GoBD und Datenarchivierung, ein Leitfaden für deutsche Betriebe

Das Wichtigste auf einen Blick

GoBD Datenarchivierung verlangt, dass Bücher, Aufzeichnungen und Unterlagen elektronisch so gespeichert werden, dass sie während der gesamten Aufbewahrungsfrist lesbar, unveränderbar und nachvollziehbar bleiben.
§ 147 AO regelt die Aufbewahrungsfristen: sechs Jahre für Geschäftsbriefe, zehn Jahre für Bücher, Abschlüsse und Buchungsbelege.
Eine Verfahrensdokumentation beschreibt, wie Daten entstehen, verarbeitet, archiviert und gelöscht werden, und ist Prüfern auf Verlangen vorzulegen.
Analysewerkzeuge dürfen nur auf Datenquellen zugreifen, die denselben GoBD-Anforderungen genügen, sonst entsteht eine unbelegte zweite Datenwelt.
DSGVO-Löschpflichten enden dort, wo steuerliche Aufbewahrungspflichten greifen; personenbezogene Daten werden bis zum Fristablauf gesperrt statt gelöscht.

Was die GoBD verlangt und für wen sie gilt

Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form, kurz GoBD, sind kein Gesetz im formellen Sinn. Sie sind eine Verwaltungsanweisung der Finanzverwaltung, an der sich Betriebsprüfungen orientieren. Wer Bücher führt, ist daran gebunden, unabhängig von Rechtsform oder Größe.

In der Praxis betrifft das fast jedes Unternehmen in Deutschland. Ein Handwerksbetrieb in Sachsen mit Kassensystem, ein Softwarehaus in Berlin mit Rechnungsstellung per Portal, ein Maschinenbauer in Baden-Württemberg mit ERP und Lagerbuchhaltung: Alle erzeugen aufzeichnungspflichtige Daten. Die GoBD sagen, wie diese Daten zu führen und zu sichern sind.

Kern der Anforderungen sind fünf Punkte. Erstens die Nachvollziehbarkeit: Jede Buchung muss sich vom Grundgeschäft bis zum Abschluss verfolgen lassen. Zweitens die Vollständigkeit: Es darf keine Lücke geben. Drittens die Richtigkeit: Die Daten müssen dem tatsächlichen Geschäftsvorfall entsprechen. Viertens die zeitgerechte Erfassung. Fünftens die Ordnung, also die systematische Ablage.

Für die Archivierung kommen zwei weitere Grundsätze hinzu. Die Unveränderbarkeit verlangt, dass ein einmal gespeicherter Datensatz nachträglich nicht mehr verändert werden kann, ohne dass dies erkennbar bleibt. Die Lesbarkeit verlangt, dass die Daten während der gesamten Frist ohne Spezialwissen gelesen werden können.

Wer die GoBD einhalten will, muss die geltenden Gesetze kennen, auf die sie sich stützen. Das Bundesministerium der Justiz stellt die konsolidierten Fassungen aller Bundesgesetze bereit, von der Abgabenordnung bis zum Handelsgesetzbuch.

Der Zugang zu geltenden Bundesgesetzen als Grundlage für GoBD-Recherche ist über die Gesetzesübersicht im Internet möglich. Wer einzelne Regelungen sucht, nutzt die Titelsuche nach Gesetzen wie GoBD, AktG und HGB für Reporting-Pflichten. Für Begriffe wie Datenqualität, Archivierung und Berichtspflichten hilft die Volltextsuche in Gesetzestexten.

Wichtig ist die Abgrenzung. Die GoBD regeln die steuerliche Seite. Daneben stehen handelsrechtliche Vorgaben aus dem HGB und datenschutzrechtliche Vorgaben aus DSGVO und BDSG. Ein Archiv, das nur eine dieser drei Anforderungen erfüllt, ist unvollständig.

Aufbewahrungsfristen nach § 147 AO und ihre Umsetzung

Die Fristen stehen nicht in der GoBD selbst, sondern in der Abgabenordnung. § 147 AO nennt die konkreten Zeiträume. Zehn Jahre gelten für Bücher, Abschlüsse, Lageberichte, Buchungsbelege und Jahresabschlüsse. Sechs Jahre gelten für Geschäftsbriefe, also Auftragsbestätigungen, Lieferscheine, Rechnungen und ähnliche Korrespondenz.

