Zum Jahresende wird aufgeräumt: Lager, Ablage, Schreibtisch. Das Formular-Postfach der Website gehört dazu, denn dort treffen zwei Pflichten aufeinander. Die eine verlangt, Geschäftsbriefe sechs Jahre aufzuheben. Die andere verlangt, personenbezogene Daten nicht länger zu speichern, als der Zweck es erfordert. Für den Jahreswechsel 2026/2027 heißt das konkret: Handels- und Geschäftsbriefe, die 2020 eingegangen oder verschickt worden sind, dürfen in der Regel ab dem 1. Januar 2027 vernichtet werden, sofern keine Ablaufhemmung greift. Und Anfragen, aus denen kein Geschäft wurde, haben in der Ablage meist schon lange nichts mehr verloren. Dieser Beitrag zeigt, wie Sie beides auseinanderhalten, wo die Kopien einer Anfrage tatsächlich liegen und wie eine Jahresend-Routine aussieht, die sich als fester Termin im Dezember einplanen lässt. Er ersetzt keine Steuerberatung, sondern ordnet die Regeln so, dass Sie dort die richtigen Fragen stellen können.
Warum der 31. Dezember über Anfragen entscheidet
Aufbewahrungsfristen für Geschäftsunterlagen laufen nicht ab dem Tag, an dem ein Schreiben eingeht, sondern ab dem Jahresende.
Die Frist beginnt nach Paragraf 257 Absatz 5 HGB (Handelsgesetzbuch) „mit dem Schluß des Kalenderjahrs“, in dem der Handelsbrief empfangen oder abgesandt worden ist; Paragraf 147 Absatz 4 AO (Abgabenordnung) regelt dasselbe für das Steuerrecht. Die Dauer steht jeweils einen Absatz davor: Empfangene Handelsbriefe und Wiedergaben der abgesandten sind sechs Jahre (Paragraf 257 Absatz 4 HGB) aufzubewahren, Buchungsbelege wie Rechnungen acht Jahre, Handelsbücher, Inventare und Jahresabschlüsse zehn Jahre; die Abgabenordnung nennt dieselben Zahlen (Paragraf 147 Absatz 3 AO). Daraus ergibt sich eine einfache Rechnung: Ein Geschäftsbrief vom März 2020 und einer vom Dezember 2020 haben denselben Fristbeginn, den Schluss des Jahres 2020. Mit Ablauf des 31. Dezember 2026 endet die Frist für beide, der ganze Jahrgang wird in der Regel ab dem 1. Januar 2027 frei. Diese Bündelung ist der Grund, warum sich das Aufräumen zum Jahreswechsel lohnt: Ein fester Termin genügt, um einen vollständigen Jahrgang zu prüfen, statt jeden Vorgang einzeln nachzurechnen.
Das „in der Regel“ ist kein Höflichkeitsvorbehalt. Paragraf 147 Absatz 3 Satz 5 AO hält die Frist an: „Die Aufbewahrungsfrist läuft jedoch nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für welche die Festsetzungsfrist noch nicht abgelaufen ist“. Diese Festsetzungsfrist beträgt in der Regel vier Jahre (Paragraf 169 Absatz 2 AO). Ist eine Steuererklärung abzugeben, beginnt sie erst mit Ablauf des Jahres, in dem die Erklärung eingereicht wird, spätestens mit Ablauf des dritten Jahres nach Entstehung der Steuer (Paragraf 170 Absatz 2 AO). Ein Beispiel: Wurde die Erklärung für 2020 erst 2023 abgegeben, läuft die Festsetzungsfrist bis zum Ende des Jahres 2027. Unterlagen aus 2020, die für diese Steuer von Bedeutung sind, bleiben dann ein weiteres Jahr in der Ablage. Ob das im eigenen Betrieb zutrifft, weiß die Steuerberatung, die Erklärungen und Bescheide kennt.
Der Satz, der so nicht stimmt
Zwei Pflichten, die in entgegengesetzte Richtungen ziehen
Auf der anderen Seite steht die Datenschutz-Grundverordnung.
