Wie deutsche Unternehmen Abläufe automatisieren und dabei GoBD einhalten

Das Wichtigste auf einen Blick

• Die GoBD verlangen von automatisierten Abläufen Nachvollziehbarkeit, Unveränderbarkeit und Verfahrensdokumentation.
• § 147 AO legt Aufbewahrungsfristen von sechs, acht oder zehn Jahren fest, die die Automatisierung abbilden muss.
• Der BfDI und die DSGVO bestimmen, wie personenbezogene Daten in automatisierten Freigaben verarbeitet werden dürfen.
• Im Prüfungsfall müssen Finanzbehörden auf die Daten zugreifen und die Abläufe nachvollziehen können.
• Typische Fehler sind fehlende Dokumentation, unklare Rollen und der Verzicht auf einen Datenzugriff im Prüfungsfall.

Was die GoBD von automatisierten Abläufen verlangen

Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff, kurz GoBD, sind das zentrale Regelwerk für automatisierte Abläufe in deutschen Unternehmen. Sie gelten für alle steuerlich relevanten Prozesse, unabhängig davon, ob sie in Nordrhein-Westfalen, Baden-Württemberg oder Berlin ablaufen. Wer Abläufe automatisiert, muss die GoBD von Anfang an mitdenken.

Das Bundesministerium für Wirtschaft und Klimaschutz fasst die GoBD-Anforderungen an automatisierte Abläufe zusammen: Danach müssen elektronische Bücher und Aufzeichnungen vollständig, richtig, zeitgerecht und geordnet geführt werden. Automatisierte Abläufe dürfen diese Grundsätze nicht durchbrechen. Eine Automatisierung, die Belege erzeugt, aber nicht nachvollziehbar ablegt, verstößt gegen die GoBD.

Die GoBD verlangen zudem, dass automatisierte Abläufe nachvollziehbar bleiben. Jede Änderung an einem Datensatz muss protokolliert werden. Wer einen automatisierten Freigabeprozess einführt, muss sicherstellen, dass der ursprüngliche Zustand rekonstruierbar bleibt. Das unterscheidet die GoBD-konforme Automatisierung von einer reinen Arbeitserleichterung.

Ein weiterer Kernpunkt ist die Unveränderbarkeit. Einmal erfasste Daten dürfen nicht ohne Protokoll verändert oder gelöscht werden. Automatisierte Abläufe müssen so gestaltet sein, dass sie diese Unveränderbarkeit technisch erzwingen. In der Praxis bedeutet das: Schreibrechte einschränken, Versionen speichern, Löschfristen dokumentieren.

Die GoBD verlangen außerdem eine klare Verantwortlichkeit. Wer einen automatisierten Ablauf betreibt, muss benennen können, wer für die Ordnungsmäßigkeit verantwortlich ist. In vielen Unternehmen liegt diese Verantwortung bei den Prozessverantwortlichen, die auch die Verfahrensdokumentation pflegen. Ohne diese Zuordnung fehlt die Grundlage für eine spätere Prüfung.

Schließlich verlangen die GoBD, dass automatisierte Abläufe die Grundsätze der ordnungsmäßigen Buchführung nicht nur einhalten, sondern dies auch belegen können. Der Beleg entsteht durch die Verfahrensdokumentation und durch technische Protokolle. Wer Abläufe automatisiert, muss also nicht nur funktionierende Software einsetzen, sondern auch die Nachweise mitliefern. Hintergrund zur digitalen Buchführung steht im Wikipedia-Artikel zur GoBD.

Aufbewahrungsfristen nach § 147 AO und ihre Folgen für die Automatisierung

§ 147 AO regelt, wie lange Unternehmen Unterlagen aufbewahren müssen. Die Vorschrift unterscheidet zwischen sechs, acht und zehn Jahren. Für automatisierte Abläufe bedeutet das: Jeder Schritt muss so gestaltet sein, dass die entstehenden Daten über die gesamte Frist verfügbar und lesbar bleiben. Eine Automatisierung, die Daten nach einem Jahr löscht, verstößt gegen die Aufbewahrungspflicht.

