Blog

Recht & Compliance

Beiträge zu gesetzlichen Anforderungen, Fristen und Pflichten sowie Datenschutz im Geschäftsalltag.

Aufbewahrung von Geschäftsunterlagen: Welche Fristen und Pflichten gelten?
Recht & Compliance

Aufbewahrung von Geschäftsunterlagen: Welche Fristen und Pflichten gelten?

Unternehmen müssen geschäftliche Unterlagen aufbewahren. Doch wie ist das eigentlich konkret geregelt? Welche Aufbewahrungsfristen gelten zum Beispiel für Rechnungen, Lieferscheine oder Quittungen? Dieser Beitrag informiert über die wesentlichen Pflichten zur Aufbewahrung von Geschäftsunterlagen.

5 Min. Lesezeit

Eine der größten bürokratischen Hürden für Unternehmen ist die Pflicht zur langjährigen Aufbewahrung steuerrechtlich relevanter Unterlagen. Rechnungen, Lieferscheine, Geschäftskorrespondenz – ständig kommen neue aufbewahrungspflichtige Dokumente hinzu. Um Stress mit dem Finanzamt, etwa bei Betriebsprüfungen, zu vermeiden, sollten die Vorschriften bekannt sein und die Aufbewahrungsfristen für die verschiedenen Dokumentenarten und Belege eingehalten werden. Im Folgenden finden Sie Antworten auf die wichtigsten Fragen zu den Aufbewahrungspflichten für Unternehmen.

Wo sind die Pflichten zur Aufbewahrung von Geschäftsunterlagen geregelt?

Die Aufbewahrung von Geschäftsunterlagen ist in Deutschland gesetzlich geregelt, insbesondere im Handelsgesetzbuch (HGB) und der Abgabenordnung (AO). Diese Vorschriften legen fest, welche Unterlagen wie lange aufzubewahren sind. Darüber hinaus finden sich im Umsatzsteuergesetz (UStG) sowie in zahlreichen anderen Gesetzen und Verordnungen Vorschriften zur Aufbewahrungspflicht von Dokumenten – beispielsweise im Arbeitsrecht, im Sozialversicherungsrecht oder im Produkthaftungsrecht.

Für die betriebliche Praxis sind insbesondere die Vorschriften in § 257 HGB und § 147 AO von Bedeutung. Zudem müssen Unternehmen die Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) beachten.

Wer ist zur Aufbewahrung von Geschäftsunterlagen verpflichtet?

Alle Gewerbetreibenden, die zur Buchführung und Aufzeichnung verpflichtet sind, müssen ihre geschäftlichen Unterlagen im Rahmen der gesetzlichen Aufbewahrungsfristen archivieren. Die Pflicht zur Aufbewahrung von Geschäftsunterlagen betrifft somit etablierte Unternehmen ebenso wie Gründer und Start-ups. Eine Sonderregelung für Kleinunternehmen gibt es nicht. Auch bei einer Geschäftsaufgabe oder einer Geschäftsübergabe besteht die Aufbewahrungspflicht für den Steuerpflichtigen weiter.

{{box-list-left}}

Welche Dokumente sind aufbewahrungspflichtig?

Nach § 147 AO und § 257 HGB sind insbesondere folgende Unterlagen aufbewahrungspflichtig:

  • Bücher und Aufzeichnungen
  • Inventare
  • Jahresabschlüsse
  • Lageberichte
  • Eröffnungsbilanz sowie die dazu erforderlichen Arbeitsanweisungen und sonstigen Organisationsunterlagen
  • Handels- und Geschäftsbriefe (d. h. jegliche Kommunikation und Korrespondenz – einschließlich E-Mails, Faxe etc. – zur Vorbereitung, Durchführung oder Rückgängigmachung von Geschäftsvorfällen)
  • Buchungsbelege zur Dokumentation von Geschäftsvorfällen (z. B. Quittungen)
  • Unterlagen für die Zollanmeldung, sofern sie nicht bereits den Zollbehörden vorliegen
  • sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind (z. B. Kalkulationsunterlagen oder Ausfuhrbelege)

Mitunter bereitet die richtige Einordnung der Unterlagen allerdings Probleme. Denn nicht jeder Beleg ist zwangsläufig ein aufbewahrungspflichtiger Buchungsbeleg und nicht jeder Brief muss als Geschäftsbrief archiviert werden. In Zweifelsfällen sollte ein Steuerberater oder eine Steuerberaterin gefragt werden.

Wie lang sind die Aufbewahrungsfristen in der Buchhaltung?

Durch das Vierte Bürokratieentlastungsgesetz (BEG IV) wurde die Aufbewahrungsfrist für Buchungsbelege zum 1. Januar 2025 von zehn auf acht Jahre verkürzt. Für Bücher, Jahresabschlüsse und Inventare gilt dagegen weiterhin die zehnjährige Frist. Die Aufbewahrungsfrist beginnt mit dem Schluss des Kalenderjahres, bei Vertragsunterlagen nach Ablauf des Vertrags.

Übersicht der Aufbewahrungsfristen ab 2025

Dokumententyp

Neue Frist ab 2025

Bisherige Frist

Buchungsbelege (z. B. Rechnungen, Quittungen, Kontoauszüge, Lieferscheine, Lohn- und Gehaltslisten)

8 Jahre

10 Jahre

Bücher, Jahresabschlüsse, Inventare

10 Jahre

10 Jahre

Handels- und Geschäftsbriefe

6 Jahre

6 Jahre

Aufbewahrungsfristen für ausgewählte Dokumentenarten

  • Rechnungen müssen seit dem 1. Januar 2025 acht Jahre (vorher: zehn Jahre) lang aufbewahrt werden. Nach § 14b des Umsatzsteuergesetzes (UStG) und § 147 der Abgabenordnung (AO)  sind Unternehmer verpflichtet, sowohl eine Kopie ihrer ausgestellten Rechnungen (Ausgangsrechnungen) als auch alle empfangenen Rechnungen (Eingangsrechnungen) zu archivieren.
  • Lieferscheine gelten grundsätzlich als Handels- oder Geschäftsbriefe und müssen sechs Jahre aufbewahrt werden, wenn sie lediglich die Korrespondenz im Rahmen eines Geschäfts dokumentieren. Sobald ein Lieferschein jedoch als Buchungsbeleg dient – etwa, weil er gleichzeitig als Rechnung verwendet wird oder buchungsrelevante Vermerke enthält –, gilt die längere Aufbewahrungsfrist von acht Jahren (vor 2025: zehn Jahre).
  • Kontoauszüge, Quittungen, Bewirtungsbelege, Tankbelege und ähnliche Dokumente sind Buchungsbelege und unterliegen ab 2025 einer Aufbewahrungsfrist von acht Jahren. Vorsicht ist geboten bei Belegen auf Thermopapier, da diese oft schon nach kurzer Zeit verblassen und unlesbar werden. Dies kann bei einer Betriebsprüfung den Vorsteuerabzug gefährden. Daher empfiehlt es sich, Thermopapierbelege zu scannen und digital zu archivieren. Alternativ besteht die Möglichkeit, solche Belege auf normales DIN-A4-Papier zu kopieren und zusammen mit dem Original aufzubewahren.

In welcher Form müssen Geschäftsunterlagen aufbewahrt werden?

Für die Aufbewahrung von Geschäftsunterlagen gelten folgende Formvorschriften:

  • Jahresabschlüsse, Eröffnungsbilanzen und andere relevante Unterlagen wie Rechnungen, Handelsbriefe und Geschäftsbriefe dürfen elektronisch aufbewahrt werden, solange die Daten unverändert, lesbar und während der gesamten Aufbewahrungsfrist zugänglich bleiben. Es ist zulässig, Papierunterlagen zu scannen und anschließend gesichert und geordnet auf einem Speichermedium aufzubewahren. Nach dem Scannen können die Originalbelege in den meisten Fällen vernichtet werden, sofern keine gesetzlichen oder rechtlichen Gründe entgegenstehen. Es wird empfohlen, vor der Vernichtung von Originalbelegen gegebenenfalls Rücksprache mit einem Steuerberater oder einer zuständigen Behörde zu halten.
  • Eine Ausnahme bilden Unterlagen, die für die Anwendung bestimmter Zollverfahren mit wirtschaftlicher Bedeutung erforderlich sind (z. B. aktive Veredelung). In solchen Fällen kann die Zollbehörde verlangen, dass die Unterlagen im Papieroriginal vorgelegt werden.
  • Für den Vorsteuerabzug aus Eingangsrechnungen ist die Aufbewahrung der Papieroriginalrechnungen dagegen nicht zwingend erforderlich. Auch elektronisch aufbewahrte Rechnungen sind für den Vorsteuerabzug ausreichend, solange die Echtheit der Herkunft, die Unversehrtheit des Inhalts und die Lesbarkeit gewährleistet sind.
  • Originär digitale Unterlagen, wie elektronische Rechnungen, müssen im digitalen Original aufbewahrt werden. Sie dürfen innerhalb der achtjährigen Aufbewahrungsfrist weder verändert noch gelöscht werden. Zudem muss ein Betriebsprüfer sie maschinell auswerten können. Ein Ausdruck auf Papier reicht hier also nicht aus.
  • Alle relevanten Buchführungsunterlagen müssen so aufbewahrt werden, dass sie jederzeit verfügbar, unverzüglich lesbar gemacht und maschinell ausgewertet werden können.
  • In jedem Fall muss die digitale Archivierung von gescannten oder originär elektronischen Dokumenten die Anforderungen der GoBD erfüllen.

Wie lässt sich trotz Aufbewahrungspflicht Ordnung im Archiv halten?

Aufgrund der Aufbewahrungspflichten für Unternehmen sammeln sich in der Buchhaltung Jahr für Jahr zahlreiche Belege an. Wer weiterhin papiergebunden und manuell archiviert, läuft Gefahr, den Überblick zu verlieren. Zum einen wird das Archiv irgendwann zu klein, zum anderen steigt die Zahl digitaler Dokumente kontinuierlich – Stichwort E-Rechnungspflicht.

Hinzu kommt, dass alle relevanten Dokumente nach den Vorgaben der GoBD im elektronischen Original und unveränderbar aufbewahrt werden müssen. Das beste Mittel, um diese Vorgaben effizient zu erfüllen und Ordnung im digitalen Archiv zu halten, ist ein Dokumentenmanagementsystem (DMS).

WEITERE ARTIKEL

E-Rechnung und GoBD: Diese Pflichten und Erleichterungen gelten für Unternehmen
ERP & Finance
Recht & Compliance

E-Rechnung und GoBD: Diese Pflichten und Erleichterungen gelten für Unternehmen

5 Min. Lesezeit

Seit dem 1. Januar 2025 müssen Unternehmen in Deutschland E-Rechnungen empfangen und verarbeiten können. Für die Ausstellung gelten noch Übergangsfristen bis 2027 beziehungsweise 2028. Gleichzeitig hat das Bundesministerium der Finanzen am 14. Juli 2025 die GoBD aktualisiert und dabei die Archivierung elektronischer Rechnungen sowie den Datenzugriff bei Betriebsprüfungen konkretisiert. Dieser Beitrag ordnet beide Themen ein und zeigt, was Unternehmen jetzt beachten sollten.

Was ist eine E-Rechnung?

