Recht & Compliance

Das Gesetz über das Inverkehrbringen, die Rücknahme und die hochwertige Verwertung von Verpackungen (kurz: Verpackungsgesetz oder VerpackG) ersetzt die bisherige Verpackungsverordnung. Es richtet sich an alle Hersteller, Händler und Importeure, die Verpackungen erstmals gewerblich in Umlauf bringen. Ziel ist, die erweiterte Produktverantwortung durchzusetzen, Entsorgungs- und Recyclingkosten fair zu verteilen und Anreize zur Vermeidung von Verpackungsabfällen zu schaffen – sowohl im Online- als auch im stationären Handel.

Auch kleine Unternehmen müssen sich registrieren, wenn sie Verpackungen in Verkehr bringen.

Wichtige Neuerungen durch das Verpackungsgesetz

1. Registrierungspflicht im LUCID-Portal

Die Zentrale Stelle Verpackungsregister hat das Portal LUCID eingerichtet. Alle Erstinverkehrbringer von systembeteiligungspflichtigen Verpackungen müssen sich hier registrieren. Das Register ist öffentlich einsehbar, und nicht registrierte Unternehmen dürfen keine Verpackungen in Verkehr bringen.

2. Erweiterung der Systembeteiligungspflicht

Seit Januar 2019 umfasst die Pflicht nicht nur Verkaufs-, Service- und Umverpackungen, sondern auch Versandverpackungen. Onlinehändler müssen ihre Versandverpackungen selbst an einem dualen System beteiligen und die erforderlichen Daten melden.

Sanktionen und Risiken bei Verstößen gegen das Verpackungsgesetz

• Bußgelder: Unternehmen, die gegen die Pflichten des Verpackungsgesetzes verstoßen, müssen mit empfindlichen Geldstrafen rechnen. Die Höhe der Bußgelder kann bis zu 200.000 Euro betragen, abhängig von der Schwere und Dauer des Verstoßes.
• Vertriebsverbot: Neben finanziellen Sanktionen droht ein sofortiges Vertriebsverbot. Das bedeutet, dass nicht registrierte oder falsch deklarierte Verpackungen nicht weiter in Umlauf gebracht oder verkauft werden dürfen. Für Unternehmen kann dies erhebliche wirtschaftliche Einbußen nach sich ziehen.
• Abmahnungen: Das öffentliche Verpackungsregister LUCID macht es Wettbewerbern und Behörden einfach, Verstöße nachzuverfolgen. Unternehmen, die ihre Registrierungspflicht oder Meldungen nicht erfüllen, können daher schnell abgemahnt werden. Dies kann neben rechtlichen Konsequenzen auch zu Imageschäden führen.
• Plattformrisiken für Onlinehändler: Besonders für Händler, die ihre Produkte über Plattformen wie Amazon, eBay oder andere Marktplätze vertreiben, besteht ein zusätzliches Risiko. Plattformbetreiber sind verpflichtet, gesetzliche Vorgaben einzuhalten und reagieren im Zweifel mit Sperrungen oder Ausschlüssen, um selbst nicht in den Fokus von Behörden zu geraten. Ein Verstoß gegen das Verpackungsgesetz kann daher unmittelbar die Möglichkeit des Onlineverkaufs gefährden.

Weitere Informationen zum Verpackungsgesetz 2019, LUCID-Registrierung und Pflichten für Unternehmen und Onlinehändler sind auf der Website der Zentralen Stelle Verpackungsregister erhältlich.

Warum die DSGVO für jedes Unternehmen relevant ist

Die DSGVO schützt sämtliche Daten, die Rückschlüsse auf natürliche Personen in der EU zulassen. Wer Beschäftigte hat oder Kundendaten verarbeitet, fällt automatisch unter die DSGVO. Dies betrifft z. B. E-Mails von Mitarbeitenden, Kundendaten, Informationen von Lieferanten oder personenbezogene Angaben in digitalen Systemen.

Erhöhte Anforderungen und mögliche Strafen

Zwar orientiert sich die DSGVO in vielen Punkten am bisherigen Bundesdatenschutzgesetz (BDSG), sie bringt aber deutlich umfangreichere Pflichten mit sich.

