KI-generierte Akte und Aufbewahrungspolitik für den Einsatz in Deutschland
PDF & Word - 2026 Aktualisiert

Die vorliegende Akte und Aufbewahrungspolitik der Muster GmbH dient dazu, die ordnungsgemäße Führung, Aufbewahrung, Archivierung und Löschung von Geschäftsunterlagen und personenbezogenen Daten sicherzustellen. Sie gewährleistet die vollständige Einhaltung der relevanten deutschen und europäischen Rechtsvorschriften, einschließlich HGB (§§ 238, 257), AO (§ 147), BDSG, DSGVO (insbesondere Art. 5, 17, 25, 32), GoBD sowie der EU-Richtlinie 2013/34/EU und weiterer einschlägiger Vorgaben (Stand 2024). Die Politik ist für eine GmbH in Deutschland konzipiert und wurde durch eine Rechtsprüfung validiert.

Diese Politik beruht auf den gesetzlichen Grundlagen des Handelsgesetzbuchs (HGB), der Abgabenordnung (AO), des Bundesdatenschutzgesetzes (BDSG), der Datenschutz-Grundverordnung (DSGVO) und den Grundsätzen ordnungsmäßiger Buchführung digital (GoBD).

Die Akte und Aufbewahrungspolitik tritt am 01.01.2024 in Kraft. Sie ersetzt alle vorherigen Versionen und gilt für alle bestehenden sowie zukünftigen Unterlagen (mit Übergangsregelungen für Altdaten).

Diese Politik gilt für alle Prozesse der Muster GmbH im Zusammenhang mit der Erstellung, Verarbeitung, Speicherung, Archivierung, Löschung und Vernichtung von Dokumenten und Daten, unabhängig vom Medium. Sie dient der Einhaltung aller gesetzlichen Anforderungen in Deutschland und der EU.

Die Politik gilt für alle Mitarbeiter, Geschäftsführer, externe Dienstleister und Dritte, die mit Unternehmensdaten in Berührung kommen.

Betroffene Abteilungen umfassen insbesondere Finanzen, Personal, Recht, Compliance, IT und alle fachlichen Bereiche.

Betroffene Personengruppen sind Vollzeit- und Teilzeitmitarbeiter, Auszubildende, Geschäftsführer, externe Berater und Auftragsverarbeiter.

Einbezogene Dokumentenarten umfassen alle geschäftlichen Unterlagen, einschließlich Buchhaltungsunterlagen, Vertragswerke, Personalakten, Steuerunterlagen, Handelskorrespondenz und weitere (siehe Abschnitt 5).

Der Geltungsbereich wird mit Wirkung zum 01.01.2024 umfassend angewendet. Für Altdokumente gelten die Übergangsbestimmungen in Abschnitt 17.

Akten und Unterlagen umfassen alle geschäftlichen Dokumente, Aufzeichnungen und Daten, die im Rahmen der Unternehmensaktivitäten entstehen oder verwendet werden, unabhängig vom Medium (papierbasiert, digital oder hybrid).

Beispiele sind Verträge, Rechnungen, Korrespondenz, Berichte, E-Mails, Datenbanken und personenbezogene Daten.

Aufbewahrungspflicht bezeichnet die gesetzlich vorgeschriebene Verpflichtung zur Aufbewahrung relevanter Geschäftsunterlagen für eine Mindestdauer gemäß HGB (§§ 238, 257), AO (§ 147) und GoBD, um Rechenschaftslegung, Steuerprüfungen und Nachweispflichten zu ermöglichen.

Elektronische Dokumente sind alle in digitaler Form vorliegenden Unterlagen (z. B. E-Mails, PDFs, Datenbankeinträge, Cloud-Dateien), die den Anforderungen an Authentizität, Unveränderbarkeit (Revisionssicherheit), Verfügbarkeit und maschineller Auswertbarkeit gemäß GoBD entsprechen.

Löschung meint die irreversible Vernichtung personenbezogener Daten gemäß DSGVO Art. 17, sodass eine Wiederherstellung ausgeschlossen ist.

Revisionssicherheit (GoBD) umfasst Unveränderbarkeit, Nachvollziehbarkeit, Verfügbarkeit, Vollständigkeit und Richtigkeit elektronischer Aufzeichnungen.

Die Aufbewahrung von Akten und Daten erfolgt unter Beachtung der folgenden Kernprinzipien der DSGVO (Art. 5) und GoBD: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität, Vertraulichkeit und Rechenschaftspflicht (Accountability).

