Kunden löschen und anonymisieren

Überblick

Kyvento bietet zwei Verfahren, um einen Kunden zu entfernen: die Löschung und die DSGVO-Anonymisierung. Beide Verfahren wirken sich auch auf den angebundenen Zahlungsdienstleister aus: Sofern für diesen Kunden ein Datensatz beim angebundenen Zahlungsdienstleister besteht, wird dieser ebenfalls gelöscht. Wie weit die Entfernung beim Anbieter reicht, hängt von dessen Schnittstelle ab: Bei Unzer bleibt ein dort hinterlegtes Zahlungsmittel bestehen.

Dieser Artikel beschreibt, welches Verfahren in welchem Fall zur Verfügung steht, welche Daten dabei entfernt werden, welche Daten aufgrund gesetzlicher Aufbewahrungspflichten erhalten bleiben und welche Auswirkungen die Löschung beim Zahlungsdienstleister hat.

Verfahren: Löschen oder Anonymisieren

Welches Verfahren zur Verfügung steht, richtet sich nach dem Belegstand des Kunden:

Der Löschversuch bei einem Kunden mit finalisierten Rechnungen wird abgewiesen; die Meldung verweist auf die Anonymisierung. Hintergrund ist die handelsrechtliche Aufbewahrungspflicht: Ein Beleg muss dem Rechnungsempfänger zuordenbar bleiben.

Ablauf der Löschung

1. Belegprüfung: Existiert mindestens eine finalisierte Rechnung, wird der Vorgang abgebrochen.
2. Beendigung aktiver Abonnements: Aktive Abonnements des Kunden werden sofort gekündigt und archiviert. Schlägt eine Kündigung fehl, wird der gesamte Löschvorgang zurückgerollt.
3. Entfernung des Kundendatensatzes im Kyvento-Konto.
4. Löschung beim Zahlungsdienstleister – asynchron, siehe folgender Abschnitt.

Löschung beim Zahlungsdienstleister

Einen eigenen Kundendatensatz mit Name, Anschrift und E-Mail-Adresse führen Stripe und Unzer. Besteht ein solcher Datensatz für den Kunden, wird er bei Löschung und bei Anonymisierung automatisch entfernt:

• Stripe: Der Kundendatensatz wird über die Lösch-Schnittstelle des Anbieters entfernt. Die dort hinterlegten Zahlungsmittel werden dabei ebenfalls entfernt.
• Unzer: Der Kundendatensatz wird über die Lösch-Schnittstelle des Anbieters entfernt; Name, Anschrift und E-Mail-Adresse sind damit dort nicht mehr vorhanden. Ist der Datensatz dort bereits nicht mehr vorhanden, gilt der Vorgang als abgeschlossen. Ein hinterlegtes Zahlungsmittel bleibt bestehen – siehe Reichweite je Anbieter.
• PayPal: Der Anbieter führt keinen Kundendatensatz. Entfernt wird der gespeicherte Zugriffsschlüssel des hinterlegten Zahlungsmittels (Vault-Token); danach ist kein Einzug mehr möglich.

Nicht betroffen ist die Zahlungshistorie beim Anbieter: Bereits ausgeführte Zahlungen, Erstattungen und Auszahlungen bleiben in der Abrechnung des Zahlungsdienstleisters erhalten. Sie unterliegen dessen Aufbewahrungspflichten und sind nicht Bestandteil des Kundendatensatzes.

Reichweite je Anbieter

Wie weit die Entfernung beim Zahlungsdienstleister reicht, bestimmt dessen Schnittstelle. Kyvento nutzt die Löschfunktionen, die der jeweilige Anbieter über seine Schnittstelle bereitstellt:

Bei Unzer sind Kunde und Zahlungsmittel zwei eigenständige Ressourcen. Der Kundendatensatz mit Name, Anschrift und E-Mail-Adresse wird über die Lösch-Schnittstelle entfernt; für ein einzelnes Zahlungsmittel stellt Unzer keinen Löschweg bereit. Es bleibt dort bestehen, bis der Anbieter es entfernt.

Was zu tun ist: Beauftragen Sie die Löschung des verbliebenen Zahlungsmittels direkt bei Unzer. Grundlage ist Ihr Vertrag mit dem Anbieter; Unzer kann die Löschung außerhalb der Schnittstelle vornehmen.