Personenbezogene Daten müssen „in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“ (Artikel 5 Absatz 1 Buchstabe e DSGVO). Das ist der Grundsatz der Speicherbegrenzung. Artikel 17 Absatz 1 Buchstabe a DSGVO macht daraus eine Löschpflicht, sobald die Daten für ihren Zweck „nicht mehr notwendig“ sind. Eine Kontaktanfrage hat ihren Zweck in der Regel erfüllt, wenn sie beantwortet ist und kein Geschäft folgt. Dass im Postfach noch Platz ist, macht aus ihr keinen Fall für die Ablage.
Wo beide Regeln dieselbe Anfrage betreffen, setzt sich die Aufbewahrungspflicht durch, aber nur so weit, wie sie reicht. Artikel 17 Absatz 3 Buchstabe b DSGVO nimmt die Löschpflicht zurück, soweit die Verarbeitung „zur Erfüllung einer rechtlichen Verpflichtung“ erforderlich ist, die das Recht eines Mitgliedstaats vorschreibt. Die Paragrafen 257 HGB und 147 AO sind solche Verpflichtungen. Daraus folgt zweierlei: Was als Geschäftsbrief aufzubewahren ist, bleibt bis zum Fristende, auch wenn die anfragende Person die Löschung verlangt. Und was keine Aufbewahrungspflicht trägt, fällt unter die Speicherbegrenzung und wird gelöscht, sobald es nicht mehr gebraucht wird. Ein „vorsorglich alles behalten“ sieht nach Sorgfalt aus, ist aber gerade das, was die Verordnung vermeiden will.
Wie die Verordnung sich das in der Praxis vorstellt, steht in ihren Erwägungsgründen: „Um sicherzustellen, dass die personenbezogenen Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen.“ (Erwägungsgrund 39 DSGVO). Eine feste Prüfung zum Jahresende ist genau eine solche regelmäßige Überprüfung. Wer sie mit Datum und Ergebnis festhält, hat nebenbei einen Beleg für die Rechenschaftspflicht aus Artikel 5 Absatz 2 DSGVO, nach der der Verantwortliche die Einhaltung der Grundsätze „nachweisen können“ muss. Ins Verzeichnis von Verarbeitungstätigkeiten gehören nach Artikel 30 Absatz 1 Buchstabe f DSGVO, wenn möglich, „die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien“. Für Website-Anfragen sind das mindestens zwei Zeilen: Anfragen mit Auftrag und Anfragen ohne Auftrag.
Wann eine Anfrage zum Geschäftsbrief wird
Das Handelsgesetzbuch verpflichtet jeden Kaufmann, die empfangenen Handelsbriefe und die Wiedergaben der abgesandten geordnet aufzubewahren (Paragraf 257 Absatz 1 HGB, Nummern 2 und 3).
Was ein Handelsbrief ist, grenzt Absatz 2 knapp ab: „Handelsbriefe sind nur Schriftstücke, die ein Handelsgeschäft betreffen.“ Das Wort „nur“ ist die wichtigste Einschränkung für Website-Anfragen. Eine Nachricht, die nach Öffnungszeiten fragt, eine Werbeleistung anbietet oder schlicht falsch zugestellt wurde, betrifft kein Handelsgeschäft des Betriebs. Eine Anfrage, auf die ein Angebot und ein Auftrag folgen, gehört dagegen zum Schriftverkehr dieses Geschäfts. Sie ist oft der erste Brief der Akte, weil in ihr steht, was der Kunde wollte.
Das HGB gilt dabei nur für Kaufleute. „Kaufmann im Sinne dieses Gesetzbuchs ist, wer ein Handelsgewerbe betreibt.“ (Paragraf 1 Absatz 1 HGB). Ein Handelsgewerbe liegt nicht vor, wenn das Unternehmen nach Art oder Umfang keinen in kaufmännischer Weise eingerichteten Geschäftsbetrieb erfordert (Paragraf 1 Absatz 2 HGB). Kleine Gewerbebetriebe dieser Art fallen deshalb in der Regel nicht unter Paragraf 257 HGB, ebenso wenig Freiberufler, die kein Gewerbe betreiben. Anders die GmbH: Sie gilt als Handelsgesellschaft (Paragraf 13 Absatz 3 GmbHG), und für Handelsgesellschaften gelten die Vorschriften über Kaufleute (Paragraf 6 Absatz 1 HGB), unabhängig von der Größe.