Elektronische Aufzeichnungen müssen revisionssicher sein: Sie dürfen nachträglich nicht mehr unbemerkt verändert oder gelöscht werden können (Immutabilität). Dies erfordert den Einsatz von Audit-Trails, Versionskontrollen, manipulationssicheren Zeitstempeln und Protokollierung aller Zugriffe und Änderungen.

Weitere Grundsätze umfassen Verfügbarkeit (sofortige Verfügbarkeit bei Prüfungen), maschinelle Auswertbarkeit, eindeutige Indizierung und Schutz vor Verlust, Diebstahl oder unbefugter Veränderung. Regelmäßige Integritätsprüfungen (z. B. Hash-Verfahren) und ein Disaster-Recovery-Plan sind verpflichtend.

Die Grundsätze der Datenschutz-by-Design und By-Default (DSGVO Art. 25) sind bei der Auswahl und Konfiguration von Systemen zwingend zu berücksichtigen. Alle Maßnahmen müssen risikobasiert und dokumentiert sein.

Das Handelsgesetzbuch (HGB §§ 238, 257) regelt die Buchführungspflichten und Aufbewahrungsfristen für Handelsbücher und Geschäftsunterlagen (Stand 2024).

Die Abgabenordnung (AO § 147) legt steuerliche Aufbewahrungspflichten fest, einschließlich der 10-jährigen Frist für Buchhaltungs- und Steuerunterlagen.

Das Bundesdatenschutzgesetz (BDSG) und die DSGVO (insb. Art. 5, 17, 25, 32) regeln den Umgang mit personenbezogenen Daten, einschließlich Löschpflichten, Datenschutz durch Technikgestaltung und angemessene technische und organisatorische Maßnahmen (TOMs).

Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff, BMF-Schreiben vom 28.11.2019, aktualisiert) fordern Revisionssicherheit, Unveränderbarkeit, maschinelle Auswertbarkeit und GoBD-konforme Systeme (oft zertifiziert).

Weitere Grundlagen umfassen die EU-Richtlinie 2013/34/EU (Bilanzrichtlinie), das StGB (z. B. bei Urkundenfälschung oder Datendiebstahl) sowie branchenspezifische Vorgaben. Alle Verweise entsprechen dem Rechtsstand 2024.

Buchhaltungsunterlagen (z. B. Bilanzen, Inventare, Buchungsbelege, Jahresabschlüsse): Aufbewahrungsfrist 10 Jahre gemäß HGB § 257 und AO § 147. Fristbeginn: Ende des Kalenderjahres der Entstehung. Beispiele: Eingangs- und Ausgangsrechnungen, Kontoauszüge.

Handelsbriefe und Geschäftskorrespondenz (eingehend und ausgehend, inkl. E-Mails): Aufbewahrungsfrist 6 Jahre gemäß HGB § 257 Abs. 1 Nr. 2 und 3. Fristbeginn: Ende des Kalenderjahres. Beispiele: Angebote, Auftragsbestätigungen, Mahnungen.

Steuerunterlagen und -erklärungen (z. B. Umsatzsteuer, Einkommensteuer, Verrechnungspreisdokumentation): Aufbewahrungsfrist 10 Jahre gemäß AO § 147. Fristbeginn: Ende des Kalenderjahres der Abgabe. Verlängerung bei laufenden Verfahren.

Verträge (je nach Typ, z. B. Kaufverträge, Dienstleistungsverträge, Mietverträge): Aufbewahrungsfrist in der Regel 3 Jahre nach Vertragsende (Verjährung gem. BGB §§ 195 ff.), bei Bau- oder langfristigen Verträgen bis zu 30 Jahre. Nicht einheitlich 30 Jahre. Beispiele und Zitation: BGB-Verjährungsfristen.

Personalakten und arbeitsrechtliche Unterlagen (Arbeitsverträge, Lohnabrechnungen, Zeugnisse, Kündigungen): Aufbewahrung bis 3 Jahre nach Ende des Arbeitsverhältnisses (z. B. Entgeltunterlagen gem. MiLoG), jedoch länger (bis zu 30 Jahre oder darüber) für renten- und sozialversicherungsrechtliche Zwecke (z. B. nach SGB). Beispiele: Lohnsteuerbescheinigungen (10 Jahre).

