BEG IV: Neues 8-Jahre-Gesetz beschleunigt Personalakten-Vernichtung

Deutsche Unternehmen müssen bis Mittwoch ihre Dokumente nach neuen, kürzeren Aufbewahrungsfristen vernichten. Grund ist das vollständige Inkrafttreten des Bürokratieentlastungsgesetzes IV (BEG IV) zum Jahreswechsel, das spezifische Aufbewahrungsfristen von zehn auf acht Jahre verkürzt. Gleichzeitig verschärft das neue NIS2-Umsetzungsgesetz die Sicherheitsanforderungen an die Löschung. Für Compliance-Verantwortliche beginnt ein dreitägiger Endspurt.

Erstmals seit Jahrzehnten wurde die starre Zehnjahresfrist für Buchungsbelege gekappt. Das BEG IV, das Ende 2024 verkündet wurde und nun voll greift, reduziert die Aufbewahrungspflicht für Belege wie Rechnungen oder Kontoauszüge in Personalakten auf acht Jahre. Das schafft eine einzigartige Situation für die aktuelle Vernichtungsrunde: Unternehmen können Buchungsbelege aus dem Jahr 2017 bereits nach dem 31. Dezember 2025 vernichten. Bislang wären diese Dokumente bis Ende 2027 aufzubewahren gewesen.

„Die Verkürzung auf acht Jahre ist ein zweischneidiges Schwert für Compliance-Teams“, analysieren Steuerexperten. „Sie senkt zwar die Lagerkosten, erfordert aber eine sofortige Aktualisierung automatisierter Löschroutinen.“ Systeme, die auf einen starren Zehnjahreszyklus programmiert sind, bewahren Daten nun unnötig lang auf – was einen Verstoß gegen den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 e DSGVO) darstellen kann.

Unternehmen stehen jetzt vor einer gewaltigen Aufräumaufgabe: Welche Unterlagen dürfen Sie vernichten, welche müssen Sie behalten? Unsere kostenlose Übersicht listet alle relevanten Aufbewahrungsfristen 2024/2025 übersichtlich nach Dokumententyp (Buchungsbelege, Handelsbriefe, Personalakten) und erklärt, wie Sie Legal Holds, Löschprotokolle und DSGVO-Fallen rechtskonform handhaben. Zusätzlich gibt es eine prüfungssichere Vorlage für Ihr Löschprotokoll – ideal für Datenschutzbeauftragte, HR und Compliance-Teams, die bis Mittwoch handeln müssen. Kostenlose Aufbewahrungsfristen-Checkliste herunterladen

Was 2025 vernichtet werden muss

Datenschutzbeauftragte müssen in dieser Woche Akten nach drei verschiedenen Fristen trennen. Folgender Vernichtungsplan gilt für Aufbewahrungsfristen, die am 31. Dezember 2025 enden:

• 10-Jahres-Frist (Ursprungsjahr 2015):
  Jahresabschlüsse, Eröffnungsbilanzen und Personalakten, die für die Gewinnermittlung relevant sind, müssen nach Fristablauf sicher vernichtet werden.

• Neue 8-Jahres-Frist (Ursprungsjahr 2017):
  Buchungsbelege und Rechnungen können dank BEG IV nun zwei Jahre früher als geplant gelöscht werden.

• 6-Jahres-Frist (Ursprungsjahr 2019):
  Handelsbriefe, Lohnkonten und Gehaltsunterlagen, die nicht als Buchungsbelege gelten, sind zur Vernichtung fällig. Dazu zählt etwa Korrespondenz zu Vertragsverhandlungen aus dem Jahr 2019.

• 3-Jahres-Frist (Ursprungsjahr 2022):
  Standard-Personalakten von Mitarbeitern, die das Unternehmen 2022 verlassen haben, müssen nach Ablauf der regulären Verjährungsfrist (§ 195 BGB) gelöscht werden.

NIS2 verschärft die Sicherheitsvorgaben

Die diesjährige Vernichtungsfrist fällt in eine Phase verschärfter regulatorischer Anforderungen. Das NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Deutschland in Kraft trat, erweitert die Cybersicherheitspflichten auf rund 30.000 zusätzliche Unternehmen.

Für Personalabteilungen bedeutet NIS2: Die Methode der Vernichtung ist genauso wichtig wie der Zeitpunkt. Ein einfaches Verschieben von Dateien in den digitalen Papierkorb genügt nicht. „Der Löschvorgang selbst muss irreversibel und dokumentiert sein“, warnt ein Branchenratgeber. Für physische Akten gelten die Sicherheitsstufen DIN 66399 (typischerweise P-4 oder höher für sensible Daten). Digitale Dateien erfordern kryptografisches Löschen oder Überschreibverfahren, die eine forensische Wiederherstellung unmöglich machen.

Zudem deuten sich durch das EU-Gesetzespaket „Digitaler Omnibus“ weitere Änderungen an. Die geplanten Anpassungen der DSGVO zielen darauf ab, die Regeln mit dem KI-Gesetz (AI Act) zu harmonisieren – besonders bei der Frage, wie lange Mitarbeiterdaten zu „Trainingszwecken“ in internen KI-Systemen gespeichert werden dürfen. Experten raten Unternehmen, die HR-Analyse-Software nutzen, besonders vorsichtig mit Personaldaten aus dem Jahr 2022 umzugehen, wenn sie nur für algorithmisches Training ohne ausdrückliche Einwilligung genutzt werden.

Vorsicht vor der „Daten-Falle“

Trotz klarer Fristen warnen Experten vor wahllosem Akten-Schreddern. Die Ausnahme des „Legal Hold“ bleibt eine häufige Fehlerquelle. Wurde vor dem 31. Dezember 2025 eine Klage eines ehemaligen Mitarbeiters erhoben oder eine Steuerprüfung angekündigt, müssen die relevanten Akten unabhängig von ihrem Alter gesperrt bleiben.

Zudem verwischt in Personalakten oft die Grenze zwischen „Handelsbriefen“ (6 Jahre) und „Buchungsbelegen“ (8 Jahre). Eine Reisekostenabrechnung von 2017 ist ein Buchungsbeleg (jetzt vernichten). Ein Genehmigungsschreiben für diese Dienstreise von 2017 ist ein Handelsbrief (Frist endete bereits 2023). Diese retrospektive Bereinigung ist entscheidend. Die Aufbewahrung von Korrespondenz aus dem Jahr 2017 könnte heute einen DSGVO-Verstoß darstellen – es sei denn, es liegt eine spezifische Aufbewahrungsbegründung vor.

Unternehmen wird geraten, für alle bis Mittwoch abgeschlossenen Löschvorgänge ein Löschprotokoll zu erstellen. Es dient als essenzieller Nachweis für die Compliance, falls Wirtschaftsprüfer oder die Datenschutzaufsichtsbehörde im neuen Jahr anfragen.

PS: Bevor Sie jetzt Akten schreddern, prüfen Sie genau, welche Dokumente tatsächlich entbehrlich sind und wie Sie Vernichtung sicher dokumentieren. Diese praxisorientierte Checkliste erklärt Schritt für Schritt, welche Belege 8, 6 oder 3 Jahre aufbewahrt werden müssen, wie Sie eindeutige Löschgründe festhalten und ein prüfungssicheres Löschprotokoll erstellen. So vermeiden Sie Bußgelder, Nachfragen von Wirtschaftsprüfern oder Datenschutzbehörden. Jetzt die Vernichtungs-Checkliste kostenlos sichern