Eine E-Rechnung muss maschinenlesbar sein und strukturierte XML-Daten in einem einheitlichen Format enthalten. Maßgeblich ist die EU-Richtlinie 2014/55/EU sowie die Norm EN 16931, die das semantische Datenmodell festlegt. In Deutschland wurden diese Vorgaben mit der E-Rechnungsverordnung des Bundes umgesetzt.

Eine reine PDF-Datei oder andere bildhafte Darstellungen wie „.tif“ oder „.jpeg“ erfüllen diese Vorgaben nicht, selbst wenn sie die Rechnungsinhalte vollständig zeigen. Entscheidend ist, dass das Format eine automatische elektronische Verarbeitung ermöglicht. Eingescannte Papier- oder PDF-Rechnungen leisten das nicht. Per E-Mail versandte einfache PDF-Rechnungen gelten deshalb seit dem 1. Januar 2025 nicht mehr als E-Rechnungen im umsatzsteuerrechtlichen Sinn, bleiben aber während der Übergangsfristen unter bestimmten Voraussetzungen zulässig.

In Deutschland sind zwei E-Rechnungsformate verbreitet:

  • XRechnung: ein strukturierter XML-Datensatz ohne für Menschen lesbare Sichtkomponente. Buchhaltungssoftware kann die Daten dennoch zur Prüfung sichtbar machen. XRechnungen sind im Geschäftsverkehr mit öffentlichen Auftraggebern (B2G) Standard und werden meist über spezielle Portale übermittelt.
  • ZUGFeRD ab Version 2.0.1: ein hybrides Format aus XML-Teil und PDF-Teil im Format PDF/A-3, das für Maschinen und für Menschen gleichermaßen lesbar ist. Seit Version 2.1.1 ist das deutsche ZUGFeRD-Format mit dem französischen Format Factur-X harmonisiert. Bei hybriden Formaten ist für die steuerliche Verarbeitung der strukturierte XML-Teil maßgeblich.

Empfangspflicht seit 2025

Seit dem 1. Januar 2025 müssen alle Betriebe elektronische Rechnungen grundsätzlich empfangen und verarbeiten können. Empfänger einer E-Rechnung können dem digitalen Format seitdem nicht mehr widersprechen. Unternehmen benötigen deshalb eine Lösung, die rechtskonforme Formate wie XRechnung und ZUGFeRD empfangen, verarbeiten und archivieren kann.

Ausstellungspflicht: Übergangsfristen bis 2028

Für die Erstellung und Versendung von E-Rechnungen gelten Übergangsfristen. Zu einem zwischen dem 1. Januar 2025 und dem 31. Dezember 2026 ausgeführten Umsatz kann statt einer E-Rechnung befristet bis zum 31. Dezember 2026 auch eine sonstige Rechnung auf Papier oder in einem nicht strukturierten elektronischen Format ausgestellt werden. Dafür ist die Zustimmung des Rechnungsempfängers erforderlich. Spätestens ab dem 1. Januar 2027 müssen Unternehmen selbst E-Rechnungen erstellen und versenden.

Diese Frist verlängert sich um ein weiteres Jahr bis zum 31. Dezember 2027 für Unternehmen mit einem Vorjahresumsatz (2026) von bis zu 800.000 Euro. Diese Unternehmen müssen spätestens ab dem 1. Januar 2028 E-Rechnungen erstellen und versenden.

Das EDI-Verfahren bleibt übergangsweise nutzbar: Zu einem bis zum 31. Dezember 2027 ausgeführten Umsatz können Rechnungen mit Zustimmung des Empfängers bis Ende 2027 per EDI übermittelt werden. Diese Rechnungen müssen nicht der E-Rechnungsnorm EN 16931 entsprechen, sondern lediglich die zur Rechnungslegung wichtigen Daten enthalten.

Rechtliche Grundlage und Meldesystem

Das Wachstumschancengesetz hat die E-Rechnungspflicht mit Änderungen im Umsatzsteuergesetz und der Umsatzsteuer-Durchführungsverordnung eingeführt, namentlich in § 14 Abs. 1 Satz 2 bis 8, Abs. 2 und 3 UStG, § 27 Abs. 38 UStG sowie §§ 33, 34 UStDV.

Hintergrund ist auch die Bekämpfung von Umsatzsteuerbetrug. Die Europäische Kommission schätzt die Umsatzsteuerlücke in Deutschland für 2021 auf 7,46 Milliarden Euro, EU-weit auf 61 Milliarden Euro. Deshalb hat die Kommission Ende 2022 die Initiative ViDA (VAT in the Digital Age) gestartet. Der Rat der EU hat das ViDA-Paket am 11. März 2025 final verabschiedet, am 14. April 2025 ist es in Kraft getreten. Seitdem dürfen Mitgliedstaaten eine E-Rechnungspflicht für inländische Umsätze einführen, ohne dafür eine gesonderte Ausnahmegenehmigung der EU zu benötigen.

Ein zentraler Baustein von ViDA ist ein EU-weites Echtzeitreporting umsatzsteuerpflichtiger Transaktionen auf Basis der E-Rechnung, die sogenannten Digital Reporting Requirements (DRR). Diese Meldepflicht gilt ab dem 1. Juli 2030 für innergemeinschaftliche B2B-Umsätze; ab diesem Zeitpunkt soll die E-Rechnung zum Standard für diese Umsätze werden. Nationale E-Rechnungs- und Meldesysteme, die bereits vor dem 1. Januar 2024 eingeführt wurden, müssen erst bis zum 1. Januar 2035 vollständig an die EU-Standards angeglichen werden. Die Europäische Kommission hat im Mai 2026 ein Arbeitsprogramm veröffentlicht, das die Umsetzung dieser Fristen weiter konkretisiert.

GoBD 2025: Neue Klarheit bei Archivierung und Datenzugriff

Am 14. Juli 2025 hat das Bundesministerium der Finanzen ein aktualisiertes BMF-Schreiben zu den GoBD veröffentlicht. Es konkretisiert den Umgang mit E-Rechnungen, strukturierten elektronischen Dokumenten und dem Datenzugriff der Finanzverwaltung. Die überarbeiteten GoBD gelten ohne Übergangsfrist seit dem 14. Juli 2025.

Keine doppelte Archivierung von Ausgangsrechnungen mehr

Erstellen Sie Ihre Rechnungen elektronisch über ein Fakturierungssystem, genügt nun die Möglichkeit, jederzeit eine identische Kopie der Rechnung zu erzeugen. Eine zusätzliche Ablage als PDF oder auf Papier ist nicht mehr notwendig (vgl. GoBD Rz. 76 n. F.). Das reduziert Speicheraufwand und vereinfacht Prozesse.

Nur der strukturierte XML-Teil muss archiviert werden

Eingehende strukturierte E-Rechnungen im XML-Format, etwa als XRechnung oder als Teil einer ZUGFeRD-Rechnung, müssen nicht mehr zusätzlich als PDF gespeichert werden, sofern die XML-Datei alle steuerlich relevanten Inhalte vollständig und unverändert enthält.

Bei hybriden Formaten wie ZUGFeRD oder Factur-X reicht im Regelfall ebenfalls die XML-Datei für die GoBD-konforme Archivierung aus. Enthält das PDF zusätzliche rechtlich relevante Informationen, etwa Buchungsvermerke, handschriftliche Ergänzungen oder Signaturen, muss auch dieses archiviert werden. Eine Umwandlung der XML-Datei in ein grafisches Format wie eine Bilddatei ist nicht zulässig.

Technische Zahlungsbelege nur bei Buchungsrelevanz

Kassenzettel von Kartenterminals oder Transaktionsnachweise von Zahlungsdienstleistern müssen Sie nur archivieren, wenn sie als Buchungsbeleg dienen oder die einzige Abrechnungsgrundlage darstellen. Reine technische Belege ohne steuerliche Relevanz unterliegen nicht der Archivierungspflicht (Rz. 121).

Strukturierte E-Dokumente und OCR-Texte

Die GoBD 2025 erkennen strukturierte elektronische Dokumente, etwa E-Rechnungen gemäß § 14 UStG, ausdrücklich als aufbewahrungspflichtige Unterlagen an. Diese müssen Sie im empfangenen Dateiformat speichern. OCR-Texte, die durch maschinelle Texterkennung aus Scans gewonnen wurden, gelten als relevante Informationen, sofern sie geprüft wurden und ergänzende Buchführungsdaten enthalten.

Datenzugriff bei Betriebsprüfungen: Z2 wird konkretisiert

Beim mittelbaren Datenzugriff (Z2) müssen Sie Prüfern auf Anfrage eigene Auswertungen aus dem Buchführungssystem bereitstellen, und zwar mithilfe vorhandener Softwarefunktionen. Alternativ können Sie einen Nur-Lese-Zugriff einrichten. Eine zusätzliche Softwareentwicklung darf dafür nicht nötig sein. Ist eine systeminterne Auswertung nicht möglich, hat der Prüfer das Recht, den direkten Datenzugriff (Z3) zu verlangen (vgl. GoBD Rz. 166).

Daneben wurden einzelne Passagen sprachlich überarbeitet, etwa der Wegfall des Begriffs „als Textdokumente“ (Rz. 133) sowie kleinere Ergänzungen zu Hard- und Softwarevoraussetzungen (Rz. 175). Diese redaktionellen Änderungen haben keine materiellen Auswirkungen auf die Praxis.

Was Sie jetzt tun sollten

Prüfen Sie zunächst, ob Ihr Empfangsweg für E-Rechnungen und Ihre Buchhaltungssoftware die strukturierten Formate XRechnung und ZUGFeRD verarbeiten können. Führen Sie, sofern noch nicht vorhanden, eine Lösung für die Erstellung und den Versand von E-Rechnungen, eine Anwendung für den automatisierten Empfang von Eingangsrechnungen sowie eine Software für die GoBD-konforme Archivierung ein. Ordnen Sie anschließend Ihre Ausgangsrechnungen nach Vorjahresumsatz und den geltenden Übergangsfristen ein und passen Sie Ihr Archivierungskonzept an die neuen GoBD-Vorgaben an, insbesondere bei der Frage, ob PDF-Dateien neben dem XML-Teil noch aufbewahrt werden müssen.

Fazit

Die Empfangspflicht für E-Rechnungen gilt bereits seit dem 1. Januar 2025 und lässt sich nicht mehr durch einen Widerspruch des Empfängers umgehen. Für die Ausstellung bleibt bis 2027 beziehungsweise, bei einem Vorjahresumsatz bis 800.000 Euro, bis 2028 Zeit. Die GoBD 2025 schaffen zusätzliche Klarheit: Fakturierungssysteme müssen Ausgangsrechnungen nicht mehr doppelt speichern, und bei eingehenden E-Rechnungen genügt in der Regel die Archivierung des strukturierten XML-Teils. Gleichzeitig stellen die konkretisierten Regeln zum Z2-Datenzugriff neue Anforderungen an die technische Auswertbarkeit Ihrer Buchführungssysteme.

Häufige Fragen zur E-Rechnungspflicht und den GoBD 2025

Ist eine PDF-Rechnung eine E-Rechnung? 

Nein. Eine reine PDF-Datei oder andere bildhafte Formate wie „.tif“ oder „.jpeg“ ermöglichen keine automatische elektronische Verarbeitung und gelten deshalb nicht als E-Rechnung im umsatzsteuerrechtlichen Sinn. Während der Übergangsfristen bleiben solche Formate unter bestimmten Voraussetzungen dennoch zulässig.