Die konkreten Fristen nach § 147 AO sind: zehn Jahre für Bücher, Abschlüsse, Eröffnungsbilanzen, Jahresabschlüsse, Lageberichte und Buchungsbelege. Acht Jahre für Unterlagen, die im Zusammenhang mit der Erhebung, Verwaltung und Verwendung von Steuern stehen. Sechs Jahre für sonstige Unterlagen, insbesondere Geschäftsbriefe.

Diese Fristen gelten auch für elektronische Daten, die durch automatisierte Abläufe entstehen. Den genauen Wortlaut nennt die Einzelnorm zu § 147 AO.

Für die Automatisierung heißt das, dass die Aufbewahrungsfristen digital abgebildet werden müssen. Ein automatisiertes System muss wissen, welche Daten welcher Frist unterliegen, und die Löschung entsprechend steuern. Wer Abläufe automatisiert, muss die Fristen im Datenmodell hinterlegen. Sonst droht der Verlust aufbewahrungspflichtiger Unterlagen.

Die Aufbewahrungsfristen nach § 147 AO beginnen mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Automatisierte Abläufe müssen diesen Zeitpunkt korrekt erfassen. Eine Rechnung, die am 15. Dezember 2026 erstellt wird, unterliegt der zehnjährigen Frist und darf frühestens nach Ablauf des Jahres 2036 gelöscht werden. Die Automatisierung muss diese Fristberechnung übernehmen.

Ein häufiges Problem: Automatisierte Abläufe speichern Daten in Systemen, die nicht für die Langzeitaufbewahrung ausgelegt sind. Wer Abläufe automatisiert, muss prüfen, ob die eingesetzte Software die Daten über zehn Jahre lesbar hält. Formate wie PDF/A oder XML können helfen, sind aber nicht immer ausreichend.

Die Bundesnetzagentur und die Deutsche Akkreditierungsstelle haben Anforderungen an die Langzeitspeicherung entwickelt, die Unternehmen berücksichtigen sollten.

Die Aufbewahrungsfristen nach § 147 AO gelten auch für Daten, die in automatisierten Freigabeprozessen entstehen. Wer eine Freigabe automatisiert, muss den Freigabevermerk und die zugehörigen Belege über die volle Frist aufbewahren. Das betrifft auch Metadaten wie Zeitstempel und Benutzerkennungen. Ohne diese Metadaten ist die Freigabe im Prüfungsfall nicht nachvollziehbar.

Die Aufbewahrungsfristen nach § 147 AO sind nicht verhandelbar. Unternehmen können sie weder verkürzen noch umgehen. Automatisierte Abläufe müssen die Fristen daher als harte Randbedingung behandeln. Wer Abläufe automatisiert, sollte die Fristen in der Verfahrensdokumentation festhalten und technisch erzwingen.

Verfahrensdokumentation als Pflichtbaustein jeder Automatisierung

Die Verfahrensdokumentation ist der schriftliche Nachweis, wie ein automatisierter Ablauf funktioniert. Sie beschreibt, welche Schritte durchlaufen werden, welche Daten entstehen und wie die GoBD eingehalten werden. Ohne Verfahrensdokumentation ist eine Automatisierung im Prüfungsfall kaum verteidigbar. Die IHK und die Handwerkskammern weisen regelmäßig auf diese Pflicht hin.

Eine Verfahrensdokumentation muss den Zweck des automatisierten Ablaufs beschreiben. Sie muss darlegen, welche Eingaben verarbeitet werden und welche Ausgaben entstehen. Sie muss die Verantwortlichkeiten benennen und die eingesetzten Systeme auflisten. Sie muss die Aufbewahrungsfristen nach § 147 AO abbilden. Und sie muss erklären, wie der Datenzugriff im Prüfungsfall erfolgt.

