Dokumentenflüsse steuern mit klaren Regeln von der Erstellung bis zur Ablage

Das Wichtigste auf einen Blick

• Vier Stationen tragen jeden Dokumentenfluss: Erstellung, Prüfung, Freigabe, Ablage.
• Zu jeder Station gehören eine Rolle, eine Bearbeitungsfrist und ein Prüfkriterium.
• Buchungsbelege bleiben acht Jahre erhalten, Bücher und Abschlüsse zehn Jahre, sonstige Unterlagen sechs Jahre.
• Die DSGVO verlangt zusätzlich Zweckbindung, Speicherdauer und eine geregelte Löschung.
• Ohne Verfahrensdokumentation ist der Ablauf im Prüfungsfall nicht nachweisbar.

Vier Stationen, vier Zuständigkeiten

Dokumentenflüsse steuern heißt, jeden Schritt zwischen Eingang und Ablage mit genau einer verantwortlichen Rolle zu versehen. Fehlt diese Zuordnung, bleibt offen, wer für Vollständigkeit und Form haftet. Legen Sie die Stationen deshalb in der Reihenfolge fest, in der sie tatsächlich durchlaufen werden.

Begrenzen Sie die Zahl der Dokumenttypen. Zwanzig klar beschriebene Typen sind wirksamer als ein Sammelbegriff wie sonstige Unterlagen, weil sich Fristen und Zuständigkeiten nur je Typ sauber festlegen lassen.

Erstellung. Am Anfang steht die Erzeugung oder der Eingang eines Dokuments. Bestimmen Sie, welches System es erzeugt, welche Vorlage gilt und welche Metadaten sofort gesetzt werden: Aktenzeichen, Datum, Dokumenttyp, Aufbewahrungsklasse und Organisationseinheit. Ohne Aufbewahrungsklasse lässt sich ein Dokument später weder automatisch sperren noch löschen.

Zuständig ist die Fachabteilung, die den Vorgang auslöst. Sie bestätigt beim Speichern, dass die Angaben vollständig sind. Die Ordnungsmäßigkeit verlangt eine vollständige, richtige, zeitgerechte und geordnete Erfassung (§ 146 AO). Zeitgerecht bedeutet in der Praxis: spätestens am folgenden Werktag.

Für Papierpost gilt eine eigene Reihenfolge. Eingang stempeln, digitalisieren, Metadaten erfassen, Original bis zum Abschluss der Digitalisierung verwahren. Wird ersetzend gescannt, muss das Verfahren in der Verfahrensdokumentation beschrieben sein.

Prüfung. Die zweite Station ist die inhaltliche und formale Kontrolle. Geprüft werden Rechenrichtigkeit, Vollständigkeit der Anlagen und Übereinstimmung mit Vertrag oder Bestellung. Setzen Sie eine Frist, etwa zwei Werktage ab Eingang, und eine Eskalation, wenn sie überschritten wird. Das Vier-Augen-Prinzip gilt mindestens ab einer festgelegten Betragsgrenze.

Prüfen Sie nicht jeden Vorgang gleich tief. Legen Sie je Dokumenttyp fest, welche Felder vollständig zu kontrollieren sind und wo Stichproben genügen. Diese Festlegung gehört in die Dokumentation.

Freigabe. Hier fällt die verbindliche Entscheidung. Eine Freigabe ist nur gültig, wenn die handelnde Person im Rechtesystem dafür vorgesehen ist und ihre Vertretung hinterlegt wurde. Erfasst werden Zeitpunkt, Name und Ergebnis. Beispiel für eine Staffelung: bis 1.000 Euro netto gibt die Sachbearbeitung frei, darüber die Bereichsleitung. Bei Eingangsrechnungen im öffentlichen Auftragswesen gelten zusätzlich die Vorgaben der Verordnung über die elektronische Rechnungsstellung (ERechV).