Jahresabschlüsse und Konzernabschlüsse: Aufbewahrungsfrist 10 Jahre gemäß HGB § 257 Abs. 1 Nr. 1. Fristbeginn: Ende des Kalenderjahres der Feststellung.

Interne Dokumente (z. B. Protokolle, Strategiepapiere ohne steuerliche Relevanz): Aufbewahrung nur solange zweckgebunden (DSGVO Datenminimierung), keine pauschale 5-Jahres-Frist. Bei Relevanz für Buchhaltung oder Steuern gelten die längeren Fristen.

Sonstige Kategorien (z. B. Datenschutz-Dokumentation, DPIA-Ergebnisse, Verarbeitungsverzeichnisse): Aufbewahrung gemäß DSGVO Art. 30 (solange nachweisbar erforderlich, oft 3-10 Jahre). Technische Protokolle (z. B. Audit-Logs): mindestens 1 Jahr, bei Sicherheitsvorfällen länger.

Eine vollständige Aufbewahrungsfristenmatrix ist als Anlage 1 Bestandteil dieser Politik. Die Fristen beginnen grundsätzlich mit Ablauf des Kalenderjahres, in dem das Dokument entstanden ist oder das Ereignis eingetreten ist (HGB/AO).

Die folgende Übersicht fasst die wesentlichen Aufbewahrungsfristen zusammen (vollständige Matrix siehe Anlage 1): Buchhaltungsunterlagen und Jahresabschlüsse: 10 Jahre (HGB § 257, AO § 147); Handelsbriefe: 6 Jahre (HGB § 257); Steuererklärungen: 10 Jahre (AO § 147); Arbeitsverträge und Personalakten: 3 Jahre nach Ende des Arbeitsverhältnisses bzw. bis zu 30+ Jahre für Rentenansprüche; Allgemeine Verträge: 3 Jahre nach Verjährung (BGB), bei Immobilienverträgen bis 30 Jahre.

Der Fristbeginn liegt grundsätzlich am Ende des Kalenderjahres, in dem das Dokument entstanden ist bzw. das zugrunde liegende Geschäftsvorfall abgeschlossen wurde (AO § 147 Abs. 3). Bei laufenden Prüfungen, Rechtsstreitigkeiten oder Legal Holds wird die Frist ausgesetzt (Verlängerung bis zum Abschluss des Verfahrens).

Nach Ablauf der Aufbewahrungsfrist erfolgt die Löschung gemäß DSGVO Art. 17, sofern keine anderen rechtlichen Gründe (z. B. berechtigtes Interesse, gesetzliche Aufbewahrungspflichten) entgegenstehen. Die Löschung muss dokumentiert werden. Ein Löschkonzept (siehe Abschnitt 11) regelt automatisierte und manuelle Prozesse.

Bei Rechtsstreitigkeiten, behördlichen Anfragen oder Audits ist ein Legal-Hold-Prozess einzuleiten, der eine vorzeitige Löschung verhindert. Die Compliance-Abteilung entscheidet über die Freigabe zur Löschung.

Zulässige Aufbewahrungsformen sind papierbasiert, elektronisch (revisionssicher) oder hybrid. Papieroriginale dürfen nur unter den Voraussetzungen der GoBD digitalisiert werden (scannen mit hoher Auflösung, qualifizierte Signatur oder Protokollierung), danach vernichtet werden, sofern keine gesetzliche Pflicht zum Original besteht (z. B. bei notariellen Urkunden).

Alle Formen müssen Lesbarkeit, Integrität und Verfügbarkeit über die gesamte Aufbewahrungsfrist gewährleisten. Bei elektronischer Aufbewahrung sind GoBD-konforme Systeme (zertifiziert oder mit gleichwertiger Dokumentation) zwingend.

Maßnahmen zur Sicherung der Integrität umfassen Verschlüsselung (mind. AES-256), Zugriffskontrollen, regelmäßige Backups, Integritätschecks (Hashing) und ein Disaster-Recovery-Konzept mit Testläufen.

Datenschutz durch Technikgestaltung (Privacy by Design, DSGVO Art. 25) ist bei der Auswahl von Archivierungssystemen verpflichtend. Systemänderungen müssen protokolliert und auf Revisionssicherheit geprüft werden.

Elektronische Archivierung erfolgt in einem GoBD-konformen, revisionssicheren System (z. B. zertifiziertes DMS oder Cloud-Lösung mit Nachweis der Gleichwertigkeit). Anforderungen: Unveränderbarkeit, sofortige Verfügbarkeit, maschinelle Auswertbarkeit, eindeutige Indizierung, vollständige Protokollierung (Audit-Trail) aller Vorgänge.