Wer nicht unter das HGB fällt, ist damit nicht ohne Weiteres entlastet. Paragraf 147 AO verlangt die Aufbewahrung empfangener und abgesandter „Handels- oder Geschäftsbriefe“ für das Steuerrecht, und steuerliche Aufzeichnungspflichten ergeben sich nach den Grundsätzen des Bundesministeriums der Finanzen nicht nur aus dem Handelsrecht, sondern auch aus Einzelsteuergesetzen wie Paragraf 22 UStG oder Paragraf 4 Absatz 3 Satz 5 EStG (GoBD, Randziffer 4). Für den Alltag hilft die Sicht der Finanzverwaltung auf E-Mails, denn eine Formularanfrage kommt in den meisten Betrieben als Mail an. Die GoBD stellen nicht auf die Bezeichnung ab, sondern auf Inhalt und Funktion: „So sind beispielsweise E-Mails mit der Funktion eines Handels- oder Geschäftsbriefs oder eines Buchungsbelegs in elektronischer Form aufbewahrungspflichtig.“ (GoBD, Randziffer 121). Eine Mail, die nur als „Transportmittel“ dient und darüber hinaus nichts Aufbewahrungspflichtiges enthält, ist es dagegen nicht. Für eine Website-Anfrage zählt also nicht der Weg, auf dem sie kam, sondern die Funktion, die sie für ein Geschäft hat.
Tabelle waagerecht wischen
| Verlauf der Anfrage | Einordnung in der Regel | Frist | Zum Jahresende |
|---|---|---|---|
| Frage beantwortet, kein Angebot, kein Auftrag | kein Geschäftsbrief, Zweck erfüllt | keine Aufbewahrungspflicht | löschen, auch im Postfach |
| Angebot verschickt, kein Auftrag | nicht eindeutig geregelt | Linie mit der Steuerberatung festlegen | nach der festgelegten Linie behandeln |
| Anfrage führt zum Auftrag | Teil des Schriftverkehrs zum Geschäft | sechs Jahre ab Schluss des Eingangsjahrs | in der Auftragsakte ablegen |
| Rechnung zum Auftrag | Buchungsbeleg | acht Jahre ab Schluss des Jahres | liegt in der Buchhaltung, nicht im Formular-Postfach |
| Bewerbung über das Kontaktformular | eigener Vorgang | eigene Fristen nach dem Verfahren | in den Bewerbungsprozess überführen |
| Werbung, Irrläufer, Spam | kein Geschäftsbrief | keine | sofort löschen |
Die zweite Zeile ist die einzige, die eine Entscheidung verlangt. Ein verschicktes Angebot betrifft ein mögliches Geschäft; ob es auch ohne Auftrag als Geschäftsbrief zählt, beantwortet der Gesetzestext nicht ausdrücklich. Vertretbar sind zwei Linien: solche Angebote vorsorglich mit aufzubewahren oder sie nach einer festen Nachfrist zu löschen. Wichtig ist, dass der Betrieb eine Linie wählt, sie einheitlich anwendet und im Löschkonzept festhält. Nicht aufbewahren müssen Sie nach den GoBD jedenfalls „reine Entwürfe von Handels- oder Geschäftsbriefen, sofern diese nicht tatsächlich abgesandt wurden“ (GoBD, Randziffer 5). Das halb fertige Angebot im Entwurfsordner gehört also nicht in die Sechsjahresablage.
Drei Fragen an die Steuerberatung
Was XICflow von selbst löscht und was nicht
Wer seine Website mit XICflow betreibt, findet eingehende Anfragen im Bereich „Anfragen“ mit den Status „Neu“, „Gelesen“ und „Archiviert“.
