Daten, Datenschutz & Sicherheit › Aufbewahrungsfristen (§132 BAO)
Aufbewahrungsfristen (§132 BAO)
VorschriftTeilweise✓ Geprüft am Sat Sep 05 2026 02:00:00 GMT+0200 (Mitteleuropäische Sommerzeit)Rechnungen, Kassenbelege und alle steuerrelevanten Geschäftsfälle müssen sieben Jahre aufbewahrt werden, Registrierkassen-Daten sogar 22 Jahre. Das System löscht deshalb nie hart, sondern anonymisiert oder archiviert nur. Ein automatisches echtes Löschen nach Ablauf der Frist gibt es bisher nicht.
Bild folgt
Das Steuerrecht verlangt, dass Geschäftsunterlagen sieben Jahre nachvollziehbar bleiben; Daten der Registrierkasse sind mit 22 Jahren noch länger gebunden. Deshalb kennt das System für gewachsene Kundenakten kein echtes Löschen: Auf einen Löschwunsch hin werden Name, Telefon, E-Mail und Adresse überschrieben, während Aufträge, Rechnungen und Barbelege unverändert am nun namenlosen Datensatz hängen bleiben (DSGVO / Datenschutz). Wer nur kurzfristig etwas aus dem Blickfeld nehmen will, nutzt das Archiv — auch dort wird nichts gelöscht, sondern nur die Sicht gesperrt (Vault-Sichtbarkeitsregel (Hausregel 2)). Die Belege selbst liegen als Anhänge beim Auftrag (Dokumente, Prüfungen & Fotos), die Zahlungsseite in der Kassen- und Rechnungsablage (Rechnungen & Zahlungen). Barbelege dürfen nach ihrer Entstehung nicht mehr geändert werden: Eine Korrektur läuft immer über einen Stornobeleg, nie über ein Überschreiben (Registrierkasse (RKSV)). Was fehlt, ist der letzte Schritt: Nach Ablauf der sieben Jahre müsste ein Lauf die dann wirklich freien Datensätze entfernen — diesen Lauf gibt es bisher nur als Plan.
- Kunde verlangt vollständige Löschung, obwohl er schon Rechnungen hat → Nur anonymisieren. Die Steuerpflicht geht dem Löschanspruch vor, und das ist in der Datenschutz-Grundverordnung ausdrücklich so vorgesehen.
- Datenbank wächst und alte Akten stören → Nicht löschen, sondern archivieren. Die Sichtsperre nimmt sie aus allen Listen, ohne die Aufbewahrung zu verletzen.
- Steuerprüfung fragt nach einem Beleg aus dem Vorjahr → Der Beleg ist noch da, auch wenn der Kunde anonymisiert wurde; gesucht wird über den Auftrag, nicht über den Namen.
- Jahreswechsel steht an → Der Jahresbeleg der externen Kasse ist ein eigener, händischer Schritt beim Kassengerät und gehört ausgedruckt abgelegt.
Regelt
- Export-Center (BMD/DEP/Compos/Protokoll) Live
- DSGVO / Datenschutz Teilweise
- Registrierkasse (RKSV) Bewusst aus
- Rechnungsmerkmale (§11 UStG) Teilweise
Gehört zu
- DSGVO / Datenschutz Teilweise
- Rechnungsmerkmale (§11 UStG) Teilweise
Nutzt
- Vault-Sichtbarkeitsregel (Hausregel 2) Teilweise
Schützt
Genutzt von
- DSGVO-Aufbewahrungsfristen (Cron) Teilweise
- Wie lange bleiben die erzeugten Datenkopien eines Kunden-Datenexports liegen? Die eigene Doku verlangt ein Löschen nach sieben Tagen, ein gebauter Lauf dafür wurde nicht gefunden (zu prüfen).
- Der Jahresbeleg der externen Kasse muss gedruckt und sieben Jahre körperlich aufbewahrt werden. Ob das im Betrieb jedes Jahr passiert, sagt keine der gelesenen Quellen.
- docs/dsgvo-compliance.md
- lib/vault.ts
- docs/rksv-compliance.md
- MEM:austria-billing-compliance.md
| gesetz | §132 BAO (7 Jahre allgemein, RKSV-DEP 22 Jahre) |
|---|---|
| erfuellt | teilweise |
| nachweis | docs/dsgvo-compliance.md §5 |
| risiko | Vermischung von 'nie hart löschen' (Steuerpflicht) und 'DSGVO verlangt Löschung nach Zweckerfüllung' — aktuell zugunsten der Aufbewahrung gelöst (Anonymisierung), automatischer Hard-Delete nach Fristablauf fehlt |
| offen | quartalsweise DEP→WORM-Backup und CRM↔CompOS-Abgleich sind operative Owner-Checklistenpunkte, nicht Code (MEM:austria-billing-compliance) |
Beleg: docs/dsgvo-compliance.md Abschnitt 5: 'Hard-Delete für unverknüpfte Kunden ist aktuell nicht implementiert', 'Nach 7 Jahren: Hard-Delete via Cron' als Zukunftsplan markiert
Tiefer fragen
Kontext aus dem KFZ-Bozo-Handbuch
Knoten: comp-aufbewahrung (Vorschrift · Daten, Datenschutz & Sicherheit · teilweise · geprüft Sat Sep 05 2026 02:00:00 GMT+0200 (Mitteleuropäische Sommerzeit) @ 0f0406a1)
Kurz: Rechnungen, Kassenbelege und alle steuerrelevanten Geschäftsfälle müssen sieben Jahre aufbewahrt werden, Registrierkassen-Daten sogar 22 Jahre. Das System löscht deshalb nie hart, sondern anonymisiert oder archiviert nur. Ein automatisches echtes Löschen nach Ablauf der Frist gibt es bisher nicht.
Lies zuerst (Lesebereich, nicht der ganze Baum):
docs/dsgvo-compliance.md
lib/vault.ts
docs/rksv-compliance.md
MEM:austria-billing-compliance.md (Gedächtnisdatei außerhalb des Repos)
Hängt zusammen mit:
feat-export (app/admin/export/page.tsx) · comp-dsgvo (docs/dsgvo-compliance.md) · comp-ustg11 (MEM:austria-billing-compliance.md) · comp-vault (CLAUDE.md) · data-belege (lib/db/schema.ts) · comp-dsgvo (docs/dsgvo-compliance.md) · comp-rksv (docs/rksv-compliance.md) · comp-ustg11 (MEM:austria-billing-compliance.md)
Offene Fragen der Seite:
Wie lange bleiben die erzeugten Datenkopien eines Kunden-Datenexports liegen? Die eigene Doku verlangt ein Löschen nach sieben Tagen, ein gebauter Lauf dafür wurde nicht gefunden (zu prüfen).
Der Jahresbeleg der externen Kasse muss gedruckt und sieben Jahre körperlich aufbewahrt werden. Ob das im Betrieb jedes Jahr passiert, sagt keine der gelesenen Quellen.
Hausregel 2: Vault-Daten sind für diese Session unsichtbar; Quellpfade auf Vault-Code sind keine Freigabe.
Frage: {{DEINE FRAGE}}
Antworte nur mit Belegen: nenne Datei und Zeile für jede Aussage.
Wenn die Quellen die Frage nicht beantworten, sag das und nenne, was du zusätzlich lesen müsstest.
Weicht die Seite vom Code ab, schlage den Seiten-Patch vor (wiki/seiten/daten-recht-sicherheit/comp-aufbewahrung.md).