Bonitätsdaten aufbewahren und löschen: Fristen im Griff

Bonitätsdaten unterliegen dem Spannungsverhältnis zwischen dem datenschutzrechtlichen Gebot der Speicherbegrenzung (Art. 5 DSGVO) und gesetzlichen Aufbewahrungspflichten (HGB, AO, GwG). Bei abgelehnten Anträgen müssen Rohdaten meist nach wenigen Monaten gelöscht werden, während Prüfvoten zur Abwehr von Ansprüchen bis zu 3 Jahre gesperrt werden dürfen. Kommt ein Vertrag zustande

Rechtsgrundlagen: Das Spannungsverhältnis zwischen DSGVO und handelsrechtlichen Aufbewahrungspflichten

Kreditgeber, Leasinggesellschaften, Energieversorger und B2B-Händler verarbeiten im Rahmen der Bonitäts- und Zahlungsfähigkeitsprüfung sensible Finanz- und Unternehmensdaten. Sobald natürliche Personen – etwa Einzelunternehmer, eingetragene Kaufleute (e.K.), Gesellschafter von Personengesellschaften (GbR, OHG, KG) oder Bürgen – betroffen sind, greift die Datenschutz-Grundverordnung (DSGVO) in vollem Umfang. Doch auch bei reinen Kapitalgesellschaften (GmbH, AG) erfordern die Dokumentation von Kreditentscheidungen, steuerrechtliche Vorgaben und Geldwäschegesetze klare Aufbewahrungsroutinen.

Das zentrale Konfliktfeld im Risikomanagement entsteht aus dem Grundsatz der Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e DSGVO einerseits und gesetzlichen Aufbewahrungspflichten andererseits:

Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.
Recht auf Löschung (Art. 17 DSGVO): Daten sind unverzüglich zu löschen, sobald der ursprüngliche Zweck entfallen ist (Art. 17 Abs. 1 lit. a DSGVO) oder eine erteilte Einwilligung widerrufen wurde (Art. 17 Abs. 1 lit. b DSGVO).
Gesetzliche Ausnahmen (Art. 17 Abs. 3 lit. b und e DSGVO): Das Recht auf Löschung besteht nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Für Risikoprüfer bedeutet dies: Daten, die ausschließlich zur Prüfung einer abgelehnten Finanzierungsanfrage erhoben wurden, unterliegen vollkommen anderen Fristen als Unterlagen, die nach erfolgreichem Vertragsabschluss Teil der buchhalterischen Belege oder der handelsrechtlichen Handelskorrespondenz werden.

Kontodaten, Rohdaten und aggregierte Risikometriken rechtssicher trennen

Die automatisierte Bonitätsprüfung über offene Schnittstellen (PSD2) und die Analyse von Kontoumsätzen revolutionieren die Risikobeurteilung, verschärfen jedoch die datenschutzrechtlichen Anforderungen. Bank- und Transaktionsdaten enthalten hochgradig granulare Informationen, darunter Zahlungsflüsse Dritter, steuerliche Daten und mitunter besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO.

Aus aufsichts- und datenschutzrechtlicher Sicht ist eine strikte Schichten-Architektur für die Datenlöschung zwingend erforderlich:

Ebene 1: Rohdaten (Kontoauszüge, unbereinigte Transaktionslisten): Unstrukturierte Kontoumsätze und PSD2-Roh-Payloads dürfen nur für das unmittelbare Scoring verarbeitet werden. Nach Berechnung der Risikometriken und Erstellung des Prüfberichts entfällt der Zweck zur Speicherung der vollständigen Transaktionshistorie. Sofern kein Darlehens- oder Liefervertrag zustande kommt, sind diese Rohdaten umgehend, spätestens jedoch nach Ablauf möglicher Einspruchs- oder AGG-Fristen (in der Praxis 6 Monate), restlos zu löschen.
Ebene 2: Aggregierte Kennzahlen und Merkmale: Kennzahlen wie die Liquiditätsreserve in Tagen, die Cashflow-Volatilität, die Rücklastschriftquote, der Kapitaldienstdeckungsgrad (DSCR) oder Pfändungs- und Mahnhinweise im Konto stellen das eigentliche Entscheidungsergebnis dar. Sie sind als Entscheidungsgrundlage im Kreditvotum aufzubewahren.
Ebene 3: Das Kreditvotum / Prüfprotokoll: Das finale Prüfergebnis (z. B. Ampelstatus grün/amber/rot, Risikoscore, empfohlenes Limit oder tragfähige Rate) unterliegt als Handelsbrief bzw. Kreditdokumentation den handels- und aufsichtsrechtlichen Aufbewahrungsfristen.

