DSGVO und SEPA-Mandatsaufbewahrung: Was aufbewahren und wie lange
Die Aufbewahrung von SEPA-Mandaten unterliegt zwei Rechtsrahmen gleichzeitig: der SEPA-Verordnung EU 260/2012 (mindestens 14 Monate nach dem letzten Einzug) und der Datenschutz-Grundverordnung (DSGVO) (Grundsatz der Speicherbegrenzung und Rechenschaftspflicht).
Kurzübersicht
Das Mandat (Original-Unterschrift oder elektronische Signatur) muss mindestens 14 Monate nach dem letzten Einzug aufbewahrt werden. Die DSGVO verlangt die Begründung der Rechtsgrundlage und die Möglichkeit für den Schuldner, sich abzumelden.
SEPA-Aufbewahrungspflichten
| Situation | Mindestfrist |
|---|---|
| Mandat aktiv | Gesamte Laufzeit |
| Nach dem letzten Einzug | 14 Monate |
| Steuerprüfung (HGB/AO) | 10 Jahre (Handelsbücher) |
| Allgemeine Geschäftsunterlagen | 6 Jahre |
Die SEPA-14-Monate-Frist ist das operative Minimum; steuerrechtliche Pflichten überwiegen in der Praxis.
DSGVO-Anforderungen
Rechtsgrundlage
Die Verarbeitung von Schuldnerdaten (Name, IBAN, Unterschrift) im Mandat stützt sich auf: - Art. 6(1)(b) DSGVO: Vertragserfüllung — der Einzug setzt das Mandat voraus. - Art. 6(1)(c) DSGVO: Rechtliche Verpflichtung — SEPA-Verordnung und Steuergesetze.
Speicherbegrenzung
Nach Ablauf aller gesetzlichen Fristen müssen Mandatsdaten gelöscht oder anonymisiert werden. Eine unbegrenzte Aufbewahrung ist unzulässig.
Informationspflicht
Schuldner müssen in der Datenschutzerklärung über die Mandatsdaten-Verarbeitung informiert werden, einschließlich: - Verarbeitungszweck. - Aufbewahrungsdauer. - Recht auf Auskunft, Berichtigung und Löschung.
Format und Nachvollziehbarkeit
Aufzubewahrende Unterlagen: - Ursprüngliches Mandat (Papier-Scan oder elektronische Kopie mit Hash). - Unterschriftsprotokoll (bei E-Mandaten: Datum, IP-Adresse, Methode). - Änderungsnachweise (Änderungen der UMR, IBAN oder GID).
Praktische Empfehlung
Richten Sie eine automatische Löschroutine ein, die: 1. Das Mandatsdatum und den letzten Einzug erfasst. 2. Nach 14 Monaten eine Überprüfung auslöst. 3. Mandatsdaten nach Ablauf aller anwendbaren Fristen anonymisiert.
Mit GenerateSEPA testen
Laden Sie eine Testdatei auf GenerateSEPA hoch und vergleichen Sie den Ablauf mit Ihrem aktuellen Setup. Validieren Sie immer mit unserem SEPA-XML-Validator.
Fazit
Es gibt keine universelle Antwort. Aber mit diesen Kriterien können Sie datenbasiert entscheiden – und gleichzeitig DSGVO-konform bleiben.
