Die elektronische Rechnung in Deutschland steht auf zwei technischen Säulen: der elektronischen Signatur, die die Integrität und Authentizität des Dokuments sichert, und der ordnungsgemäßen Archivierung, die die langfristige Verfügbarkeit der Daten gewährleistet. Beide Aspekte sind eng mit den GoBD-Anforderungen verknüpft und haben rechtliche Grundlagen, die in der Praxis verstanden und konsequent umgesetzt werden müssen.
Die rechtliche Basis der elektronischen Signatur
Die elektronische Signatur in Deutschland und in der gesamten Europäischen Union ist durch die eIDAS-Verordnung —Verordnung über elektronische Identifizierung und Vertrauensdienste— geregelt. Die Verordnung definiert drei Niveaus der elektronischen Signatur: die einfache, die fortgeschrittene und die qualifizierte.
Die einfache elektronische Signatur kann jede Form der elektronischen Bestätigung sein, etwa der Name am Ende einer E-Mail. Ihre rechtliche Beweiskraft ist begrenzt. Die fortgeschrittene elektronische Signatur erfüllt definierte technische Anforderungen, identifiziert den Unterzeichner eindeutig und sichert die Integrität der signierten Daten. Sie ist für viele Anwendungen ausreichend.
Die qualifizierte elektronische Signatur ist die rechtlich anspruchsvollste Form. Sie basiert auf einem qualifizierten Zertifikat eines anerkannten Vertrauensdienstanbieters und wird mit einer sicheren Signaturerstellungseinheit erstellt. Die qualifizierte elektronische Signatur ist der handschriftlichen Unterschrift rechtlich gleichgestellt.
Die Signatur im Kontext der elektronischen Rechnung
Für elektronische Rechnungen im B2B-Bereich ist seit der Neufassung des §14 UStG die elektronische Signatur nicht zwingend erforderlich. Das Wachstumschancengesetz lässt die Integritäts- und Authentizitätssicherung auch durch andere innerbetriebliche Kontrollverfahren zu, sofern diese die elektronische Rechnung lückenlos mit dem zugrundeliegenden Geschäftsvorfall verbinden.
In der Praxis ist die elektronische Signatur jedoch die robustste und beweisrechtlich stärkste Lösung. Sie sichert die Integrität der Rechnung kryptographisch und macht nachträgliche Manipulationen erkennbar. Im Streitfall vor Gericht oder bei einer Betriebsprüfung ist eine signierte Rechnung die solideste Basis.
Auch bei Rechnungen an öffentliche Auftraggeber, die XRechnung verwenden, kann die elektronische Signatur erforderlich sein, je nach den spezifischen Vorgaben des Auftraggebers. Hier lohnt es sich, die Anforderungen pro Vertragsverhältnis zu prüfen.
Die Zertifikate: Quellen und Beschaffung
Qualifizierte Zertifikate für die elektronische Signatur werden von qualifizierten Vertrauensdienstanbietern ausgegeben. In Deutschland ist die Bundesnetzagentur die zuständige Behörde, die die Anbieter beaufsichtigt und die Vertrauensliste pflegt.
Bekannte Anbieter qualifizierter Zertifikate in Deutschland sind die DGN, die D-Trust, die Signotec und andere. Die Wahl des Anbieters hängt von den Kosten, der Integration mit der vorhandenen Software und den Servicepräferenzen ab.
Die Zertifikate werden typischerweise für eine bestimmte Person ausgegeben —den Geschäftsführer, einen Bevollmächtigten, einen Mitarbeiter mit Signaturberechtigung—. Für die Rechnungsstellung in größerem Umfang kommen auch organisationsbezogene Zertifikate in Frage, die nicht an eine natürliche Person, sondern an die Organisation gebunden sind.
Die qualifizierte elektronische Signatur in der Praxis
Die qualifizierte elektronische Signatur wird in der Praxis durch die Buchhaltungssoftware oder durch spezialisierte Signaturdienste ausgeführt. Der Anwender muss in der Regel nur die Rechnung freigeben; die kryptographische Operation läuft im Hintergrund.
Die Hardware oder Software, die die Signatur erstellt, muss bestimmte Sicherheitsanforderungen erfüllen. Sichere Signaturerstellungseinheiten —SSCD— sind die zertifizierten Geräte oder Software-Komponenten, die diese Anforderungen umsetzen. Cloud-basierte qualifizierte Signaturdienste sind heute weit verbreitet und werden von den Vertrauensdienstanbietern angeboten.
Die qualifizierte elektronische Signatur ist mit einem Zeitstempel verknüpfbar, der den genauen Zeitpunkt der Signatur dokumentiert. Diese Kombination —Signatur plus Zeitstempel— bietet höchste Beweiskraft für die Existenz und Integrität der Rechnung zu einem bestimmten Moment.
Die Aufbewahrungspflicht: zehn Jahre
Elektronische Rechnungen unterliegen wie Papierrechnungen der gesetzlichen Aufbewahrungspflicht von zehn Jahren gemäß § 147 AO. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die letzte Eintragung gemacht oder die Unterlage entstanden ist.
Während der Aufbewahrungsfrist müssen die Rechnungen unverändert, lesbar und maschinell auswertbar bleiben. Diese drei Anforderungen sind kumulativ; das Fehlen einer einzigen davon stellt einen Verstoß gegen die GoBD dar.
Unverändertheit bedeutet, dass die Rechnung in ihrer ursprünglichen Form erhalten bleiben muss. Eine Konvertierung in ein anderes Format ist nur zulässig, wenn die Konvertierung selbst nachvollziehbar dokumentiert ist und die Identität mit dem Original sichergestellt bleibt.
Lesbarkeit bedeutet, dass die Rechnung mit handelsüblicher Software geöffnet und visuell geprüft werden kann. Bei elektronischen Rechnungen im XML-Format ist eine entsprechende Anzeigesoftware erforderlich; bei PDF-Rechnungen ein PDF-Viewer.
Maschinelle Auswertbarkeit bedeutet, dass die Daten der Rechnung durch Software extrahiert und ausgewertet werden können. Reine Bildformate ohne strukturierte Datenextraktion erfüllen diese Anforderung nicht.
Die digitalen Archivsysteme
Die Aufbewahrung elektronischer Rechnungen erfolgt in digitalen Archivsystemen, die die GoBD-Anforderungen erfüllen. Diese Systeme zeichnen sich durch mehrere Eigenschaften aus: gesicherter Zugriff, Versionskontrolle, Audit-Trail, Schutz vor unautorisierten Änderungen, Wiederherstellbarkeit im Falle technischer Probleme.
On-Premise-Archivsysteme werden auf eigenen Servern des Unternehmens betrieben. Sie bieten maximale Kontrolle, erfordern aber eigene Investitionen in Hardware und Wartung. Sie sind typisch für größere Unternehmen mit eigenständiger IT-Abteilung.
Cloud-basierte Archivsysteme werden vom Dienstleister gehostet. Sie reduzieren den eigenen IT-Aufwand und bieten oft Skaleneffekte in der Sicherheit und in der Verfügbarkeit. Die Auswahl des Anbieters muss die DSGVO-Konformität, die GoBD-Konformität und die langfristige Verfügbarkeit berücksichtigen.
Hybridlösungen kombinieren beide Ansätze: lokale Speicherung für sensible Daten, Cloud-Backup für die Redundanz. Diese Lösungen können für bestimmte Profile attraktiv sein, erhöhen jedoch die Komplexität.
Die Verfahrensdokumentation der Archivierung
Die GoBD verlangen eine Verfahrensdokumentation, die unter anderem die Archivierung beschreibt. Diese Dokumentation umfasst die Beschreibung des eingesetzten Archivsystems, die Prozesse der Datenaufnahme und der Datenauswertung, die internen Kontrollen zur Sicherstellung der Integrität, die Verantwortlichkeiten innerhalb des Unternehmens.
Eine gut gepflegte Verfahrensdokumentation ist im Falle einer Betriebsprüfung ein erheblicher Vorteil. Sie zeigt der Finanzverwaltung, dass das Unternehmen seine digitalen Prozesse beherrscht und nicht improvisiert. Sie reduziert den Erklärungsaufwand bei Detailfragen.
Die Verfahrensdokumentation sollte regelmäßig aktualisiert werden, insbesondere bei Wechseln der Software, der Prozesse oder der zuständigen Personen. Eine veraltete Dokumentation kann sich im Streitfall nachteilig auswirken.
Die Wiederherstellung und der Wechsel des Archivsystems
Ein praktischer Aspekt, der oft unterschätzt wird, ist die Wiederherstellbarkeit der archivierten Daten. Was nützt eine Archivierung, wenn im Bedarfsfall die Daten nicht wieder verfügbar gemacht werden können? Regelmäßige Tests der Wiederherstellung sind sinnvoll.
Ebenfalls relevant ist der mögliche Wechsel des Archivsystems. Während der zehnjährigen Aufbewahrungsfrist kann das eingesetzte System obsolet werden, der Anbieter den Betrieb einstellen, das Unternehmen aus betrieblichen Gründen wechseln wollen. Der Wechsel muss möglich sein, ohne dass die archivierten Daten verloren gehen oder ihre GoBD-Konformität verlieren.
Standardformate für die Archivierung —beispielsweise PDF/A für die Langzeitarchivierung— erleichtern den Wechsel zwischen Systemen. Proprietäre Formate, die nur mit einer spezifischen Software gelesen werden können, schaffen Abhängigkeiten, die im Wechsel problematisch werden können.
Die Datenschutz-Aspekte
Elektronische Rechnungen enthalten häufig personenbezogene Daten —Namen, Adressen, gegebenenfalls weitere identifizierende Informationen—. Die Archivierung dieser Daten unterliegt sowohl der GoBD als auch der DSGVO.
Die DSGVO verlangt, dass personenbezogene Daten nur so lange aufbewahrt werden, wie es für den Zweck erforderlich ist. Die zehnjährige Aufbewahrungsfrist der AO ist ein rechtlich begründeter Zweck, der die längere Aufbewahrung legitimiert. Nach Ablauf der Frist sollten die Daten jedoch konsequent gelöscht werden, sofern keine anderen Aufbewahrungspflichten greifen.
Die Sicherheit der archivierten Daten gegen unbefugten Zugriff ist ebenfalls eine DSGVO-Anforderung. Verschlüsselung, Zugriffskontrollen, Protokollierung der Zugriffe und regelmäßige Sicherheitsüberprüfungen sind angemessene Maßnahmen.
Die Konsequenzen bei Verstößen
Verstöße gegen die Aufbewahrungspflicht haben verschiedene Konsequenzen. Die häufigste ist die Verwerfung der Ordnungsmäßigkeit der Buchführung durch die Finanzverwaltung, was zu Schätzungen führen kann.
Bei besonders schweren oder vorsätzlichen Verstößen kommen straf- oder bußgeldrechtliche Konsequenzen in Betracht. Die Schwellen sind hoch, aber sie existieren.
Daneben können zivilrechtliche Probleme entstehen, wenn im Streit mit Geschäftspartnern eine Rechnung nicht mehr nachweisbar ist. Die Beweislast kann ungünstig ausfallen, wenn die archivierten Daten nicht verfügbar sind.
Häufige Fehler bei Signatur und Archivierung
Drei Fehler wiederholen sich. Erstens: das Vertrauen auf einfache Sicherungsmechanismen ohne Kontrolle. Eine Festplatte ohne Backup-Strategie ist kein GoBD-konformes Archivsystem.
Zweitens: das Ignorieren der zehnjährigen Frist für ältere Belege. Ein Wechsel der Software oder des Anbieters muss die laufenden Aufbewahrungsverpflichtungen berücksichtigen.
Drittens: die Vernachlässigung der Verfahrensdokumentation. Eine perfekte technische Lösung ohne Dokumentation kann im Streitfall problematisch sein, weil die Ordnungsmäßigkeit nicht nachgewiesen werden kann.
Die fachliche Beratung
Die Anforderungen an Signatur und Archivierung profitieren von der Beratung durch den Steuerberater, IT-Spezialisten und gegebenenfalls Datenschutzbeauftragten. Die Verbindung dieser Perspektiven sichert die Konformität in allen Dimensionen.
Wenn Sie eine rechtssichere Lösung für die elektronische Rechnungsstellung mit Signatur und langfristiger Archivierung suchen, finden Sie weitere Informationen zu Invoseal unter invoseal.es.
Heute noch gelöst?
InvoSeal erfüllt die RD 1007/2023 im VeriFactu- und Nicht-VeriFactu-Modus vom ersten Tag an. Verantwortlichkeitserklärung veröffentlicht.
InvoSeal testen →