Ab wann müssen Unternehmen E-Rechnungen empfangen können? 

Seit dem 1. Januar 2025. Empfänger können dem digitalen Format seitdem nicht mehr widersprechen, unabhängig davon, ob das eigene Unternehmen bereits E-Rechnungen ausstellen muss.

Bis wann dürfen Unternehmen noch Papier- oder einfache PDF-Rechnungen ausstellen? 

Bis zum 31. Dezember 2026 grundsätzlich mit Zustimmung des Empfängers. Unternehmen mit einem Vorjahresumsatz (2026) von bis zu 800.000 Euro dürfen diese Formate bis zum 31. Dezember 2027 weiter nutzen und müssen erst ab dem 1. Januar 2028 E-Rechnungen ausstellen.

Welche E-Rechnungsformate sind in Deutschland zulässig und verbreitet? 

Vor allem XRechnung, ein rein strukturierter XML-Datensatz, und ZUGFeRD ab Version 2.0.1, ein hybrides Format aus XML- und PDF-Teil. Für die steuerliche Verarbeitung ist bei ZUGFeRD der XML-Teil maßgeblich.

Wie lange kann das EDI-Verfahren noch genutzt werden? 

Zu einem bis zum 31. Dezember 2027 ausgeführten Umsatz können Rechnungen mit Zustimmung des Empfängers bis Ende 2027 per EDI übermittelt werden, sofern sie die zur Rechnungslegung wichtigen Daten enthalten.

Müssen Ausgangsrechnungen künftig noch doppelt archiviert werden? 

Nein. Erstellen Sie Rechnungen über ein Fakturierungssystem, das jederzeit eine identische Kopie erzeugen kann, ist eine zusätzliche Ablage als PDF oder auf Papier nicht mehr erforderlich.

Muss bei einer ZUGFeRD-Rechnung zusätzlich das PDF archiviert werden? 

Im Regelfall nicht. Enthält die XML-Datei alle steuerlich relevanten Inhalte vollständig und unverändert, genügt deren Archivierung. Enthält das PDF zusätzliche rechtlich relevante Informationen wie Buchungsvermerke oder Signaturen, muss auch dieses aufbewahrt werden.

Wann müssen technische Zahlungsbelege archiviert werden? 

Nur dann, wenn sie als Buchungsbeleg dienen oder die einzige Abrechnungsgrundlage darstellen. Rein technische Belege ohne steuerliche Relevanz unterliegen nach den GoBD 2025 nicht der Archivierungspflicht.

Was bedeutet der Z2-Datenzugriff bei Betriebsprüfungen? 

Beim mittelbaren Datenzugriff müssen Unternehmen Prüfern eigene Auswertungen aus dem Buchführungssystem mithilfe vorhandener Softwarefunktionen bereitstellen oder einen Nur-Lese-Zugriff einrichten. Ist das nicht möglich, kann der Prüfer den direkten Datenzugriff (Z3) verlangen.

Wann kommt das EU-weite Meldesystem für B2B-Umsätze? 

Im Rahmen der ViDA-Initiative (VAT in the Digital Age) gilt die Echtzeit-Meldepflicht für innergemeinschaftliche B2B-Umsätze ab dem 1. Juli 2030. Bestehende nationale E-Rechnungs- und Meldesysteme, die vor dem 1. Januar 2024 eingeführt wurden, müssen bis zum 1. Januar 2035 an die EU-Standards angeglichen werden. Das ViDA-Paket wurde am 11. März 2025 verabschiedet und ist am 14. April 2025 in Kraft getreten.

Neues Verpackungsgesetz: Pflichten, Registrierung und Risiken für Unternehmen
Recht & Compliance

Neues Verpackungsgesetz: Pflichten, Registrierung und Risiken für Unternehmen

Unternehmen müssen die Entsorgung und das Recycling ihrer Verpackungen über das duale System finanzieren. Viele kommen dieser Pflicht jedoch bislang nicht nach. Mit dem Verpackungsgesetz von 2019 und dem neuen Verpackungsregister LUCID sollen Verstöße konsequent verhindert werden. Seit dem 1. Januar 2019 dürfen nur registrierte Unternehmen systembeteiligungspflichtige Verpackungen in Verkehr bringen.

5 Min. Lesezeit

Das Gesetz über das Inverkehrbringen, die Rücknahme und die hochwertige Verwertung von Verpackungen (kurz: Verpackungsgesetz oder VerpackG) ersetzt die bisherige Verpackungsverordnung. Es richtet sich an alle Hersteller, Händler und Importeure, die Verpackungen erstmals gewerblich in Umlauf bringen. Ziel ist, die erweiterte Produktverantwortung durchzusetzen, Entsorgungs- und Recyclingkosten fair zu verteilen und Anreize zur Vermeidung von Verpackungsabfällen zu schaffen – sowohl im Online- als auch im stationären Handel.

Auch kleine Unternehmen müssen sich registrieren, wenn sie Verpackungen in Verkehr bringen.

Wichtige Neuerungen durch das Verpackungsgesetz

1. Registrierungspflicht im LUCID-Portal

Die Zentrale Stelle Verpackungsregister hat das Portal LUCID eingerichtet. Alle Erstinverkehrbringer von systembeteiligungspflichtigen Verpackungen müssen sich hier registrieren. Das Register ist öffentlich einsehbar, und nicht registrierte Unternehmen dürfen keine Verpackungen in Verkehr bringen.

2. Erweiterung der Systembeteiligungspflicht

Seit Januar 2019 umfasst die Pflicht nicht nur Verkaufs-, Service- und Umverpackungen, sondern auch Versandverpackungen. Onlinehändler müssen ihre Versandverpackungen selbst an einem dualen System beteiligen und die erforderlichen Daten melden.

Sanktionen und Risiken bei Verstößen gegen das Verpackungsgesetz

  • Bußgelder: Unternehmen, die gegen die Pflichten des Verpackungsgesetzes verstoßen, müssen mit empfindlichen Geldstrafen rechnen. Die Höhe der Bußgelder kann bis zu 200.000 Euro betragen, abhängig von der Schwere und Dauer des Verstoßes.
  • Vertriebsverbot: Neben finanziellen Sanktionen droht ein sofortiges Vertriebsverbot. Das bedeutet, dass nicht registrierte oder falsch deklarierte Verpackungen nicht weiter in Umlauf gebracht oder verkauft werden dürfen. Für Unternehmen kann dies erhebliche wirtschaftliche Einbußen nach sich ziehen.
  • Abmahnungen: Das öffentliche Verpackungsregister LUCID macht es Wettbewerbern und Behörden einfach, Verstöße nachzuverfolgen. Unternehmen, die ihre Registrierungspflicht oder Meldungen nicht erfüllen, können daher schnell abgemahnt werden. Dies kann neben rechtlichen Konsequenzen auch zu Imageschäden führen.
  • Plattformrisiken für Onlinehändler: Besonders für Händler, die ihre Produkte über Plattformen wie Amazon, eBay oder andere Marktplätze vertreiben, besteht ein zusätzliches Risiko. Plattformbetreiber sind verpflichtet, gesetzliche Vorgaben einzuhalten und reagieren im Zweifel mit Sperrungen oder Ausschlüssen, um selbst nicht in den Fokus von Behörden zu geraten. Ein Verstoß gegen das Verpackungsgesetz kann daher unmittelbar die Möglichkeit des Onlineverkaufs gefährden.

Weitere Informationen zum Verpackungsgesetz 2019, LUCID-Registrierung und Pflichten für Unternehmen und Onlinehändler sind auf der Website der Zentralen Stelle Verpackungsregister erhältlich.

DSGVO: So sichern KMU jetzt ihre Daten und erfüllen die Vorschriften
Recht & Compliance

DSGVO: So sichern KMU jetzt ihre Daten und erfüllen die Vorschriften

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 in der gesamten Europäischen Union. Viele kleine und mittlere Unternehmen (KMU) haben die neuen Anforderungen an Datenschutz und Datenverarbeitung inzwischen umgesetzt – in manchen Betrieben besteht jedoch weiterhin Nachholbedarf. Hier ein Überblick über wesentliche Neuerungen und Handlungsempfehlungen für KMU.

5 Min. Lesezeit

Warum die DSGVO für jedes Unternehmen relevant ist

Die DSGVO schützt sämtliche Daten, die Rückschlüsse auf natürliche Personen in der EU zulassen. Wer Beschäftigte hat oder Kundendaten verarbeitet, fällt automatisch unter die DSGVO. Dies betrifft z. B. E-Mails von Mitarbeitenden, Kundendaten, Informationen von Lieferanten oder personenbezogene Angaben in digitalen Systemen.

Erhöhte Anforderungen und mögliche Strafen

Zwar orientiert sich die DSGVO in vielen Punkten am bisherigen Bundesdatenschutzgesetz (BDSG), sie bringt aber deutlich umfangreichere Pflichten mit sich.

Wichtige DSGVO-Neuerungen für Unternehmen

  • Verzeichnis der Verarbeitungstätigkeiten: Jedes Unternehmen muss ein Verzeichnis führen, in dem sämtliche Prozesse der Datenverarbeitung detailliert aufgeführt sind (Art. 30 DSGVO). Das bisherige Verfahrensverzeichnis nach § 4e BDSG entfällt.
  • Erweiterte Informationspflichten: Betroffene Personen müssen klar, verständlich und umfassend über die Verarbeitung ihrer Daten informiert werden, z. B. Zweck, Dauer und Rechtsgrundlage.
  • Meldepflichten bei Datenschutzverstößen: Datenschutzverstöße mit Risiko für Betroffene müssen innerhalb von 72 Stunden den Aufsichtsbehörden gemeldet werden; betroffene Personen sind unverzüglich zu informieren, wenn ein hohes Risiko besteht.
  • Recht auf Löschung („Recht auf Vergessenwerden“): Betroffene können die Löschung ihrer personenbezogenen Daten verlangen; Unternehmen müssen sicherstellen, dass diese Daten auch bei Dritten gelöscht werden, sofern weitergegeben.
  • Recht auf Datenübertragbarkeit: Personen können die Herausgabe ihrer Daten in einem strukturierten, maschinenlesbaren Format verlangen, z. B. für einen Anbieterwechsel.
  • Privacy by Design und Privacy by Default: Datenschutz muss von Anfang an in Produkten, Dienstleistungen und Software berücksichtigt werden („Privacy by Design“) und standardmäßig maximal gewährleistet sein („Privacy by Default“).

Strenge Bußgelder

Bei Verstößen können Aufsichtsbehörden bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes verhängen – deutlich höher als die früheren Grenzen von maximal 300.000 Euro.

Handlungsempfehlungen für KMU

Unternehmen sollten weiterhin ihre Datenschutzmaßnahmen prüfen und priorisieren:

  1. Verzeichnis der Verarbeitungstätigkeiten: Unverzichtbar für ein DSGVO-konformes Datenschutzkonzept. Es lohnt sich, dieses Verzeichnis kontinuierlich zu pflegen und zu aktualisieren.
  2. Dokumentation aller Maßnahmen: Sämtliche bereits umgesetzten oder geplanten Schritte sollten schriftlich festgehalten werden. Eine gute Dokumentation kann im Falle von Prüfungen oder Verstößen positiv berücksichtigt werden.
  3. Fokus auf besonders prüfungsrelevante Bereiche: Experten empfehlen, besonders Einwilligungserklärungen, Informationspflichten, Datenschutzbelehrungen und Direktmarketing-Maßnahmen im Blick zu behalten.
  4. Externe Unterstützung nutzen: Bei Unsicherheiten kann der Rat eines Datenschutzexperten helfen, Risiken zu minimieren und die DSGVO-konforme Umsetzung zu sichern.

