Fünf Jahre aufbewahren — und dann löschen: die unterschätzte Doppelpflicht des § 8 GwG

Bei „Aufbewahrungspflicht" denken die meisten an volle Ordner. Die eigentliche Pointe des § 8 GwG liegt aber am anderen Ende: Die Daten müssen auch wieder weg.

Die Regel

Verpflichtete zeichnen die im Rahmen der Sorgfaltspflichten erhobenen Angaben und eingeholten Informationen auf und bewahren sie fünf Jahre auf — die Vernichtung erfolgt spätestens nach zehn Jahren. Auch die AMLR sieht ab dem 10. Juli 2027 eine fünfjährige Aufbewahrung vor. Erfasst ist das ganze Sorgfaltsprogramm: Identifizierungen, Registerabgleiche, Screening-Ergebnisse, Risikoeinstufungen, Verdachtsmeldungs-Vorgänge.

Warum das Löschen Pflicht ist

Zwei Rechtsregime treffen sich hier: Das GwG setzt der Aufbewahrung eine Obergrenze — und die DSGVO verlangt ohnehin, personenbezogene Daten nicht länger zu speichern als nötig. Ausweisdaten und Prüfergebnisse ohne Rechtsgrundlage jahrelang weiter vorzuhalten ist kein Sicherheitsplus, sondern ein Datenschutzrisiko.

Woran es praktisch scheitert

• Kein Startdatum: Wer nicht dokumentiert, wann eine Geschäftsbeziehung endete, kann keine Frist rechnen.
• Verstreute Nachweise: Der Ausweis im Mailpostfach, das Screening im Download-Ordner — was verstreut liegt, wird weder auffindbar aufbewahrt noch zuverlässig gelöscht.
• Lösch-Absicht statt Lösch-Prozess: „Machen wir irgendwann" ist keine Antwort, die eine Prüfung besteht.

So sieht der saubere Prozess aus

Alle Nachweise an der Mandanten- bzw. Kundenakte, ein dokumentiertes Beziehungsende, automatisch laufende Fristen — und eine Löschung, die passiert, statt vorgenommen zu werden. Was in die Akte gehört, listet die CDD-Akten-Checkliste; wie der Prüfpfad das trägt, zeigt die Seite Prüfpfad & Aufbewahrung.

CompliDesk legt Aufbewahrung und Löschung als Produktfunktion an — fünf Jahre, dann weg, mit Protokoll. Kostenloser Frühzugang.