Klientendaten-Aufbewahrung: Fristen für Betreuungsdienste nach DSGVO und SGB XI

Drei Fristen-Welten

1. Steuer- und handelsrechtliche Fristen

Die Fristen nach §147 AO und §257 HGB sind seit dem 1. Januar 2025 gestaffelt und betragen nicht mehr einheitlich zehn Jahre:

• 10 Jahre: Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte und die zugehörigen Organisationsunterlagen (§147 Abs. 1 Nr. 1 AO, §257 Abs. 1 Nr. 1 HGB).
• 8 Jahre: Buchungsbelege, also insbesondere Rechnungen und Quittungen, darunter Pflegekassen-Abrechnungen und Privatrechnungen (§147 Abs. 1 Nr. 4 AO, §257 Abs. 1 Nr. 4 HGB). Bis Ende 2024 galten hier zehn Jahre; die Verkürzung wurde durch das Vierte Bürokratieentlastungsgesetz eingeführt.
• 6 Jahre: empfangene und abgesandte Handels- und Geschäftsbriefe sowie sonstige für die Besteuerung bedeutsame Unterlagen, etwa Mahnungen und Geschäftskorrespondenz (§147 Abs. 1 Nr. 2, 3 und 5 AO, §257 Abs. 1 Nr. 2 und 3 HGB).

Die verkürzte Acht-Jahres-Frist gilt nach Art. 97 §19a Abs. 2 EGAO für alle Buchungsbelege, deren Aufbewahrungsfrist am 31. Dezember 2024 noch nicht abgelaufen war. Unabhängig davon endet keine Frist, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch läuft (§147 Abs. 3 Satz 3 AO). Eine längere Aufbewahrung von Buchungsbelegen ist deshalb im Einzelfall weiterhin möglich.

2. Sozialgesetzliche Fristen

Für Betreuungs- und Grundpflegeleistungen nach dem SGB XI ergeben sich die Vorgaben zur Pflegedokumentation aus den Landesrahmenverträgen nach §75 SGB XI. §§132 und 132a SGB V betreffen dagegen andere Bereiche: §132 SGB V regelt die Versorgung mit Haushaltshilfe, §132a SGB V die häusliche Krankenpflege (Behandlungspflege nach ärztlicher Anordnung). Wer beide Leistungsarten erbringt, muss die jeweiligen Vertragswerke getrennt prüfen.

Eine einheitliche Frist nennen diese Vertragswerke nicht. Je nach Vertrag werden 3 bis 5 Jahre als Mindestaufbewahrung genannt. In der Praxis empfiehlt sich wegen der sozialrechtlichen Verjährung eine längere Aufbewahrung abrechnungsrelevanter Unterlagen: Ansprüche auf Sozialleistungen verjähren nach §45 SGB I in vier Jahren nach Ablauf des Kalenderjahres, in dem sie entstanden sind. Die steuer- und handelsrechtlichen Fristen laufen ohnehin parallel und sind in der Regel die längeren.

3. DSGVO-Speicherbegrenzung

Art. 5 Abs. 1 e DSGVO: Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck nötig sind. Bei Klienten ohne aktive Betreuung: nicht-pflichtbewahrte Daten sollten gelöscht oder anonymisiert werden.

Praktische Umsetzung

In der Praxis hat sich ein dreistufiges Datenhaltungsmodell bewährt:

1. Aktiv (laufende Betreuung): volle Datenverfügbarkeit für Mitarbeiter
2. Archiv (bis zum Ablauf der jeweiligen Aufbewahrungsfrist): nur abrufbar bei Pflegekassen-Anfrage oder Prüfung durch den Medizinischen Dienst; restriktiver Zugriff
3. Gelöscht/Anonymisiert (nach Fristablauf): personenbezogene Daten gelöscht; statistische Daten ggf. anonym aufbewahrt

Weil die Fristen unterschiedlich lang sind, sollte das Archiv nach Unterlagenart getrennt geführt werden. Sonst wird der gesamte Bestand am längsten geltenden Datum ausgerichtet, was der Speicherbegrenzung nach Art. 5 Abs. 1 e DSGVO widerspricht.