Fazit

Die DSGVO ist bindendes Recht in der EU. KMU, die ihre Datenschutzpflichten ernst nehmen, schützen nicht nur ihre Kundendaten und Mitarbeitenden, sondern sichern auch ihre rechtliche und wirtschaftliche Handlungsfähigkeit langfristig ab.

Datenschutzexperte: „Die DSGVO erfordert die Mitwirkung der Unternehmen“
Recht & Compliance

Datenschutzexperte: „Die DSGVO erfordert die Mitwirkung der Unternehmen“

Zahlreiche kleine und mittlere Unternehmen werden es wohl nicht schaffen, bis zum 25. Mai 2018 alle Vorgaben der Datenschutz-Grundverordnung (DSGVO) fristgerecht umzusetzen. Rechtsanwalt und Datenschutzexperte André Schmidt erläutert, welche Themen jetzt im Fokus stehen sollten und wie die Prioritäten zu setzen sind.

5 Min. Lesezeit

In vielen mittelständischen Unternehmen kommt die Umsetzung der DSGVO nur langsam voran. Welche Probleme begegnen Ihnen im Rahmen Ihrer Beratungspraxis besonders häufig?

André Schmidt: Ein großes Problem ist das fehlende Bewusstsein im Hinblick auf den tatsächlichen Umsetzungsbedarf. Viele KMU denken, dass sich für sie durch die DSGVO nicht so viel ändern werde. Die DSGVO betrifft jedoch nicht nur Konzerne oder Unternehmen im Privatkundenbereich. Sie gilt für alle, und sie fordert tief greifende Anpassungen bezüglich der innerbetrieblichen Abläufe eines Unternehmens.

Andere Unternehmen, die zu mir kommen, haben bereits die Tragweite der DSGVO und die mit ihr verbundenen hohen Haftungsrisiken für sich und ihre Geschäftsleitung erkannt. Sie sind allerdings mit der Fülle der umzusetzenden Maßnahmen überfordert. Dieses Problem kann man dadurch angehen, indem man priorisiert und einen Projektplan erstellt, der Verantwortlichkeiten, Ressourcen und Arbeitspakete bestimmt.

Ein weiterer Grund für die schleppende Umsetzung der neuen Anforderungen bei mittelständischen Unternehmen ist, dass nur unzureichende Ressourcen bereitgestellt werden. Die Änderung von organisatorischen Prozessen, der Aufbau eines Datenschutzmanagementsystems sowie die Erstellung datenschutzkonformer Vorlagen kosten Geld und binden personelle Kräfte im Unternehmen.

Ein Teil der Unternehmen scheut die erforderlichen Investitionen. Diese Unternehmen gehen ein hohes wirtschaftliches Risiko ein, denn die zukünftig drohenden Sanktionen können die anfänglichen Einsparungen in das Gegenteil verkehren.

Andere Unternehmen investieren hingegen viel in externe Berater und erhoffen sich, dass diese alles übernehmen. Das kann aber nicht funktionieren. Externe Berater können sicherlich wertvolle Hilfe leisten und Arbeit abnehmen. Damit die Umsetzung erfolgreich verläuft, ist jedoch ein hohes Maß an Zuarbeit durch die Unternehmen erforderlich, beispielsweise bei der Erfassung der datenschutzrechtlich relevanten Prozesse im Unternehmen.

{{box-list-left}}

Inwieweit ist damit zu rechnen, dass die Aufsichtsbehörden nach dem 25. Mai 2018 hier und da noch ein Auge zudrücken werden?

Schmidt: Die Aufsichtsbehörden haben wenig Anlass, auf Unternehmen Rücksicht zu nehmen, die bislang die Anforderungen der DSGVO für sich ausgeblendet haben. Die DSGVO ist immerhin seit Mai 2016 in Kraft. Wenn sie zum 25. Mai 2018 rechtsverbindlich wird, hatten Unternehmen zuvor zwei Jahre die Gelegenheit, sich auf die neuen Anforderungen einzustellen. Aus diesem Grund nehme ich nicht an, dass die Aufsichtsbehörden besonders wohlwollend reagieren, wenn ein Unternehmen kurz vor Torschluss noch eilig mit den ersten Umsetzungsmaßnahmen beginnt.

Sollte allerdings ein Unternehmen belegen können, dass es in den vergangenen Monaten intensiv versucht hat, den Anforderungen nachzukommen, dann wird dies natürlich von den Behörden bei der Bemessung einer möglichen Geldbuße berücksichtigt werden. Dies kann im Einzelfall auch dazu führen, dass von einer Geldbuße abgesehen wird.

Welche datenschutzrechtlichen Felder werden die Aufsichtsbehörden nach Geltung der DSGVO voraussichtlich besonders in den Blick nehmen?

Schmidt: Die Aufsichtsbehörden werden sich am Anfang vermutlich auf die Bereiche konzentrieren, die relativ einfach abgefragt oder geprüft werden können. Hierzu gehört das Verzeichnis von Verarbeitungstätigkeiten, welches der Aufsichtsbehörde auf Verlangen vorzulegen ist. In diesem Verzeichnis muss ein Unternehmen sämtliche datenschutzrechtlich relevanten Prozesse im Unternehmen auflisten und jeweils nach vordefinierten Vorgaben beschreiben.

Die Erstellung eines solchen Verzeichnisses ist sehr zeitaufwendig. Deshalb kann damit nicht erst begonnen werden, wenn eine Aufsichtsbehörde die Vorlage des Verzeichnisses verlangt. Ohnehin ist das Verzeichnis ein fundamentaler Baustein für eine erfolgreiche Umsetzung der DSGVO. Das Verzeichnis ermöglicht es den Unternehmen, sich einen Überblick darüber zu verschaffen, wo überhaupt angesetzt werden muss.

Auch die Verträge mit Dienstleistern, die personenbezogene Daten der Unternehmen verarbeiten, sind für Aufsichtsbehörden ein beliebter Prüfungspunkt. Unternehmen sind also gut beraten, wenn sie sich eine Übersicht über ihre Dienstleister erstellen und diese dahingehend durchgehen, ob die Verträge anzupassen sind. Soweit Bedarf besteht, sollten Anpassungen zeitnah erfolgen. Das ist aber auch gut machbar.

Ein dritter – sehr relevanter – Bereich betrifft das Einwilligungsmanagement und die Informationspflichten des Unternehmens. Wo und wie müssen die betroffenen Personen informiert werden, deren persönliche Daten das Unternehmen verarbeitet? Reichen die bislang verwendeten Einwilligungserklärungen aus oder müssen sie angepasst werden? Hier besteht häufig Handlungsbedarf – und Aufsichtsbehörden reagieren erfahrungsgemäß sensibel, wenn Unternehmen ihrer Verpflichtung in dieser Hinsicht nicht nachkommen.

Im besonderen Fokus stehen natürlich auch Marketingaktivitäten und die Außenauftritte (insbesondere Websites) der Unternehmen. Hier treten Datenschutzverstöße offenkundig zu Tage. Werden beispielsweise die Datenschutzbelehrungen auf der eigenen Website nicht rechtzeitig angepasst, ist das für jedermann leicht zu erkennen. Direktmarketing-Maßnahmen, wie beispielsweise Newsletter und Cold-Calls oder Re-Targeting-Kampagnen, sind ebenfalls im Fokus der Aufsichtsbehörden.

Welche Schwerpunkte sollten Unternehmensverantwortliche bei der Umsetzung der DSGVO nun setzen?

Schmidt: Unternehmen, die mit der Umsetzung noch nicht richtig begonnen haben, werden es kaum bis zum 25. Mai 2018 schaffen, die Anforderungen der DSGVO zu erfüllen. Für diese Unternehmen steht deshalb im Vordergrund, die Haftungsrisiken für das Unternehmen und die Geschäftsleitung einzudämmen. Aber auch drohende Imageschäden gilt es zu vermeiden.

Für eine Risikobewertung sind vor allem zwei Punkte von Interesse. Zum einen die Frage nach der Wahrscheinlichkeit, dass der betreffende Bereich von einer Aufsichtsbehörde oder einer betroffenen Person beanstandet wird. Werden beispielsweise Personen gegen ihren Willen „zugespammt“, ist die Wahrscheinlichkeit einer Beanstandung hoch.

Zum anderen spielt auch die Schwere der datenschutzrechtlichen Verfehlung eine wichtige Rolle. Bei besonders gravierenden Verstößen drohen natürlich deutlich höhere Geldbußen oder Schadensersatzforderungen der Betroffenen. So ist beispielsweise denkbar, dass ein großes Datenleck für Außenstehende lange unerkannt bleibt, weil nur Insider Kenntnis davon haben. Wenn dieses Datenleck doch bekannt wird, können diesbezüglich dramatisch höhere Geldbußen drohen, als vielleicht wegen einer inkorrekten Datenschutzbelehrung auf der Website des Unternehmens.

Allerdings sollte – unabhängig von der Risikobewertung – bei allen Unternehmen die Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten ganz oben auf der Prioritätenliste stehen. Wie bereits gesagt, ist das Verzeichnis ein fundamental wichtiger Baustein für die Umsetzung eines funktionierenden Datenschutzkonzepts.

Wie bei jedem Regelwerk gibt es auch bei der DSGVO Themen, die noch strittig sind und einer Rechtsauslegung bedürfen. Welche Themen sind dies? Und wie sollten Unternehmen damit umgehen?

Schmidt: Das stimmt. Zahlreiche Detailfragen zur DSGVO sind noch ungeklärt. Das betrifft beispielsweise Teilfragen hinsichtlich der Videoüberwachung, des Beschäftigtendatenschutzes, der Formerfordernisse bei der Auftragsverarbeitung, der notwendigen Inhalte der Datenschutzbelehrungen und noch eine Vielzahl weiterer Punkte.

Ja, es wäre schön gewesen, wenn die DSGVO aus sich heraus für den normalen Bürger leicht verständlich wäre. Das ist nicht der Fall. Selbst Sachkundige müssen bei manchen Rechtsfragen einen Spezialisten konsultieren. Aber das ist bei dem bisherigen BDSG doch ähnlich; und gleichwohl haben wir gelernt, damit umzugehen. Genauso wird es auch bei der DSGVO kommen.

Außerdem geben Aufsichtsbehörden und Datenschutzverbände derzeit zahlreiche Praxishilfen und Empfehlungen heraus. Diese helfen den Unternehmen und Datenschutzbeauftragten, die mitunter sperrig formulierten Regelungen der DSGVO im betrieblichen Alltag umzusetzen. Daran kann man sich orientieren. Bei wirtschaftlich wichtigen Datenschutzfragen bietet es sich sicherlich auch an, zur Klärung einen Spezialisten hinzuzuziehen.