Die gesetzlichen Aufbewahrungsfristen nach § 147 AO für Bücher und Aufzeichnungen beginnen mit dem Schluss des Kalenderjahres, in dem der letzte Eintrag gemacht wurde. Ein Beleg aus März 2026 läuft also bis Ende 2036, wenn er unter die Zehnjahresfrist fällt. Diese Verschiebung ins Folgejahr wird in der Praxis häufig falsch berechnet.

Die Fristen gelten für Papier und für elektronische Unterlagen gleichermaßen. Ein Scan ersetzt das Papier nur, wenn er den GoBD entspricht, also bildlich und inhaltlich übereinstimmend, unveränderbar gespeichert und mit einem Index versehen. Wer Originale nach dem Scannen vernichtet, muss sicher sein, dass die Erfassung vollständig war.

Für die Umsetzung heißt das: Jeder Datensatz braucht ein Fristende im Metadatensatz. Systeme, die nur ein Erstellungsdatum speichern, zwingen die Buchhaltung zu manueller Nacharbeit. Besser ist ein Regelwerk, das aus Belegart und Jahr automatisch die Frist berechnet.

In der Praxis hat sich eine Fristenmatrix bewährt. Sie ordnet jeder Belegart eine Frist und eine Löschregel zu. Die Matrix gehört in die Verfahrensdokumentation, damit Prüfer sie nachvollziehen können.

Ein Beispiel: Eine GmbH in Nordrhein-Westfalen archiviert Eingangsrechnungen digital. Die Buchhaltung legt fest, dass Rechnungen zehn Jahre ab Jahresende des Belegdatums aufbewahrt und danach automatisch zur Löschung vorgeschlagen werden. Der Vorschlag läuft durch eine Freigabe, erst dann verschwindet der Datensatz.

Unveränderbarkeit, Nachvollziehbarkeit und Verfahrensdokumentation

Unveränderbarkeit bedeutet nicht, dass nichts korrigiert werden darf. Sie bedeutet, dass Korrekturen dokumentiert werden. Eine Stornobuchung ist zulässig, das Überschreiben eines Werts nicht. Systeme müssen also versionieren oder stornieren, statt zu editieren.

Nachvollziehbarkeit verlangt den Zusammenhang von Beleg, Buchung und Auswertung. Wer eine Umsatzanalyse erstellt, muss auf dieselben Daten zugreifen, aus denen die Buchhaltung erstellt wurde. Ein separates Excel mit abweichenden Zahlen erfüllt diese Anforderung nicht.

Die Verfahrensdokumentation ist das Bindeglied. Sie beschreibt in verständlicher Form, wie ein Geschäftsvorfall vom Eingang bis zur Archivierung läuft. Sie benennt Verantwortliche, Systeme, Schnittstellen, Kontrollen und Löschregeln. Sie ist kein einmaliges Dokument, sondern wird bei jeder Änderung fortgeschrieben.

Eine brauchbare Verfahrensdokumentation enthält mindestens: eine allgemeine Beschreibung des Unternehmens und der Organisation, eine Beschreibung der eingesetzten Hard- und Software, eine Ablaufbeschreibung je Prozess, eine Darstellung der internen Kontrollen, die Archivierungs- und Löschregeln sowie eine Versionshistorie. Wer diese Punkte abarbeitet, hat die typischen Prüfungsfragen bereits beantwortet.

Für die technische Absicherung greifen viele Betriebe auf den IT-Grundschutz des BSI für sichere Archivierung und Datenverarbeitung zurück. Der Grundschutz liefert Bausteine für Serverräume, Zugriffskontrolle, Datensicherung und Notfallvorsorge. Er ersetzt keine GoBD-Dokumentation, ergänzt sie aber um belastbare technische Maßnahmen.

