Die Aufbewahrungspflicht für Buchhaltungsunterlagen ist ein zentrales Element des deutschen Steuerrechts. Mit der Digitalisierung der Rechnungsstellung hat sich die praktische Umsetzung gewandelt: statt physischer Aktenordner geht es um digitale Archivsysteme, die spezifische technische Anforderungen erfüllen müssen. Die Frist von zehn Jahren bleibt jedoch bestehen und gilt für die meisten relevanten Belege. Dieser Leitfaden gibt einen detaillierten Überblick.
Die rechtlichen Grundlagen der Aufbewahrungspflicht
Die zentralen Vorschriften zur Aufbewahrung von Buchhaltungsunterlagen finden sich in §§ 145 bis 147 der Abgabenordnung. § 147 AO regelt konkret die Aufbewahrungspflichten und unterscheidet zwischen verschiedenen Arten von Unterlagen mit unterschiedlichen Fristen.
Die zehnjährige Aufbewahrungsfrist gilt für Bücher und Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte, Eröffnungsbilanzen, die zu ihrem Verständnis erforderlichen Arbeitsanweisungen und sonstigen Organisationsunterlagen sowie für Buchungsbelege, einschließlich Rechnungen.
Die sechsjährige Aufbewahrungsfrist gilt für empfangene und Wiedergabe abgesandter Handels- oder Geschäftsbriefe sowie für sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind, und nicht in eine der Kategorien mit zehnjähriger Frist fallen.
Da die meisten Rechnungen als Buchungsbelege gelten, beträgt ihre Aufbewahrungsfrist zehn Jahre. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die letzte Eintragung gemacht oder die Unterlage entstanden ist.
Der Beginn der Aufbewahrungsfrist
Der Beginn der Aufbewahrungsfrist ist nicht der Tag der Erstellung der Rechnung, sondern der 31. Dezember des Jahres der Erstellung. Eine Rechnung vom 15. März 2026 muss also bis zum 31. Dezember 2036 aufbewahrt werden —fast zehneinhalb Jahre statt zehn.
Diese Regelung führt dazu, dass praktisch alle Rechnungen eines Jahres bis zum Ende des zehnten Folgejahres aufzubewahren sind. Eine systematische Archivierung sollte sich daher an Kalenderjahren orientieren, was die Verwaltung erleichtert.
Bei laufenden Geschäftsverhältnissen kann der Beginn der Aufbewahrungsfrist sich verschieben. Wenn eine Buchung im Folgejahr noch korrigiert oder ergänzt wird, beginnt die Frist für den entsprechenden Beleg erst mit dem Schluss des Jahres der letzten Eintragung.
Die zu archivierenden Inhalte
Die Aufbewahrung umfasst nicht nur die Rechnung selbst, sondern alle dazugehörigen Unterlagen, die für das Verständnis des Geschäftsvorgangs erforderlich sind. Bei einer elektronischen Rechnung sind dies typischerweise: die strukturierte XML- oder ZUGFeRD-Datei als Originalbeleg, eventuell vorhandene Begleit-PDFs zur visuellen Darstellung, die Bestätigung des Empfangs durch den Empfänger, gegebenenfalls Korrespondenz zur Rechnung, die Buchungsunterlagen einschließlich der Verknüpfung zwischen Rechnung und Buchung.
Reine Bildkopien einer Rechnung —etwa ein Scan eines Ausdrucks— erfüllen die Anforderungen nicht. Der Originalbeleg muss in seiner ursprünglichen elektronischen Form erhalten bleiben. Eine Konvertierung in andere Formate ist nur unter zusätzlichen Sicherungen zulässig.
Die Anforderungen an die digitale Archivierung
Die digitale Archivierung muss bestimmte Anforderungen erfüllen, die in den GoBD konkretisiert sind. Die wichtigsten sind: Unveränderbarkeit, Lesbarkeit, Maschinenlesbarkeit, Verfügbarkeit, Sicherheit.