Expertin: „Die Datenschutz-Grundverordnung erfordert Umdenken bei der Datensicherheit“
Recht & Compliance

Expertin: „Die Datenschutz-Grundverordnung erfordert Umdenken bei der Datensicherheit“

Ab dem 25. Mai 2018 müssen Unternehmen bei der Verarbeitung personenbezogener Daten die Vorgaben der Datenschutz-Grundverordnung (DSGVO) erfüllen. In vielen Betrieben herrscht jedoch weiterhin eine gewisse Unsicherheit bezüglich der neuen Anforderungen. Wir sprachen mit Datenschutzexpertin Sabine Köhler von der Ceyoniq Technology GmbH über die wesentlichen Herausforderungen des neuen Datenschutzrechts.

5 Min. Lesezeit

Die Datenschutz-Grundverordnung hat weitreichende Auswirkungen auf betriebliche Abläufe. Wo sehen Sie die größten Herausforderungen für Unternehmen durch das neue Datenschutzrecht?

Sabine Köhler: Zu den größten Herausforderungen der DSGVO zählt vor allem der Grundsatz der transparenten Datenverarbeitung. Unternehmen müssen ihre Verarbeitungstätigkeiten umfassend dokumentieren und sind gegenüber den Aufsichtsbehörden hierfür rechenschaftspflichtig. Wer seine Prozesse noch nicht dokumentiert hat, muss dies also schleunigst nachholen, was vor allem bei historisch gewachsenen Unternehmensstrukturen herausfordernd sein kann.

Nach den neuen Vorgaben zu Privacy by Design und Privacy by Default, die Datenschutzaspekte bereits in der Prozessgestaltung verankern, können auch umfassende Anpassungen der Arbeitsprozesse notwendig werden. Dazu gehört beispielsweise auch das Löschen von nicht mehr benötigten personenbezogenen Daten nach Ablauf aller Aufbewahrungsfristen. Diese Pflicht ist zwar nicht neu, wird nun aber erstmals mit einem Bußgeld geahndet und ist im Großteil der Unternehmen noch keine gelebte Praxis.

Auch bei der Datensicherheit muss ein Umdenken stattfinden. Konnte man seine technisch-organisatorischen Maßnahmen bisher nach Gutdünken zusammenstellen, ist für alle Verarbeitungstätigkeiten künftig eine Risikoanalyse durchzuführen, auf deren Basis dann entsprechende Sicherheitsmaßnahmen zu definieren sind.

{{box-list-left}}

Welche Arbeitsbereiche und welche IT-Systeme im Unternehmen sind von der Datenschutz-Grundverordnung besonders betroffen?

Köhler: Hier trifft es primär die Abteilungen, die auch bisher schon besonders im Fokus des Datenschutzes waren: Personal, Marketing, Vertrieb und natürlich die IT. Kritisch sind dabei vor allem die Systeme, in denen besonders viele personenbezogene Daten vorgehalten werden, wie ERP, CRM, DMS, aber auch HR-Lösungen und Kundenportale. Hier fehlt oftmals ein Überblick darüber, welche personenbezogenen Daten überhaupt vorhanden sind, wo diese gespeichert werden und ob sie ausreichend gegen Manipulation und Datendiebstahl abgesichert sind.

Zudem sollte hinterfragt werden, ob die bestehenden IT-Lösungen überhaupt die notwendigen Funktionen mitbringen, um die Anforderungen der DSGVO umzusetzen.

Wie hat sich Ihr Unternehmen auf die Datenschutz-Grundverordnung vorbereitet?

Köhler: Die Anforderungen der DSGVO machen es unumgänglich, Datenschutz stärker als bisher zu steuern und zu überwachen. Für uns war deshalb klar, dass wir ein Datenschutzmanagementsystem einführen. In diesen Prozess haben wir alle Abteilungen einbezogen. Das trägt nicht nur dazu bei, dass trotz erhöhter Datenschutzanforderungen alle Arbeitsprozesse auch in Zukunft flüssig ablaufen können, sondern erhöht auch die Akzeptanz und das Bewusstsein für das Thema unter den Kollegen.

Welches Vorgehen empfehlen Sie Unternehmen, die noch nicht DSGVO-ready sind?

Köhler: Für diese Unternehmen wird die Zeit definitiv knapp. Ich empfehle jedoch, nicht in blinden Aktionismus zu verfallen, sondern sich umfassend zu den Inhalten der Datenschutz-Grundverordnung und entsprechenden Umsetzungsempfehlungen schulen zu lassen. Im Anschluss sollten die Anforderungen an das eigene Unternehmen evaluiert, Zuständigkeiten definiert und ein Projektplan erstellt werden.

GoBD in der Praxis: Steuerexperte erklärt Anforderungen und Chancen
Recht & Compliance

GoBD in der Praxis: Steuerexperte erklärt Anforderungen und Chancen

Die Buchführung vieler kleiner und mittlerer Unternehmen (KMU) in Deutschland entspricht noch nicht den Anforderungen der GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff). Stefan Groß, Steuerberater und CISA, erläutert im Interview die Anforderungen und den Nutzen der GoBD für Firmen.

5 Min. Lesezeit

Manches Unternehmen empfindet die GoBD als eine zusätzliche bürokratische Hürde. Ist dies gerechtfertigt?

Stefan Groß: Zunächst einmal: Die GoBD sind keine isolierte Sichtweise der Finanzverwaltung. Sie erfinden das Rad auch nicht neu, sondern geben im Wesentlichen die bestehende Rechtslage wieder. Die wesentlichen Vorgaben gelten bereits seit dem Inkrafttreten der Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) Ende 1995 und der Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) im Jahr 2002.

Mit den GoBD hat die Finanzverwaltung die bestehenden Regelungen zusammengefasst und folgerichtig weiterentwickelt, etwa im Hinblick auf Sonderthemen wie den Umgang mit elektronischen Rechnungen. Damit rücken Anforderungen in den Vordergrund, die bisher nicht immer im Fokus der Unternehmen standen, die aber jedes Unternehmen ohnehin beachten sollte, wie zum Beispiel das innerbetriebliche Kontrollsystem, die Verfahrensdokumentation oder die Unveränderbarkeit archivierter Daten.

{{box-quote-left}}

Über die Praktikabilität mancher Regelung der GoBD lässt sich durchaus streiten. Ein Beispiel hierfür ist die Vorgabe, dass Unternehmen die maschinelle Auswertbarkeit steuerrelevanter Daten bis zu zehn Jahre gewährleisten müssen und zwar unabhängig von Veränderungen im Hard- oder Softwareumfeld. Große neue bürokratische Hürden sehe ich jedoch nicht. Allerdings nehmen die GoBD mehr noch als bisher die IT-gestützten Prozesse in Unternehmen in den Blick – und das verlangt Unternehmensverantwortlichen ab, die internen Abläufe zu prüfen und erforderlichenfalls anzupassen.

Welche zentralen Anforderungen lassen sich in der Gesamtschau der GoBD erkennen?

Stefan Groß: Die GoBD stellen letztlich vier zentrale Anforderungen an die Ausgestaltung der Unternehmens-IT und der damit verbundenen Prozesse: Erstens muss ein angemessenes Kontroll- und Protokollumfeld vorhanden sein. Zweitens sind die relevanten Geschäftsprozesse zu dokumentieren. Drittens muss die Integrität von Stamm-, Bewegungs- und Metadaten gewährleistet sein. Und viertens muss dies alles für die Dauer der Aufbewahrungsfrist migrationsfest, d. h. unabhängig von Veränderungen der Fachprozesse und der IT-Technologie, gewährleistet sein. Diese vier zentralen Anforderungen ziehen sich wie ein roter Faden durch die GoBD. Und auch wenn sie für sich genommen nichts Neues sind, so stellen sie in ihrer Kombination insbesondere für kleine und mittlere Unternehmen eine Herausforderung dar.

Welche Vorteile ergeben sich aus dem Regelwerk für die Unternehmen?

Stefan Groß: Die GoBD schaffen an verschiedenen Stellen mehr Klarheit und Rechtssicherheit für die Unternehmen. Beispielsweise werden elektronische Rechnungen und Papierrechnungen nun steuerlich gleichbehandelt. Vorteile ergeben sich dabei etwa daraus, dass Papierbelege gescannt und unter bestimmten Voraussetzungen vernichtet werden dürfen. Das eröffnet Unternehmen die Möglichkeit, ihre alten Papierarchive ad acta zu legen und sich ganz auf die deutlich effizientere digitale Archivierung zu konzentrieren. Eine erwünschte Nebenwirkung der GoBD ist sicherlich, dass die Unternehmen sich Gedanken über ihre IT-gestützten Prozesse machen und diese entsprechend systematisieren.

Welche Rolle spielt die geforderte Verfahrensdokumentation bei der Umsetzung GoBD-konformer Prozesse?

Stefan Groß: Richtigerweise machen die GoBD angesichts der kurzen Halbwertszeiten der IT keine technologischen Vorgaben, sondern bleiben hier neutral. Was das Regelwerk hingegen explizit fordert, ist eine Verfahrensdokumentation im Unternehmen. Diese spielt als Bestandteil des internen Kontrollsystems eine zentrale Rolle. Inhaltlich beschreibt sie die tatsächlich eingesetzte IT-Lösung einschließlich der Prozesse, Organisation und Nutzung – und zwar sowohl die aktuellen als auch die historischen Verfahrensinhalte für die Dauer der Aufbewahrungsfrist. In der Vergangenheit fragten die Finanzbehörden bei Außenprüfungen eher selten danach. Dies ändert sich zurzeit. Der Trend geht dahin, dass Betriebsprüfer standardmäßig eine Verfahrensdokumentation von den Unternehmen verlangen.

Fehlt die Verfahrensdokumentation, kann dies zu Nachteilen für den Steuerpflichtigen führen. Ich gebe Ihnen ein Beispiel: Die Buchhaltung hat sich bei der Umsatzsteuer verrechnet und korrigiert nachträglich die bereits übermittelte Umsatzsteuervoranmeldung. Wenn später bei einer Betriebsprüfung wegen fehlender oder unzureichender Dokumentation nicht nachgewiesen werden kann, dass hier alles seine Richtigkeit hatte, dass letztlich ein wirksames internes Kontrollsystem für Steuern eingerichtet war, wird aus einer einfachen Korrektur schnell der Verdacht der Steuerhinterziehung nach § 370 AO. Eine lückenlose und aussagekräftige Verfahrensdokumentation kann sich zugunsten des Steuerpflichtigen auswirken und ihm helfen, den Vorwurf des Vorsatzes oder der Leichtfertigkeit zu entkräften.

Die Erstellung einer solchen Dokumentation kann je nach Komplexität des eingesetzten IT-Systems sehr aufwändig sein und ist nicht auf die Schnelle zu erledigen. Ich empfehle daher allen Unternehmen, die hier noch Defizite haben, jetzt zu handeln und zumindest eine schlanke Verfahrensdokumentation nach den Vorgaben der GoBD zu erstellen.

Was empfehlen Sie Unternehmen, die noch mit Aktenordnern hantieren, also papierbasiert arbeiten?

Stefan Groß: Der Anteil der originär elektronischen Belege am gesamten Belegaufkommen wird in den kommenden Jahren weiter zunehmen. Beispielsweise wird es immer mehr elektronische Rechnungen geben. Deshalb empfiehlt es sich schon im Interesse einer effizienten Verarbeitung, den Belegeingang und die Aufbewahrung vollständig zu digitalisieren.