Widerruft ein Antragsteller seine datenschutzrechtliche Einwilligung nach Art. 7 Abs. 3 DSGVO während des laufenden Prüfprozesses, muss die Kontoeinsicht unverzüglich gestoppt werden. Bereits aggregierte Kennzahlen dürfen im Falle einer Ablehnung nur zur Dokumentation und Abwehr von Schadensersatzansprüchen für die Dauer der zivilrechtlichen Verjährungsfrist (§ 195 BGB) beziehungsweise der Frist nach dem Allgemeinen Gleichbehandlungsgesetz (AGG, § 21 Abs. 5 AGG) gesperrt aufbewahrt werden.

Fristenübersicht: Vertragsschluss vs. Ablehnung

Die rechtliche Zulässigkeit der weiteren Datenaufbewahrung hängt maßgeblich davon ab, ob ein Vertrag zustande kam oder der Antrag abgewiesen wurde. Folgende Rechtsnormen definieren die maßgeblichen Fristen:

§ 257 Abs. 1 Nr. 1 und 4 i. V. m. Abs. 4 HGB (10 Jahre): Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Buchungsbelege. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die letzte Eintragung gemacht oder der Beleg entstanden ist.
§ 257 Abs. 1 Nr. 2 und 3 i. V. m. Abs. 4 HGB (6 Jahre): Empfangene Handelsbriefe und Kopien der abgesandten Handelsbriefe sowie sonstige Unterlagen mit kaufmännischer Bedeutung.
§ 8 Abs. 4 GwG (5 Jahre): Aufzeichnungen und Belege über Kundensorgfaltspflichten sowie Transaktionsbelege im Rahmen des Geldwäschegesetzes. Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Geschäftsbeziehung beendet wurde.
§ 505a BGB i. V. m. Kreditwesengesetz (KWG) / MaRisk: Banken und Finanzdienstleister müssen die Kreditwürdigkeitsprüfung nachvollziehbar dokumentieren. Kreditentscheidungsunterlagen verbleiben während der gesamten Vertragslaufzeit plus regulärer Verjährungsfrist (§ 195 BGB, 3 Jahre zum Jahresende) in der Akte.
§ 195 BGB (Regelmäßige Verjährungsfrist von 3 Jahren): Zivilrechtliche Ansprüche verjähren nach 3 Jahren zum Jahresende (§ 199 Abs. 1 BGB).
§ 21 Abs. 5 AGG (2 Monate): Frist zur Geltendmachung von Entschädigungsansprüchen wegen Diskriminierung. In der Praxis halten Kreditinstitute Unterlagen abgelehnter Antragsteller zwischen 3 und 6 Monaten vor, um Klagefristen abzusichern.

| :--- | :--- | :--- | :--- | :--- |

Technische Umsetzung: Das Löschkonzept nach DIN 66398

Datenschutzbehörden fordern für die revisionssichere Löschung strukturierte Vorgaben. Die DIN 66398 („Leitfaden zur Entwicklung eines Löschkonzepts“) bietet den anerkannten Standard für Kreditrisiko- und IT-Architekturen.

Ein gesetzeskonformes Löschkonzept gliedert Daten in definierte Löschklassen. Jede Löschklasse umfasst:

Die Beschreibung der Datenart,
die rechtliche Begründung (Aufbewahrungsfrist oder Löschgrund),
den Startzeitpunkt der Frist (Trigger-Ereignis, z. B. Vertragskündigung, Antragsablehnung, Buchungsdatum),
die Regellöschfrist sowie
den technischen Löschprozess.

```

+--------------------------------------------------------------------------+

| Eingang Bonitätsunterlagen |

| (Kontoauszug, BWA, Bilanz, Handelsregisterauszug) |

+--------------------------------------------------------------------------+

| Aggregierung & Risikoscore-Ermittlung |

| (Liquiditätsreserve, Cashflow-Volatilität, DSCR, Ampelwert) |

+--------------------------------------------------------------------------+

| Kreditentscheidung |

+--------------------------------------------------------------------------+

| |

v v

[ Fall A: ABLEHNUNG ] [ Fall B: GENEHMIGUNG ]

| |

v v

+----------------------------------+ +-------------------------------+

| PSD2-Rohdaten: Löschung nach | | PSD2-Rohdaten: Löschung nach |

| 30 bis max. 180 Tagen | | max. 90 Tagen (Zweck erreicht)|

+----------------------------------+ +-------------------------------+

| |

v v

+----------------------------------+ +-------------------------------+

| Prüfprotokoll/AGG-Dokumentation: | | Kreditakte, BWA, Votum, DSCR: |

| Sperrung; Löschung nach 3 Jahren | | Speicherung über Laufzeit |

| (§ 195 BGB / Verjährungsfrist) | | + 6 bis 10 Jahre (§ 257 HGB) |

+----------------------------------+ +-------------------------------+