Die Aufbewahrung ist dort bewusst kurz gehalten: „Voreingestellt bleiben Anfragen 180 Tage gespeichert. Danach werden sie automatisch und endgültig gelöscht — auch die archivierten.“ (XICflow-Dokumentation). Die Liste zeigt die 500 neuesten Eingänge; ältere erreichen Sie über den CSV-Export, der bis zu 5.000 Einträge umfasst, mit den neuesten beginnt und archivierte Einträge einschließt (XICflow-Dokumentation). In der Datei steht der Status als „new“, „read“ oder „archived“, das Datum als Jahr-Monat-Tag mit Uhrzeit. Wie die Anfragen im Dashboard ankommen und je Website verwaltet werden, beschreibt die Dokumentation zu Anfragen und Team.
Diese Voreinstellung ist die Datenschutzseite der Rechnung. Artikel 25 Absatz 2 DSGVO verlangt Voreinstellungen, die nur das Erforderliche verarbeiten, und nennt dabei ausdrücklich auch die Speicherfrist. Für die Aufbewahrungsseite folgt daraus eine Aufgabe, die leicht übersehen wird: 180 Tage sind deutlich kürzer als die handels- und steuerrechtliche Frist für Geschäftsbriefe. Eine Anfrage aus dem Mai ist Ende November nicht mehr in der Liste, auch wenn aus ihr ein Auftrag geworden ist. Wer erst im Dezember die Aufträge des Jahres zusammenträgt, findet dort keine Anfrage mehr, die vor Juni eingegangen ist. Die Archivkopie entsteht deshalb sinnvollerweise, wenn der Auftrag kommt, spätestens aber einmal im Quartal per Export. Was Sie länger behalten möchten, sichern Sie laut Dokumentation „rechtzeitig über den CSV-Export“ (XICflow-Dokumentation).
Die automatische Löschung betrifft nur die Liste in XICflow. Sobald Benachrichtigungen eingeschaltet sind, entsteht eine zweite Sammlung im Postfach: „Damit Sie nicht regelmäßig nachsehen müssen, schickt XICflow jede neue Anfrage per E-Mail weiter.“ (XICflow-Dokumentation). Die Benachrichtigung enthält Name, E-Mail, Telefon, Nachricht und alle eigenen Felder. Ist keine eigene Benachrichtigungsadresse eingetragen, geht sie an die E-Mail-Adresse aus den Unternehmensangaben der Website. Diese Mails bleiben, bis jemand sie löscht. Dasselbe gilt für Antworten im Gesendet-Ordner und für Kopien, die per Webhook an eine Branchensoftware weitergereicht werden; wie das abgesichert funktioniert, zeigt der Beitrag Anfragen automatisch an die Branchensoftware weiterreichen. Die Jahresend-Routine setzt deshalb dort an, wo die Kopien liegen, nicht nur dort, wo das Original eingegangen ist.
Liste in XICflow
Status Neu, Gelesen und Archiviert. Voreingestellt nach 180 Tagen ab Eingang automatisch gelöscht, archivierte Einträge eingeschlossen.
Benachrichtigungsmail
Eine Mail je Anfrage mit allen Feldern. Sie bleibt im Postfach, bis sie gelöscht wird, auch in Verteilern und bei Kolleginnen und Kollegen.
Gesendet-Ordner
Antworten zitieren die Anfrage oft vollständig. Bei Aufträgen sind sie Wiedergaben abgesandter Geschäftsbriefe, sonst Kopien ohne Zweck.
CSV-Dateien
Jeder Export enthält alle gespeicherten Anfragen, nicht nur die mit Auftrag. Alte Exporte auf dem Desktop unterlaufen die Löschung.
Weitergereichte Kopien
Per Webhook übertragene Anfragen liegen in der empfangenden Software und folgen deren Löschregeln, nicht denen der Website.
Kontoexport
„Meine Daten exportieren“ enthält die Anfragen aller Websites des Kontos. Wer ihn zieht, verwaltet damit eine weitere Kopie.
Die Jahresend-Routine in sieben Schritten
- Aufträge des Jahres abgleichen. Prüfen Sie, ob jede Anfrage, aus der 2026 ein Auftrag wurde, in der Auftragsakte liegt. Was fehlt, holen Sie aus dem Postfach oder, solange die 180 Tage nicht um sind, aus einem aktuellen CSV-Export.
