahrungspflichten bestehen (Art. 17 Abs. 3 lit. b DSGVO). Solange die Aufbewahrungsfrist läuft, besteht kein Anspruch auf Löschung. Allerdings kann der Betroffene die Einschränkung der Verarbeitung nach Art. 18 DSGVO verlangen, sodass die Daten zwar aufbewahrt, aber nicht mehr aktiv genutzt werden dürfen.

Praxistipps für Unternehmen

Unternehmen sollten ihre Aufbewahrungsprozesse regelmäßig überprüfen und dokumentieren. Folgende Maßnahmen haben sich in der Praxis bewährt: Erstens die Erstellung eines vollständigen Löschkonzepts, das alle relevanten Aufbewahrungsfristen berücksichtigt. Zweitens die Implementierung technischer Lösungen, die eine automatisierte Löschung nach Fristablauf ermöglichen. Drittens die Schulung der Mitarbeiter im Umgang mit aufbewahrungspflichtigen Unterlagen.

Ein besonderes Augenmerk sollte auf die E-Mail Archivierungspflicht gelegt werden. Geschäftliche E-Mails können sowohl steuerlich relevante Informationen als auch personenbezogene Daten enthalten. Ein durchdachtes Archivierungssystem, das zwischen verschiedenen E-Mail-Kategorien unterscheidet und die jeweiligen Aufbewahrungsfristen automatisch berücksichtigt, ist daher nötig.

Cloud-Speicherung und GoBD-Konformität

Die zunehmende Nutzung von Cloud-Diensten für die Speicherung steuerlich relevanter Unterlagen wirft besondere Fragen an der Schnittstelle zwischen GoBD und DSGVO auf. Die GoBD erlaubt grundsätzlich die elektronische Aufbewahrung von Unterlagen, stellt aber Anforderungen an die Unveränderbarkeit, die Verfügbarkeit und die Nachvollziehbarkeit der gespeicherten Daten. Cloud-Anbieter müssen diese Anforderungen in ihren Systemen technisch abbilden können.

Aus datenschutzrechtlicher Sicht ist die Cloud-Speicherung steuerlich relevanter Unterlagen, die personenbezogene Daten enthalten, als Auftragsverarbeitung nach Art. 28 DSGVO einzustufen. Das Unternehmen muss mit dem Cloud-Anbieter einen Auftragsverarbeitungsvertrag abschließen und sicherstellen, dass die Daten in der EU oder in einem Land mit angemessenem Datenschutzniveau gespeichert werden. Die Nutzung von US-amerikanischen Cloud-Diensten erfordert zusätzliche Schutzmaßnahmen.

Aufbau eines datenschutzkonformen Archivierungssystems

Ein datenschutzkonformes Archivierungssystem muss sowohl die Anforderungen der GoBD als auch die der DSGVO erfüllen. In der Praxis bedeutet dies, dass das System verschiedene Aufbewahrungskategorien und -fristen verwalten können muss. Dokumente mit unterschiedlichen Aufbewahrungsfristen sollten getrennt gespeichert werden, um eine gezielte Löschung nach Fristablauf zu ermöglichen, ohne die Integrität der übrigen Dokumente zu beeinträchtigen.

Moderne Dokumenten-Management-Systeme (DMS) bieten häufig automatisierte Funktionen für die fristgerechte Löschung und die Verwaltung von Zugriffsberechtigungen. Bei der Auswahl eines solchen Systems sollten Unternehmen darauf achten, dass es GoBD-zertifiziert ist und gleichzeitig die Anforderungen der DSGVO erfüllt, insbesondere hinsichtlich der Zugriffskontrolle, der Protokollierung und der Möglichkeit zur Einschränkung der Verarbeitung.

Häufige Fehler bei der Aufbewahrung vermeiden

In der Praxis unterlaufen Unternehmen bei der Aufbewahrung steuerlich relevanter Unterlagen häufig Fehler, die sowohl steuerrechtliche als auch datenschutzrechtliche Konsequenzen haben können. Ein verbreiteter Fehler ist die pauschale Aufbewahrung aller Unterlagen für zehn Jahre, ohne zu differenzieren, welche Unterlagen tatsächlich einer zehnjährigen und welche nur einer sechsjährigen Aufbewahrungsfrist unterliegen. Dies führt dazu, dass personenbezogene Daten länger als notwendig gespeichert werden.

Ein weiterer häufiger Fehler ist die fehlende Einbeziehung digitaler Kommunikationskanäle in das Archivierungskonzept. Geschäftlich relevante Nachrichten über Messenger-Dienste oder Social-Media-Plattformen können steuerlich relevante Informationen enthalten und müssen entsprechend archiviert werden. Gleichzeitig müssen die datenschutzrechtlichen Anforderungen bei der Archivierung dieser Kommunikation beachtet werden.

Die Verfahrensdokumentation nach GoBD

Eine zentrale Anforderung der GoBD ist die Verfahrensdokumentation. Diese muss alle eingesetzten IT-Systeme, die Verarbeitungsprozesse und die internen Kontrollen beschreiben, die für die ordnungsgemäße Buchführung relevant sind. Die Verfahrensdokumentation muss während der gesamten Aufbewahrungsfrist vorgehalten werden und jederzeit nachvollziehbar sein.

Aus datenschutzrechtlicher Sicht ergänzt die Verfahrensdokumentation der GoBD das Verarbeitungsverzeichnis nach Art. 30 DSGVO. Beide Dokumentationen überschneiden sich in Teilen, etwa bei der Beschreibung der eingesetzten IT-Systeme und der Zugriffsberechtigungen. Unternehmen sollten prüfen, ob eine integrierte Dokumentation möglich ist, die sowohl die Anforderungen der GoBD als auch die der DSGVO erfüllt und so den Dokumentationsaufwand reduziert.

Zusammenfassende Handlungsempfehlung

Die Einhaltung sowohl der GoBD als auch der DSGVO erfordert ein durchdachtes Zusammenspiel von steuerrechtlicher und datenschutzrechtlicher Expertise. Unternehmen sollten ihre Aufbewahrungsprozesse regelmäßig überprüfen und dabei sowohl die steuerlichen Aufbewahrungspflichten als auch die datenschutzrechtlichen Löschanforderungen berücksichtigen. Ein strukturiertes Löschkonzept, ergänzt durch eine GoBD-konforme Verfahrensdokumentation und ein DSGVO-konformes Verarbeitungsverzeichnis, bildet das Fundament für eine rechtssichere Aufbewahrung.

Bei Fragen zur datenschutzkonformen Aufbewahrung und Archivierung steht unser Team an Datenschutzexperten gerne zur Verfügung. Wir unterstützen Sie bei der Erstellung eines individuellen Löschkonzepts und der Implementierung GoBD-konformer Archivierungsprozesse, die gleichzeitig den Anforderungen der DSGVO genügen.