Wie lange darf ich Klientendaten aufbewahren?

Auf die Frage antworten die meisten mit einer Zahl — sieben Jahre, zehn Jahre. Beide Zahlen stimmen, aber nicht für dieselben Daten. Wer eine einzige Frist über alles legt, macht garantiert einen von zwei Fehlern: Er löscht Belege, die er noch braucht, oder er hebt Gesundheitsdaten auf, die längst weg sein müssten.

Warum laufen zwei Uhren gleichzeitig?

Die eine Uhr zwingt zum Aufbewahren: Steuer- und Handelsrecht wollen, dass Belege im Ernstfall noch da sind.

Die andere zwingt zum Löschen: Art. 5 Abs. 1 lit. e DSGVO — die Speicherbegrenzung — erlaubt eine Speicherung nur so lange, wie es für den Zweck erforderlich ist.

Die beiden widersprechen sich nicht, weil sie verschiedene Daten betreffen. Art. 17 Abs. 3 lit. b DSGVO nimmt Daten, für die eine rechtliche Aufbewahrungspflicht besteht, ausdrücklich vom Löschanspruch aus. Umgekehrt verlängert eine steuerliche Pflicht nichts, was kein Beleg ist.

Welche Frist gilt für welche Datenart?

Die letzte Zeile wird gern vergessen: Wer eine Anfrage bekommt und nie einen Vertrag schließt, hat nach kurzer Zeit keinen Zweck mehr. Sechs Monate sind eine gängige, gut begründbare Obergrenze.

Warum drei Jahre für die Trainingsdokumentation?

Weil die Verjährung von Schadenersatzansprüchen dort liegt. In Österreich beginnt die dreijährige Frist nach § 1489 ABGB mit der Kenntnis von Schaden und Schädiger, in Deutschland nach §§ 195, 199 BGB mit dem Schluss des Jahres, in dem der Anspruch entstanden ist.

Kommt es zum Streit über eine Verletzung im Training, ist die Dokumentation — welcher Plan, welche Gewichte, welche Hinweise — dein einziger Beleg. Sie aufzuheben liegt in deinem Interesse; die Rechtsgrundlage dafür ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f, nicht die Einwilligung. Damit überlebt sie auch einen Widerruf.

Das gilt für die Trainingsdokumentation, nicht für Fotos und Essenstagebuch. Die brauchst du für keinen Haftungsfall.

Was gehört in ein Löschkonzept?

Ein Blatt Papier genügt. Es beantwortet vier Fragen je Datenart:

1. Was wird gelöscht?
2. Wann — an welchem Ereignis hängt die Frist, und wie lange läuft sie?
3. Wo überall liegt es — System, Backup, Papier, Gerät?
4. Wer führt es aus, und wie wird es festgehalten?

Bewährt hat sich ein fester Termin einmal im Quartal statt einer Löschung im Einzelfall. Vier Termine im Jahr, je zwanzig Minuten, und die Rechenschaftspflicht aus Art. 5 Abs. 2 ist erfüllt — samt Nachweis.

Wie hältst du das ohne System durch?

Gar nicht, ehrlich gesagt. Verteilt über Tabelle, Kamerarolle und Chatverlauf ist eine Löschung nach Frist nicht durchführbar und erst recht nicht nachweisbar. Genau daran scheitern die meisten Löschkonzepte: nicht am Konzept, sondern an der Ablage. Warum der Messenger dabei der schwierigste Ort ist, steht in Darf ich Klientendaten über WhatsApp schicken?

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Klienten lassen sich dort archivieren statt löschen — archivierte zählen nicht mehr als aktiv, was auf der Startseite und in den häufigen Fragen genau definiert ist.

Darf ich Daten „für später" aufheben?

Nur mit einem eigenen Zweck und einer eigenen Grundlage. „Falls sie zurückkommt" ist kein Zweck — es ist eine Hoffnung. Zulässig wird es, wenn die Klientin ausdrücklich einwilligt, dass ihr Verlauf für einen benannten Zeitraum aufbewahrt wird, um bei einer Rückkehr daran anzuknüpfen.

Das ist keine Formalie, sondern ein Verkaufsargument: Wer beim Abschluss sagt, „dein Verlauf bleibt zwölf Monate liegen, wenn du willst — sonst ist er in dreißig Tagen weg", wirkt souverän statt bürokratisch.

Wie belegst du, dass du tatsächlich gelöscht hast?

Art. 5 Abs. 2 DSGVO dreht die Beweislast um: Du musst die Einhaltung der Grundsätze nachweisen, und dazu gehört die Speicherbegrenzung. Eine Löschung, die niemand festgehalten hat, ist im Streitfall keine.

Ein Löschprotokoll ist dafür ausreichend und schnell geführt. Vier Spalten genügen:

Zwei Feinheiten, die den Unterschied machen:

1. Keine personenbezogenen Daten im Protokoll selbst. Eine laufende Nummer statt des Namens — sonst legst du ausgerechnet dort eine neue Sammlung an, wo du eine auflösen wolltest.
2. Alle Orte nennen, nicht nur den Hauptspeicher. Die Löschung gilt erst als erledigt, wenn auch Kopien, Ausdrucke und Geräte erfasst sind. Genau deshalb ist eine verstreute Ablage so schwer zu bereinigen — siehe Google Drive und Dropbox für Klientendaten.

Ein Termin im Quartal, zwanzig Minuten, drei Zeilen im Protokoll. Das ist der gesamte Aufwand — und der einzige Beleg, der im Ernstfall zählt.

Fazit

Es gibt keine Frist für „Klientendaten", weil es die Datenart nicht gibt. Belege bleiben sieben bis zehn Jahre, die Trainingsdokumentation drei, Gesundheitsdaten gehen mit dem Ende der Betreuung. Wer diese drei Töpfe einmal trennt und einen Quartalstermin dafür setzt, hat die Frage beantwortet — dauerhaft. Der Gesamtzusammenhang steht in Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.

Hinweis: Dieser Beitrag gibt den Stand vom 20. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.