- Export ziehen und eingrenzen. Laden Sie den CSV-Export, übernehmen Sie die Zeilen der Aufträge in die Ablage und löschen Sie die Datei danach. Ein vollständiger Export, der jahrelang auf einem Rechner liegt, ist eine Sammlung ohne Zweck.
- Original festlegen. Bestimmen Sie, welche Fassung als Geschäftsbrief gilt, und legen Sie sie in einen Archivordner, der nicht automatisch geleert wird.
- Postfach aufräumen. Löschen Sie Benachrichtigungen und Antworten zu Anfragen ohne Auftrag, deren Zweck erfüllt ist, einschließlich Gesendet-Ordner, Papierkorb und Verteiler-Kopien.
- Jahrgang 2020 prüfen. Klären Sie mit der Steuerberatung, ob für 2020 noch Festsetzungsfristen offen sind. Wenn nicht, werden die Geschäftsbriefe dieses Jahrgangs in der Regel ab dem 1. Januar 2027 vernichtet.
- Weitergereichte Kopien einbeziehen. Prüfen Sie Branchensoftware, Kontoexporte und Arbeitsordner auf Anfragen ohne Auftrag.
- Ergebnis festhalten. Notieren Sie Datum, Umfang und zuständige Person, und passen Sie die Löschfristen im Verzeichnis von Verarbeitungstätigkeiten an, falls sich etwas geändert hat.
Die Reihenfolge ist wichtig: erst sichern, was bleiben muss, dann löschen, was gehen darf. Wer umgekehrt vorgeht, verliert im schlechtesten Fall genau die Anfrage, die zu einem Auftrag gehört. Als Termin eignet sich die zweite Dezemberhälfte, wenn das Jahr fast abgeschlossen ist, und zuständig ist eine benannte Person. Ein Detail aus der Rechteverwaltung gehört dazu: In XICflow darf jedes Teammitglied Anfragen ansehen und exportieren, auch die Rolle „Betrachter“; den Status ändern oder löschen dürfen „Bearbeiter“ und höher (XICflow-Dokumentation). Das ist für die tägliche Arbeit praktisch, bedeutet aber, dass Exporte an mehreren Stellen entstehen können. Legen Sie deshalb fest, wo Exporte gespeichert werden, und nehmen Sie diesen Ort in die Routine auf. Für den Jahresplan reicht eine Vorlage wie die folgende, die Sie einmal mit der Steuerberatung abstimmen und danach jedes Jahr wiederverwenden.
Kategorie Frist Ort Zuständig
Anfrage ohne Auftrag Zweck erfüllt: löschen Postfach, XICflow [Name]
Angebot ohne Auftrag [Linie mit der Steuerberatung] Postfach, Angebote [Name]
Anfrage mit Auftrag 6 Jahre ab Ende des Eingangsjahrs Auftragsakte [Name]
Rechnung zum Auftrag 8 Jahre ab Ende des Belegjahrs Buchhaltung [Name]
CSV-Exporte nach der Übernahme löschen [Speicherort] [Name]
Prüftermin: jährlich, zweite Dezemberhälfte
Export der Aufträge: bei Auftragseingang, spätestens quartalsweise
Nachweis: Datum, Umfang, PersonDie Archivkopie im richtigen Format
Wird eine Anfrage zum Geschäftsbrief, gelten für ihre Aufbewahrung die Ordnungsvorschriften.
Elektronisch aufbewahren ist zulässig, wenn die Wiedergabe mit dem empfangenen Brief bildlich übereinstimmt und während der Frist jederzeit verfügbar ist, unverzüglich lesbar gemacht und maschinell ausgewertet werden kann (Paragraf 147 Absatz 2 AO). Die GoBD werden deutlicher: Elektronisch eingegangene aufbewahrungspflichtige Unterlagen sind „auch in dieser Form aufzubewahren und dürfen vor Ablauf der Aufbewahrungsfrist nicht gelöscht werden“ (GoBD, Randziffer 119). Ein Ausdruck allein genügt dann nicht, und eine Umwandlung, bei der Informationen verloren gehen, ebenso wenig.
