Wer in Deutschland Bücher führt oder Aufzeichnungen für steuerliche Zwecke macht, ist von den GoBD betroffen – und das ist heute praktisch jedes Unternehmen, weil nahezu alle Belege irgendwann durch ein IT-System laufen. Sobald eine Rechnung als PDF eingeht, ein Kassensystem Umsätze erfasst, ein Warenwirtschaftssystem Bestände bucht oder ein E-Mail-Postfach geschäftliche Korrespondenz speichert, greifen die GoBD. Der häufige Irrtum „Wir machen das doch alles in Papier, uns betrifft das nicht“ ist in der Praxis fast nie haltbar, weil hybride Prozesse (Papier plus Software) die Regel sind.
Drei Eigenschaften prägen die GoBD und erklären, warum sie für jedes Digitalisierungsvorhaben im Rechnungswesen relevant sind:
Um die GoBD richtig zu verstehen, hilft die Trennung von Pflicht und Konkretisierung. Die eigentlichen Aufbewahrungs- und Aufzeichnungspflichten ergeben sich aus dem Gesetz – insbesondere aus den Vorschriften der Abgabenordnung und des Handelsgesetzbuchs zur Buchführung und zur Aufbewahrung. Die GoBD legen daneben dar, wie die Finanzverwaltung diese Pflichten im digitalen Kontext interpretiert. Als Verwaltungsvorschrift bindet sie zunächst die Finanzämter; für Unternehmen sind die GoBD faktisch der Maßstab, an dem eine Betriebsprüfung die digitale Buchführung misst. Wer die GoBD beachtet, bewegt sich auf der sicheren Seite; wer sie ignoriert, riskiert formelle Beanstandungen bis hin zur Schätzung von Besteuerungsgrundlagen.
Wichtig ist die Abgrenzung zu zwei verwandten Themen: Die GoBD regeln die digitale Buchführung und Archivierung allgemein. Die Anforderungen an elektronische Kassensysteme (Stichworte Kassensicherungsverordnung und technische Sicherheitseinrichtung) sind ein eigenes, ergänzendes Regelwerk. Und die E-Rechnungspflicht betrifft Format und Empfang von Rechnungen, baut aber auf der GoBD-konformen Aufbewahrung auf. Diese Themen greifen ineinander, sind aber nicht identisch.
In der Beratungspraxis tauchen die GoBD fast immer im Kontext einer der folgenden Vorhaben auf – sie sind die typischen Auslöser, bei denen Unternehmen sich erstmals ernsthaft mit dem Thema befassen:
Die Nachvollziehbarkeit und Nachprüfbarkeit ist der gedankliche Kern aller GoBD. Maßstab ist der sachverständige Dritte: Ein außenstehender Prüfer muss sich ohne übermäßigen Aufwand ein Bild davon machen können, wie ein Geschäftsvorfall entstanden, verarbeitet und gebucht wurde. Daraus folgt das Belegprinzip – keine Buchung ohne Beleg – und die progressive wie retrograde Prüfbarkeit: vom Beleg über die Grundaufzeichnung bis zur Bilanz und wieder zurück. Genau hier setzt später die Verfahrensdokumentation an, die diesen Weg beschreibt.
Die Vollständigkeit verlangt, dass kein aufzeichnungspflichtiger Vorfall fehlt. In der Praxis äußert sich das in lückenlosen Nummernkreisen für Ausgangsrechnungen, in der vollständigen Erfassung aller Belegarten und darin, dass auch unbequeme Vorgänge (Storni, Gutschriften, Barzahlungen) sauber dokumentiert sind. Die Richtigkeit wiederum bedeutet, dass die abgebildeten Sachverhalte den tatsächlichen Verhältnissen entsprechen – formell wie materiell. Beide Prinzipien werden durch interne Kontrollen abgesichert, deren Existenz und Wirksamkeit ebenfalls dokumentiert sein sollten.