Insbesondere für die Archivierung stellen die GoBD klare Anforderungen an die Unveränderbarkeit und Nachvollziehbarkeit. Um diese zu erfüllen, muss man nicht zwingend ein elektronisches Archiv- oder Dokumentenmanagementsystem einsetzen, in vielen Fällen dürfte dies aber die einfachste Lösung sein. Denn es reicht nicht aus, Dokumente nur im Dateisystem abzulegen, sondern das Unternehmen muss zusätzlich zum Beispiel Maßnahmen zum Zugriffsschutz und zur Unveränderbarkeit der Daten treffen und dokumentieren.

Ein Archiv- oder Dokumentenmanagementsystem verfügt über eigene Sicherheitsmechanismen, die die Umsetzung der GoBD-Anforderungen unterstützen. Bei der Auswahl einer Lösung sollte darauf geachtet werden, dass diese von unabhängiger Seite geprüft wurde und den einschlägigen Standards wie beispielsweise dem IDW RS FAIT 3 entspricht.

Unter welchen Voraussetzungen dürfen Papierdokumente nach der elektronischen Erfassung vernichtet werden?

Stefan Groß: Werden Handels- oder Geschäftsbriefe und Buchungsbelege in Papierform empfangen und anschließend elektronisch erfasst, also gescannt, ist das Scanergebnis so aufzubewahren, dass die Wiedergabe mit dem Original bildlich übereinstimmt, wenn es lesbar gemacht wird. Zudem muss das Scanverfahren in einer Organisationsanweisung dokumentiert werden, die insbesondere auch das entsprechende Kontrollumfeld beschreibt.

Nach dem Scannen können die Papierdokumente grundsätzlich vernichtet werden, sofern dem keine steuerlichen oder außersteuerlichen Vorschriften dagegen sprechen. Der Steuerpflichtige hat zu entscheiden, ob Dokumente, deren Beweiskraft bei einer ausschließlich elektronischen Aufbewahrung nicht erhalten bleibt, zusätzlich in Papierform aufbewahrt werden müssen. Dies betrifft zum Beispiel notarielle Urkunden oder Wertpapiere. In jedem Fall darf der Verzicht auf einen Papierbeleg die Möglichkeit der Nachvollziehbarkeit und Prüfbarkeit nicht beeinträchtigen.

Compliance Management: Grundlagen, Umsetzung und Best Practices
Recht & Compliance

Compliance Management: Grundlagen, Umsetzung und Best Practices

Beim Begriff Compliance Management denkst du vielleicht an komplizierte Rechtstexte und bürokratische Hürden. Dabei ist es eigentlich ganz einfach: Es geht darum, dass dein Unternehmen alle relevanten Gesetze, Vorschriften und internen Regeln einhält. Klingt selbstverständlich? Ist es nicht immer. Besonders für KMUs ohne eigene Rechtsabteilung kann das schnell überwältigend werden.

5 Min. Lesezeit

Beim Begriff Compliance Management denkst du vielleicht an komplizierte Rechtstexte und bürokratische Hürden. Dabei ist es eigentlich ganz einfach: Es geht darum, dass dein Unternehmen alle relevanten Gesetze, Vorschriften und internen Regeln einhält. Klingt selbstverständlich? Ist es nicht immer. Besonders für KMUs ohne eigene Rechtsabteilung kann das schnell überwältigend werden. In diesem Artikel zeigen wir dir praxisnah, wie du mit digitalen Systemen und smarten Workflows ein sehr gutes Compliance Management aufbaust. Ohne juristische Fachabteilung, dafür mit maximaler Sicherheit und Effizienz. Du erfährst, wie Compliance nicht nur Pflicht ist, sondern auch zum strategischen Hebel für Risikominimierung und Prozessoptimierung wird.

Was ist Compliance Management? Bedeutung und Definition

Compliance Management ist der systematische Prozess, mit dem dein Unternehmen sicherstellt, dass alle rechtlichen Vorgaben, Branchenstandards und internen Richtlinien eingehalten werden.

  • Compliance: Die Einhaltung aller relevanten Gesetze, Verordnungen und Vorschriften
  • Compliance Management: Der organisierte Prozess zur Sicherstellung der Regelkonformität
  • Compliance Management System (CMS): Die strukturierte Herangehensweise mit Prozessen, Kontrollen und Dokumentation

Unterschied zwischen Compliance und Compliance Management

Während Compliance die reine Einhaltung von Regeln beschreibt, geht Compliance Management deutlich weiter. Es umfasst die systematische Planung, Umsetzung und Überwachung aller Maßnahmen, die zur Regelkonformität führen. Denk daran wie an den Unterschied zwischen „Auto fahren“ und „Verkehrssicherheit managen“ – das eine ist die Handlung, das andere der durchdachte Prozess.

Warum ist ein Compliance Management System (CMS) wichtig?

Ein strukturiertes CMS ist eine Notwendigkeit für gute Unternehmensführung – besonders in der heutigen Geschäftswelt, in der sich Gesetze schnell ändern und die Anforderungen stetig steigen.

Rechtliche Anforderungen und Haftungsvermeidung

Verstöße gegen gesetzliche Bestimmungen können teuer werden. Bei Datenschutzverletzungen drohen Bußgelder von bis zu 4 Prozent des Jahresumsatzes (Quelle: datenschutz.org). Im Arbeitsrecht können falsche Abrechnungen oder nicht eingehaltene Dokumentationspflichten zu Nachzahlungen und Strafen führen. Ein CMS hilft dir, solche Risiken zu identifizieren und zu vermeiden, bevor sie zum Problem werden.

Vertrauensbildung bei Stakeholdern

Kund:innen, Partner:innen und Investor:innen achten zunehmend darauf, mit compliant agierenden Unternehmen zu arbeiten. Ein funktionierendes CMS signalisiert Professionalität und Verlässlichkeit. Das kann dir entscheidende Wettbewerbsvorteile verschaffen – besonders bei größeren Aufträgen oder Kooperationen.

Effizienzsteigerung durch strukturierte Prozesse

Paradoxerweise macht Compliance dein Unternehmen nicht langsamer, sondern schneller. Klare Prozesse und Verantwortlichkeiten reduzieren Rückfragen, Fehler und Korrekturen. Das spart Zeit und Ressourcen, die du für dein Kerngeschäft nutzen kannst.

__wf_reserved_inherit

Kernkomponenten eines effektiven CMS

Ein wirksames Compliance Management System besteht aus mehreren ineinandergreifenden Bausteinen. Jeder davon trägt dazu bei, dass dein Unternehmen rechtssicher und effizient agiert.

1. Compliance-Kultur und -Ziele

Compliance beginnt im Kopf, genauer gesagt bei der Führungsebene. Wenn du als Geschäftsführer:in oder Abteilungsleiter:in Compliance vorlebst, wird sie zur Selbstverständlichkeit im Team. Definiere klare Ziele: Welche Standards willst du erreichen? Wie soll Compliance in euren Arbeitsalltag integriert werden?

2. Risikoanalyse und -bewertung

Nicht alle Compliance-Risiken sind gleich relevant für dein Unternehmen. Eine systematische Compliance-Risikoanalyse hilft dir, Prioritäten zu setzen und deine Ressourcen optimal einzusetzen.

Zentrale Fragen der Risikoanalyse:

  • Wo sind die größten Rechtsunsicherheiten in deinem Unternehmen?
  • Welche Bereiche haben das höchste Schadenspotenzial bei Compliance-Verstößen?
  • Welche Prozesse sind besonders anfällig für menschliche Fehler?
  • Wo könnten sich gesetzliche Vorgaben schnell ändern?

In HR und Payroll sind typische Compliance-Risiken meist Datenschutz, Arbeitszeiterfassung, korrekte Abrechnungen und die Einhaltung arbeitsrechtlicher Vorgaben. Eine strukturierte Risikoanalyse identifiziert diese Schwachstellen, bevor sie zu kostspieligen Problemen werden.

Praxis-Tipp: Führe die Risikoanalyse nicht nur einmal durch, sondern überprüfe sie regelmäßig. Neue Gesetze, veränderte Geschäftsprozesse oder wachsende Mitarbeiterzahlen können neue Compliance-Risiken schaffen.

3. Richtlinien und Verfahren

Abstrakte Gesetze müssen in konkrete Arbeitsanweisungen übersetzt werden. Erstelle verständliche Richtlinien für wiederkehrende Prozesse. Zum Beispiel: Wie gehst du mit Mitarbeiterdaten um? Wie dokumentierst du Arbeitszeiten? Welche Schritte sind bei einer Gehaltsabrechnung einzuhalten?

4. Schulungen und Kommunikation

Das beste Compliance-System nützt nichts, wenn dein Team nicht weiß, wie es funktioniert. Regelmäßige Schulungen und klare Kommunikation sorgen dafür, dass alle Mitarbeitenden ihre Rolle im CMS verstehen und leben können.

5. Überwachung und Verbesserung

Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Regelmäßige Kontrollen, Audits und Anpassungen stellen sicher, dass dein System aktuell und wirksam bleibt. Nutze digitale Tools, um diese Überwachung zu automatisieren und effizienter zu gestalten.

[Bildidee: Kreisförmige Infografik mit 5 ineinandergreifenden Zahnrädern, die die 5 Kernkomponenten des CMS visualisiert (Kultur, Risikoanalyse, Richtlinien, Schulungen, Überwachung)]

Schritte zur Implementierung eines CMS

Der Aufbau eines Compliance Management Systems muss nicht kompliziert sein. Mit einem strukturierten Vorgehen kommst du Schritt für Schritt zum Ziel.

1. Bedarfsanalyse und Zieldefinition

Starte mit einer ehrlichen Bestandsaufnahme: Wo steht dein Unternehmen heute? Welche Compliance-Anforderungen bestehen bereits? Wo siehst du die größten Lücken? Definiere realistische Ziele und einen Zeitplan für die Umsetzung.

2. Entwicklung von Richtlinien und Verfahren

Übersetze gesetzliche Anforderungen in praktische Arbeitsabläufe. Dabei musst du nicht bei null anfangen. Nutze am besten Branchenstandards und Vorlagen, die du an deine spezifischen Bedürfnisse anpasst. Wichtig: Halte die Richtlinien verständlich und umsetzbar.

3. Schulung der Mitarbeitenden

Investiere in die Weiterbildung deines Teams. Das können interne Workshops, externe Seminare oder E-Learning-Module sein. Sorge dafür, dass jede:r versteht, warum Compliance wichtig ist und wie sie im Arbeitsalltag umgesetzt wird.

4. Überwachung und kontinuierliche Verbesserung

Etabliere regelmäßige Kontrollen und Reviews. Das können monatliche Checks kritischer Prozesse sein oder jährliche umfassende Audits. Wichtig: Lerne aus Fehlern und verbessere dein System kontinuierlich.

Herausforderungen und Lösungsansätze

Auch das beste CMS stößt in der Praxis auf Hindernisse. Die gute Nachricht: Die meisten Herausforderungen lassen sich mit der richtigen Strategie meistern.

Ressourcenmangel in KMUs

Als kleines Unternehmen hast du weder die Kapazitäten noch das Budget für eine eigene Compliance-Abteilung oder dedizierte Compliance Officer. Gleichzeitig sind die rechtlichen Anforderungen dieselben wie für Großunternehmen. Gerade Compliance Management im Mittelstand erfordert daher besonders effiziente und kostenoptimierte Lösungsansätze.