Ablage. Die vierte Station legt Ablageort, Namenskonvention und Version fest. Die Namenskonvention enthält Datum, Dokumenttyp und Vorgangsnummer. Jedes Dokument erhält eine Aufbewahrungsklasse, aus der sich Frist und Löschdatum ableiten. Nach der Ablage bleibt der Inhalt unverändert, Korrekturen laufen als neue Version mit Verweis auf das Original. § 147 Absatz 2 AO verlangt, dass elektronisch aufbewahrte Daten während der gesamten Frist jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sind.

Regeln schriftlich festhalten

Alle Festlegungen gehören in eine Verfahrensdokumentation. Sie beschreibt, wer welches Dokument wann erstellt, prüft, freigibt und ablegt. Das ist keine Formsache: Bei elektronischer Aufbewahrung verlangt die Abgabenordnung ein nachvollziehbar dokumentiertes Verfahren (§ 147a AO). Die GoBD, das BMF-Schreiben vom 28. November 2019, fassen diese Anforderungen zusammen.

Notieren Sie je Dokumenttyp vier Angaben: auslösende Rolle, prüfende Rolle, freigebende Rolle und Aufbewahrungsklasse. Ergänzen Sie je Station Bearbeitungsfrist und Vertretung. Damit bleibt der Fluss auch bei Urlaub oder Krankheit handlungsfähig.

Prüfen Sie die Dokumentation an fünf Punkten:

• Ist jede Station genau einer Rolle zugeordnet?
• Sind Vertretungen eingetragen und im System berechtigt?
• Sind Fristen und Eskalationswege hinterlegt?
• Hat jeder Dokumenttyp eine Aufbewahrungsklasse?
• Sind Änderungen und Löschungen protokolliert?

Für die Technik kommt ein Rechtekonzept hinzu. Rollen erhalten nur die Rechte, die ihre Station erfordert, Schreibrechte auf abgelegte Dokumente entfallen. Der IT-Grundschutz des BSI beschreibt, wie Berechtigungs-, Schnittstellen- und Freigabeanforderungen methodisch geprüft werden.

Beziehen Sie externe Dienstleister ein. Läuft die Ablage bei einem Dienstleister, brauchen Sie einen Vertrag zur Auftragsverarbeitung und eine klare Regel, wer die Fristen überwacht.

Protokollieren Sie jede Zustandsänderung mit Zeitstempel und Benutzerkennung. Aus dem Protokoll muss hervorgehen, wann ein Dokument erstellt, geändert, freigegeben und gesperrt wurde. Diese Spur trägt jede spätere Prüfung.

Aufbewahrungsfristen und Löschregeln

Die gesetzlichen Fristen regelt die Abgabenordnung (§ 147 AO). Sie beginnen mit dem Schluss des Kalenderjahres, in dem das Dokument entstanden ist.

Unterlagenart	Aufbewahrungsfrist
Bücher, Inventare, Jahresabschlüsse, Lageberichte	10 Jahre
Buchungsbelege, Rechnungen, Kontoauszüge	8 Jahre
Handels- und Geschäftsbriefe, sonstige Unterlagen	6 Jahre
Personenbezogene Daten ohne Aufbewahrungspflicht	Löschung nach Zweckerreichung

Beispielrechnung: Eine Eingangsrechnung vom 14. März 2025 zählt zu den Buchungsbelegen. Die Frist beginnt am 31. Dezember 2025 und endet nach acht Jahren am 31. Dezember 2033. Vorher darf der Beleg nicht gelöscht werden.

Für personenbezogene Dokumente gilt zusätzlich die DSGVO. Zweck und Speicherdauer jeder Verarbeitung gehören in das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 (Artikel 30 DSGVO). Solange eine steuerliche Aufbewahrungspflicht läuft, überwiegt sie die Löschpflicht. Danach ist die Löschung durchzuführen.

Die Finanzverwaltung kann aufbewahrte Daten im Rahmen einer Außenprüfung einsehen. Halten Sie sie deshalb nicht nur lesbar, sondern auch maschinell auswertbar vor. Eine reine Sammlung von Scans erfüllt das nicht.