Unveränderbarkeit bedeutet, dass die archivierten Daten nicht so verändert werden können, dass die Veränderung nicht erkennbar wäre. Stille Überschreibungen sind unzulässig; Korrekturen müssen mit Versionsverwaltung und Audit-Trail erfolgen.
Lesbarkeit bedeutet, dass die Daten mit handelsüblicher Software geöffnet werden können. Bei XML-Daten ist eine entsprechende Software erforderlich; bei PDFs ein PDF-Viewer. Auf langen Aufbewahrungsfristen muss die Lesbarkeit durch Format-Standards gesichert werden, die nicht obsolet werden.
Maschinenlesbarkeit bedeutet, dass die strukturierten Daten durch Software extrahiert und ausgewertet werden können. Eine Rechnung in einem proprietären Format, das nur eine spezifische Software lesen kann, ist problematisch, weil die Auswertbarkeit von der Verfügbarkeit dieser Software abhängt.
Verfügbarkeit bedeutet, dass die Daten innerhalb angemessener Zeit zur Verfügung gestellt werden können, insbesondere für die Finanzverwaltung. Die Antwortzeit auf Datenanforderungen sollte realistisch sein.
Sicherheit bedeutet den Schutz vor unbefugtem Zugriff, vor Verlust und vor Manipulation. Verschlüsselung, Backup-Strategien, Zugriffskontrolle: alle diese Maßnahmen gehören zur Sicherheitsausstattung.
Die On-Premise- versus die Cloud-Archivierung
Die Archivierung kann auf eigenen Servern des Unternehmens —on-premise— oder auf den Servern eines externen Dienstleisters —Cloud— erfolgen. Beide Optionen haben Vor- und Nachteile.
Die On-Premise-Archivierung bietet maximale Kontrolle über die Daten. Das Unternehmen besitzt die Server, die Software und die Verwaltung. Die Sicherheit ist aber auch komplett die eigene Verantwortung. Investitionen in Hardware, Wartung, Sicherheitsupdates und Backup-Strategien sind erforderlich.
Die Cloud-Archivierung verlagert die technische Verantwortung weitgehend zum Dienstleister. Das Unternehmen zahlt eine laufende Gebühr und kann sich auf das Kerngeschäft konzentrieren. Die Wahl des Dienstleisters ist entscheidend; die DSGVO-Konformität, die GoBD-Konformität und die langfristige Verfügbarkeit müssen sichergestellt sein.
Für KMU ist die Cloud-Archivierung oft die praktischere Wahl. Die laufenden Kosten sind kalkulierbar, die technische Komplexität wird reduziert, und etablierte Anbieter haben in der Regel hohe Sicherheitsstandards.
Die Verfahrensdokumentation der Archivierung
Die GoBD verlangen eine Verfahrensdokumentation, die unter anderem die Archivierung beschreibt. Diese Dokumentation umfasst: das eingesetzte Archivsystem, die Prozesse der Datenaufnahme und der Datenextraktion, die internen Kontrollen zur Sicherstellung der Integrität, die Verantwortlichkeiten innerhalb des Unternehmens, die Vorgehensweise im Falle einer Datenanforderung der Finanzverwaltung.
Die Verfahrensdokumentation sollte vor der ersten Nutzung des Archivsystems erstellt und regelmäßig aktualisiert werden. Bei Änderungen der Software, der Prozesse oder der Zuständigkeiten ist eine Aktualisierung zwingend.
Eine fehlende oder veraltete Verfahrensdokumentation wirkt sich im Falle einer Betriebsprüfung negativ aus. Sie kann den Eindruck unkontrollierter Verhältnisse erwecken und zur Beanstandung der Ordnungsmäßigkeit der Buchführung führen.
Die Migration zwischen Archivsystemen
Während der zehnjährigen Aufbewahrungsfrist können sich die eingesetzten Systeme ändern. Ein Anbieter stellt den Betrieb ein, das Unternehmen entscheidet sich für einen Wechsel, technische Entwicklungen machen einen Wechsel sinnvoll. Die Migration zwischen Archivsystemen muss möglich sein, ohne dass die Daten verloren gehen oder ihre GoBD-Konformität verlieren.
