Shop stilllegen: was nach dem letzten Verkauf bleiben muss

Mit dem letzten Verkauf enden die Verträge nicht. Verbraucher können einen Fernabsatzvertrag widerrufen, die Widerrufsfrist beträgt 14 Tage (§ 355 BGB), und beim Kauf von Waren beginnt sie in der Regel erst, wenn die Ware beim Kunden angekommen ist (§ 356 BGB). Fehlte eine ordnungsgemäße Belehrung, erlischt das Widerrufsrecht spätestens zwölf Monate und 14 Tage nach diesem Zeitpunkt (§ 356 BGB). Ansprüche wegen Mängeln verjähren bei gewöhnlichen Waren in zwei Jahren ab Ablieferung (§ 438 BGB). Für jede dieser Fristen braucht der Betrieb Zugriff auf die Bestellung, auf den Zahlungsweg und eine Adresse, unter der Kunden ihn erreichen.

Dazu kommen Rückbuchungen. Bei einer SEPA-Basislastschrift kann der Kunde den Betrag ohne Angabe von Gründen von seiner Bank erstatten lassen, wenn er das innerhalb von acht Wochen ab der Belastung verlangt (§ 675x BGB). Bei nicht autorisierten Zahlungen kann er seine Bank noch bis zu 13 Monate nach der Belastung unterrichten (§ 676b BGB). Solche Erstattungen kommen beim Händler als Rücklastschrift an. Wer das Händlerkonto beim Zahlungsdienstleister zu früh kündigt, kann eine Rückbuchung weder nachvollziehen noch belegen, und eine Erstattung nach einem Widerruf lässt sich nicht mehr über den ursprünglichen Zahlungsweg auszahlen.

Technisch heißt Nur-Lese-Phase: Der Checkout ist abgeschaltet, der Bestand bleibt unverändert, und nur wenige Personen arbeiten noch in der Verwaltung. In Shopware lässt sich ein Verkaufskanal vorübergehend deaktivieren oder in den Wartungsmodus schalten. Das Frontend zeigt dann nur noch das hinterlegte Wartungsseiten-Layout, und ausgewählte IP-Adressen behalten über eine Whitelist Zugriff (Shopware-Dokumentation). Die Wartungsseite wird zur Hinweisseite: Sie nennt die Schließung, die neue Adresse des Sortiments, falls es eine gibt, den Weg für Rücksendungen und eine Kontaktadresse. Besteht der Betrieb weiter, gehört auch das Impressum auf diese Seite, denn die Pflichtangaben gelten für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste (§ 5 DDG).

Im Wartungsmodus erreichen Kunden auch ihr Kundenkonto nicht mehr. Wer Rechnungen im Konto zum Abruf anbietet, kündigt deshalb vorher an, bis wann Belege abrufbar sind und wie Kunden danach eine Kopie bekommen. Die Nur-Lese-Phase hat kein festes Ende im Gesetz. Sie dauert, bis die letzte Rückgabe abgewickelt, die letzte Erstattung ausgezahlt und beim Zahlungsdienst kein Vorgang mehr offen ist. In dieser Zeit laufen Sicherheitsupdates weiter, denn eine Verwaltung, die im Netz steht und Kundendaten enthält, bleibt ein Angriffsziel, auch wenn niemand mehr bestellt. Die Shopware-Wartung endet deshalb nicht am letzten Verkaufstag, sondern mit dem Abbau des Systems.

Aufbewahren heißt bei elektronisch erstellten Unterlagen mehr als Speichern. Wurden die Unterlagen mit einem Datenverarbeitungssystem erstellt, kann die Finanzbehörde im Rahmen einer Außenprüfung auf drei Wegen zugreifen: Sie kann Einsicht in die gespeicherten Daten nehmen und das System selbst zur Prüfung nutzen, sie kann verlangen, dass die Daten nach ihren Vorgaben maschinell ausgewertet bereitgestellt werden, oder sie kann sich die Daten in einem maschinell auswertbaren Format übertragen lassen (§ 147 Abs. 6 AO). Liegen die Daten bei einem Dritten, etwa bei einem Archivdienst, muss dieser Einsicht, Auswertung oder Übertragung ermöglichen. Die Kosten trägt der Steuerpflichtige (§ 147 Abs. 6 AO).