Die Zeitgerechtigkeit betrifft den zeitlichen Abstand zwischen Vorfall und Erfassung. Belege dürfen nicht beliebig lange unerfasst bleiben; die Finanzverwaltung erwartet eine zeitnahe Verbuchung. Eine vorsichtige, sachliche Formulierung ist hier angebracht, weil die konkreten Zeitspannen vom Sachverhalt und von der jeweiligen Aufzeichnungsart abhängen – die genaue Auslegung im Einzelfall gehört in die Hand der Steuerberatung. Wichtig ist das Prinzip der zeitnahen Festschreibung: Sobald gebucht ist, dürfen die Daten nicht mehr unbemerkt verändert werden.
Die Ordnung sorgt dafür, dass Aufzeichnungen systematisch und auffindbar bleiben, statt in einem undifferenzierten Datenwust zu verschwinden. Und die Unveränderbarkeit ist der für die IT spannendste Grundsatz: Daten, die einmal in den Verarbeitungsprozess eingegangen sind, müssen so gesichert werden, dass spätere Änderungen entweder ausgeschlossen oder zumindest nachvollziehbar protokolliert sind. Dieses Prinzip ist so zentral, dass es ein eigenes Kapitel verdient – Kapitel 04 widmet sich der Unveränderbarkeit und der revisionssicheren Archivierung im Detail.
Eine Verfahrensdokumentation ist kein einmaliges Pflichtwerk für die Schublade, sondern ein lebendes Dokument, das den tatsächlichen Prozessen entsprechen muss. Weicht die gelebte Praxis von der Beschreibung ab, ist die Dokumentation wertlos – schlimmer noch, sie kann in einer Prüfung gegen das Unternehmen verwendet werden. In der Struktur hat sich ein Aufbau aus mehreren Komponenten etabliert, der die Verarbeitung von der Entstehung bis zur Archivierung lückenlos abbildet.
Ein wesentlicher Bestandteil der Verfahrensdokumentation ist die Beschreibung des internen Kontrollsystems. Die GoBD erwarten, dass Unternehmen Kontrollen einrichten, die die Einhaltung der Grundsätze sicherstellen – etwa Zugriffsbeschränkungen, Funktionstrennungen, Plausibilitätsprüfungen, Abstimmkontrollen und Schutzmaßnahmen gegen die Verfälschung von Daten. Entscheidend ist nicht nur, dass solche Kontrollen existieren, sondern dass ihre Ausgestaltung und Wirksamkeit dokumentiert und tatsächlich gelebt werden. Ein beschriebenes, aber nicht praktiziertes Kontrollsystem erfüllt den Zweck nicht.
Da sich Prozesse, Software und Verantwortlichkeiten im Lauf der Zeit ändern, muss auch die Verfahrensdokumentation gepflegt werden. Bewährt hat sich eine Versionierung mit Änderungshistorie, sodass für jeden Zeitraum nachvollziehbar ist, welche Fassung galt. Das ist wichtig, weil eine Betriebsprüfung sich auf zurückliegende Jahre bezieht: Maßgeblich ist die Dokumentation, die im jeweiligen Prüfungszeitraum gültig war – nicht die aktuelle. Wer die Versionen nicht aufbewahrt, kann die damalige Ordnungsmäßigkeit später nicht mehr belegen.
Der Begriff „revisionssicher“ ist dabei kein gesetzlich exakt definierter Stempel, sondern eine in der Praxis etablierte Sammelbezeichnung für eine Archivierung, die mehrere Eigenschaften zugleich erfüllt: Belege werden vollständig, originalgetreu, geordnet, verlustfrei und unveränderbar gespeichert, bleiben über die gesamte Aufbewahrungsfrist auffindbar und lesbar, und jeder Zugriff sowie jede Veränderung wird protokolliert. Diese Eigenschaften lassen sich auf verschiedenen technischen Wegen erreichen.
