Wie lange darf ich Daten eines abgebrochenen Deals aufbewahren?

Nach geltendem spanischem Recht sind AML-Unterlagen grundsätzlich 10 Jahre aufzubewahren (Art. 25 Ley 10/2010); nach 5 Jahren ist der Zugriff auf interne Kontrollorgane und die Rechtsverteidigung beschränkt. Das gilt unabhängig davon, ob der Deal zustande kam. Ab dem 10. Juli 2027 gilt nach Art. 77 AMLR grundsätzlich eine kürzere, 5-jährige Frist ab Ende der Geschäftsbeziehung, Durchführung der gelegentlichen Transaktion oder Ablehnung des Vorgangs — eine zuständige Behörde kann im Einzelfall höchstens 5 weitere Jahre verlangen. Eine ausdrückliche Übergangsregel enthält die AMLR nur für am 10.07.2027 anhängige Verfahren; wie mit gewöhnlichen Altakten zu verfahren ist, ist noch zu klären. Auch das Verhältnis zur spanischen 10-Jahres-Frist und die Ausgestaltung des Übergangs sind offen.

Die Aufbewahrungspflicht knüpft an die Geschäftsbeziehung an, nicht an den erfolgreichen Abschluss. Ob ein abgebrochener Vorgang eine beendete Geschäftsbeziehung ist, hängt davon ab, ob überhaupt eine entstanden war. War sie es, läuft die Frist ab ihrer Beendigung; lief nur eine Identifizierung ohne Geschäftsbeziehung, fehlt der Anknüpfungspunkt des Art. 25.1 — und diese Frage ist nicht entschieden.

Die Fristen im Überblick:

Dazu drei Einordnungen:

• Altakten noch ungeklärt: Eine ausdrückliche Übergangsregel sieht die AMLR nur für am 10.07.2027 bereits anhängige Gerichtsverfahren vor (besondere 5-Jahres-Regel ab diesem Datum). Was für gewöhnliche Altakten gilt und wie Spanien den Übergang von 10 auf 5 Jahre ausgestaltet, ist offen; eine automatische Verkürzung der heutigen Frist ist daraus nicht abzuleiten.
• DSGVO-Konflikt: Die DSGVO (in Spanien die LOPD-GDD) verlangt die Löschung personenbezogener Daten, wenn der Zweck entfällt. Art. 17 DSGVO sieht eine Ausnahme für rechtliche Verpflichtungen vor — die jeweils geltende AML-Aufbewahrungspflicht ist eine solche Verpflichtung.
• Inhalt und Löschung: Aufbewahrt werden Name, Kontaktdaten, Kopien der ID-Dokumente, Korrespondenz und etwaige Verdachtsmeldungen. Nach Ablauf der jeweils geltenden Frist sind die Daten zu löschen oder zu anonymisieren, sofern keine behördlich angeordnete Verlängerung oder ein anhängiges Verfahren entgegensteht.

Rechtsgrundlage: Ley 10/2010, Art. 25, Art. 32 bis Abs. 2 (Zweckbindung); AMLR (EU 2024/1624), Art. 77, 90; LOPDGDD, Art. 15 (Recht auf Löschung, i.V.m. Art. 17 DSGVO)

Praxis-Tipp: Führen Sie separate Akten für abgebrochene Deals und halten Sie fest, ob eine Geschäftsbeziehung bestand — daran hängt die Frist. Eine automatische Löschroutine sollte den Übergang zum 10.07.2027 abwarten: Welche Frist für Altakten gilt, ist offen, und eine Routine, die heute auf zehn Jahre eingestellt wird, entscheidet die Frage faktisch vorab.