Kyvento weist das verbliebene Zahlungsmittel in beiden Verfahren aus:

• Anonymisierung: Der Vorgang gilt nicht als abgeschlossen, sondern zeigt am Kunden den Zustand „Zahlungsmittel verbleibt beim Anbieter". Sobald Unzer die Löschung bestätigt hat, schließen Sie den Vorgang über die zugehörige Schaltfläche mit einer Begründung ab. Diese wird im Änderungsverlauf festgehalten – siehe Audit-Log und Änderungsverlauf.
• Löschung: Die Kontoadministration erhält die Benachrichtigung „Zahlungsmittel verbleibt beim Zahlungsdienstleister" mit Anbieter und Kennung des verbliebenen Zahlungsmittels. Beauftragen Sie die Löschung mit dieser Kennung direkt bei Unzer. Der Kunde selbst ist zu diesem Zeitpunkt bereits entfernt und trägt keinen Zustand mehr.

Auswirkungen

• Zahlungsmittel bei Stripe: Mit dem Kundendatensatz werden die dort hinterlegten Karten und Mandate entfernt; ein Einzug über diese Zahlungsmittel ist danach nicht mehr möglich.
• Zahlungsmittel bei Unzer: Ein dort hinterlegtes Zahlungsmittel bleibt bestehen; seine Löschung beauftragen Sie bei Unzer. Ein Einzug darüber ist aus Kyvento heraus nicht mehr möglich: Die Zahlungsmethode wird im Konto als gelöscht markiert.
• Erstattungen: Eine Erstattung zu einer bereits ausgeführten Zahlung ist nach der Löschung direkt beim Zahlungsdienstleister auszulösen und anschließend in Kyvento nachzutragen. Das Vorgehen beschreibt am Beispiel PayPal der Artikel PayPal-Erstattung manuell in Kyvento nachtragen.
• Erneute Anlage: Wird der Kunde später erneut angelegt, erstellt Kyvento bei Stripe oder Unzer einen neuen Kundendatensatz. Zahlungsmittel müssen erneut hinterlegt werden.
• Kein manueller Eingriff für den Kundendatensatz: Der Kundendatensatz bei Stripe oder Unzer muss nicht zusätzlich in der Oberfläche des Anbieters gelöscht werden. Das bei Unzer verbliebene Zahlungsmittel ist davon ausgenommen.

Ausführung und Fehlerbehandlung

Die Löschung beim Anbieter wird asynchron ausgeführt und bei einer Störung des Anbieters bis zu fünfmal mit ansteigendem Abstand wiederholt; der letzte Versuch erfolgt etwa zweieinhalb Stunden nach dem ersten. In Kyvento ist der Kunde unmittelbar nach der Bestätigung entfernt.

Schlägt die Löschung beim Anbieter nach allen Versuchen fehl, wird dies protokolliert und gemeldet:

• Ein Eintrag im Änderungsverlauf dokumentiert Zeitpunkt, betroffenen Anbieter und Fehlermeldung – siehe Audit-Log und Änderungsverlauf.
• Die Kontoadministration erhält eine Benachrichtigung mit der Aufforderung, den Datensatz beim Anbieter manuell zu löschen.
• Bei der Anonymisierung wird zusätzlich der Status „Löschung der Zahlungsdaten beim Anbieter fehlgeschlagen" am Kunden angezeigt. Nach der manuellen Löschung beim Anbieter wird der Vorgang über die Aktion „Extern erledigt markieren" mit Begründung abgeschlossen.

Davon zu unterscheiden ist das bei Unzer verbleibende Zahlungsmittel: Hier ist nichts fehlgeschlagen – die Schnittstelle des Anbieters sieht kein Löschen vor. Zustand, Benachrichtigung und Vorgehen beschreibt der Abschnitt Reichweite je Anbieter.

Erhaltene Daten

Unabhängig vom Verfahren bleiben folgende Daten erhalten:

• Rechnungen und Zahlungen mit den ursprünglichen Empfängerangaben. Sie unterliegen der zehnjährigen Aufbewahrungspflicht nach § 257 HGB und § 147 AO und dürfen nachträglich nicht verändert werden – siehe GoBD-konforme Archivierung.
• Der Änderungsverlauf des Vorgangs: bei der Löschung Ausführender und Zeitpunkt; bei der Anonymisierung zusätzlich die verpflichtende Begründung.

Die datenschutzrechtliche Löschpflicht wird durch die gesetzlichen Aufbewahrungspflichten begrenzt.