Wichtige DSGVO-Neuerungen für Unternehmen

• Verzeichnis der Verarbeitungstätigkeiten: Jedes Unternehmen muss ein Verzeichnis führen, in dem sämtliche Prozesse der Datenverarbeitung detailliert aufgeführt sind (Art. 30 DSGVO). Das bisherige Verfahrensverzeichnis nach § 4e BDSG entfällt.
• Erweiterte Informationspflichten: Betroffene Personen müssen klar, verständlich und umfassend über die Verarbeitung ihrer Daten informiert werden, z. B. Zweck, Dauer und Rechtsgrundlage.
• Meldepflichten bei Datenschutzverstößen: Datenschutzverstöße mit Risiko für Betroffene müssen innerhalb von 72 Stunden den Aufsichtsbehörden gemeldet werden; betroffene Personen sind unverzüglich zu informieren, wenn ein hohes Risiko besteht.
• Recht auf Löschung („Recht auf Vergessenwerden“): Betroffene können die Löschung ihrer personenbezogenen Daten verlangen; Unternehmen müssen sicherstellen, dass diese Daten auch bei Dritten gelöscht werden, sofern weitergegeben.
• Recht auf Datenübertragbarkeit: Personen können die Herausgabe ihrer Daten in einem strukturierten, maschinenlesbaren Format verlangen, z. B. für einen Anbieterwechsel.
• Privacy by Design und Privacy by Default: Datenschutz muss von Anfang an in Produkten, Dienstleistungen und Software berücksichtigt werden („Privacy by Design“) und standardmäßig maximal gewährleistet sein („Privacy by Default“).

Strenge Bußgelder

Bei Verstößen können Aufsichtsbehörden bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes verhängen – deutlich höher als die früheren Grenzen von maximal 300.000 Euro.

Handlungsempfehlungen für KMU

Unternehmen sollten weiterhin ihre Datenschutzmaßnahmen prüfen und priorisieren:

1. Verzeichnis der Verarbeitungstätigkeiten: Unverzichtbar für ein DSGVO-konformes Datenschutzkonzept. Es lohnt sich, dieses Verzeichnis kontinuierlich zu pflegen und zu aktualisieren.
2. Dokumentation aller Maßnahmen: Sämtliche bereits umgesetzten oder geplanten Schritte sollten schriftlich festgehalten werden. Eine gute Dokumentation kann im Falle von Prüfungen oder Verstößen positiv berücksichtigt werden.
3. Fokus auf besonders prüfungsrelevante Bereiche: Experten empfehlen, besonders Einwilligungserklärungen, Informationspflichten, Datenschutzbelehrungen und Direktmarketing-Maßnahmen im Blick zu behalten.
4. Externe Unterstützung nutzen: Bei Unsicherheiten kann der Rat eines Datenschutzexperten helfen, Risiken zu minimieren und die DSGVO-konforme Umsetzung zu sichern.

Fazit

Die DSGVO ist bindendes Recht in der EU. KMU, die ihre Datenschutzpflichten ernst nehmen, schützen nicht nur ihre Kundendaten und Mitarbeitenden, sondern sichern auch ihre rechtliche und wirtschaftliche Handlungsfähigkeit langfristig ab.

In vielen mittelständischen Unternehmen kommt die Umsetzung der DSGVO nur langsam voran. Welche Probleme begegnen Ihnen im Rahmen Ihrer Beratungspraxis besonders häufig?

André Schmidt: Ein großes Problem ist das fehlende Bewusstsein im Hinblick auf den tatsächlichen Umsetzungsbedarf. Viele KMU denken, dass sich für sie durch die DSGVO nicht so viel ändern werde. Die DSGVO betrifft jedoch nicht nur Konzerne oder Unternehmen im Privatkundenbereich. Sie gilt für alle, und sie fordert tief greifende Anpassungen bezüglich der innerbetrieblichen Abläufe eines Unternehmens.

Andere Unternehmen, die zu mir kommen, haben bereits die Tragweite der DSGVO und die mit ihr verbundenen hohen Haftungsrisiken für sich und ihre Geschäftsleitung erkannt. Sie sind allerdings mit der Fülle der umzusetzenden Maßnahmen überfordert. Dieses Problem kann man dadurch angehen, indem man priorisiert und einen Projektplan erstellt, der Verantwortlichkeiten, Ressourcen und Arbeitspakete bestimmt.

