WooCommerce Entwickler in Wiesbaden

In der Wilhelmstraße 7 in der Landeshauptstadt Wiesbaden sitzt der Hessische Beauftragte für Datenschutz und Informationsfreiheit, die Aufsicht über den Datenschutz hessischer Unternehmen. An der Friedrich-Ebert-Allee 8 hat das Hessische Ministerium der Finanzen seinen Sitz. Die beiden Adressen stehen für zwei Pflichten, die in jedem WooCommerce-Shop aufeinandertreffen: Steuer- und Handelsrecht verlangen, dass Sie Bestellungen, Rechnungen und Belege jahrelang aufbewahren. Die DSGVO verlangt, dass Sie personenbezogene Daten löschen, sobald Sie sie nicht mehr brauchen. Ich bin WooCommerce-Entwickler, arbeite allein, remote und schriftlich, und richte Shops so ein, dass beides gleichzeitig stimmt. Welche Frist für welche Unterlage gilt, entscheiden Sie mit Ihrer Steuerberatung. Ich sorge dafür, dass der Shop sich daran hält.

Foto: Berthold Werner, CC BY-SA 3.0, Wikimedia Commons.

#Welche Aufbewahrungsfristen gelten für Shopdaten?

Die Grundregel steht in § 147 AO für das Steuerrecht und in § 257 HGB für Kaufleute. Beide Vorschriften teilen Unterlagen in Gruppen ein und geben jeder Gruppe eine eigene Frist. Für Rechnungen kommt § 14b UStG hinzu.

Die Frist für Buchungsbelege betrug bis Ende 2024 zehn Jahre. Seit dem 1. Januar 2025 sind es acht. Nach Art. 97 § 19a Abs. 2 EGAO gilt die kürzere Frist für alle Unterlagen, deren Frist nach dem alten Recht bis einschließlich 31. Dezember 2024 noch nicht abgelaufen war. Belege aus älteren Jahren profitieren also ebenfalls. Ausgenommen sind Kreditinstitute, Versicherer unter Aufsicht nach dem Versicherungsaufsichtsgesetz und Wertpapierinstitute: Für sie bleibt es bei zehn Jahren, im Steuerrecht nach § 19a Abs. 3 EGAO und im Handelsrecht nach § 257 Abs. 4 Satz 2 HGB. Wer als solches Unternehmen einen Shop betreibt, etwa für Fanartikel oder Werbemittel, braucht deshalb andere Einstellungen als ein Weinhändler im Rheingau.

Zwei Details verschieben das Ende der Frist. Erstens beginnt sie nach § 147 Abs. 4 AO erst mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist. Eine Rechnung vom 10. März 2026 läuft also ab dem Jahresende 2026 und darf mit Ablauf des Jahres 2034 vernichtet werden, nicht im März. Zweitens läuft die Frist nach § 147 Abs. 3 AO nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch offen ist. Eine laufende Außenprüfung kann das Ende also hinausschieben. Deshalb lösche ich nie nach einem Datum, das nur im Shop berechnet wurde, sondern nach einer Freigabe aus Ihrer Buchhaltung.

#Was in einer WooCommerce-Bestellung welche Unterlage ist

Eine Bestellung in WooCommerce ist ein Datensatz mit vielen Teilen. Für die Fristen kommt es darauf an, welcher Teil welche Rolle in Ihrer Buchführung spielt. Die folgende Zuordnung ist ein Vorschlag für das Gespräch mit Ihrer Steuerberatung, keine steuerliche Bewertung.

• Die Rechnung. Sie ist ein Buchungsbeleg und eine Rechnung im Sinne des UStG, also acht Jahre. Entscheidend ist, wo sie liegt: als Datei im Shop, als Datensatz in einer Rechnungssoftware oder nur als Ergebnis eines Plugins, das sie bei jedem Aufruf aus der Bestellung neu erzeugt.
• Die Bestellbestätigung per E-Mail. Sie kann eine Wiedergabe eines abgesandten Geschäftsbriefs sein. Ein Handelsbrief ist nach § 257 Abs. 2 HGB jedes Schriftstück, das ein Handelsgeschäft betrifft.
• Lieferscheine. Für abgesandte Lieferscheine, die kein Buchungsbeleg sind, endet die Frist nach § 147 Abs. 3 AO mit dem Versand der Rechnung.
• Zahlungsnachweise von PayPal, Stripe oder anderen Zahlungsdiensten. Die GoBD-Änderung vom 14. Juli 2025 stellt klar, dass der Nachweis eines Zahlungsabwicklungsdienstes über die technische Abwicklung einer elektronischen Zahlung nicht aufbewahrungspflichtig ist. Ausnahmen bestehen, wenn er als Buchungsbeleg dient, die einzige Abrechnung mit dem Zahlungsdienst ist oder nur mit ihm bare und unbare Geschäfte in der Kassenbuchführung sauber getrennt werden können.
• Das Kundenkonto. Login, Passwort, gespeicherte Adressen und Wunschliste sind keine Unterlagen im Sinne der AO. Für sie gilt nur die DSGVO.
• Unbezahlte und abgebrochene Bestellungen. Ohne Zahlung und ohne Rechnung entsteht in der Regel kein Beleg. Diese Daten sind die ersten, die gelöscht werden können.