```

Risikomanagement-Systeme dürfen Daten am Ende der Frist nicht lediglich als „gelöscht“ im Frontend markieren (Soft Delete), während sie in Datenbank-Dumps unverschlüsselt verbleiben. Die Vernichtung muss physisch oder kryptografisch irreversibel erfolgen (Crypto-Shredding bei partitionierten Datensätzen).

Sperrung versus Löschung: Revisionssichere Archivierung im Risikomanagement

Tritt ein Löschbegehren nach Art. 17 DSGVO auf, während gesetzliche Aufbewahrungsfristen (z. B. nach HGB oder GwG) noch laufen, greift die Einschränkung der Verarbeitung gemäß Art. 18 DSGVO. In der deutschen Regulierungspraxis (§ 35 BDSG) wird dieser Zustand als Sperrung bezeichnet.

Gespeichertes Datenmaterial darf nach Eintritt der Sperrung nicht mehr für operative Geschäftszwecke herangezogen werden:

Verbotene Nutzung: Gesperrte Bonitätsdaten dürfen keinesfalls für erneute Risikoanalysen, Up-Selling-Kampagnen, Cross-Selling, internes Profiling oder Adressverifizierungen verwendet werden.
Zulässige Nutzung: Der Zugriff ist technisch strikt auf autorisierte Personen im Compliance-, Rechts- oder Revisionsbereich zu beschränken. Die Daten dienen ausschließlich der Vorlage bei Betriebsprüfungen durch die Finanzverwaltung (§ 147 AO), Nachprüfungen durch die BaFin oder der Verteidigung gegen zivilrechtliche Klagen.
Technische Isolierung: In relationalen Datenbanken erfolgt die Sperrung über Rollen- und Rechtematrizen, Verschlüsselung mit dedizierten Archiv-Schlüsseln oder Auslagerung in unveränderbare WORM-Speicher (Write Once Read Many).

Aufsichtsrechtliche Sonderfristen: GwG, PSD2 und Kreditentscheidung

Unternehmen, die als Verpflichtete nach dem Geldwäschegesetz (GwG) gelten – darunter Kreditinstitute, Finanzdienstleister und unter bestimmten Bedingungen auch Leasinggesellschaften oder Güterhändler –, unterliegen den Aufzeichnungspflichten des § 8 GwG. Gemäß § 8 Abs. 4 GwG sind Identifizierungsunterlagen (Kopien von Ausweisdokumenten, Video-Ident-Protokolle, Abfragen des Transparenzregisters) grundsätzlich fünf Jahre lang aufzubewahren.

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Geschäftsbeziehung beendet wurde oder eine Transaktion durchgeführt worden ist. Nach Ablauf dieser 5 Jahre sind die Daten unverzüglich zu vernichten, es sei denn, andere gesetzliche Vorschriften verlangen eine längere Frist (§ 8 Abs. 4 Satz 2 GwG). Eine Speicherung über 10 Jahre hinaus ist gemäß § 8 Abs. 4 Satz 3 GwG unzulässig.

Bei der Verwendung von Kontoinformationsdiensten nach PSD2 gilt: Zahlungsdienstleister dürfen Kontodaten nur mit ausdrücklicher Zustimmung des Nutzers abrufen. Sobald die Bereitstellung des Dienstes erfolgt ist, müssen Zugriffs-Tokens und Roh-Payloads gelöscht werden. Die Aufbewahrung beschränkt sich auf den Nachweis der ordnungsgemäßen Abwicklung und Einwilligungsprotokolle zur Entlastung bei Haftungsfragen (z. B. 3 Jahre nach § 195 BGB).