Ein weiterer Grund für die schleppende Umsetzung der neuen Anforderungen bei mittelständischen Unternehmen ist, dass nur unzureichende Ressourcen bereitgestellt werden. Die Änderung von organisatorischen Prozessen, der Aufbau eines Datenschutzmanagementsystems sowie die Erstellung datenschutzkonformer Vorlagen kosten Geld und binden personelle Kräfte im Unternehmen.

Ein Teil der Unternehmen scheut die erforderlichen Investitionen. Diese Unternehmen gehen ein hohes wirtschaftliches Risiko ein, denn die zukünftig drohenden Sanktionen können die anfänglichen Einsparungen in das Gegenteil verkehren.

Andere Unternehmen investieren hingegen viel in externe Berater und erhoffen sich, dass diese alles übernehmen. Das kann aber nicht funktionieren. Externe Berater können sicherlich wertvolle Hilfe leisten und Arbeit abnehmen. Damit die Umsetzung erfolgreich verläuft, ist jedoch ein hohes Maß an Zuarbeit durch die Unternehmen erforderlich, beispielsweise bei der Erfassung der datenschutzrechtlich relevanten Prozesse im Unternehmen.

{{box-list-left}}

Inwieweit ist damit zu rechnen, dass die Aufsichtsbehörden nach dem 25. Mai 2018 hier und da noch ein Auge zudrücken werden?

Schmidt: Die Aufsichtsbehörden haben wenig Anlass, auf Unternehmen Rücksicht zu nehmen, die bislang die Anforderungen der DSGVO für sich ausgeblendet haben. Die DSGVO ist immerhin seit Mai 2016 in Kraft. Wenn sie zum 25. Mai 2018 rechtsverbindlich wird, hatten Unternehmen zuvor zwei Jahre die Gelegenheit, sich auf die neuen Anforderungen einzustellen. Aus diesem Grund nehme ich nicht an, dass die Aufsichtsbehörden besonders wohlwollend reagieren, wenn ein Unternehmen kurz vor Torschluss noch eilig mit den ersten Umsetzungsmaßnahmen beginnt.

Sollte allerdings ein Unternehmen belegen können, dass es in den vergangenen Monaten intensiv versucht hat, den Anforderungen nachzukommen, dann wird dies natürlich von den Behörden bei der Bemessung einer möglichen Geldbuße berücksichtigt werden. Dies kann im Einzelfall auch dazu führen, dass von einer Geldbuße abgesehen wird.

Welche datenschutzrechtlichen Felder werden die Aufsichtsbehörden nach Geltung der DSGVO voraussichtlich besonders in den Blick nehmen?

Schmidt: Die Aufsichtsbehörden werden sich am Anfang vermutlich auf die Bereiche konzentrieren, die relativ einfach abgefragt oder geprüft werden können. Hierzu gehört das Verzeichnis von Verarbeitungstätigkeiten, welches der Aufsichtsbehörde auf Verlangen vorzulegen ist. In diesem Verzeichnis muss ein Unternehmen sämtliche datenschutzrechtlich relevanten Prozesse im Unternehmen auflisten und jeweils nach vordefinierten Vorgaben beschreiben.

Die Erstellung eines solchen Verzeichnisses ist sehr zeitaufwendig. Deshalb kann damit nicht erst begonnen werden, wenn eine Aufsichtsbehörde die Vorlage des Verzeichnisses verlangt. Ohnehin ist das Verzeichnis ein fundamentaler Baustein für eine erfolgreiche Umsetzung der DSGVO. Das Verzeichnis ermöglicht es den Unternehmen, sich einen Überblick darüber zu verschaffen, wo überhaupt angesetzt werden muss.

Auch die Verträge mit Dienstleistern, die personenbezogene Daten der Unternehmen verarbeiten, sind für Aufsichtsbehörden ein beliebter Prüfungspunkt. Unternehmen sind also gut beraten, wenn sie sich eine Übersicht über ihre Dienstleister erstellen und diese dahingehend durchgehen, ob die Verträge anzupassen sind. Soweit Bedarf besteht, sollten Anpassungen zeitnah erfolgen. Das ist aber auch gut machbar.