Die Verfahrensdokumentation muss aktuell gehalten werden. Ändert sich ein automatisierter Ablauf, muss die Dokumentation angepasst werden. In der Praxis bedeutet das: Versionierung, Änderungshistorie und klare Zuständigkeiten. Wer die Verfahrensdokumentation vernachlässigt, riskiert, dass die Automatisierung insgesamt als nicht GoBD-konform gilt.

Die Verfahrensdokumentation sollte auch die Schnittstellen zu anderen Systemen beschreiben. Automatisierte Abläufe enden selten an einer Systemgrenze. Sie greifen auf Daten aus ERP-Systemen, CRM-Systemen oder Dokumentenmanagementsystemen zu. Die Verfahrensdokumentation muss diese Schnittstellen und die damit verbundenen Risiken benennen.

Ein Praxisbeispiel: Ein mittelständisches Unternehmen in Bayern automatisiert die Rechnungsfreigabe. Die Verfahrensdokumentation beschreibt, wie Rechnungen erfasst, geprüft und freigegeben werden. Sie benennt die Rollen der Freigeber und die Vertretungsregelungen. Sie hält fest, dass die Rechnungen zehn Jahre aufbewahrt werden. Sie erklärt, wie die Finanzbehörde im Prüfungsfall auf die Daten zugreifen kann. Ohne diese Dokumentation wäre die Automatisierung angreifbar.

Die Verfahrensdokumentation ist kein einmaliges Projekt. Sie ist ein lebendes Dokument. Unternehmen sollten sie regelmäßig prüfen und aktualisieren. Die DIN e.V. und der DIN-Normenausschuss haben Normen entwickelt, die als Orientierung dienen können. Auch die VDI-Gesellschaft Produktion und Logistik bietet Hinweise für die Dokumentation von Prozessen.

Rollen von BfDI und DSGVO bei automatisierten Freigaben

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, kurz BfDI, ist die zentrale Aufsichtsbehörde für den Datenschutz in Deutschland. Er überwacht die Einhaltung der DSGVO bei Bundesbehörden und berät Unternehmen. Bei automatisierten Freigaben, die personenbezogene Daten verarbeiten, müssen Unternehmen die Vorgaben des BfDI und der DSGVO beachten.

Die DSGVO verlangt, dass personenbezogene Daten nur mit Rechtsgrundlage verarbeitet werden. Automatisierte Freigaben dürfen nicht ohne Weiteres auf personenbezogene Daten zugreifen. Unternehmen müssen prüfen, ob die Verarbeitung durch eine Einwilligung, einen Vertrag oder eine gesetzliche Grundlage gedeckt ist. Der BfDI hat dazu Leitlinien veröffentlicht, die Unternehmen heranziehen können.

Ein zentraler Grundsatz der DSGVO ist die Datenminimierung. Automatisierte Abläufe dürfen nur die Daten verarbeiten, die für den jeweiligen Zweck erforderlich sind. Wer Abläufe automatisiert, muss daher prüfen, welche Daten tatsächlich benötigt werden. Eine Freigabe, die auf alle verfügbaren Daten zugreift, verstößt gegen die DSGVO.

Die DSGVO verlangt zudem Transparenz. Betroffene Personen müssen wissen, dass ihre Daten in automatisierten Abläufen verarbeitet werden. Unternehmen müssen dies in ihren Datenschutzerklärungen darlegen. Der BfDI empfiehlt, automatisierte Entscheidungen klar zu kennzeichnen und die Möglichkeit einer menschlichen Überprüfung vorzusehen.

Bei automatisierten Freigaben mit rechtlicher Wirkung greift Artikel 22 der DSGVO. Danach dürfen Entscheidungen nicht ausschließlich automatisiert erfolgen, wenn sie rechtliche Wirkung haben. Unternehmen müssen daher sicherstellen, dass ein Mensch die letzte Entscheidung trifft oder dass eine Ausnahme vorliegt. Der BfDI hat zu dieser Frage wiederholt Stellung genommen.