Branchenspezifische Anforderungen: Energie, Leasing und B2B-Handel

Die Fristen und Pflichten variieren je nach regulatorischem Rahmen der Branche:

1. Energieversorger (EnWG)

Energieversorger sind gemäß Energiewirtschaftsgesetz (EnWG) bei Haushalts- und Kleingewerbekunden im Rahmen der Grundversorgung (§ 36 EnWG) zur Belieferung verpflichtet. Ablehnungen sind nur bei wirtschaftlicher Unzumutbarkeit zulässig (z. B. bestehende erhebliche Zahlungsrückstände). Bonitätsabfragen müssen daher just-in-time erfolgen. Daten abgelehnter Sonderverträge dürfen zur Abwehr von Diskriminierungsvorwürfen 6 Monate gespeichert werden. Abrechnungs- und Verbrauchsdaten unterliegen als Rechnungsbelege der 10-jährigen HGB-Frist.

2. Leasinggeber

Leasinggesellschaften schließen mittel- bis langfristige Verträge ab, bei denen mobile Investitionsgüter finanziert werden. Hier fließen BWA, Bilanzen und Kennzahlen wie DSCR, Eigenkapitalquote und EBITDA-Marge in den Genehmigungsprozess ein. Gemäß den Mindestanforderungen an das Risikomanagement (MaRisk) müssen die Bonitätsunterlagen lückenlos über die gesamte Laufzeit des Leasingvertrags (häufig 36 bis 60 Monate) plus 6 bzw. 10 Jahre gemäß § 257 HGB archiviert werden, da sie die Grundlage der Aktivierung und Risikovorsorge bilden.

3. B2B-Handel (Rechnungskauf und Ratenkauf)

Händler, die gewerblichen Kunden Rechnungskauf oder Ratenzahlung einräumen, gewähren Lieferantenkredite. Bei Ablehnung eines Lieferantenkredits sind die eingeholten Daten (z. B. aggregierte Rücklastschriftquote, Pfändungshinweise) nach 6 Monaten zu löschen. Wird die Ratenzahlung gewährt, gilt: Bei Verträgen mit Kleingewerbetreibenden oder Gesellschaftern greifen teils Verbraucherschutzstandards analog zu § 505a BGB. Sämtliche Bonitäts- und Zahlungsbelege müssen 10 Jahre nach Rechnungsabschluss (§ 147 AO) manipulationssicher archiviert werden.

| :--- | :--- | :--- | :--- | :--- |

Sanktionen und Haftungsrisiken bei Verstößen

Die Missachtung von Aufbewahrungs- und Löschfristen birgt erhebliche finanzielle und aufsichtsrechtliche Risiken:

Bußgelder nach Art. 83 Abs. 5 lit. a DSGVO: Verstöße gegen die Grundsätze der Datenverarbeitung (einschließlich Art. 5 Abs. 1 lit. e Speicherbegrenzung) oder gegen Art. 17 DSGVO können mit Geldbußen von bis zu 20.000.000 € oder 4 % des weltweiten Jahresumsatzes geahndet werden.
Handels- und steuerrechtliche Sanktionen: Werden Daten verfrüht vernichtet, droht der Verlust des Vorsteuerabzugs, Schätzungen durch das Finanzamt gemäß § 162 AO oder strafrechtliche Konsequenzen wegen Verletzung der Buchführungspflicht (§ 283b StGB).
GwG-Bußgelder: Die unvollständige oder nicht fristgerechte Aufbewahrung von Sorgfaltspflichtnachweisen stellt eine Ordnungswidrigkeit nach § 56 GwG dar, die mit Geldbußen bis zu 5.000.000 € oder 10 % des Gesamtumsatzes belegt werden kann.

Ein auditierbares Löschkonzept, basierend auf DIN 66398, schützt Unternehmen vor diesen Rechtsfolgen und stellt sicher, dass das Risikomanagement revisionssicher arbeitet.

Aufbewahrung und Löschung von Bonitätsdaten: Fristen und rechtssichere Praxis

Rechtsgrundlagen: Das Spannungsverhältnis zwischen DSGVO und handelsrechtlichen Aufbewahrungspflichten

Kontodaten, Rohdaten und aggregierte Risikometriken rechtssicher trennen

Fristenübersicht: Vertragsschluss vs. Ablehnung

Technische Umsetzung: Das Löschkonzept nach DIN 66398

Sperrung versus Löschung: Revisionssichere Archivierung im Risikomanagement

Aufsichtsrechtliche Sonderfristen: GwG, PSD2 und Kreditentscheidung

Branchenspezifische Anforderungen: Energie, Leasing und B2B-Handel

1. Energieversorger (EnWG)

2. Leasinggeber

3. B2B-Handel (Rechnungskauf und Ratenkauf)

Sanktionen und Haftungsrisiken bei Verstößen

Passend dazu