Ein dritter – sehr relevanter – Bereich betrifft das Einwilligungsmanagement und die Informationspflichten des Unternehmens. Wo und wie müssen die betroffenen Personen informiert werden, deren persönliche Daten das Unternehmen verarbeitet? Reichen die bislang verwendeten Einwilligungserklärungen aus oder müssen sie angepasst werden? Hier besteht häufig Handlungsbedarf – und Aufsichtsbehörden reagieren erfahrungsgemäß sensibel, wenn Unternehmen ihrer Verpflichtung in dieser Hinsicht nicht nachkommen.

Im besonderen Fokus stehen natürlich auch Marketingaktivitäten und die Außenauftritte (insbesondere Websites) der Unternehmen. Hier treten Datenschutzverstöße offenkundig zu Tage. Werden beispielsweise die Datenschutzbelehrungen auf der eigenen Website nicht rechtzeitig angepasst, ist das für jedermann leicht zu erkennen. Direktmarketing-Maßnahmen, wie beispielsweise Newsletter und Cold-Calls oder Re-Targeting-Kampagnen, sind ebenfalls im Fokus der Aufsichtsbehörden.

Welche Schwerpunkte sollten Unternehmensverantwortliche bei der Umsetzung der DSGVO nun setzen?

Schmidt: Unternehmen, die mit der Umsetzung noch nicht richtig begonnen haben, werden es kaum bis zum 25. Mai 2018 schaffen, die Anforderungen der DSGVO zu erfüllen. Für diese Unternehmen steht deshalb im Vordergrund, die Haftungsrisiken für das Unternehmen und die Geschäftsleitung einzudämmen. Aber auch drohende Imageschäden gilt es zu vermeiden.

Für eine Risikobewertung sind vor allem zwei Punkte von Interesse. Zum einen die Frage nach der Wahrscheinlichkeit, dass der betreffende Bereich von einer Aufsichtsbehörde oder einer betroffenen Person beanstandet wird. Werden beispielsweise Personen gegen ihren Willen „zugespammt“, ist die Wahrscheinlichkeit einer Beanstandung hoch.

Zum anderen spielt auch die Schwere der datenschutzrechtlichen Verfehlung eine wichtige Rolle. Bei besonders gravierenden Verstößen drohen natürlich deutlich höhere Geldbußen oder Schadensersatzforderungen der Betroffenen. So ist beispielsweise denkbar, dass ein großes Datenleck für Außenstehende lange unerkannt bleibt, weil nur Insider Kenntnis davon haben. Wenn dieses Datenleck doch bekannt wird, können diesbezüglich dramatisch höhere Geldbußen drohen, als vielleicht wegen einer inkorrekten Datenschutzbelehrung auf der Website des Unternehmens.

Allerdings sollte – unabhängig von der Risikobewertung – bei allen Unternehmen die Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten ganz oben auf der Prioritätenliste stehen. Wie bereits gesagt, ist das Verzeichnis ein fundamental wichtiger Baustein für die Umsetzung eines funktionierenden Datenschutzkonzepts.

Wie bei jedem Regelwerk gibt es auch bei der DSGVO Themen, die noch strittig sind und einer Rechtsauslegung bedürfen. Welche Themen sind dies? Und wie sollten Unternehmen damit umgehen?

Schmidt: Das stimmt. Zahlreiche Detailfragen zur DSGVO sind noch ungeklärt. Das betrifft beispielsweise Teilfragen hinsichtlich der Videoüberwachung, des Beschäftigtendatenschutzes, der Formerfordernisse bei der Auftragsverarbeitung, der notwendigen Inhalte der Datenschutzbelehrungen und noch eine Vielzahl weiterer Punkte.

Ja, es wäre schön gewesen, wenn die DSGVO aus sich heraus für den normalen Bürger leicht verständlich wäre. Das ist nicht der Fall. Selbst Sachkundige müssen bei manchen Rechtsfragen einen Spezialisten konsultieren. Aber das ist bei dem bisherigen BDSG doch ähnlich; und gleichwohl haben wir gelernt, damit umzugehen. Genauso wird es auch bei der DSGVO kommen.

Außerdem geben Aufsichtsbehörden und Datenschutzverbände derzeit zahlreiche Praxishilfen und Empfehlungen heraus. Diese helfen den Unternehmen und Datenschutzbeauftragten, die mitunter sperrig formulierten Regelungen der DSGVO im betrieblichen Alltag umzusetzen. Daran kann man sich orientieren. Bei wirtschaftlich wichtigen Datenschutzfragen bietet es sich sicherlich auch an, zur Klärung einen Spezialisten hinzuzuziehen.