Die DSGVO verlangt außerdem technische und organisatorische Maßnahmen zum Schutz der Daten. Sicherheitsanforderungen an automatisierte Prozesse bündelt der BSI IT-Grundschutz. Unternehmen sollten diese Anforderungen in ihre automatisierten Abläufe integrieren. Das betrifft insbesondere die Zugriffskontrolle, die Verschlüsselung und die Protokollierung.

Der BfDI und die DSGVO sind keine Gegner der Automatisierung. Sie setzen den Rahmen, innerhalb dessen Abläufe automatisiert werden dürfen. Wer diesen Rahmen beachtet, kann Abläufe automatisieren und gleichzeitig datenschutzkonform bleiben. Die Kunst liegt darin, die Anforderungen frühzeitig in die Prozessgestaltung einzubeziehen.

Datenzugriff und Nachvollziehbarkeit im Prüfungsfall

Im Prüfungsfall müssen Finanzbehörden auf die Daten automatisierter Abläufe zugreifen können. Die GoBD verlangen, dass der Datenzugriff im Prüfungsfall gewährleistet ist. Unternehmen müssen daher sicherstellen, dass Prüfer die relevanten Daten einsehen, auswerten und exportieren können. Fehlt dieser Zugriff, gilt die Automatisierung als nicht ordnungsgemäß.

Der Datenzugriff im Prüfungsfall kann auf drei Arten erfolgen: unmittelbarer Zugriff auf das System, mittelbarer Zugriff über Auswertungen oder Datenträgerüberlassung. Unternehmen müssen mindestens eine dieser Möglichkeiten eröffnen. In der Praxis hat sich der mittelbare Zugriff über eine Exportfunktion bewährt. Die Verfahrensdokumentation muss den gewählten Weg beschreiben.

Die Nachvollziehbarkeit automatisierter Abläufe erfordert Protokolle. Jeder automatisierte Schritt muss protokolliert werden, sodass im Prüfungsfall nachvollziehbar ist, wer wann welche Änderung vorgenommen hat. Die Protokolle müssen unveränderbar sein und über die Aufbewahrungsfrist nach § 147 AO verfügbar bleiben. Ohne Protokolle ist die Automatisierung nicht prüfbar.

Ein häufiges Problem: Automatisierte Abläufe erzeugen Daten in verschiedenen Systemen. Der Datenzugriff im Prüfungsfall muss diese Systeme übergreifen. Unternehmen sollten daher eine zentrale Datenhaltung oder eine integrierte Exportfunktion vorsehen. Die Bitkom empfiehlt, den Datenzugriff frühzeitig mit den Finanzbehörden abzustimmen.

Die Nachvollziehbarkeit betrifft auch die eingesetzte Software. Unternehmen müssen belegen können, welche Version welcher Software zu welchem Zeitpunkt im Einsatz war. Änderungen an der Software müssen dokumentiert werden. Die Verfahrensdokumentation muss diese Informationen enthalten. Nur so kann der Prüfer die Ergebnisse der Automatisierung bewerten.

Der Datenzugriff im Prüfungsfall ist keine einmalige Angelegenheit. Unternehmen sollten ihn regelmäßig testen. Ein Probelauf mit den zuständigen Stellen kann helfen, Lücken zu erkennen. Die Industrie- und Handelskammern bieten hierzu Informationsveranstaltungen an. Wer den Datenzugriff beherrscht, ist auf den Ernstfall vorbereitet.

Typische Fehler deutscher Unternehmen bei der GoBD-konformen Automatisierung

Viele Unternehmen starten die Automatisierung ohne Verfahrensdokumentation. Sie konzentrieren sich auf die technische Umsetzung und vernachlässigen den schriftlichen Nachweis. Im Prüfungsfall fehlt dann die Grundlage, um die Ordnungsmäßigkeit zu belegen. Die Verfahrensdokumentation muss von Anfang an mitgedacht werden.

Ein weiterer Fehler ist die Missachtung der Aufbewahrungsfristen nach § 147 AO. Automatisierte Abläufe löschen Daten zu früh oder speichern sie in Formaten, die nach wenigen Jahren nicht mehr lesbar sind. Unternehmen müssen die Fristen im System hinterlegen und die Lesbarkeit über die gesamte Dauer sicherstellen.