Für Website-Anfragen ergibt sich daraus eine praktische Arbeitsteilung. Wird der Vorgang über die Benachrichtigungsmail bearbeitet, ist sie das Dokument, mit dem der Betrieb tatsächlich gearbeitet hat; sie bietet sich deshalb als Original an und bleibt im ursprünglichen Format im Archivordner der Auftragsakte. Die Zeile aus dem CSV-Export dient als durchsuchbares Verzeichnis: Datum, Status, Name und Nachricht in einer Tabelle, die sich nach Jahrgang sortieren lässt. Wann ein Jahrgang frei wird, steht dann in einer einzigen Spalte. Welche Fassung im eigenen Betrieb als Original gilt, legen Sie einmal fest und halten es in der Verfahrensdokumentation fest. Die Sicherung des Archivordners gehört in denselben Plan wie die Sicherung der Website, den der Beitrag Website sichern: Backup und Wiederherstellung im Ernstfall beschreibt.
Löschwünsche und Auskunft unter dem Jahr
Nicht alles wartet bis Dezember. Verlangt jemand die Löschung seiner Anfrage, prüfen Sie zuerst, ob eine Aufbewahrungspflicht besteht.
Ohne Auftrag ist das in der Regel nicht der Fall; dann genügt in XICflow „Löschen“ am Eintrag, und der Datensatz ist danach vollständig entfernt (XICflow-Dokumentation). Benachrichtigungsmail und Antworten im Postfach löschen Sie im selben Zug, sonst bleibt ausgerechnet die Kopie, die am längsten lebt. Wurde aus der Anfrage ein Auftrag, bleibt der Geschäftsbrief bis zum Fristende; teilen Sie der Person mit, warum und bis wann. Wie eine Auskunft über gespeicherte Daten vollständig und fristgerecht beantwortet wird, steht im Beitrag Auskunftsersuchen nach DSGVO richtig beantworten. Bewerbungen, die über dasselbe Formular eingehen, wandern in den Bewerbungsprozess und folgen dessen eigenen Fristen, die der Beitrag Bewerbungen online annehmen: Felder, Fristen, Löschen erklärt. Saisonale Gruppenanfragen, etwa für Weihnachtsfeiern im Restaurant, werden dagegen oft in kurzer Zeit zu Aufträgen. Für sie gilt dieselbe Frage wie für jede andere Anfrage: Ist daraus ein Geschäft geworden?
Ein Kalender für das nächste Jahr
Am Ende steht ein kleiner Kalender, der die Arbeit über das Jahr verteilt. Bei Auftragseingang wandert die Anfrage in die Auftragsakte, einmal im Quartal folgt ein Export, damit nichts an der 180-Tage-Grenze verloren geht.
In der zweiten Dezemberhälfte läuft die Routine aus sieben Schritten, und Anfang Januar wird der Jahrgang vernichtet, dessen Frist am 31. Dezember geendet hat: 2027 ist das in der Regel der Jahrgang 2020, ein Jahr später der Jahrgang 2021. Für Websites, die mit XICflow betrieben werden, ist ein Teil davon schon eingebaut: Die Liste räumt nach 180 Tagen selbst auf, der CSV-Export liefert die Tabelle, aus der Sie die Auftragszeilen übernehmen, und die Datenschutzerklärung, die XICflow für jede Website erzeugt, enthält den Hinweis auf die Verarbeitung der Formulardaten. Welche Frist für die Aufträge des eigenen Betriebs gilt, bleibt eine Entscheidung, die Sie mit Ihrer Steuerberatung treffen. Wie Anfragen im Dashboard ankommen, zeigt die Übersicht der Leistungen, den Weg vom Briefing zur fertigen Website beschreibt So funktioniert es, und wer die Formulare seiner Website grundsätzlich prüfen möchte, findet im Beitrag Vom Besuch zur Anfrage: Kontaktformulare richtig aufsetzen die Punkte von der Feldauswahl bis zur Reaktionszeit.
Was am 1. Januar zählt