Standardformate erleichtern die Migration. PDF/A für die Langzeitarchivierung, XML in dokumentierten Schemata, etablierte Datenbankformate: diese Standards machen es möglich, Daten von einem System zu einem anderen zu übertragen, ohne signifikanten Datenverlust.
Proprietäre Formate, die nur mit einer spezifischen Software lesbar sind, sollten vermieden werden. Sie schaffen eine Abhängigkeit vom Anbieter, die im Falle eines Wechsels problematisch wird.
Die DSGVO und die Aufbewahrungspflicht
Die DSGVO und die steuerrechtliche Aufbewahrungspflicht können in scheinbarem Konflikt stehen. Die DSGVO verlangt die Löschung personenbezogener Daten, sobald sie nicht mehr für den ursprünglichen Zweck benötigt werden. Die Abgabenordnung verlangt die Aufbewahrung über zehn Jahre.
Der Konflikt ist auflösbar. Die zehnjährige Aufbewahrungsfrist ist eine gesetzliche Verpflichtung, die als Rechtsgrundlage für die Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 lit. c DSGVO dient. Während dieser Frist ist die Aufbewahrung legitim und sogar verpflichtend.
Nach Ablauf der Aufbewahrungsfrist sollte jedoch eine konsequente Löschung erfolgen, sofern keine anderen Aufbewahrungsgründe greifen. Datensätze, die zehn Jahre alt sind und keine weitere Verwendung haben, müssen gelöscht werden, um den DSGVO-Vorgaben zu entsprechen.
Die Vernichtung nach Ablauf der Frist
Die Vernichtung der archivierten Daten nach Ablauf der Aufbewahrungsfrist sollte systematisch erfolgen. Eine zufällige oder unkontrollierte Vernichtung ist sowohl steuerlich als auch datenschutzrechtlich problematisch.
Die Vernichtung sollte dokumentiert werden. Welche Daten wurden wann und durch wen vernichtet? Diese Dokumentation ist im Falle einer Datenschutzkontrolle nützlich und entspricht dem Prinzip der Rechenschaftspflicht.
Bei digitalen Daten muss die Vernichtung effektiv sein. Das einfache Löschen aus der Anzeige des Archivsystems reicht nicht; die Daten müssen so überschrieben oder anderweitig unzugänglich gemacht werden, dass eine Wiederherstellung praktisch nicht möglich ist.
Häufige Fehler bei der Archivierung
Drei Fehler wiederholen sich. Erstens: die Verwendung nicht zertifizierter oder ungeeigneter Archivlösungen. Einfache Dateiablagen auf Servern oder Festplatten erfüllen die GoBD-Anforderungen in der Regel nicht.
Zweitens: das Fehlen einer Wiederherstellungs-Strategie. Eine Archivierung ohne regelmäßige Wiederherstellungstests kann sich im Ernstfall als wertlos erweisen. Was nicht wiederhergestellt werden kann, ist effektiv nicht archiviert.
Drittens: die Vernachlässigung der konsequenten Löschung nach Ablauf der Frist. Datensätze, die "auf Verdacht" länger aufbewahrt werden, verletzen die DSGVO und schaffen unnötiges Risiko.
Die fachliche Beratung
Die Einrichtung eines GoBD-konformen Archivsystems profitiert von Beratung durch den Steuerberater —für die fachlichen Aspekte— und einen IT-Berater —für die technische Umsetzung—. Die Verbindung beider Perspektiven sichert eine umfassende Konformität.
Wenn Sie eine Lösung suchen, die die zehnjährige Aufbewahrungspflicht zuverlässig und GoBD-konform erfüllt, finden Sie weitere Informationen zu Invoseal unter invoseal.es.
Heute noch gelöst?
InvoSeal erfüllt die RD 1007/2023 im VeriFactu- und Nicht-VeriFactu-Modus vom ersten Tag an. Verantwortlichkeitserklärung veröffentlicht.
InvoSeal testen →