Praktische Lösungsansätze: Automatisierung ist der Schlüssel: Moderne HR- und Payroll-Software übernimmt viele Compliance-Aufgaben automatisch und reduziert den manuellen Aufwand erheblich. Die Zukunft der Payroll-Automatisierung zeigt, wie KI und intelligente Systeme Compliance-Prozesse revolutionieren. Externe Expertise lässt sich punktuell hinzuziehen, während automatisierte Tools die tägliche Compliance-Arbeit übernehmen. Eine schrittweise Implementierung beginnt mit den kritischsten Bereichen und erweitert das System sukzessive. Bestehende Mitarbeitende können Verantwortung übernehmen, unterstützt durch intelligente Compliance Management Software.

Integration in bestehende Systeme

Compliance darf nicht als zusätzliche Belastung wahrgenommen werden, sondern muss nahtlos in die bestehenden Arbeitsabläufe integriert werden. Oft scheitern Compliance-Projekte daran, dass sie als separater, zusätzlicher Prozess eingeführt werden.

Strategische Lösungsansätze: Wähle Tools und Prozesse, die sich in deine aktuelle Systemlandschaft einfügen und den Arbeitsalltag erleichtern statt erschweren. All-in-one-Systeme, die HR- und Payroll- Compliance in einer Plattform vereinen, reduzieren Systembrüche und Schulungsaufwand. Compliance-Prüfungen werden automatisch in normale Arbeitsprozesse eingebaut, ohne dass zusätzliche Arbeitsschritte entstehen. Das System sollte auf vorhandene HR- und Finanzdaten zugreifen können und diese intelligent nutzen.

Ein praktisches Beispiel ist die smarte Schichtplanung: Wird sie in eine zentrale HR-Software integriert, können Arbeitszeiten, Pausen und gesetzliche Vorgaben automatisch geprüft und dokumentiert werden – ohne zusätzlichen Verwaltungsaufwand.

Aufrechterhaltung der Compliance-Kultur

Compliance ist eine Frage der Unternehmenskultur. Mitarbeitende müssen Compliance-Regeln nicht nur kennen, sondern auch leben wollen. Ohne die richtige Einstellung wird selbst das beste System nicht funktionieren.

Kulturelle Lösungsansätze: Regelmäßige Kommunikation, positive Verstärkung bei korrektem Verhalten und das Vorleben durch die Führungsebene sorgen dafür, dass Compliance zur Selbstverständlichkeit wird. Das Management muss Compliance als strategische Priorität kommunizieren und mit gutem Beispiel vorangehen. Transparente Updates über Compliance-Erfolge und deren Nutzen für das Unternehmen motivieren das Team. Praxisnahe Schulungen vermitteln Compliance anhand konkreter Arbeitsplatz-Situationen statt abstrakter Theorien.

__wf_reserved_inherit

3 Best Practices für nachhaltiges Compliance Management

Erfolgreiche Unternehmen haben bestimmte Praktiken gemeinsam, die ihr Compliance Management besonders effektiv machen.

1. Einbindung der Führungsebene

Compliance funktioniert nur, wenn sie von oben getragen wird. Als Geschäftsführer:in oder Abteilungsleiter:in musst du mit gutem Beispiel vorangehen und zeigen, dass Compliance Priorität hat. Das bedeutet auch, ausreichend Ressourcen dafür bereitzustellen.

2. Regelmäßige Schulungen und Updates

Gesetze ändern sich, neue Bestimmungen kommen hinzu. Halte dein Team durch regelmäßige Fortbildungen auf dem aktuellen Stand. Das können vierteljährliche Updates zu neuen Vorschriften sein oder jährliche umfassende Compliance-Trainings.

3. Nutzung von Tools zur Automatisierung

Moderne Software kann viele Compliance-Aufgaben automatisieren. Von der rechtssicheren Arbeitszeiterfassung über die korrekte Gehaltsabrechnung bis hin zur automatischen Dokumentation – digitale Tools reduzieren Fehlerquellen und sparen Zeit.

Digitale Compliance-Tools revolutionieren die Rechtssicherheit in KMUs durch integrierte Prüfungsroutinen, die automatisch Risikoanalysen durchführen und kritische Compliance-Regeln in Echtzeit überwachen. Während das System alle Compliance-Maßnahmen zentral verwaltet und rechtssichere Dokumentation gewährleistet, erstellt es gleichzeitig automatisierte Reports für Audits und Behörden.

In der Praxis bedeutet das: Eine zuständige Person überwacht per Dashboard alle kritischen Bereiche, während das System Compliance-Risiken eigenständig erkennt und meldet. Alle Vorgaben werden systemseitig geprüft, bevor Prozesse abgeschlossen werden können. Damit solche Automatisierungen reibungslos funktionieren, ist die Auswahl der passenden Software entscheidend. Einen Überblick über die führenden Lösungen und ihre Funktionen findest du in unserem HR-Software-Vergleich.

Compliance Management Tools: Wie Suiteify dabei unterstützt

Suiteify ist ein umfassendes HR-, Payroll- und Finance-System mit Compliance-Lösungen, die speziell für die Anforderungen von KMUs entwickelt wurden. Die Software sorgt für rechtssichere Abrechnungen, DSGVO-konforme Datenhaltung und transparente Dokumentation – alles in einem System. So kannst du dich auf dein Kerngeschäft konzentrieren, während die Compliance-Anforderungen im Hintergrund erfüllt werden.

Vorteile sind unter anderem:

  • Integrierte Compliance-Risikoanalyse: Das System analysiert kontinuierlich deine HR-Prozesse auf Compliance-Risiken. Dabei werden nicht nur aktuelle Vorgaben geprüft, sondern auch neue gesetzliche Regelungen automatisch berücksichtigt.
  • Automatisierte Compliance-Regeln: Alle relevanten Compliance-Regeln sind direkt in die Software integriert: von Arbeitszeitgesetzen über DSGVO-Vorgaben bis hin zu steuerlichen Bestimmungen.
  • Rechtssichere Dokumentation: Jeder Prozess wird automatisch und lückenlos dokumentiert. Bei Audits oder Betriebsprüfungen hast du alle notwendigen Nachweise sofort verfügbar und behältst stets den Überblick.

Fazit: Compliance als strategischen Vorteil nutzen

Compliance Management sollte kein notwendiges Übel sein, sondern ein strategischer Baustein für den Unternehmenserfolg. Mit dem richtigen System schützt du dein Unternehmen vor rechtlichen Risiken, baust Vertrauen auf und schaffst effiziente Prozesse.

Der Schlüssel liegt in der systematischen Herangehensweise: Analysiere deine Anforderungen, implementiere praktikable Lösungen und nutze digitale Tools wie Suiteify zur Automatisierung. So wird Compliance vom Kostenfaktor zum Wettbewerbsvorteil.

Bottom Line: Ein durchdachtes Compliance Management System zahlt sich mehrfach aus – durch vermiedene Strafen, erhöhte Effizienz und gestärktes Vertrauen bei allen Stakeholdern.

Häufig gestellte Fragen zu Compliance Management

Was versteht man unter Compliance Management?

Compliance Management ist der systematische Prozess zur Sicherstellung, dass dein Unternehmen alle relevanten Gesetze, Vorschriften und internen Richtlinien einhält. Compliance-Maßnahmen umfassen die Planung, Umsetzung und Überwachung aller notwendigen Maßnahmen.

Warum ist ein Compliance Management System (CMS) für KMUs besonders wichtig?

KMUs haben oft keine eigene Rechtsabteilung, müssen aber dieselben gesetzlichen Anforderungen erfüllen wie große Unternehmen. Ein strukturiertes CMS hilft dabei, Compliance-Risiken zu erkennen und zu vermeiden, ohne dass dafür spezialisierte Jurist:innen nötig sind.

Wie kann ein CMS konkret in der Praxis umgesetzt werden?

Starte mit einer Bedarfsanalyse, definiere klare Ziele und entwickle verständliche Richtlinien. Schule dein Team regelmäßig und nutze digitale Tools zur Automatisierung wiederkehrender Compliance-Aufgaben. Wichtig sind die kontinuierliche Überwachung und Verbesserung des Systems.

Welche Rolle spielen Tools und Software im Compliance Management?

Moderne Software kann viele Compliance-Aufgaben automatisieren und dadurch Fehler reduzieren. Von der rechtssicheren Arbeitszeiterfassung über korrekte Gehaltsabrechnungen bis hin zur DSGVO-konformen Datenhaltung – digitale Compliance Management Tools machen Compliance effizienter und sicherer.

Was sind die häufigsten Compliance-Risiken für KMUs?

Typische Risikobereiche sind Datenschutz (DSGVO), Arbeitsrecht (Arbeitszeiterfassung, Lohnabrechnungen), Steuerrecht und branchenspezifische Vorschriften. Besonders kritisch sind oft die Bereiche HR und Payroll, da hier viele gesetzliche Anforderungen zusammenkommen.

Elektronisch unterstützte Betriebsprüfung: Was Arbeitgeber zur euBP-Pflicht wissen müssen
Recht & Compliance

Elektronisch unterstützte Betriebsprüfung: Was Arbeitgeber zur euBP-Pflicht wissen müssen

Seit Anfang 2025 gelten für Arbeitgeber erweiterte Meldepflichten im Rahmen der elektronisch unterstützten Betriebsprüfung (euBP). Hier sind die wichtigsten Informationen.

5 Min. Lesezeit

Die elektronisch unterstützte Betriebsprüfung (euBP) ist für Arbeitgeber bereits seit 2023 verpflichtend. Bisher mussten Arbeitgeber jedoch nur die Daten der Entgeltabrechnung an die Deutsche Rentenversicherung (DRV) elektronisch übermitteln.

Zum 1. Januar 2025 wurde diese Verpflichtung auf die relevanten Daten der Finanzbuchhaltung ausgeweitet. Ziel dieser Erweiterung ist es, Verwaltungsprozesse weiter zu digitalisieren und den Aufwand bei Betriebsprüfungen für alle Beteiligten zu reduzieren.

Welche Daten müssen Arbeitgeber für die elektronisch unterstützte Betriebsprüfung übermitteln?

Ab 2025 müssen Arbeitgeber im Rahmen der euBP die folgenden Daten übermitteln:

  1. Relevante Entgeltdaten aus der Lohnbuchhaltung, einschließlich:
    • Stammdaten der Arbeitnehmer
    • Lohndaten der Arbeitnehmer
    • Inhalte der Beitragsnachweise
  2. Prüfungsrelevante Daten aus dem Gehaltsabrechnungsprogramm, wie:
    • SV-Meldungen
    • Abrechnungen und Korrekturabrechnungen
    • Arbeits- und Fehlzeiten
  3. Seit dem 1. Januar 2025 zusätzlich:
    • Daten der Finanzbuchhaltung, insbesondere Summen und Salden von Sachkonten

In den meisten Unternehmen liegen diese Daten bereits in elektronischer Form vor. Die Herausforderung besteht nun darin, sie in das richtige Format zu bringen und über die vorgeschriebenen Kanäle zu übermitteln.