In der Praxis kommen mehrere Ansätze zum Einsatz, oft in Kombination. Auf Speicherebene sorgen WORM-Verfahren (Write Once, Read Many) dafür, dass einmal geschriebene Daten physisch oder logisch nicht mehr überschrieben werden können – früher auf spezieller Hardware, heute zunehmend über softwareseitige WORM-Funktionen, unveränderliche Objektspeicher in der Cloud oder Append-only-Mechanismen. Auf Anwendungsebene setzen DMS- und Buchhaltungssysteme auf Festschreibung: Ein gebuchter Datensatz wird gesperrt, Korrekturen erfolgen ausschließlich über nachvollziehbare Storno- und Neubuchungen. Ergänzend sichern Prüfsummen und Protokolle die Integrität ab, indem jede Veränderung mit Zeitstempel, Benutzer und Vorgang festgehalten wird.
Entscheidend ist: Unveränderbarkeit verlangt nicht, dass nie etwas korrigiert werden darf – Korrekturen sind im Geschäftsleben unvermeidlich. Verlangt wird, dass jede Korrektur den ursprünglichen Inhalt nicht spurlos verschwinden lässt, sondern als nachvollziehbare Änderung sichtbar bleibt. Eine überschriebene Datei ohne Historie ist das Gegenteil von revisionssicher.
Die häufigste Fehlannahme im Mittelstand ist, ein geordnetes Verzeichnis auf einem Netzlaufwerk oder in einem gängigen Cloud-Speicher genüge. Das ist meist nicht der Fall: Dateien lassen sich dort überschreiben, umbenennen, verschieben und löschen, ohne dass dies revisionssicher protokolliert würde. Selbst wenn die Anwender sich diszipliniert verhalten, fehlt der technische Nachweis der Unveränderbarkeit – und genau diesen Nachweis verlangt die Prüfung. Ein GoBD-konformes DMS schließt diese Lücke, indem es Unveränderbarkeit, Protokollierung und Auffindbarkeit technisch erzwingt.
Beim Belegeingang sind zwei Welten zu unterscheiden. Originär digitale Belege – etwa eine als PDF oder als strukturierte E-Rechnung empfangene Eingangsrechnung – müssen in ihrem Originalformat aufbewahrt werden. Es genügt nicht, eine solche Rechnung auszudrucken und das Papier abzulegen; das digitale Original ist maßgeblich, inklusive der enthaltenen strukturierten Daten. Originär papierne Belege dagegen dürfen unter bestimmten Voraussetzungen gescannt und anschließend vernichtet werden – das ist das ersetzende Scannen.
Das ersetzende Scannen ist erlaubt, aber an Bedingungen geknüpft. Die GoBD und die zugehörige Praxis erwarten, dass der Scan-Prozess in einer eigenen Scan-Verfahrensdokumentation beschrieben ist: Wer scannt, mit welchen Geräten und Einstellungen, mit welchen Qualitäts- und Vollständigkeitskontrollen, wie die bildliche Übereinstimmung mit dem Original sichergestellt wird und wann die Papieroriginale vernichtet werden dürfen. Wesentlich ist die bildliche und inhaltliche Übereinstimmung des Scans mit dem Original sowie die anschließende unveränderbare Archivierung des Digitalisats.
Bestimmte Unterlagen sind vom ersetzenden Scannen ausgenommen, weil das Original aus rechtlichen Gründen aufzubewahren ist – etwa Dokumente, deren Beweiskraft an die Urkundenform gebunden ist. Welche Unterlagen das im Einzelfall betrifft, ist eine rechtliche Frage und sollte vor der Vernichtung von Papieroriginalen mit der Steuerberatung oder einer Fachjuristin bzw. einem Fachjuristen geklärt werden. Im Zweifel gilt: Erst klären, dann vernichten – ein vernichtetes Original lässt sich nicht wiederherstellen.
