- Löschrecht nach Art. 17 DSGVO greift nicht bei laufenden Aufbewahrungsfristen.
- HGB § 257 und AO § 147: Buchungsbelege 8 Jahre, Handelsbücher 10 Jahre aufbewahren.
- Auskunftsrecht nach Art. 15 DSGVO gilt davon unabhängig uneingeschränkt.
Ihr DSGVO-Löschrecht nach Art. 17 greift bei Transaktionsdaten nicht, solange handels- oder steuerrechtliche Aufbewahrungsfristen laufen: § 257 HGB und § 147 AO schreiben für Buchungsbelege seit dem Bürokratieentlastungsgesetz IV 8 Jahre vor, für Handelsbücher und Jahresabschlüsse 10 Jahre, das GwG mindestens 5 Jahre. Für Kreditinstitute, Versicherer und Wertpapierinstitute gelten bei Buchungsbelegen seit Ende 2025 wieder 10 Jahre. Das Auskunftsrecht nach Art. 15 DSGVO gilt davon unabhängig und uneingeschränkt: Zahlungsdienstleister müssen innerhalb eines Monats antworten. Wer eine Auskunft mit Verweis auf Aufbewahrungspflichten verweigert, handelt rechtswidrig.
Das rechtliche Spannungsfeld: DSGVO gegen Aufbewahrungspflichten
Im Datenschutzrecht gilt der Grundsatz der Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO): Personenbezogene Daten sollen nur so lange gespeichert werden, wie es für den konkreten Zweck erforderlich ist. Das klingt zunächst nach einem starken Löschrecht für Transaktionsdaten.
Dem stehen jedoch konkrete gesetzliche Aufbewahrungspflichten gegenüber, die Zahlungsdienstleister zur Speicherung verpflichten und die das DSGVO-Löschrecht gemäß Art. 17 Abs. 3 lit. b DSGVO ausdrücklich verdrängen:
Das Ergebnis ist klar geregelt: Art. 17 Abs. 3 lit. b DSGVO bestimmt, dass das Löschrecht nicht gilt, „soweit die Verarbeitung erforderlich ist zur Erfüllung einer rechtlichen Verpflichtung.“ Handels- und steuerrechtliche Aufbewahrungspflichten gehen dem Löschrecht vor.
Zahlungsdienstleister dürfen und müssen Transaktionsdaten länger speichern, als rein datenschutzrechtlich nötig wäre. Ein Löschungsanspruch während der gesetzlichen Aufbewahrungsfristen scheitert an Art. 17 Abs. 3 lit. b DSGVO. Nach Ablauf der Fristen besteht jedoch ein vollständiges Löschrecht.
Aufbewahrungsfristen: Was wie lange gespeichert werden muss
Welche Fristen konkret gelten, hängt von der Art der Daten und der regulatorischen Einstufung des Dienstleisters ab. Wichtig seit 2025: Das Bürokratieentlastungsgesetz IV hat die Aufbewahrungsfrist für Buchungsbelege von 10 auf 8 Jahre verkürzt. Für Kreditinstitute, Versicherungsunternehmen und Wertpapierinstitute wurde die zehnjährige Frist jedoch Ende 2025 wieder eingeführt (§ 257 Abs. 4 Satz 2 HGB, in Kraft seit 30.12.2025). Alle Fristen beginnen mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist. Die wichtigsten Normen im Überblick:
| Datentyp | Frist | Rechtsgrundlage | Anwendungsbereich |
|---|---|---|---|
| Buchungsbelege, Kontoauszüge, Zahlungsanweisungen | 8 Jahre | § 257 Abs. 1 Nr. 4, Abs. 4 HGB | Alle Unternehmen mit Buchführungspflicht einschließlich Zahlungsdienstleister. Verkürzt von 10 auf 8 Jahre durch das Bürokratieentlastungsgesetz IV (seit 01.01.2025). Kreditinstitute, Versicherer und Wertpapierinstitute müssen Buchungsbelege seit 30.12.2025 wieder 10 Jahre aufbewahren (§ 257 Abs. 4 Satz 2 HGB) |
| Handelsbücher, Inventare, Jahresabschlüsse | 10 Jahre | § 257 Abs. 1 Nr. 1, Abs. 4 HGB; § 147 Abs. 1 Nr. 1 AO | Alle buchführungs- und steuerpflichtigen Unternehmen, Frist unverändert |
| GwG-Aufzeichnungen zu KYC und Transaktionsmonitoring | 5 Jahre (max. 10) | § 8 Abs. 4 GwG | GwG-Verpflichtete: Banken, E-Geld-Institute, Krypto-Dienstleister, bestimmte Online-Plattformen |
| Zahlungsverkehrsdaten (PSD2) | mind. 5 Jahre | § 30 ZAG | Zahlungsdienstleister, also Banken, E-Geld-Institute und Zahlungsinstitute |
| Reine Nutzungsdaten wie Login und Sessions | Keine Mindestfrist | DSGVO Art. 5 Abs. 1 lit. e | Alle Verantwortlichen. Löschung, sobald der Zweck entfallen ist |
Die Aufzeichnungen und sonstigen Belege sind fünf Jahre aufzubewahren, soweit nicht andere gesetzliche Bestimmungen eine längere Frist vorsehen. Spätestens nach Ablauf von zehn Jahren sind sie zu vernichten. Die Aufbewahrungsfrist beginnt mit dem Schluss des Kalenderjahres, in dem die Geschäftsbeziehung endet, im Übrigen mit dem Schluss des Kalenderjahres, in dem die jeweilige Angabe festgestellt worden ist.