Für eine Stilllegung ist der letzte Satz dieses Absatzes entscheidend. Nach einem Wechsel des Datenverarbeitungssystems oder einer Auslagerung der aufbewahrungspflichtigen Daten aus dem Produktivsystem genügt es, die Daten nach Ablauf des fünften Kalenderjahres, das auf die Umstellung folgt, nur noch auf einem maschinell lesbaren und auswertbaren Datenträger vorzuhalten, sofern noch keine Außenprüfung begonnen hat (§ 147 Abs. 6 AO). Wer den Shop im Jahr 2026 stilllegt, kommt damit ab dem Jahr 2032 mit einem Datenträger aus. Bis dahin müssen auch Einsicht und Auswertung nach Vorgaben möglich bleiben, also ein Weg, die Daten mit ihrer Struktur anzuzeigen und zu filtern.

Daraus ergibt sich die Wahl zwischen zwei Wegen. Der erste lässt das alte Shopsystem im Nur-Lese-Betrieb weiterlaufen, mit allen Updates, Lizenzen und Serverkosten, die dazugehören. Der zweite überführt die steuerlich relevanten Daten in ein Archiv, das Einsicht und Auswertung ohne den Shop erlaubt, zum Beispiel strukturierte Exporte mit Feldbeschreibung und ein Werkzeug, das sie lesen und filtern kann. Welche Form der Datenzugriff im Einzelfall verlangt, ist eine steuerliche Frage. Dass die Daten während der ganzen Frist jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sein müssen, steht im Gesetz (§ 147 Abs. 2 AO). Ein Ordner mit PDF-Rechnungen erlaubt keine Auswertung der Bestelldaten, und eine Datenbankkopie ohne lauffähiges System zeigt gar nichts an. Die Hilfsmittel, die zum Lesbarmachen nötig sind, stellt der Steuerpflichtige auf eigene Kosten (§ 147 Abs. 5 AO).

Für E-Rechnungen kommt eine Anforderung an die Form dazu: Zumindest der strukturierte Teil ist so aufzubewahren, dass er unversehrt in seiner ursprünglichen Form vorliegt (BMF-Schreiben vom 15. Oktober 2025). Archiviert wird also die strukturierte Datei selbst, nicht nur eine Ansicht davon. Wie Shops das schon im laufenden Betrieb vorbereiten, beschreibt der Beitrag zur E-Rechnung ab 2027. Bei der Stilllegung heißt das: Die XML-Dateien wandern unverändert ins Archiv, und die PDF-Ansicht kommt als Lesehilfe dazu.

Die Aufbewahrungspflicht ist keine Erlaubnis, alles zu behalten. Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die die Identifizierung erlaubt, wie es für ihren Zweck erforderlich ist (Art. 5 DSGVO). Mit dem Ende des Verkaufs entfällt der Zweck für einen großen Teil der Shopdaten, und für diese Daten besteht ein Anspruch auf Löschung, sobald sie nicht mehr notwendig sind (Art. 17 DSGVO). Das Recht auf Löschung gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 DSGVO). Genau das sind die steuer- und handelsrechtlichen Aufbewahrungspflichten.

Daraus folgt eine Trennung in drei Gruppen. Zügig löschen lassen sich Kundenkonten ohne Bestellung, Passwort-Hashes, Wunschlisten, gespeicherte Warenkörbe, Newsletter-Listen, deren Einwilligung an den geschlossenen Shop gebunden war, und Protokolle, deren Zweck mit dem Shop endet. Für Server-Logs gilt dabei, was der Beitrag zur Speicherdauer von IP-Adressen beschreibt. Aufbewahrt werden die Daten, die in Rechnungen, Belegen und Aufzeichnungen stecken, also Name, Anschrift, Bestellpositionen und Zahlungsangaben, soweit sie zum Beleg gehören. Für Daten, die nur noch zur Abwehr oder Durchsetzung von Ansprüchen gebraucht werden, richtet sich die Dauer nach den Verjährungsfristen: Die regelmäßige Verjährungsfrist beträgt drei Jahre (§ 195 BGB) und beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist (§ 199 BGB).

Was aufbewahrt wird, darf nur noch für diesen Zweck verarbeitet werden (Art. 5 DSGVO). Stehen einer Löschung vertragliche Aufbewahrungsfristen entgegen, tritt an ihre Stelle die Einschränkung der Verarbeitung (§ 35 BDSG). Solche Daten dürfen, von ihrer Speicherung abgesehen, nur noch in engen Ausnahmen verarbeitet werden, etwa mit Einwilligung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 18 DSGVO). Praktisch heißt das: Die archivierten Kundendaten tauchen in keinem Werbeverteiler, keinem Export an Dritte und keiner Analyse mehr auf, der Zugriff ist auf wenige benannte Personen beschränkt, und jeder Datensatz trägt sein frühestes Löschdatum. Verzeichnis und Datenschutzerklärung für diese Zeit nachzuziehen, gehört zu den DSGVO-Updates im Wartungsvertrag.

Bleiben die Kopien. Backups des Shops enthalten jeden Datensatz, auch die gelöschten. Sie werden gelöscht, sobald das Archiv geprüft ist, oder laufen nach ihrer Rotation aus. Ein Backup, das nach der Stilllegung jahrelang liegen bleibt, unterläuft jeden Löschlauf. Dasselbe gilt für Staging-Kopien, Exporte auf Arbeitsrechnern und Datenbankabzüge bei Dienstleistern. Ein Auftragsverarbeiter muss nach Abschluss seiner Leistung alle personenbezogenen Daten nach Wahl des Verantwortlichen löschen oder zurückgeben, sofern keine Pflicht zur Speicherung besteht (Art. 28 DSGVO). Diese Wahl sollte schriftlich getroffen und die Löschung schriftlich bestätigt werden.

Nach der Domain kommen die Dienste, die am Shop hängen. Hier entscheidet die Reihenfolge, denn manche Dienste werden nach der Schließung noch gebraucht, und andere verursachen Kosten oder sammeln Daten, solange sie laufen. Als Faustregel gilt: Was neue Bestellungen oder Besucher erzeugt, geht zuerst. Was Rückgaben, Erstattungen und Rückbuchungen abwickelt, geht zuletzt.

Beim Abbau des Servers wird nicht nur eine Maschine gekündigt. Datenbank, Dateisystem, Snapshots, Backups beim Hoster und Kopien bei Dienstleistern gehören auf eine Liste, und für jeden Eintrag steht fest, ob er gelöscht, zurückgegeben oder ins Archiv übernommen wird. DNS-Einträge, die auf den alten Server zeigen, werden im selben Zug entfernt. Ein Eintrag, der auf eine frei gewordene Adresse zeigt, lädt zur Übernahme ein, wie der Beitrag zu alten Subdomains beschreibt.

Zuletzt werden die Zugänge entzogen, und zwar vollständig: Verwaltungskonten im Shop, API-Schlüssel für Zahlungs-, Versand- und Warenwirtschaftsschnittstellen, SSH-Schlüssel, FTP-Konten, Zugänge von Agenturen und Freelancern sowie Konten bei Domainverwaltung und Hoster, die nicht mehr gebraucht werden. Schlüssel, die in anderen Systemen weiterleben, werden widerrufen statt nur gelöscht. Das Vorgehen beschreibt der Beitrag zum Rotieren von API-Schlüsseln, die Liste der Orte, an denen Zugänge entstehen, der Beitrag zu Offboarding und Rechteinventar. Endet mit dem Shop der gesamte Betrieb, ist die Aufgabe des Betriebs außerdem der zuständigen Behörde anzuzeigen (§ 14 GewO).

Eine Stilllegung ist ein Projekt mit wenigen Wochen Arbeit und vielen Jahren Nachlauf. Im Rahmen der Wartung übernehmen wir den technischen Teil: Wir halten den Shop in der Nur-Lese-Phase aktuell und erreichbar, exportieren die mit Ihrer Steuerberatung festgelegten Daten, gleichen sie auf Vollständigkeit ab, legen das Archiv mit Prüfsummen an zwei Orten ab und dokumentieren den Lesetest. Wie Sicherung, Ablage und Wiederherstellung bei uns ablaufen, beschreibt der Backup-Service.

Nach dem Abbau bleibt eine kleine, planbare Aufgabe: der jährliche Lesetest und die Löschläufe nach Fristablauf. Beides lässt sich in einem SLA-Wartungsvertrag als fester Termin vereinbaren, ebenso Domain, Zertifikat und Weiterleitungen. Wovon der Aufwand im Einzelnen abhängt, zeigt der Beitrag zu den Aufwandstreibern der Shop-Wartung. Fragen zur Einordnung Ihrer Unterlagen und zum Fristbeginn beantwortet Ihre Steuerberatung. Wir setzen die Antworten technisch um und halten fest, wann welche Daten gelöscht werden.