Die Datenschutz-Grundverordnung hat weitreichende Auswirkungen auf betriebliche Abläufe. Wo sehen Sie die größten Herausforderungen für Unternehmen durch das neue Datenschutzrecht?

Sabine Köhler: Zu den größten Herausforderungen der DSGVO zählt vor allem der Grundsatz der transparenten Datenverarbeitung. Unternehmen müssen ihre Verarbeitungstätigkeiten umfassend dokumentieren und sind gegenüber den Aufsichtsbehörden hierfür rechenschaftspflichtig. Wer seine Prozesse noch nicht dokumentiert hat, muss dies also schleunigst nachholen, was vor allem bei historisch gewachsenen Unternehmensstrukturen herausfordernd sein kann.

Nach den neuen Vorgaben zu Privacy by Design und Privacy by Default, die Datenschutzaspekte bereits in der Prozessgestaltung verankern, können auch umfassende Anpassungen der Arbeitsprozesse notwendig werden. Dazu gehört beispielsweise auch das Löschen von nicht mehr benötigten personenbezogenen Daten nach Ablauf aller Aufbewahrungsfristen. Diese Pflicht ist zwar nicht neu, wird nun aber erstmals mit einem Bußgeld geahndet und ist im Großteil der Unternehmen noch keine gelebte Praxis.

Auch bei der Datensicherheit muss ein Umdenken stattfinden. Konnte man seine technisch-organisatorischen Maßnahmen bisher nach Gutdünken zusammenstellen, ist für alle Verarbeitungstätigkeiten künftig eine Risikoanalyse durchzuführen, auf deren Basis dann entsprechende Sicherheitsmaßnahmen zu definieren sind.

{{box-list-left}}

Welche Arbeitsbereiche und welche IT-Systeme im Unternehmen sind von der Datenschutz-Grundverordnung besonders betroffen?

Köhler: Hier trifft es primär die Abteilungen, die auch bisher schon besonders im Fokus des Datenschutzes waren: Personal, Marketing, Vertrieb und natürlich die IT. Kritisch sind dabei vor allem die Systeme, in denen besonders viele personenbezogene Daten vorgehalten werden, wie ERP, CRM, DMS, aber auch HR-Lösungen und Kundenportale. Hier fehlt oftmals ein Überblick darüber, welche personenbezogenen Daten überhaupt vorhanden sind, wo diese gespeichert werden und ob sie ausreichend gegen Manipulation und Datendiebstahl abgesichert sind.

Zudem sollte hinterfragt werden, ob die bestehenden IT-Lösungen überhaupt die notwendigen Funktionen mitbringen, um die Anforderungen der DSGVO umzusetzen.

Wie hat sich Ihr Unternehmen auf die Datenschutz-Grundverordnung vorbereitet?

Köhler: Die Anforderungen der DSGVO machen es unumgänglich, Datenschutz stärker als bisher zu steuern und zu überwachen. Für uns war deshalb klar, dass wir ein Datenschutzmanagementsystem einführen. In diesen Prozess haben wir alle Abteilungen einbezogen. Das trägt nicht nur dazu bei, dass trotz erhöhter Datenschutzanforderungen alle Arbeitsprozesse auch in Zukunft flüssig ablaufen können, sondern erhöht auch die Akzeptanz und das Bewusstsein für das Thema unter den Kollegen.

Welches Vorgehen empfehlen Sie Unternehmen, die noch nicht DSGVO-ready sind?

Köhler: Für diese Unternehmen wird die Zeit definitiv knapp. Ich empfehle jedoch, nicht in blinden Aktionismus zu verfallen, sondern sich umfassend zu den Inhalten der Datenschutz-Grundverordnung und entsprechenden Umsetzungsempfehlungen schulen zu lassen. Im Anschluss sollten die Anforderungen an das eigene Unternehmen evaluiert, Zuständigkeiten definiert und ein Projektplan erstellt werden.

Manches Unternehmen empfindet die GoBD als eine zusätzliche bürokratische Hürde. Ist dies gerechtfertigt?