Spezialfälle

Verstorbene Klienten

Die DSGVO gilt nach Erwägungsgrund 27 grundsätzlich nicht für Verstorbene; die Aufbewahrungsfristen nach AO und HGB laufen jedoch weiter. Daten dürfen also nicht sofort gelöscht werden. Erben oder Bevollmächtigte können unabhängig von der DSGVO zivil- oder erbrechtliche Auskunftsansprüche geltend machen, außerdem können ergänzende landesrechtliche Regelungen greifen. Eine Prüfung im Einzelfall ist empfehlenswert.

Beschwerden / Konflikte

Daten zu Beschwerden oder rechtlichen Konflikten sollten bis zum Ablauf der einschlägigen Verjährungsfrist aufbewahrt werden. Die regelmäßige zivilrechtliche Verjährungsfrist beträgt drei Jahre (§195 BGB); im Einzelfall können längere Fristen gelten. Eine pauschale Verlängerung um zehn Jahre über die ohnehin laufenden Fristen hinaus ist weder erforderlich noch mit der Speicherbegrenzung nach Art. 5 Abs. 1 e DSGVO vereinbar.

Was Software automatisieren sollte

• Reminder-System: Unterlagen, deren Aufbewahrungsfrist abläuft, getrennt nach 10-, 8- und 6-Jahres-Frist
• Ein-Klick-Lösch-Workflow mit Audit-Log
• Anonymisierung statt Löschung (für Statistik-Erhalt)
• Datenexport-Funktion für aktive Klienten. Das Auskunftsrecht nach Art. 15 DSGVO erfasst alle zur Person verarbeiteten Daten. Die Datenübertragbarkeit nach Art. 20 DSGVO steht dem Klienten selbst zu und greift enger: nur bei Verarbeitung auf Grundlage von Einwilligung oder Vertrag und nur mit automatisierten Verfahren. Innerhalb dieser Grenze reicht sie aber weiter, als das Wort „bereitgestellt“ vermuten lässt. Nach den Leitlinien WP242 rev.01 der Artikel-29-Datenschutzgruppe zählen dazu neben den Angaben des Klienten auch beobachtete Rohdaten aus der Nutzung, etwa aufgezeichnete Vitalwerte. Ausgenommen sind erst die daraus abgeleiteten Bewertungen; die Leitlinien nennen dafür ausdrücklich das Ergebnis einer Bewertung des Gesundheitszustands. Prüfen Sie den Export deshalb Feld für Feld: eine pauschale Ablehnung mit Verweis auf die eigene Dokumentation trägt nicht. Für Erben sind stattdessen zivil- und erbrechtliche Auskunftsansprüche zu prüfen.

Rechtsquellen

• §147 AO: Ordnungsvorschriften für die Aufbewahrung von Unterlagen, Staffelung der steuerlichen Aufbewahrungsfristen (10/8/6 Jahre) in Absatz 3.
• §257 HGB: Aufbewahrung von Unterlagen, Aufbewahrungsfristen, handelsrechtliche Parallelvorschrift, Fristen in Absatz 4.
• Art. 97 §19a EGAO: Aufbewahrungsfristen, Übergangsregelung zur verkürzten Acht-Jahres-Frist für Buchungsbelege.
• §75 SGB XI: Rahmenverträge auf Landesebene, Grundlage der Vertragswerke für Pflegeleistungen nach SGB XI.
• §132a SGB V: Versorgung mit häuslicher Krankenpflege, Verträge für Behandlungspflege nach ärztlicher Anordnung.
• §45 SGB I: Verjährung, vierjährige Verjährung von Ansprüchen auf Sozialleistungen.
• §195 BGB: Regelmäßige Verjährungsfrist, dreijährige Regelverjährung im Zivilrecht.
• Verordnung (EU) 2016/679 (DSGVO), amtliche Fassung auf EUR-Lex, Speicherbegrenzung nach Art. 5 Abs. 1 Buchstabe e, Erwägungsgrund 27 zu Daten Verstorbener.

Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Rechtsstand: September 2026. Verbindliche Auskünfte erteilen die zuständige Pflegekasse bzw. eine Rechts- oder Steuerberatung.