Wer fällt unter GwG-Aufzeichnungspflichten?
Das Geldwäschegesetz trifft einen deutlich weiteren Kreis als viele Nutzer annehmen. Für den Online-Bereich relevant sind insbesondere:
- Kreditinstitute und E-Geld-Institute (§ 2 Abs. 1 Nr. 1 und Nr. 3 GwG): etwa PayPal, Klarna und Revolut (EU-Banklizenz) oder Stripe als E-Geld-Institut
- Zahlungsinstitute (§ 2 Abs. 1 Nr. 3 GwG): etwa Zahlungsauslöse- und Kontoinformationsdienste wie Sofortüberweisung
- Krypto-Dienstleister (§ 2 Abs. 1 Nr. 2 GwG): Coinbase, Bitpanda, Kraken. Seit Geltung von MiCAR und KMAG (Dezember 2024) vollumfänglich als GwG-Verpflichtete erfasst
- Nicht direkt erfasst: Reine Online-Marktplätze ohne eigene Zahlungsabwicklung, Streaming-Anbieter, klassische E-Commerce-Shops mit Rechnungskauf ohne eigene Lizenz
Sonderfall: Online-Plattformen mit Regulierungsüberlagerung
Bei bestimmten regulierten Online-Diensten kumulieren die Speicherpflichten, weil sie sowohl GwG-Verpflichtete als auch zusätzlichen Regulierungsrahmen unterliegen. Ein anschauliches Beispiel bietet der Vergleich verschiedener Dienstleistungstypen:
GGL-lizenzierte Anbieter stehen damit am Ende der Skala: Sie müssen neben Zahlungsdaten nach HGB/GwG zusätzlich spielbezogene Aktivitätsdaten gemäß GlüStV 2021 aufbewahren (§ 6c GlüStV 2021: anbieterübergreifende Limitdatei; § 6i GlüStV 2021: unveränderliche Aufzeichnung aller aufsichtsrelevanten Spieldaten auf einem Safe-Server). Eine Übersicht, welche Anbieter unter GGL-Lizenz operieren, finden Sie in unserem Überblick zu legalen Online-Anbietern in Deutschland.
Welche Rechte haben Nutzer trotzdem?
Dass das Löschrecht eingeschränkt ist, bedeutet nicht, dass Nutzer rechtlos sind. Die DSGVO garantiert eine Reihe von Rechten, die auch während der Aufbewahrungsfristen vollumfänglich gelten.
Vollständige Auskunft über alle gespeicherten Daten, Verarbeitungszwecke, Empfänger und geplante Speicherdauer. Frist: ein Monat. Kostenlos (bis zu einer Kopie). Wie Sie dieses Recht gegenüber jedem Unternehmen durchsetzen, erklärt unser DSGVO-Auskunftsrecht Musterbrief.
Unrichtige Daten müssen korrigiert werden, auch wenn sie aufbewahrungspflichtig sind. Gilt z. B. für fehlerhafte Transaktionsbeschreibungen oder falsche Kontaktdaten.
Greift nach Ablauf aller gesetzlichen Aufbewahrungsfristen vollumfänglich. Während der Fristen: nur für Daten ohne Aufbewahrungspflicht (z. B. Marketingdaten, Nutzungsprofile).
Wenn Sie die Richtigkeit bestreiten oder Widerspruch einlegen: Die Daten dürfen nur noch für den Aufbewahrungszweck genutzt werden, nicht für andere Zwecke (z. B. Profiling, Werbung).
Daten, die Sie selbst aktiv bereitgestellt haben und die auf Basis einer Einwilligung oder Vertragsdurchführung verarbeitet werden, müssen in einem maschinenlesbaren Format wie XML, JSON oder CSV herausgegeben werden.
Gegen Verarbeitung auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f) können Sie Widerspruch einlegen, insbesondere gegen Profiling und Direktwerbung auf Basis Ihrer Transaktionsdaten.