Stefan Groß: Zunächst einmal: Die GoBD sind keine isolierte Sichtweise der Finanzverwaltung. Sie erfinden das Rad auch nicht neu, sondern geben im Wesentlichen die bestehende Rechtslage wieder. Die wesentlichen Vorgaben gelten bereits seit dem Inkrafttreten der Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) Ende 1995 und der Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) im Jahr 2002.

Mit den GoBD hat die Finanzverwaltung die bestehenden Regelungen zusammengefasst und folgerichtig weiterentwickelt, etwa im Hinblick auf Sonderthemen wie den Umgang mit elektronischen Rechnungen. Damit rücken Anforderungen in den Vordergrund, die bisher nicht immer im Fokus der Unternehmen standen, die aber jedes Unternehmen ohnehin beachten sollte, wie zum Beispiel das innerbetriebliche Kontrollsystem, die Verfahrensdokumentation oder die Unveränderbarkeit archivierter Daten.

{{box-quote-left}}

Über die Praktikabilität mancher Regelung der GoBD lässt sich durchaus streiten. Ein Beispiel hierfür ist die Vorgabe, dass Unternehmen die maschinelle Auswertbarkeit steuerrelevanter Daten bis zu zehn Jahre gewährleisten müssen und zwar unabhängig von Veränderungen im Hard- oder Softwareumfeld. Große neue bürokratische Hürden sehe ich jedoch nicht. Allerdings nehmen die GoBD mehr noch als bisher die IT-gestützten Prozesse in Unternehmen in den Blick – und das verlangt Unternehmensverantwortlichen ab, die internen Abläufe zu prüfen und erforderlichenfalls anzupassen.

Welche zentralen Anforderungen lassen sich in der Gesamtschau der GoBD erkennen?

Stefan Groß: Die GoBD stellen letztlich vier zentrale Anforderungen an die Ausgestaltung der Unternehmens-IT und der damit verbundenen Prozesse: Erstens muss ein angemessenes Kontroll- und Protokollumfeld vorhanden sein. Zweitens sind die relevanten Geschäftsprozesse zu dokumentieren. Drittens muss die Integrität von Stamm-, Bewegungs- und Metadaten gewährleistet sein. Und viertens muss dies alles für die Dauer der Aufbewahrungsfrist migrationsfest, d. h. unabhängig von Veränderungen der Fachprozesse und der IT-Technologie, gewährleistet sein. Diese vier zentralen Anforderungen ziehen sich wie ein roter Faden durch die GoBD. Und auch wenn sie für sich genommen nichts Neues sind, so stellen sie in ihrer Kombination insbesondere für kleine und mittlere Unternehmen eine Herausforderung dar.

Welche Vorteile ergeben sich aus dem Regelwerk für die Unternehmen?

Stefan Groß: Die GoBD schaffen an verschiedenen Stellen mehr Klarheit und Rechtssicherheit für die Unternehmen. Beispielsweise werden elektronische Rechnungen und Papierrechnungen nun steuerlich gleichbehandelt. Vorteile ergeben sich dabei etwa daraus, dass Papierbelege gescannt und unter bestimmten Voraussetzungen vernichtet werden dürfen. Das eröffnet Unternehmen die Möglichkeit, ihre alten Papierarchive ad acta zu legen und sich ganz auf die deutlich effizientere digitale Archivierung zu konzentrieren. Eine erwünschte Nebenwirkung der GoBD ist sicherlich, dass die Unternehmen sich Gedanken über ihre IT-gestützten Prozesse machen und diese entsprechend systematisieren.

Welche Rolle spielt die geforderte Verfahrensdokumentation bei der Umsetzung GoBD-konformer Prozesse?

Stefan Groß: Richtigerweise machen die GoBD angesichts der kurzen Halbwertszeiten der IT keine technologischen Vorgaben, sondern bleiben hier neutral. Was das Regelwerk hingegen explizit fordert, ist eine Verfahrensdokumentation im Unternehmen. Diese spielt als Bestandteil des internen Kontrollsystems eine zentrale Rolle. Inhaltlich beschreibt sie die tatsächlich eingesetzte IT-Lösung einschließlich der Prozesse, Organisation und Nutzung – und zwar sowohl die aktuellen als auch die historischen Verfahrensinhalte für die Dauer der Aufbewahrungsfrist. In der Vergangenheit fragten die Finanzbehörden bei Außenprüfungen eher selten danach. Dies ändert sich zurzeit. Der Trend geht dahin, dass Betriebsprüfer standardmäßig eine Verfahrensdokumentation von den Unternehmen verlangen.