Oft fehlt eine klare Rollen- und Rechtevergabe. Automatisierte Abläufe greifen auf Daten zu, die sie nicht benötigen. Die DSGVO verlangt Datenminimierung und Zugriffskontrolle. Der BfDI weist regelmäßig auf diese Anforderungen hin. Unternehmen sollten die Rechte nach dem Need-to-know-Prinzip vergeben.

Viele Unternehmen unterschätzen den Datenzugriff im Prüfungsfall. Sie gehen davon aus, dass die Finanzbehörde schon irgendwie an die Daten kommt. Die GoBD verlangen jedoch einen gesicherten Zugriff. Ohne vorbereitete Exportfunktionen oder lesbare Datenträger drohen Verzögerungen und Konflikte.

Ein häufiger Fehler ist die fehlende Aktualisierung der Verfahrensdokumentation. Automatisierte Abläufe ändern sich, die Dokumentation bleibt stehen. Prüfer erkennen diese Lücke schnell. Unternehmen sollten die Dokumentation versionieren und regelmäßig prüfen.

Schließlich vernachlässigen viele Unternehmen die Sicherheitsanforderungen. Der BSI IT-Grundschutz bietet einen bewährten Rahmen. Wer ihn ignoriert, riskiert nicht nur Datenschutzverstöße, sondern auch den Verlust der GoBD-Konformität. Sicherheit und Ordnungsmäßigkeit sind zwei Seiten derselben Medaille.

Häufige Fragen

Welche Fristen gelten nach § 147 AO?

§ 147 AO unterscheidet zwischen zehn Jahren für Bücher und Buchungsbelege, acht Jahren für steuerrelevante Unterlagen und sechs Jahren für sonstige Unterlagen. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist.

Was muss eine Verfahrensdokumentation enthalten?

Sie muss den Zweck des automatisierten Ablaufs, die Verarbeitungsschritte, die Verantwortlichkeiten, die eingesetzten Systeme und die Aufbewahrungsfristen beschreiben. Außerdem muss sie den Datenzugriff im Prüfungsfall erklären.

Darf eine Freigabe vollautomatisch erfolgen?

Die DSGVO erlaubt automatisierte Entscheidungen nur unter engen Voraussetzungen. Bei rechtlicher Wirkung muss ein Mensch die letzte Entscheidung treffen oder eine Ausnahme vorliegen. Der BfDI hat dazu Leitlinien veröffentlicht.

Wie oft muss die Verfahrensdokumentation aktualisiert werden?

Bei jeder Änderung des automatisierten Ablaufs. Unternehmen sollten die Dokumentation versionieren und mindestens jährlich prüfen. So bleibt sie im Prüfungsfall belastbar.

Was passiert, wenn der Datenzugriff im Prüfungsfall fehlt?

Dann gilt die Automatisierung als nicht GoBD-konform. Die Finanzbehörde kann die Ordnungsmäßigkeit der Buchführung infrage stellen. Unternehmen sollten den Datenzugriff daher regelmäßig testen.

Welche Rolle spielt der BSI IT-Grundschutz?

Er liefert Sicherheitsanforderungen für automatisierte Prozesse. Unternehmen, die ihn umsetzen, erfüllen einen wichtigen Teil der GoBD-Anforderungen. Der BSI IT-Grundschutz ist ein bewährter Rahmen für die Absicherung.

• Verfahrensdokumentation erstellt und aktuell gehalten
• Aufbewahrungsfristen nach § 147 AO im System hinterlegt
• Datenzugriff im Prüfungsfall getestet
• Rollen und Rechte nach DSGVO und BfDI-Vorgaben vergeben
• Protokolle unveränderbar und über die Frist verfügbar
• BSI IT-Grundschutz in die Automatisierung integriert
• Regelmäßige Prüfung der Automatisierung auf GoBD-Konformität