Das technische Verfahren der euBP

Die Übermittlung der prüfungsrelevanten Daten erfolgt über das sogenannte eXTra-Verfahren (einheitliches XML-basiertes Transportverfahren). Dieses Verfahren wird auch in anderen Bereichen der Sozialversicherung, z.B. bei der Sofortmeldung, eingesetzt. Es läuft wie folgt ab:

  1. Der Arbeitgeber übermittelt die Daten über das eXTra-Verfahren.
  2. Nach Eingang der Daten beim Rentenversicherungsträger erhält der Arbeitgeber eine elektronische Eingangsbestätigung.
  3. Die Daten werden beim Rentenversicherungsträger in einem geschützten System gespeichert.
  4. Nach Bestandskraft des Bescheides werden die Daten gelöscht, worüber der Arbeitgeber elektronisch informiert wird.

Übergangsregelung für Arbeitgeber

Um den Unternehmen die Möglichkeit zu geben, sich auf die neuen Anforderungen einzustellen, wurde eine Übergangsregelung bis zum 31. Dezember 2026 geschaffen. In diesem Zeitraum können Arbeitgeber beim zuständigen Rentenversicherungsträger unter Angabe ihrer Betriebsnummer einen formlosen Antrag auf Befreiung von der elektronischen Übermittlung der Buchhaltungsdaten stellen.

Elektronisch unterstützte Betriebsprüfung: Höhere Effizienz durch digitale Abläufe

Die Sozialversicherungsprüfung wird auch weiterhin in regelmäßigen Abständen stattfinden – bei größeren Unternehmen in der Regel alle vier Jahre, bei kleineren Unternehmen möglicherweise in größeren Abständen. Der entscheidende Unterschied liegt im Ablauf der Prüfung:

  • Der Prüfer greift zunächst auf die im Rahmen der euBP zur Verfügung gestellten Daten zurück.
  • Diese Daten werden einer Plausibilitätsprüfung unterzogen.
  • Nur bei Unklarheiten, Abweichungen oder Verdachtsmomenten ist eine Vor-Ort-Besichtigung erforderlich.

Diese Vorgehensweise verspricht eine erhebliche Zeitersparnis und Effizienzsteigerung für alle Beteiligten. In vielen Fällen kann auf einen persönlichen Besuch des Auditors im Unternehmen verzichtet werden, was den Arbeitsalltag weniger stört und Ressourcen schont.

Information zum Prüfergebnis: Digitale Option neben klassischem Postweg

Auch wenn die Datenübermittlung nun digital erfolgt, bleibt der klassische Postweg für die Zustellung des Prüfergebnisses zunächst bestehen. Dies ist insbesondere für die Berechnung der Einspruchsfristen relevant, die sich weiterhin nach dem Zeitpunkt der postalischen Zustellung richten. Allerdings kann das Prüfergebnis nun unter folgenden Voraussetzungen zusätzlich als PDF zur Verfügung gestellt werden:

  • Die Betriebsprüfung wurde mit euBP-Lohndaten durchgeführt.
  • Der Wunsch nach elektronischer Zusendung wurde bereits bei der Übermittlung der Daten geäußert.
  • Es wurde eine gültige E-Mail-Adresse für den Empfang der Benachrichtigung angegeben.

Wichtig: Da es sich um vertrauliche Daten handelt, sollten Unternehmen keine allgemein zugängliche E-Mail-Adresse verwenden, sondern eine, die nur von autorisierten Personen eingesehen werden kann.

Was Arbeitgeber jetzt tun müssen

Um für die erweiterte euBP-Pflicht gerüstet zu sein, sollten Arbeitgeber folgende Schritte unternehmen:

  1. Systemüberprüfung: Analysieren Sie Ihre bestehenden Systeme und Prozesse auf Kompatibilität mit den neuen Anforderungen. Stellen Sie sicher, dass Ihre Software in der Lage ist, die erforderlichen Daten im korrekten Format zu exportieren.
  2. Softwareanpassung: Falls Ihre aktuelle Software den Anforderungen nicht genügt, stellen Sie auf ein geeignetes System um. Achten Sie dabei besonders auf die Schnittstellen zur Datenübertragung.
  3. Zertifizierung prüfen: Vergewissern Sie sich, dass Ihre Software den Vorgaben der Rentenversicherungsträger entspricht und systemgeprüft ist. Dies ist eine unabdingbare Voraussetzung für die Teilnahme am euBP-Verfahren.
  4. Prozessoptimierung: Überprüfen und optimieren Sie Ihre internen Prozesse, um eine reibungslose und fehlerfreie Datenerfassung und -übermittlung zu gewährleisten.
  5. Schulung der Mitarbeiter: Sorgen Sie dafür, dass Ihre Mitarbeitenden in der Lohnbuchhaltung und Finanzbuchhaltung mit den neuen Anforderungen und Systemen vertraut sind. Gegebenenfalls sind Schulungen erforderlich.
  6. Übergangsregelung prüfen: Evaluieren Sie sorgfältig, ob die Nutzung der Übergangsregelung für Ihr Unternehmen sinnvoll ist. Falls ja, reichen Sie den Antrag schnellstmöglich ein.

Fazit

Die Digitalisierung der Betriebsprüfung ist ein weiterer Schritt in Richtung einer modernen, effizienten Verwaltung. Unternehmen, die diese Entwicklung proaktiv mitgehen, werden langfristig von schlankeren Prozessen und einer besseren Zusammenarbeit mit den Sozialversicherungsträgern profitieren. Arbeitgeber sind daher gut beraten, sich – falls noch nicht geschehen – jetzt mit den Anforderungen der euBP auseinanderzusetzen und die nötigen Schritte einzuleiten.

Weitere Informationen zur elektronisch unterstützten Betriebsprüfung (euBP)

„Green ist das neue Gold“ – Warum Nachhaltigkeit im Mittelstand kein Trend, sondern Pflicht ist
Recht & Compliance

„Green ist das neue Gold“ – Warum Nachhaltigkeit im Mittelstand kein Trend, sondern Pflicht ist

Nachhaltigkeit – ein Wort, das früher belächelt wurde, hat sich zum zentralen Leitmotiv für Unternehmen weltweit entwickelt.

5 Min. Lesezeit

Doch seien wir ehrlich: Es ist nicht mehr nur ein „nice-to-have“. Kunden, Investoren und sogar Regierungen verlangen nachweisliche Umweltfreundlichkeit und soziale Verantwortung. Und wer jetzt denkt, er könne sich da irgendwie durchmogeln, hat die Rechnung ohne die wachsenden ESG-Kriterien gemacht. Hier ist der ultimative Guide, wie du Nachhaltigkeit nicht nur überlebst, sondern damit richtig durchstartest.

CO2-Reduktion: Vom CO2-Fußabdruck zum CO2-Fingerabdruck

Die Reduktion des CO2-Fußabdrucks ist nicht nur eine Notwendigkeit, sondern auch ein Statement. Es zeigt, dass dein Unternehmen Verantwortung übernimmt – für die Umwelt und für die Zukunft. Aber aufgepasst, die Kunden von heute wollen mehr als nur Lippenbekenntnisse. Sie erwarten echte Maßnahmen. Das bedeutet, dass du auf erneuerbare Energien setzt, deine Produktionsverfahren effizienter gestaltest und nachhaltige Materialien verwendest. Aber warum dabei aufhören? Gehe einen Schritt weiter und entwickle eine Strategie, bei der dein CO2-Fingerabdruck in jedem Aspekt deines Geschäfts spürbar ist. Zeige deinen Kunden, dass du nicht nur die Umwelt, sondern auch ihre Zukunft ernst nimmst.

Ökologischer Fußabdruck

Nachhaltige Lieferketten: Vom Lieferanten zum Partner in Crime

Dein Engagement für Nachhaltigkeit endet nicht an den Toren deines Unternehmens. Es reicht tief in deine Lieferkette hinein. In einer Welt, in der Transparenz gefragt ist, wirst du nicht drumherum kommen, sicherzustellen, dass auch deine Lieferanten nachhaltig arbeiten. Aber hey, das muss nicht kompliziert sein! Stell dir deine Lieferanten als „Partner in Crime“ vor – gemeinsam arbeitet ihr daran, den Planeten zu retten. Setze auf Zertifizierungen und Audits, um sicherzustellen, dass alle am gleichen Strang ziehen. Denn am Ende zählt, dass deine Produkte nicht nur grün aussehen, sondern auch grün sind – von der ersten bis zur letzten Produktionsstufe.

Soziale Verantwortung

Soziale Verantwortung: Mehr als nur grüne Fassaden

Nachhaltigkeit ist nicht nur grün, sondern auch bunt. Soziale Verantwortung umfasst viel mehr als nur Umweltaspekte. Es geht darum, wie du als Unternehmen mit Menschen umgehst – ob innerhalb deines Betriebs oder in der Gesellschaft. Faire Arbeitsbedingungen, Diversität und Inklusion sind keine Modeerscheinungen, sondern essenzielle Bestandteile eines modernen, nachhaltigen Unternehmens. Warum? Weil sie nicht nur das Arbeitsklima verbessern, sondern auch die Innovationskraft stärken. Wenn du also darüber nachdenkst, was Nachhaltigkeit für dein Unternehmen bedeutet, vergiss nicht, dass auch soziale Faktoren zählen. Denn ein nachhaltiges Unternehmen ist eines, das sowohl Mensch als auch Umwelt respektiert.

Berichterstattung: Transparenz ist das neue Vertrauen

Nachhaltigkeit ohne Berichterstattung? Das ist wie ein Kuchen ohne Zuckerguss – unvollständig. Immer mehr Unternehmen veröffentlichen Nachhaltigkeitsberichte, um ihre Fortschritte sichtbar zu machen. Das ist nicht nur gut fürs Image, sondern schafft auch Vertrauen bei Stakeholdern, Kunden und Investoren. Ein solcher Bericht ist mehr als nur eine Pflichtübung – er ist eine Chance, deine Erfolge zu feiern und deine Ambitionen zu kommunizieren. Also setz auf Transparenz und zeige der Welt, dass du nicht nur über Nachhaltigkeit redest, sondern sie auch lebst.

ESG

Die ESG-Kriterien: Das Navigationssystem für den nachhaltigen Erfolg

Environmental, Social, Governance – drei kleine Worte, die die Zukunft deines Unternehmens bestimmen könnten. Die ESG-Kriterien sind mehr als nur ein Trend, sie sind das neue Navigationssystem für nachhaltigen Erfolg. Sie helfen dir, den Kurs zu halten, deine Nachhaltigkeitsziele zu erreichen und gleichzeitig das Vertrauen von Investoren und Kunden zu gewinnen. Doch Vorsicht: ESG ist kein One-Size-Fits-All. Jedes Unternehmen muss seinen eigenen Weg finden, diese Kriterien zu integrieren. Es geht darum, eine Balance zwischen Umweltschutz, sozialer Verantwortung und guter Unternehmensführung zu finden – und dabei authentisch zu bleiben.

Fazit: Nachhaltigkeit ist das neue Business as Usual

Nachhaltigkeit ist nicht länger eine Option, sondern die Basis für den Geschäftserfolg. Es geht nicht mehr nur darum, grün zu sein, sondern auch darum, sozial verantwortungsbewusst zu handeln und dies transparent zu kommunizieren. Unternehmen, die diese Werte in ihre DNA integrieren, werden nicht nur überleben, sondern auch florieren. Also mach Nachhaltigkeit zu deinem neuen Business as Usual – und sieh zu, wie dein Unternehmen mit jeder umweltfreundlichen Entscheidung, die du triffst, stärker und erfolgreicher wird.