Die Löschung läuft in drei Schritten. Erstens prüfen, ob die Frist abgelaufen ist und kein Prüfungsverfahren offen ist. Zweitens sperren, sodass nur berechtigte Stellen zugreifen. Drittens löschen und den Vorgang protokollieren.

Überprüfen Sie das Löschkonzept einmal jährlich und nach jeder Änderung der Aufbewahrungsfristen. Notieren Sie je Lauf, welche Bestände gesperrt und welche gelöscht wurden.

Einführung in fünf Schritten mit Zeitplan

1. Ist-Aufnahme, zwei bis drei Wochen: Erfassen Sie alle Dokumenttypen, Mengen und heutigen Ablageorte.
2. Rollen und Rechte, eine Woche: Benennen Sie je Station Rolle, Vertretung und Betragsgrenze.
3. Verfahrensdokumentation, zwei Wochen: Schreiben Sie Stationen, Fristen und Aufbewahrungsklassen fest.
4. Technische Konfiguration, drei bis vier Wochen: Hinterlegen Sie Metadaten, Fristen, Sperren und Protokolle im System.
5. Pilot und Rollout, vier Wochen: Testen Sie mit einem Dokumenttyp, werten Sie Fehler aus, erweitern Sie danach den Geltungsbereich.

Schulen Sie die Beteiligten vor dem Start des Piloten, jeweils an ihrem eigenen Dokumententyp. Messen Sie nach dem Rollout zwei Kennzahlen: die Durchlaufzeit je Dokumenttyp und den Anteil der Vorgänge mit Eskalation. Beide Werte zeigen, an welcher Station Regeln nachgeschärft werden müssen. Für jeden weiteren Dokumenttyp planen Sie eine Woche Umstellungszeit ein.

Wo Dokumentenflüsse stocken

Fünf Ursachen kehren in der Praxis regelmäßig wieder. Sie lassen sich vor dem Rollout abarbeiten.

• Fehlende Aufbewahrungsklasse: Niemand kann sagen, wann gelöscht werden darf.
• Unklare Vertretung: Vorgänge bleiben über die Frist hinaus liegen.
• Doppelte Ablage in Fachanwendung und DMS: Zwei Fassungen, keine eindeutige Referenz.
• Änderungen ohne Version: Die Nachvollziehbarkeit geht verloren.
• Freigabe per E-Mail ohne Protokoll: Der Vorgang ist im Prüfungsfall nicht belegbar.

Legen Sie für jede Ursache eine verantwortliche Person und ein Zieldatum fest. Prüfen Sie die Punkte nach dem ersten Quartal erneut. Erfahrungsgemäß entstehen die meisten Rückfragen an der Übergabe von der Prüfung zur Freigabe.

Häufige Fragen

Welche Stationen muss ein Dokumentenfluss mindestens haben?

Erstellung, Prüfung, Freigabe und Ablage. Jede Station erhält eine Rolle, eine Bearbeitungsfrist und ein Prüfkriterium.

Wie lange müssen Buchungsbelege aufbewahrt werden?

Acht Jahre für Belege ab dem Jahr 2025. Für ältere Jahrgänge bleibt es bei zehn Jahren. Die Frist beginnt mit dem Schluss des Entstehungsjahres, also am 31. Dezember.

Was verlangt die DSGVO bei Dokumentenflüssen?

Zweckbindung, eine festgelegte Speicherdauer und eine dokumentierte Löschung. Gesetzliche Aufbewahrungspflichten begrenzen die Löschung, heben sie aber nicht auf.

Wer erteilt die Freigabe?

Die im Rechtesystem hinterlegte Rolle, nicht die Hierarchieebene. Vertretungen müssen vorab eingetragen und berechtigt sein.

Wie oft muss die Verfahrensdokumentation aktualisiert werden?

Nach jeder Änderung an System, Organisation oder Fristen, mindestens einmal jährlich.