Datenarchivierung: Formate, Systeme und Migration

Die GoBD schreiben kein bestimmtes Format vor, verlangen aber Lesbarkeit über die gesamte Frist. Ein Format, das nur eine Softwareversion öffnen kann, ist ein Risiko. PDF/A gilt als geeignet für bildhafte Belege, weil es selbsttragend ist. Für strukturierte Daten sind offene Formate wie CSV, XML oder JSON sinnvoll, sofern die Struktur dokumentiert ist.

Proprietäre Datenbankformate sind nicht verboten, aber sie verlangen eine Strategie. Wer in zehn Jahren noch lesen will, braucht entweder die passende Software oder eine rechtzeitige Konvertierung. Die Konvertierung selbst ist ein dokumentationspflichtiger Vorgang.

Bei der Migration von einem Archiv ins nächste gelten drei Regeln. Erstens: Die Daten müssen vollständig und unverändert übernommen werden. Zweitens: Die Verknüpfung von Beleg und Index muss erhalten bleiben. Drittens: Der Vorgang ist zu protokollieren, mit Datum, Umfang und Verantwortlichen.

Ein häufiger Fehler ist die Migration ohne Testphase. Wer 200.000 Belege verschiebt und erst danach stichprobenartig prüft, riskiert Lücken. Besser sind Testläufe mit Teilmengen und ein Abgleich der Datensatzanzahl vor und nach der Migration.

Für die Auswahl eines Archivsystems lohnt ein Blick auf die Anforderungen, nicht auf die Funktionsliste. Entscheidend sind: revisionssichere Speicherung, Fristenverwaltung, Volltextsuche, Exportmöglichkeit, Schnittstellen zu Buchhaltung und ERP sowie ein nachvollziehbares Berechtigungskonzept. Ein System ohne Exportmöglichkeit bindet den Betrieb an einen Anbieter und erschwert die Migration.

Datenquellen verknüpfen und Analysewerkzeuge GoBD-konform einsetzen

Analysewerkzeuge sind erlaubt, solange sie auf den Originaldaten arbeiten oder auf einer nachvollziehbar abgeleiteten Kopie. Kritisch wird es, wenn Auswertungen eigene Wahrheiten erzeugen. Ein Dashboard, das Umsätze anders berechnet als die Finanzbuchhaltung, führt in der Prüfung zu Erklärungsbedarf.

Die Verknüpfung beginnt bei den Datenquellen. Typisch sind Finanzbuchhaltung, Warenwirtschaft, Zeiterfassung, Kassensystem und Bankanbindung. Jede Quelle braucht eine dokumentierte Schnittstelle und einen definierten Übertragungsrhythmus. Wer täglich überträgt, muss auch täglich prüfen.

Für die Analyse gilt ein Grundsatz: Die abgeleitete Ebene ist eine Kopie, kein Ersatz. Das Original bleibt im Archiv. Die Kopie darf verändert, aggregiert und visualisiert werden, solange klar ist, woher sie stammt. Jede Kennzahl braucht eine Definition und eine Quelle.

In der Praxis bewährt sich ein Datenkatalog. Er listet je Feld auf, woher es kommt, wie es berechnet wird und wer es verantwortet. Der Katalog ist Teil der Verfahrensdokumentation und beantwortet die häufigste Prüferfrage: Woher stammt diese Zahl?

Analysewerkzeuge sollten zudem protokollieren, wer wann welche Auswertung erstellt hat. Das ist keine Pflicht aus der GoBD, hilft aber bei der Nachvollziehbarkeit. Wer Zugriffe auf Rohdaten einschränkt und nur über definierte Modelle auswertet, reduziert Fehlerquellen.

DSGVO und Löschpflichten im Spannungsfeld zur Aufbewahrung

Die DSGVO verlangt, personenbezogene Daten zu löschen, sobald der Zweck entfällt. Die AO verlangt, steuerrelevante Daten Jahre aufzubewahren. Dieser Konflikt löst sich nicht durch Wahl, sondern durch Differenzierung.

Steuerlich relevante Daten bleiben bis zum Fristablauf gespeichert. Der Zugriff wird jedoch eingeschränkt: Die Daten werden gesperrt, nicht gelöscht. Gesperrt bedeutet, dass nur noch die Stellen zugreifen können, die die Aufbewahrung erfüllen müssen. Alles andere bleibt technisch unerreichbar.