Anonymisierung: Voraussetzungen und Ablauf

Die Anonymisierung ist das Verfahren für Kunden mit finalisierten Rechnungen. Voraussetzungen:

• Keine aktiven Abonnements. Laufende Verträge sind zuvor zu beenden.
• Kein offenes Mahnverfahren. Laufende Mahnläufe sind abzuschließen oder zu pausieren.
• Archivierte Empfängerangaben auf allen Rechnungen. Fehlen diese bei älteren Belegen, sind sie durch den Administrator nachzutragen, bevor die Anonymisierung möglich ist.
• Keine E-Rechnung innerhalb der zehnjährigen Aufbewahrungsfrist. Wurde für den Kunden eine E-Rechnung erzeugt, deren Erstellung weniger als zehn Jahre zurückliegt, ist die Anonymisierung gesperrt: Die erzeugte XML-Datei enthält die Empfängerangaben und ist unverändert aufzubewahren.

Vor der Ausführung zeigt Kyvento eine Übersicht der Auswirkungen an: Anzahl aktiver Abonnements, offener Mahnungen, finalisierter Rechnungen und hinterlegter Zahlungsdaten. Die Bestätigung erfordert eine Begründung (z. B. „DSGVO-Anfrage vom 09.05.2026") und die Eingabe der Kundennummer. Auch die Anonymisierung ist nicht umkehrbar.

Bei der Ausführung werden Name, Firmenname, Anschrift, E-Mail-Adresse und Telefonnummern durch Platzhalter ersetzt; Umsatzsteuer-Identifikationsnummer und Steuernummer werden nur noch als nicht rückrechenbarer Prüfwert gespeichert; hinterlegte Zahlungsmittel und SEPA-Mandate werden entfernt – bei Unzer mit der oben beschriebenen Einschränkung; der Zugang zum Kundenportal wird widerrufen; E-Mail-Verlauf und Checkout-Daten werden bereinigt. Der Kunde bleibt anschließend schreibgeschützt sichtbar und ist als anonymisiert gekennzeichnet.

Prüfung vor der Ausführung

1. Offene Posten: Bestehen unbezahlte Rechnungen? Nach der Anonymisierung ist der Empfänger nicht mehr kontaktierbar.
2. Laufende Abonnements: Bei der Löschung werden sie sofort gekündigt.
3. Ausstehende Erstattungen: Erstattungen sind auszulösen, solange das Zahlungsmittel beim Anbieter hinterlegt ist.
4. Datenauskunft: Verlangt der Kunde neben der Löschung eine Kopie seiner Daten, ist der Datenexport vor der Löschung zu erstellen.

Fehlermeldungen und Blocker

• „Dieser Kunde hat finalisierte Rechnungen und kann nicht gelöscht werden. Bitte nutzen Sie den Anonymisierungs-Workflow (DSGVO)." – Erwartetes Verhalten. Verwenden Sie die Anonymisierung.
• Anonymisierung durch aktive Abonnements blockiert: Abonnements beenden, anschließend erneut ausführen.
• Anonymisierung durch ein offenes Mahnverfahren blockiert: Mahnlauf abschließen oder pausieren – siehe Mahnungen pausieren oder aussetzen.
• Fehlende archivierte Empfängerangaben: Ältere Rechnungen enthalten die Empfängerangaben noch nicht als archivierten Stand. Der Administrator kann sie nachtragen; anschließend ist die Anonymisierung möglich.
• Anonymisierung durch eine erzeugte E-Rechnung blockiert: Die zehnjährige Aufbewahrungsfrist läuft noch. Eine Anonymisierung ist bis zu deren Ablauf nicht möglich.
• Meldung über eine fehlgeschlagene Löschung beim Anbieter: Kundendatensatz in der Oberfläche des Zahlungsdienstleisters manuell löschen und den Vorgang anschließend als extern erledigt markieren.
• Zustand „Zahlungsmittel verbleibt beim Anbieter" (Unzer, nach einer Anonymisierung): Kein Fehler, sondern die Grenze der Anbieter-Schnittstelle. Löschung des Zahlungsmittels bei Unzer beauftragen und den Vorgang anschließend mit Begründung abschließen.
• Benachrichtigung „Zahlungsmittel verbleibt beim Zahlungsdienstleister" (Unzer, nach einer Löschung): Ebenfalls kein Fehler. Die Benachrichtigung nennt Anbieter und Kennung des Zahlungsmittels; damit beauftragen Sie die Löschung bei Unzer.

Weiterführende Artikel

• Verträge beenden – Kündigungen verwalten
• Aufbewahrungspflichten und revisionssichere Ablage – GoBD-konforme Archivierung
• Vorgänge nachvollziehen – Audit-Log und Änderungsverlauf