Fehlt die Verfahrensdokumentation, kann dies zu Nachteilen für den Steuerpflichtigen führen. Ich gebe Ihnen ein Beispiel: Die Buchhaltung hat sich bei der Umsatzsteuer verrechnet und korrigiert nachträglich die bereits übermittelte Umsatzsteuervoranmeldung. Wenn später bei einer Betriebsprüfung wegen fehlender oder unzureichender Dokumentation nicht nachgewiesen werden kann, dass hier alles seine Richtigkeit hatte, dass letztlich ein wirksames internes Kontrollsystem für Steuern eingerichtet war, wird aus einer einfachen Korrektur schnell der Verdacht der Steuerhinterziehung nach § 370 AO. Eine lückenlose und aussagekräftige Verfahrensdokumentation kann sich zugunsten des Steuerpflichtigen auswirken und ihm helfen, den Vorwurf des Vorsatzes oder der Leichtfertigkeit zu entkräften.

Die Erstellung einer solchen Dokumentation kann je nach Komplexität des eingesetzten IT-Systems sehr aufwändig sein und ist nicht auf die Schnelle zu erledigen. Ich empfehle daher allen Unternehmen, die hier noch Defizite haben, jetzt zu handeln und zumindest eine schlanke Verfahrensdokumentation nach den Vorgaben der GoBD zu erstellen.

Was empfehlen Sie Unternehmen, die noch mit Aktenordnern hantieren, also papierbasiert arbeiten?

Stefan Groß: Der Anteil der originär elektronischen Belege am gesamten Belegaufkommen wird in den kommenden Jahren weiter zunehmen. Beispielsweise wird es immer mehr elektronische Rechnungen geben. Deshalb empfiehlt es sich schon im Interesse einer effizienten Verarbeitung, den Belegeingang und die Aufbewahrung vollständig zu digitalisieren.

Insbesondere für die Archivierung stellen die GoBD klare Anforderungen an die Unveränderbarkeit und Nachvollziehbarkeit. Um diese zu erfüllen, muss man nicht zwingend ein elektronisches Archiv- oder Dokumentenmanagementsystem einsetzen, in vielen Fällen dürfte dies aber die einfachste Lösung sein. Denn es reicht nicht aus, Dokumente nur im Dateisystem abzulegen, sondern das Unternehmen muss zusätzlich zum Beispiel Maßnahmen zum Zugriffsschutz und zur Unveränderbarkeit der Daten treffen und dokumentieren.

Ein Archiv- oder Dokumentenmanagementsystem verfügt über eigene Sicherheitsmechanismen, die die Umsetzung der GoBD-Anforderungen unterstützen. Bei der Auswahl einer Lösung sollte darauf geachtet werden, dass diese von unabhängiger Seite geprüft wurde und den einschlägigen Standards wie beispielsweise dem IDW RS FAIT 3 entspricht.

Unter welchen Voraussetzungen dürfen Papierdokumente nach der elektronischen Erfassung vernichtet werden?

Stefan Groß: Werden Handels- oder Geschäftsbriefe und Buchungsbelege in Papierform empfangen und anschließend elektronisch erfasst, also gescannt, ist das Scanergebnis so aufzubewahren, dass die Wiedergabe mit dem Original bildlich übereinstimmt, wenn es lesbar gemacht wird. Zudem muss das Scanverfahren in einer Organisationsanweisung dokumentiert werden, die insbesondere auch das entsprechende Kontrollumfeld beschreibt.

Nach dem Scannen können die Papierdokumente grundsätzlich vernichtet werden, sofern dem keine steuerlichen oder außersteuerlichen Vorschriften dagegen sprechen. Der Steuerpflichtige hat zu entscheiden, ob Dokumente, deren Beweiskraft bei einer ausschließlich elektronischen Aufbewahrung nicht erhalten bleibt, zusätzlich in Papierform aufbewahrt werden müssen. Dies betrifft zum Beispiel notarielle Urkunden oder Wertpapiere. In jedem Fall darf der Verzicht auf einen Papierbeleg die Möglichkeit der Nachvollziehbarkeit und Prüfbarkeit nicht beeinträchtigen.