Nicht steuerrelevante personenbezogene Daten folgen den DSGVO-Löschpflichten. Dazu gehören Bewerbungsunterlagen abgelehnter Kandidaten, Marketinglisten oder Zugriffsprotokolle. Hier braucht es klare Löschfristen und einen Nachweis, dass gelöscht wurde.

Das BDSG ergänzt die DSGVO für den nichtöffentlichen Bereich, etwa bei der Verarbeitung im Beschäftigungskontext. Betriebe müssen also drei Regelwerke gleichzeitig im Blick behalten: AO für Fristen, GoBD für Verfahren, DSGVO und BDSG für personenbezogene Daten.

Ein praktikabler Weg ist die Einteilung in Kategorien. Kategorie A: steuerrelevant, aufbewahren und sperren. Kategorie B: personenbezogen, nicht steuerrelevant, löschen nach definierter Frist. Kategorie C: gemischt, also steuerrelevant mit Personenbezug, aufbewahren, sperren, nach Fristablauf löschen. Diese Einteilung gehört in die Verfahrensdokumentation.

Leitfaden: Archivierung in sieben Schritten

Dieser Leitfaden führt von der Bestandsaufnahme bis zur Prüfungsvorbereitung. Er ist als Abfolge gedacht, nicht als Auswahlmenü.

Bestandsaufnahme durchführen. Erfassen Sie alle Systeme, die aufzeichnungsrelevante Daten erzeugen. Dazu gehören Buchhaltung, Warenwirtschaft, Kassensystem, Zeiterfassung, Lohn und E-Mail-Archiv. Notieren Sie je System den Verantwortlichen und den Datenstandort.
Fristen je Belegart festlegen. Ordnen Sie jeder Belegart eine Frist nach § 147 AO zu. Beginnen Sie mit den zehnjährigen Unterlagen, weil sie den größten Aufwand verursachen. Dokumentieren Sie die Fristenmatrix.
Verfahrensdokumentation schreiben. Beschreiben Sie je Prozess den Ablauf vom Eingang bis zur Archivierung. Benennen Sie Kontrollen, Schnittstellen und Löschregeln. Versehen Sie das Dokument mit einer Versionsnummer.
Formate und Systeme prüfen. Stellen Sie sicher, dass gespeicherte Dateien über die gesamte Frist lesbar bleiben. Prüfen Sie Exportmöglichkeiten und Schnittstellen. Legen Sie fest, wer welche Daten sehen darf.
Datenquellen verknüpfen. Definieren Sie für jede Quelle Schnittstelle, Rhythmus und Prüfung. Legen Sie einen Datenkatalog an, der Herkunft und Berechnung jeder Kennzahl zeigt.
Löschkonzept umsetzen. Teilen Sie Daten in die Kategorien A, B und C ein. Richten Sie Sperrmechanismen für steuerrelevante Daten ein und automatische Löschvorgänge für die übrigen. Protokollieren Sie jede Löschung.
Prüfung simulieren. Führen Sie einmal jährlich einen Testlauf durch. Suchen Sie einen Beleg aus dem Vorjahr, verfolgen Sie ihn bis zur Buchung und prüfen Sie die Fristenberechnung. Halten Sie das Ergebnis schriftlich fest.

Zur Kontrolle dient diese Checkliste. Sie lässt sich vor einer Betriebsprüfung abarbeiten.

Verfahrensdokumentation ist aktuell und versioniert
Fristenmatrix deckt alle Belegarten ab
Archivsystem speichert unveränderbar und protokolliert Zugriffe
Datenkatalog benennt Quelle und Berechnung jeder Kennzahl
Löschkonzept unterscheidet steuerrelevante und personenbezogene Daten
Migrationen der letzten Jahre sind protokolliert
Testlauf mit Belegverfolgung ist dokumentiert

Prüfungen durch Betriebsprüfung und Aufsicht

Die Betriebsprüfung beginnt heute meist mit einem Datenzugriff. Der Prüfer verlangt entweder unmittelbaren Zugriff auf das System, mittelbaren Zugriff über einen Export oder die Überlassung von Daten auf einem Datenträger. Alle drei Varianten sind zulässig, die Wahl liegt beim Prüfer.