#Was die GoBD für den Shop bedeuten

Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) sind ein BMF-Schreiben vom 28. November 2019, geändert am 11. März 2024 und zuletzt am 14. Juli 2025. Die letzte Änderung gilt seit ihrem Datum und wurde vor allem wegen der E-Rechnung zwischen inländischen Unternehmen nötig. Drei Punkte daraus betreffen WooCommerce direkt.

Keine PDF-Kopie nötig, wenn die Rechnung jederzeit gleich wiederhergestellt werden kann. Nach der neu gefassten Randziffer 76 muss bei einem Fakturierungsprogramm keine bildhafte Kopie der Ausgangsrechnung gespeichert werden, wenn auf Anforderung jederzeit ein inhaltlich identisches Mehrstück erstellt werden kann. Viele Rechnungs-Plugins für WooCommerce arbeiten genau so: Sie erzeugen die PDF erst beim Aufruf aus den Daten der Bestellung. Das ist zulässig, solange die Bestellung unverändert bleibt. Ändert jemand nachträglich die Anschrift, löscht ein Produkt oder anonymisiert WooCommerce die Bestellung, ergibt derselbe Klick eine andere Rechnung. Deshalb prüfe ich bei jedem Shop zuerst, ob Ihre Rechnungen festgeschrieben abgelegt werden oder nur auf Abruf entstehen.

Bei E-Rechnungen zählt der strukturierte Teil. Nach den Randziffern 119 und 131 in der neuen Fassung genügt es, den strukturierten Teil einer E-Rechnung aufzubewahren. Den menschenlesbaren Teil einer hybriden Rechnung, etwa die PDF in einer ZUGFeRD-Datei, brauchen Sie nur, wenn er zusätzliche oder abweichende steuerlich bedeutsame Angaben enthält, zum Beispiel Buchungsvermerke. Eingehende Rechnungen sind im empfangenen Format aufzubewahren. Für den Shop heißt das: Wenn Ihr System XRechnung oder ZUGFeRD erzeugt, muss die XML-Datei erhalten bleiben und darf nicht bei einer Umwandlung verloren gehen.

Unveränderbarkeit und maschinelle Auswertbarkeit. § 146 Abs. 4 AO verbietet, eine Buchung oder Aufzeichnung so zu ändern, dass der ursprüngliche Inhalt nicht mehr feststellbar ist. § 147 Abs. 2 AO verlangt, dass elektronisch aufbewahrte Unterlagen während der ganzen Frist verfügbar sind, unverzüglich lesbar gemacht und maschinell ausgewertet werden können. Bei einer Außenprüfung darf das Finanzamt nach § 147 Abs. 6 AO Einsicht in die Daten nehmen oder sie in einem maschinell auswertbaren Format anfordern. Eine Erleichterung gibt es beim Systemwechsel: Nach Ablauf des fünften Kalenderjahres nach der Umstellung genügt es, die Daten nur noch auf einem maschinell lesbaren und auswertbaren Datenträger vorzuhalten, wenn bis dahin keine Außenprüfung begonnen hat. Wer seinen Shop auf ein anderes System umzieht oder schließt, löscht also nicht einfach die alte Datenbank, sondern exportiert sie vorher vollständig.

Für die Übergabe der Belege an die Buchhaltung gibt es eine eigene Seite zur DATEV-Schnittstelle für WooCommerce. Liegen die Rechnungen einmal unveränderbar in der Buchhaltung, wird die Löschung im Shop deutlich einfacher.

#Wann die DSGVO das Löschen verlangt und wann nicht

Nach Art. 5 Abs. 1 Buchst. e der DSGVO dürfen personenbezogene Daten nur so lange in einer Form gespeichert werden, die die Identifizierung erlaubt, wie es für den Zweck nötig ist. Art. 17 Abs. 1 gibt der betroffenen Person ein Recht auf Löschung, unter anderem wenn die Daten für den Zweck nicht mehr notwendig sind oder sie ihre Einwilligung widerruft und keine andere Rechtsgrundlage besteht.