Moderne DMS- und Buchhaltungslösungen erlauben das Erfassen von Belegen per Smartphone-Foto oder das automatische Auslesen von Rechnungsdaten (OCR, strukturierte Datenextraktion). Diese Verfahren sind grundsätzlich mit den GoBD vereinbar, solange die Grundsätze gewahrt bleiben: bildliche Übereinstimmung, Unveränderbarkeit nach der Erfassung, Protokollierung und eine Beschreibung des Verfahrens in der Dokumentation. Gerade bei automatisierter Extraktion ist wichtig, dass das archivierte Original maßgeblich bleibt und die extrahierten Daten nachvollziehbar darauf zurückführbar sind. Automatisierung entbindet nicht von Kontrollen – sie verschiebt sie auf Stichproben und Plausibilitätsprüfungen.
Der entscheidende Punkt vorweg: Es gibt keine amtliche GoBD-Zertifizierung. Die Finanzverwaltung erteilt keine Zertifikate und „testiert“ keine Software. Was am Markt als „GoBD-Zertifikat“ oder „GoBD-Testat“ angeboten wird, sind in aller Regel Bescheinigungen privater Prüfer oder Wirtschaftsprüfungsgesellschaften, die bestätigen, dass eine Software bei sachgerechter Anwendung die GoBD-relevanten Funktionen unterstützt. Ein solches Testat kann ein nützliches Indiz sein – es ersetzt aber weder die korrekte Konfiguration noch die eigenen Prozesse noch die Verfahrensdokumentation. Konformität entsteht beim Anwender, nicht im Datenblatt des Herstellers.
Unabhängig von Zertifikaten lässt sich GoBD-Tauglichkeit an konkreten Funktionen festmachen. Eine geeignete Lösung sollte folgende Fähigkeiten mitbringen:
Ein in der Praxis unterschätztes Thema ist der Systemwechsel. Wer eine Buchhaltungs- oder DMS-Software ablöst, muss sicherstellen, dass die in der alten Lösung gespeicherten steuerrelevanten Daten über die gesamte Aufbewahrungsfrist auswertbar bleiben. Das kann bedeuten, dass Altsysteme in einem auswertbaren Zustand erhalten, Daten in ein Archiv überführt oder so exportiert werden, dass die maschinelle Auswertbarkeit erhalten bleibt. Ein reiner PDF-Ausdruck genügt hier in der Regel nicht, weil die strukturierte, maschinelle Auswertbarkeit verloren ginge. Migrationsprojekte sollten dieses Thema von Anfang an mitdenken – nachträglich ist es teuer und manchmal nicht mehr sauber lösbar.
Die Aufbewahrungsfristen für steuer- und handelsrechtlich relevante Unterlagen ergeben sich aus AO und HGB. Sie unterscheiden sich je nach Art der Unterlage: Für bestimmte Unterlagen (etwa Bücher, Inventare, Jahresabschlüsse, Buchungsbelege) gelten längere Fristen, für andere kürzere. Die Fristen haben außerdem in jüngerer Zeit Anpassungen erfahren, und es gibt Sonderregelungen sowie Anlauf- und Ablaufhemmungen, die den tatsächlichen Aufbewahrungszeitraum verlängern können – beispielsweise wenn eine Prüfung noch nicht abgeschlossen ist.
Aus diesen Gründen verzichtet dieser Artikel bewusst auf die Nennung konkreter Jahreszahlen als „die Frist“. Die für Ihr Unternehmen und die jeweilige Unterlagenart maßgebliche, aktuell gültige Frist ist mit der Steuerberaterin oder dem Steuerberater zu bestimmen. Für die GoBD entscheidend ist der Grundsatz: Während der gesamten Aufbewahrungsfrist müssen die Unterlagen vollständig, unveränderbar, lesbar und maschinell auswertbar verfügbar bleiben. Wer die Frist technisch nicht durchhält – etwa weil ein Altsystem nicht mehr lesbar ist – verstößt gegen die GoBD, selbst wenn die Daten formal noch existieren.