Qualifizierte elektronische Signaturen (QES) sind bei Bedarf (z. B. bei Vertragsschlüssen) einzusetzen. Verschlüsselung nach Stand der Technik (AES-256 oder höher), regelmäßige Integritätsprüfungen und ein dokumentiertes Änderungsmanagement sind vorgeschrieben.

Backups müssen verschlüsselt, georedundant und getestet sein. Bei Systemwechseln muss die Migration revisionssicher erfolgen und protokolliert werden. Papieroriginale dürfen nach erfolgreicher Digitalisierung und unter Einhaltung der GoBD vernichtet werden (Ersetzendes Scannen).

Zugriffskontrollen (RBAC, 2FA, Least-Privilege-Prinzip) und regelmäßige Penetrationstests sind Pflicht. Die IT-Abteilung dokumentiert alle technischen und organisatorischen Maßnahmen (TOMs) gemäß DSGVO Art. 32.

Zugriff auf archivierte Akten ist ausschließlich autorisierten Personen auf Need-to-Know-Basis gestattet. Implementierte Kontrollen: Role-Based Access Control (RBAC), Multi-Faktor-Authentifizierung (MFA), physische Sicherungen und vollständige Audit-Logs aller Zugriffe.

Jeder Zugriff muss genehmigt, protokolliert und bei sensiblen Daten unter Aufsicht erfolgen. Vertraulichkeit wird durch Verschlüsselung, Schulungen und Vertraulichkeitsvereinbarungen sichergestellt (DSGVO Art. 5, 32).

Zugangsberechtigte Gruppen: Interne autorisierte Mitarbeiter, externe Auftragsverarbeiter (nur mit AV-Vertrag) und Behörden im Rahmen ihrer Befugnisse. Unbefugter Zugriff führt zu Sanktionen.

Die letzte Überprüfung der Zugriffsrechte erfolgte am 15.10.2023; eine Aktualisierung findet mindestens jährlich statt.

Die Verarbeitung personenbezogener Daten erfolgt nur auf Grundlage einer Rechtsgrundlage gemäß DSGVO Art. 6 (z. B. Vertrag, Einwilligung, berechtigtes Interesse). Das Unternehmen führt ein vollständiges Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).

Betroffenenrechte (Auskunft, Berichtigung, Löschung, Widerspruch gem. Art. 15-21 DSGVO) werden gewährleistet. Anfragen sind innerhalb eines Monats zu bearbeiten. Datenschutz-Folgenabschätzungen (DSFA) werden bei hohen Risiken durchgeführt.

Der bestellte Datenschutzbeauftragte (DSB) ist zentrale Anlaufstelle. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25) sind Standard. Bei Datenschutzverletzungen erfolgt eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33).

Vertraulichkeitsmaßnahmen umfassen TOMs wie Verschlüsselung, Schulungen, Vertraulichkeitsvereinbarungen und regelmäßige Audits. Externe Dienstleister unterliegen strengen Auftragsverarbeitungsverträgen (AV-Verträge gem. Art. 28 DSGVO).

Das Unternehmen verfügt über ein dokumentiertes Löschkonzept gemäß DSGVO. Nach Fristablauf erfolgt eine automatisierte oder manuelle Prüfung, ob Löschung möglich ist. Digitale Löschung erfolgt durch sicheres Überschreiben (mind. 3-fach) oder zertifizierte Tools; Papierdokumente werden nach DIN 66399 (mind. Schutzklasse 2, Sicherheitsstufe P-4) schreddert.

Alle Löschungen werden protokolliert (Löschprotokoll als Anlage). Backups werden zeitverzögert gelöscht. Ausnahmen gelten für archivwürdige Unterlagen im öffentlichen Interesse oder für wissenschaftliche/historische Zwecke (DSGVO Art. 17 Abs. 3).

Langfristige Archivierung erfolgt in einem sicheren, klimakontrollierten Archiv (Papier) oder revisionssicheren elektronischen System (digital) mit Verschlüsselung und regelmäßigen Integritätsprüfungen. Verantwortlich ist der Compliance-Officer in Abstimmung mit dem DSB.

Eine Aufbewahrungs- und Löschmatrix (Anlage 1) sowie ein Löschprotokoll-Template (Anlage 2) sind integraler Bestandteil. Jährliche Prüfungen der Prozesse sind vorgeschrieben.