Für Shops ist Art. 17 Abs. 3 Buchst. b der wichtigste Satz: Das Recht auf Löschung gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung nach dem Recht der Union oder eines Mitgliedstaats erforderlich ist. Die Aufbewahrungspflichten aus AO, HGB und UStG sind solche Verpflichtungen. § 35 Abs. 3 BDSG ergänzt das für satzungsgemäße oder vertragliche Aufbewahrungsfristen: Dann tritt an die Stelle der Löschung die Einschränkung der Verarbeitung nach Art. 18 DSGVO. Praktisch bedeutet das: Die Rechnung bleibt, aber sie wird nicht mehr für Newsletter, Kundenanalyse oder Werbung genutzt.

Eine Löschanfrage beantworten Sie nach Art. 12 Abs. 3 DSGVO unverzüglich, spätestens innerhalb eines Monats. Die Frist kann um zwei Monate verlängert werden, wenn Komplexität oder Anzahl der Anträge das erfordern. Die betroffene Person müssen Sie darüber innerhalb des ersten Monats informieren. Die Antwort an den Kunden sollte also beides nennen: was gelöscht wurde und was aus welchem Grund bis zu welchem Jahr gesperrt bleibt.

#So richte ich die Datenaufbewahrung in WooCommerce ein

WooCommerce hat unter Einstellungen, Konten und Datenschutz einen Bereich für die Aufbewahrung personenbezogener Daten. Die Dokumentation von WooCommerce beschreibt, was jede Einstellung tut. Wer sie ohne Blick auf das Steuerrecht ausfüllt, kann Rechnungsdaten zu früh vernichten. Meine Vorgehensweise je Einstellung:

Ein leeres Feld bedeutet in WooCommerce: unbegrenzt aufbewahren. Ist die Aufbewahrung aktiviert, räumt WooCommerce täglich auf. Bei einer anonymisierten Bestellung wird sie einem Gastkunden zugeordnet, die Rechnungsdaten werden durch “[deleted]” ersetzt und die E-Mail-Adresse durch [email protected]. Die Verkaufsstatistik bleibt erhalten, eine Rechnung daraus ist aber nicht mehr zu gebrauchen.

Gastbestellungen. Mit “Enable guest checkout” kaufen Kunden ohne Konto, die Bestellung hängt dann an keinem WordPress-Benutzer. Das spart Daten, weil kein Konto mit Passwort und gespeicherten Adressen entsteht. Für eine Löschanfrage ist das kein Hindernis: Das Werkzeug von WordPress unter Werkzeuge, Personenbezogene Daten löschen, nimmt einen Benutzernamen oder eine E-Mail-Adresse an. WooCommerce kann darüber auch die Bestellungen dieser Adresse einbeziehen. Bei Gastbestellungen achte ich darauf, dass die E-Mail-Adresse die einzige Verbindung ist, damit Anfragen nicht ins Leere laufen.

Kontolöschung. Laut Dokumentation von WordPress bekommt die Person nach dem Eintragen der Anfrage eine E-Mail mit Bestätigungslink. Erst nach der Bestätigung erscheint die Schaltfläche zum Löschen, und ein Klick darauf löscht ohne weitere Rückfrage endgültig. Dieselbe Seite weist darauf hin, dass das Werkzeug keine Daten aus Backups entfernt und nur Daten aus WordPress und teilnehmenden Plugins erfasst. Für Ihren Shop heißt das: Das Backup-Konzept braucht eine eigene Frist, und beim Zurückspielen einer Sicherung müssen erledigte Löschanfragen erneut berücksichtigt werden. Erweiterungen, die eigene Tabellen anlegen, etwa für Bewertungen, Newsletter oder Kundenkonten bei einem Abonnement-Plugin, prüfe ich einzeln.

#Checkliste für Ihren Shop

Diese Fragen können Sie mit Ihrer Steuerberatung durchgehen, ob Sie mit mir arbeiten oder nicht.

#Die Datenschutzaufsicht in Wiesbaden

Zuständig für Unternehmen in Hessen ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI). Das Dienstgebäude steht in der Wilhelmstraße 7, 65185 Wiesbaden, die Postanschrift lautet Postfach 3163, 65021 Wiesbaden. Das Amt hat seit dem 1. März 2021 Prof. Dr. Alexander Roßnagel inne, den der Hessische Landtag am 10. Dezember 2020 gewählt hatte, wie die Seite des HBDI beschreibt. Über die Website können Betroffene Beschwerden einreichen und Unternehmen Datenschutzverletzungen nach Art. 33 DSGVO melden. Eine Kundin, deren Löschanfrage unbeantwortet bleibt, wendet sich also an eine Behörde in derselben Stadt wie Ihr Shop. Ein dokumentiertes Löschkonzept und eine Antwort mit Begründung innerhalb der Monatsfrist sind dann die beste Grundlage. Die rechtlichen Texte schreiben Ihre Kanzlei oder Ihr Datenschutzbeauftragter. Ich baue die Technik so, dass sie stimmen.