Im Rahmen einer Außenprüfung hat die Finanzverwaltung das Recht, auf die digital geführten steuerrelevanten Daten zuzugreifen. Die GoBD und die AO unterscheiden dabei drei Zugriffsarten, die ein Unternehmen ermöglichen können muss:
Praktisch bedeutet das: Ein System muss nicht nur Daten speichern, sondern sie auch in einer Form bereitstellen können, die eine maschinelle Auswertung erlaubt. Gerade die Datenträgerüberlassung (Z3) setzt voraus, dass Daten strukturiert exportiert werden können – ein reiner Bildschirmausdruck oder ein nicht auswertbares PDF genügt nicht. Bei der Software-Auswahl und insbesondere bei Systemwechseln ist die dauerhafte Exportfähigkeit deshalb ein zentrales Kriterium. Wer hier nachlässig ist, steht in der Prüfung vor dem Problem, dass die Daten zwar vorhanden, aber nicht in der geforderten Form auswertbar sind.
Der Datenzugriff der Finanzverwaltung beschränkt sich auf steuerrelevante Daten. In der Praxis liegen in denselben Systemen aber häufig auch nicht steuerrelevante oder besonders schützenswerte Daten (etwa Personaldaten). Hier ist eine saubere Abgrenzung und ein durchdachtes Berechtigungskonzept wichtig, damit beim Zugriff nicht mehr Daten offengelegt werden als nötig. Diese Abgrenzung ist sowohl eine technische als auch eine rechtliche Frage und sollte vorab – nicht erst während der Prüfung – mit der Steuerberatung und gegebenenfalls dem Datenschutzbeauftragten geklärt werden.
Fehler 1: „DMS gekauft, also GoBD-konform.“ Der mit Abstand häufigste Irrtum. Ein DMS liefert Technik, aber Konformität entsteht erst mit Prozessen und Dokumentation. Lösung: Technik, Prozess und Verfahrensdokumentation gemeinsam aufsetzen.
Fehler 2: Keine oder veraltete Verfahrensdokumentation. Sie fehlt oder beschreibt nicht die gelebte Praxis. Lösung: Dokumentation erstellen, versionieren und bei Prozessänderungen pflegen.
Fehler 3: Veränderbare Ablage als vermeintliches Archiv. Netzlaufwerk oder gewöhnlicher Cloud-Ordner ohne Unveränderbarkeit und Audit-Trail. Lösung: revisionssicheres Archiv mit Festschreibung und Protokollierung.
Fehler 4: Originalformat nicht aufbewahrt. Digitale Belege werden ausgedruckt und nur das Papier abgelegt – das digitale Original (z. B. die strukturierte E-Rechnung samt XML) geht verloren. Lösung: Original im Originalformat archivieren.
Fehler 5: Ersetzendes Scannen ohne Scan-Verfahrensdokumentation. Papier wird vernichtet, ohne dass der Scan-Prozess dokumentiert ist. Lösung: Scan-Dokumentation erstellen, Zulässigkeit klären, dann vernichten.
Fehler 6: Systemwechsel ohne Datenmigrationskonzept. Nach dem Wechsel sind Altdaten nicht mehr maschinell auswertbar. Lösung: Auswertbarkeit über die Aufbewahrungsfrist sicherstellen.
Fehler 7: Ohne Abstimmung mit der Steuerberatung. Fristen, Belegarten und Einzelfälle werden falsch eingeschätzt. Lösung: Steuerberatung früh und durchgängig einbinden.
GoBD-Konformität und Datenschutz sind kein Widerspruch, müssen aber zusammen gedacht werden. Sobald personenbezogene Daten in den archivierten Belegen stecken – und das ist fast immer der Fall – greifen DSGVO-Anforderungen. Die folgenden Punkte sollten bei der Einführung sauber aufgesetzt werden:
