DSGVO und elektronische Rechnung: Datenschutzaspekte für deutsche Unternehmen

Elektronische Rechnungen enthalten in vielen Fällen personenbezogene Daten und unterliegen damit der Datenschutz-Grundverordnung. Während die GoBD die buchhalterische Korrektheit und Integrität regeln, bestimmt die DSGVO den Umgang mit den personenbezogenen Daten. Beide Regelwerke müssen gleichzeitig erfüllt werden, was in der Praxis zu interessanten Abwägungen führt. Dieser Leitfaden gibt einen Überblick über die zentralen Datenschutzaspekte der elektronischen Rechnungsstellung.

Personenbezogene Daten in der Rechnung

Eine Rechnung enthält typischerweise personenbezogene Daten in mehreren Dimensionen. Bei Rechnungen an natürliche Personen —Privatkunden— sind Name, Adresse und gegebenenfalls weitere identifizierende Informationen direkt personenbezogen. Bei Rechnungen an juristische Personen —Unternehmen— sind die Unternehmensdaten zwar nicht direkt personenbezogen, aber oft mit Ansprechpartnern, deren Namen und Kontaktdaten verbunden.

Die DSGVO findet auf alle personenbezogenen Daten Anwendung, unabhängig davon, ob die Rechnung an einen Privatkunden oder an ein Unternehmen geht. In B2B-Beziehungen sind die Namen der Ansprechpartner —Einkäufer, Buchhalterinnen, Geschäftsführer— personenbezogen und genießen den Schutz der Verordnung.

Auch die Inhalte der Rechnung können personenbezogen sein. Eine Rechnung über medizinische Leistungen, juristische Beratung oder ähnliche persönliche Dienstleistungen kann Rückschlüsse auf die Person erlauben. Solche Daten gelten häufig als besonders schutzwürdig.

Die Rechtsgrundlage der Verarbeitung

Die Verarbeitung personenbezogener Daten in Rechnungen hat in der Regel mehrere Rechtsgrundlagen, die kumulativ greifen. Die wichtigste ist die Erfüllung eines Vertrags gemäß Artikel 6 Absatz 1 lit. b DSGVO: die Rechnungsstellung ist Bestandteil der vertraglichen Beziehung mit dem Kunden und damit ohne weitere Einwilligung zulässig.

Daneben besteht eine gesetzliche Verpflichtung gemäß Artikel 6 Absatz 1 lit. c DSGVO. Die steuerlichen und handelsrechtlichen Vorschriften zur Rechnungsstellung und zur Aufbewahrung der Belege machen die Verarbeitung der Daten zur Pflicht. Eine Einwilligung des Kunden ist nicht erforderlich; sie würde die rechtliche Grundlage sogar verschlechtern, weil eine Einwilligung jederzeit widerrufen werden könnte und die Rechnungsstellung gleichwohl verpflichtet bleibt.

Für besondere Datenarten —Gesundheitsdaten, religiöse Überzeugungen— gelten zusätzliche Anforderungen. Wer in seiner Rechnung solche Informationen aufnehmen müsste, sollte besondere Vorsicht walten lassen und nach Möglichkeit allgemeinere Formulierungen wählen.

Das Prinzip der Datensparsamkeit

Die DSGVO verlangt Datensparsamkeit: es sollen nur die personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind. Bei Rechnungen bedeutet dies, dass die Pflichtangaben der steuerrechtlichen Vorschriften eingehalten werden, aber darüber hinaus keine personenbezogenen Daten ohne klare Notwendigkeit erfasst werden.

Die Pflichtangaben einer Rechnung gemäß § 14 UStG sind klar definiert: Name und Anschrift des leistenden Unternehmers und des Leistungsempfängers, Steuernummern, Rechnungsdatum, Rechnungsnummer, Leistungsbeschreibung, Beträge, Steuersätze. Diese Angaben sind aus dem Steuerrecht gefordert; ihre Verarbeitung ist datenschutzrechtlich gerechtfertigt.

Zusätzliche Informationen —etwa interne Notizen, Lieferanweisungen, Kommentare zur Geschäftsbeziehung— sollten zurückhaltend gehandhabt werden. Was nicht notwendig ist, sollte nicht in der Rechnung stehen, jedenfalls nicht in einer Form, die personenbezogene Daten unnötig exponiert.

Die Auftragsverarbeitung durch den Software-Anbieter

Wer eine externe Software für die Rechnungsstellung nutzt —insbesondere eine Cloud-basierte Lösung— bedient sich eines Auftragsverarbeiters im Sinne der DSGVO. Der Software-Anbieter verarbeitet personenbezogene Daten im Auftrag des Unternehmens und unterliegt entsprechenden vertraglichen und gesetzlichen Pflichten.

Ein Auftragsverarbeitungsvertrag —AV-Vertrag— gemäß Artikel 28 DSGVO ist mit dem Software-Anbieter abzuschließen. Dieser Vertrag regelt unter anderem die Art und den Zweck der Verarbeitung, die Datenarten und Betroffenenkategorien, die Dauer der Verarbeitung, die technischen und organisatorischen Maßnahmen zum Schutz der Daten, die Unterauftragsverarbeitung.

Seriöse Software-Anbieter haben standardisierte AV-Verträge, die unterschriftsbereit zur Verfügung stehen. Wer eine Software einsetzt, ohne einen solchen Vertrag abgeschlossen zu haben, verletzt seine eigenen DSGVO-Pflichten und kann bei einer Datenschutzverletzung des Anbieters mithaftbar gemacht werden.

Der Standort der Datenverarbeitung

Bei Cloud-Lösungen ist der Standort der Server ein wichtiger DSGVO-Aspekt. Server innerhalb der Europäischen Union sind in der Regel DSGVO-konform leichter zu nutzen, weil die Datenverarbeitung im EU-Rechtsraum stattfindet.

Server außerhalb der EU —insbesondere in Ländern ohne Angemessenheitsbeschluss der EU-Kommission— erfordern zusätzliche Schutzmaßnahmen. Standardvertragsklauseln, zusätzliche technische und organisatorische Maßnahmen, gegebenenfalls Genehmigungen: die Anforderungen sind höher und der praktische Aufwand größer.

Für KMU mit deutschen oder europäischen Kunden sind EU-basierte Lösungen typischerweise die einfachere und sichere Wahl. Software-Anbieter mit Rechenzentren in der EU sollten bevorzugt werden.

Die technischen und organisatorischen Maßnahmen

Die DSGVO verlangt technische und organisatorische Maßnahmen —TOM— zum Schutz der personenbezogenen Daten. Bei der elektronischen Rechnungsstellung umfassen diese typischerweise Zugriffskontrollen, Verschlüsselung der Datenübertragung und -speicherung, regelmäßige Sicherheitsupdates, Backup- und Wiederherstellungsstrategien, Protokollierung der Zugriffe.

Software-Anbieter dokumentieren ihre TOM in der Regel ausführlich. Bei der Wahl des Anbieters sollte diese Dokumentation geprüft werden. Anbieter ohne klare und nachvollziehbare TOM-Dokumentation sind kritisch zu sehen.

Im eigenen Unternehmen sind ebenfalls TOM erforderlich. Wer Zugriff auf welche Daten hat, wie die Datenträger geschützt werden, welche Vorkehrungen gegen unbefugten Zugriff getroffen werden: all das muss systematisch geregelt sein.

Das Verzeichnis der Verarbeitungstätigkeiten

Die DSGVO verlangt von Unternehmen ab einer bestimmten Größe ein Verzeichnis der Verarbeitungstätigkeiten gemäß Artikel 30. Die Rechnungsstellung ist eine Verarbeitungstätigkeit, die in diesem Verzeichnis aufgeführt werden muss.

Das Verzeichnis enthält typischerweise den Zweck der Verarbeitung —Rechnungsstellung im Rahmen vertraglicher Beziehungen—, die Datenarten —Stammdaten, Rechnungsdaten—, die Empfänger —Kunden, Steuerberater, Finanzbehörden—, die Aufbewahrungsfristen, die TOM.

Das Verzeichnis muss aktuell gehalten werden. Bei Änderungen in den Prozessen, der Software oder den Empfängern ist eine Aktualisierung erforderlich. Eine veraltete Dokumentation kann im Falle einer Datenschutzkontrolle nachteilig wirken.

Die Rechte der Betroffenen

Personen, deren Daten in Rechnungen verarbeitet werden, haben nach der DSGVO bestimmte Rechte. Das Auskunftsrecht erlaubt ihnen, zu erfahren, welche Daten über sie verarbeitet werden. Das Berichtigungsrecht erlaubt die Korrektur fehlerhafter Daten. Das Recht auf Löschung —das "Recht auf Vergessenwerden"— ist eingeschränkt, weil die gesetzlichen Aufbewahrungspflichten dem entgegenstehen können.

Für die elektronische Rechnungsstellung bedeutet dies, dass das Unternehmen in der Lage sein muss, Anfragen Betroffener zu bearbeiten. Welche Rechnungen sind über eine bestimmte Person ausgestellt? Welche Daten sind dabei verarbeitet worden? Diese Fragen müssen beantwortbar sein.

Die zehnjährige Aufbewahrungsfrist der Abgabenordnung überlagert das Recht auf Löschung. Solange die steuerlichen Aufbewahrungspflichten gelten, können personenbezogene Daten in Rechnungen nicht auf Wunsch der betroffenen Person gelöscht werden. Nach Ablauf der Frist sollte jedoch eine konsequente Löschung erfolgen, sofern keine anderen Aufbewahrungsgründe greifen.

Die Datenpanne und ihre Behandlung

Im Falle einer Datenpanne —etwa unbefugter Zugriff auf das Rechnungssystem, versehentliche Versendung von Rechnungen an falsche Empfänger, Verlust von Datenträgern— greifen die Meldepflichten der DSGVO. Die Aufsichtsbehörde ist innerhalb von 72 Stunden zu informieren, sofern ein Risiko für die Rechte und Freiheiten der Betroffenen besteht.

Die Vorbereitung auf Datenpannen ist ein wichtiger Bestandteil der DSGVO-Compliance. Klare Prozesse für die Erkennung, Bewertung, Meldung und Bearbeitung sollten dokumentiert sein. Die Verantwortlichkeiten müssen klar sein.

Eine gut konfigurierte Rechnungssoftware reduziert das Risiko von Datenpannen durch technische Vorkehrungen. Audit-Trail, Zugriffsprotokollierung, Sicherheitsalarme: diese Funktionen helfen, Vorfälle früh zu erkennen und einzugrenzen.

Häufige Fehler im Datenschutz bei E-Rechnungen

Drei Fehler wiederholen sich in der Praxis. Erstens: das Fehlen eines AV-Vertrags mit dem Software-Anbieter. Wer Cloud-basierte Software einsetzt, ohne einen AV-Vertrag zu haben, verletzt die DSGVO und kann persönlich haften.

Zweitens: die Übermäßige Erfassung personenbezogener Daten in Rechnungen. Detaillierte Leistungsbeschreibungen mit personenbezogenen Inhalten, die nicht zwingend erforderlich sind, verletzen das Prinzip der Datensparsamkeit.

Drittens: die Vernachlässigung der Löschung nach Ablauf der Aufbewahrungsfristen. Wer Daten unbegrenzt aufbewahrt, weil "es ja eh digital ist", verletzt das Prinzip der Speicherbegrenzung und kann sanktioniert werden.

Die fachliche Beratung

Die DSGVO-Compliance in der elektronischen Rechnungsstellung profitiert von Beratung durch den Datenschutzbeauftragten —falls vorhanden— und gegebenenfalls durch einen externen Datenschutzberater. Die Verbindung mit dem Steuerberater stellt sicher, dass DSGVO und Steuerrecht konsistent umgesetzt werden.

Wenn Sie eine elektronische Rechnungssoftware suchen, die die DSGVO-Anforderungen zuverlässig erfüllt, finden Sie weitere Informationen zu Invoseal unter invoseal.es.

← Zurück zum Blog