Das Netzwerk Datenschutzexpertise-Gutachten (Dezember 2025)
Im Dezember 2025 veröffentlichte das Netzwerk Datenschutzexpertise ein vielbeachtetes Gutachten zur Datenverarbeitung bei PayPal („Datenschutz bei PayPal: Big Tech und Finanzdienstleistungen“, Stand 10.12.2025). Kern der Befunde: intransparente Verarbeitung personenbezogener Daten, umfangreiche Datenweitergabe an mehrere hundert Partnerunternehmen und die Nutzung von Transaktionsdaten für personalisierte Werbung, sogenannte „Offsite Ads“. Die Gutachter fordern eine strikte Trennung zwischen Zahlungsdaten und deren kommerzieller Weiterverwendung sowie ein konsequenteres Einschreiten der Datenschutz-Aufsichtsbehörden.
Unabhängig davon gilt: Wenn ein Zahlungsdienstleister eine Auskunftsanfrage mit dem Hinweis auf Aufbewahrungspflichten ablehnt, ist das in aller Regel rechtswidrig. Auskunft und Löschung sind rechtlich unabhängig voneinander.
So setzen Sie Ihre Rechte durch
-
Auskunftsanfrage stellen (Art. 15 DSGVO)
Schreiben Sie dem Datenschutzbeauftragten des Unternehmens. Verlangen Sie: alle gespeicherten personenbezogenen Daten, Verarbeitungszwecke, Empfänger, Speicherdauer und Herkunft der Daten. Frist: ein Monat (Art. 12 Abs. 3 DSGVO). Keine Begründungspflicht Ihrerseits.
-
Einschränkung der Verarbeitung beantragen (Art. 18 DSGVO)
Wenn Sie vermuten, dass Ihre Transaktionsdaten für Profiling oder Werbezwecke über den Aufbewahrungszweck hinaus genutzt werden: Einschränkung beantragen. Die Daten dürfen dann nur noch für den gesetzlich vorgeschriebenen Zweck verwendet werden.
-
Löschung nach Fristablauf verlangen (Art. 17 DSGVO)
Nach Ablauf aller gesetzlichen Fristen (je nach Unterlage 8 oder 10 Jahre, gerechnet ab dem Schluss des jeweiligen Kalenderjahres) steht Ihnen das vollständige Löschrecht zu. Stellen Sie einen förmlichen Löschantrag mit Verweis auf Art. 17 DSGVO. Antwortfrist: ein Monat.
-
Beschwerde bei der Aufsichtsbehörde
Bei Verweigerung oder Verzögerung: Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). In Deutschland je nach Sitz des Unternehmens: BfDI für Bundesbehörden und Telekommunikation, Bayerisches Landesamt für Datenschutzaufsicht, kurz BayLDA, oder zuständige Landesbehörde. Kostenlos, keine Anwaltspflicht.
Ein häufiger Irrtum: Zahlungsdienstleister, die auf Aufbewahrungspflichten verweisen, um eine Auskunft nach Art. 15 DSGVO zu verweigern, handeln rechtswidrig. Aufbewahrungspflichten schränken nur das Löschrecht ein (Art. 17 Abs. 3 DSGVO). Das Auskunftsrecht (Art. 15) gilt davon unabhängig und uneingeschränkt. Melden Sie solche Verweigerungen der zuständigen Datenschutzbehörde.
Fazit zum Thema Transaktionsdaten und DSGVO
Zahlungsdienstleister dürfen und müssen Ihre Transaktionsdaten länger speichern, als es die DSGVO allein erlauben würde. Buchungsbelege bleiben nach § 257 HGB 8 Jahre gespeichert, Handelsbücher und Jahresabschlüsse 10 Jahre, GwG-Aufzeichnungen mindestens 5 Jahre. Ein Löschantrag während dieser Fristen scheitert an Art. 17 Abs. 3 lit. b DSGVO. Auskunft, Berichtigung und Einschränkung der Verarbeitung können Sie dagegen jederzeit verlangen, die Antwortfrist beträgt einen Monat. Verweigert ein Anbieter die Auskunft mit Verweis auf Aufbewahrungspflichten, beschweren Sie sich bei der Datenschutz-Aufsichtsbehörde. Anwaltlichen Rat sollten Sie einholen, wenn der Anbieter auch nach der Beschwerde nicht reagiert.
- Art. 5, 12, 15, 16, 17, 18, 20, 21 und 77 DSGVO, Verordnung (EU) 2016/679, eur-lex.europa.eu
- § 257 HGB, gesetze-im-internet.de
- § 147 AO, gesetze-im-internet.de
- § 2 und § 8 GwG, gesetze-im-internet.de
- § 30 ZAG, gesetze-im-internet.de
- §§ 6c und 6i GlüStV 2021, Gemeinsame Glücksspielbehörde der Länder
- Netzwerk Datenschutzexpertise, Gutachten „Datenschutz bei PayPal: Big Tech und Finanzdienstleistungen“, Stand 10.12.2025
- Datenschutz-Aufsichtsbehörden: BayLDA und bfdi.bund.de
JuraRat.de Redaktion · Rechtsstand geprüft am 21.07.2026