#So läuft ein Projekt mit mir

Ich bin ein einzelner Entwickler, arbeite remote und schriftlich, ohne Meetings und Anrufe. Gestaltung, Mockups und Wireframes kommen von Ihnen, ich setze sie im Theme Ihres Shops um.

1. Schriftliche Anfrage. Sie schicken die Shop-Adresse, die Rechnungssoftware oder das Rechnungs-Plugin und die Frage, die Sie klären wollen.
2. Bestandsaufnahme. Ich lese die Aufbewahrungseinstellungen, die Rechnungsablage, die installierten Erweiterungen und die Backup-Konfiguration und halte offene Punkte schriftlich fest.
3. Löschkonzept als Tabelle. Datenart, Frist, Rechtsgrundlage, Ort der Speicherung, Art der Löschung. Die Fristen tragen Sie mit Ihrer Steuerberatung ein.
4. Umsetzung auf dem Staging-Shop. Nie am Live-Shop. Für jeden Bestellstatus gibt es eine Testbestellung, und ich prüfe, ob Rechnungen nach einer Anonymisierung unverändert abrufbar bleiben.
5. Abnahme und Übergabe. Sie erhalten die Tabelle, die Einstellungen und eine Anleitung für Löschanfragen. Danach betreuen Sie den Shop selbst oder beauftragen die Wartung für Wiesbaden. Wartungsstunden, die in einem Monat ungenutzt bleiben, werden nicht übertragen.

Foto: DXR, CC BY-SA 4.0, Wikimedia Commons.

#Häufige Fragen

#Wie lange muss ich Rechnungen aus meinem WooCommerce-Shop aufbewahren?

Rechnungen acht Jahre nach § 14b UStG, gerechnet ab dem Schluss des Kalenderjahres, in dem die Rechnung ausgestellt wurde. Als Buchungsbeleg gilt seit dem 1. Januar 2025 nach § 147 Abs. 3 AO und § 257 Abs. 4 HGB ebenfalls eine Frist von acht Jahren. Für Kreditinstitute, beaufsichtigte Versicherer und Wertpapierinstitute bleibt es bei zehn Jahren.

#Darf ich eine Bestellung löschen, wenn der Kunde es nach Art. 17 DSGVO verlangt?

Nicht, soweit die Bestellung oder die Rechnung einer gesetzlichen Aufbewahrungspflicht unterliegt. Art. 17 Abs. 3 Buchst. b DSGVO nimmt diesen Fall aus. Löschen können Sie das Kundenkonto, Marketingdaten und alles, was nicht zu den Unterlagen gehört. Die aufzubewahrenden Daten werden gesperrt und nach Fristende gelöscht. Antworten müssen Sie innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

#Soll ich in WooCommerce die Option “Remove personal data from orders on request” einschalten?

Nur, wenn Ihre Rechnungen vollständig außerhalb der Bestellung gespeichert sind, etwa in der Buchhaltung. Sonst entfernt eine Löschanfrage Name und Anschrift aus der Bestellung, aus der Ihr Rechnungs-Plugin die Rechnung vielleicht erst beim Aufruf erzeugt.

#Was löscht WooCommerce automatisch, wenn ich Aufbewahrungszeiträume setze?

Ausstehende, fehlgeschlagene und stornierte Bestellungen verschiebt WooCommerce in den Papierkorb, abgeschlossene und erstattete Bestellungen anonymisiert es. Inaktive Kundenkonten werden gelöscht, allerdings nur mit der Rolle Kunde oder Abonnent. Ein leeres Feld bedeutet: unbegrenzt aufbewahren.

#Muss ich die PDF-Rechnung zusätzlich zur XRechnung oder ZUGFeRD-Datei ablegen?

Nach der GoBD-Änderung vom 14. Juli 2025 genügt bei einer E-Rechnung der strukturierte Teil. Den Bildteil brauchen Sie nur, wenn er zusätzliche oder abweichende Angaben enthält, die für die Besteuerung von Bedeutung sind, zum Beispiel Buchungsvermerke.

#Wer ist in Wiesbaden für Datenschutzbeschwerden über meinen Shop zuständig?

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI). Sein Dienstgebäude steht in der Wilhelmstraße 7 in Wiesbaden, die Postanschrift ist Postfach 3163, 65021 Wiesbaden.

#Schreiben Sie mir zu Ihrem Shop

Wenn Sie wissen wollen, ob Ihr Shop zu früh löscht oder zu lange speichert, schicken Sie mir über die Kontaktseite die Adresse des Shops, das Rechnungs-Plugin oder die Rechnungssoftware, Ihr Wunschdatum und die Frage, die Sie beschäftigt. Ich antworte schriftlich an Werktagen. Für die erste schriftliche Einschätzung stelle ich nichts in Rechnung.