Wer den Zugriff verweigert oder unvollständige Daten liefert, riskiert eine Schätzung. Die Finanzverwaltung darf die Besteuerungsgrundlagen schätzen, wenn Bücher nicht ordnungsgemäß geführt werden. Das ist der teuerste Fehler im Zusammenhang mit der GoBD.

Prüfer fragen typischerweise nach der Verfahrensdokumentation, nach der Fristenberechnung, nach dem Zugriffskonzept und nach Änderungen an Daten. Wer diese vier Punkte vorbereitet hat, führt ein sachliches Gespräch statt einer Rechtfertigung.

Neben der Finanzverwaltung prüfen weitere Stellen. Die BaFin prüft Institute und Finanzdienstleister, die Bundesnetzagentur prüft bestimmte Telekommunikationsunternehmen. In beiden Fällen gelten zusätzliche Archivierungspflichten, die über die AO hinausgehen können.

Für die Qualität von Daten und Prozessen gibt es anerkannte Normen. Die DIN 66398 beschreibt ein Verfahren zur Entwicklung von Löschkonzepten und hilft, Löschfristen systematisch herzuleiten. Die Deutsche Akkreditierungsstelle (DAkkS) akkreditiert unter anderem Zertifizierungsstellen, deren Nachweise in Prüfungen anerkannt werden. Die Gesellschaft für Informatik (GI) veröffentlicht Empfehlungen zu Datenschutz und IT-Sicherheit, die als Orientierung dienen.

Wer diese Prüfungen bestehen will, braucht keine perfekte Software, sondern konsistente Prozesse. Ein einfaches System mit sauberer Dokumentation ist prüfungssicherer als ein komplexes System ohne.

Häufige Fragen

Gilt die GoBD auch für Kleinbetriebe und Einzelunternehmer? Ja. Die GoBD gelten für alle, die Bücher und Aufzeichnungen führen. Eine Ausnahme gibt es nur dort, wo das Gesetz die Buchführungspflicht verneint, etwa bei bestimmten Freiberuflern mit geringem Umsatz. Die Aufzeichnungspflichten der AO bleiben davon unberührt.

Muss ich Papierbelege aufbewahren, wenn ich sie digitalisiert habe? Nein, wenn die Digitalisierung den GoBD entspricht. Der Scan muss bildlich und inhaltlich übereinstimmen, unveränderbar gespeichert und mit einem Index versehen sein. Wer unsicher ist, bewahrt die Originale bis zum Fristablauf zusätzlich auf.

Wie lange muss ich Rechnungen aufbewahren? Rechnungen fallen in der Regel unter die Zehnjahresfrist, ebenso Buchungsbelege. Geschäftsbriefe wie Auftragsbestätigungen oder Lieferscheine unterliegen sechs Jahren. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist.

Darf ich Analysewerkzeuge auf Buchhaltungsdaten einsetzen? Ja, solange die Originaldaten unverändert im Archiv bleiben und die Auswertung nachvollziehbar ist. Jede Kennzahl sollte eine dokumentierte Quelle und Definition haben. Zugriffe auf Rohdaten sind einzuschränken und zu protokollieren.

Was passiert, wenn ich Daten zu früh lösche? Dann liegt ein Verstoß gegen die Aufbewahrungspflichten vor. Die Finanzverwaltung kann die Besteuerungsgrundlagen schätzen. Zudem kann der Verlust von Belegen im Einzelfall strafbar sein. Löschvorgänge sollten deshalb immer durch eine Freigabe abgesichert sein.

Brauche ich eine zertifizierte Software für die GoBD? Nein, eine Zertifizierung ist nicht vorgeschrieben. Entscheidend ist, dass das System die Anforderungen erfüllt: unveränderbare Speicherung, Fristenverwaltung, Lesbarkeit und nachvollziehbare Zugriffe. Die Dokumentation der eigenen Prozesse wiegt schwerer als ein Zertifikat.