Digitale Betriebsprüfung: Der GDPdU Datenzugriff und die drei Zugriffsarten
Von GDPdU zu GoBD: Die rechtliche Entwicklung des Datenzugriffs
Die rechtlichen Rahmenbedingungen für die digitale Betriebsprüfung in Deutschland haben sich stetig weiterentwickelt. Den Anfang machten die „Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme“ (GoBS) im Jahr 1995. Ein entscheidender Schritt war das BMF-Schreiben vom 16. Juli 2001, welches die „Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen“ (GDPdU) einführte. Gültig ab dem 1. Januar 2002, schufen die GDPdU auf Basis von § 147 Abs. 6 der Abgabenordnung (AO) erstmals eine konkrete Rechtsgrundlage für den digitalen Zugriff der Finanzverwaltung auf steuerlich relevante Unternehmensdaten.
Zum 1. Januar 2015 wurden sowohl die GoBS als auch die GDPdU durch ein neues, umfassendes Regelwerk abgelöst: die „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“, kurz GoBD. Dieses BMF-Schreiben vom 14. November 2014, zuletzt neugefasst am 28. November 2019, konkretisiert die Anforderungen an die digitale Buchführung und Archivierung. Obwohl die GDPdU formell außer Kraft sind, ist der Begriff in der Praxis weiterhin lebendig. Er wird häufig als Synonym für den standardisierten Datenexport im Rahmen einer Prüfung verwendet, bekannt als „GDPdU-Export“ oder „GDPdU-Schnittstelle“.
Die GoBD fassen die Grundsätze der Ordnungsmäßigkeit zusammen. Dazu gehören Nachvollziehbarkeit und Nachprüfbarkeit, Vollständigkeit, Richtigkeit, zeitgerechte Buchungen, Ordnung und Unveränderbarkeit. Jede Buchung und jede Aufzeichnung muss lückenlos nachvollziehbar sein.
Die drei Zugriffsarten der Finanzverwaltung (Z1, Z2, Z3)
Im Rahmen einer digitalen Betriebsprüfung kann die Finanzverwaltung auf drei verschiedene Arten auf die Daten eines Unternehmens zugreifen. Diese Zugriffsarten sind in den GoBD definiert und geben dem Prüfer flexible Möglichkeiten, die Buchführung zu kontrollieren. Die Wahl der Methode oder auch die Kombination mehrerer Methoden liegt im Ermessen der Finanzverwaltung und richtet sich nach dem Prüfungsziel.
Die drei Zugriffsarten sind:
- Z1: Unmittelbarer Datenzugriff
Beim Z1-Zugriff erhält der Prüfer einen direkten Nur-Lese-Zugriff auf das DV-System des Unternehmens. Er kann sich so selbstständig in der Software bewegen und die Daten einsehen, filtern und analysieren. Das Unternehmen muss dafür einen entsprechenden Zugang einrichten und sicherstellen, dass der Prüfer keine Daten verändern kann. - Z2: Mittelbarer Datenzugriff
Hierbei greift der Prüfer nicht selbst auf das System zu. Stattdessen fordert er das Unternehmen auf, bestimmte Auswertungen nach seinen Vorgaben durchzuführen. Ein fachkundiger Mitarbeiter des Unternehmens führt die Abfragen aus und stellt dem Prüfer die Ergebnisse zur Verfügung. Der Prüfer kann so komplexe Analysen anstoßen, ohne die Systemdetails kennen zu müssen. - Z3: Datenträgerüberlassung
Bei der Datenträgerüberlassung exportiert das Unternehmen die steuerlich relevanten Daten und übergibt sie dem Prüfer auf einem maschinell lesbaren Datenträger. Diese Methode ermöglicht es dem Prüfer, die Daten in seine eigene Prüfsoftware zu importieren und unabhängig vom System des Unternehmens zu analysieren. Ein BMF-Schreiben vom 11. März 2024 hat die Regelungen zum Datenzugriff, insbesondere zur Datenträgerüberlassung, weiter präzisiert.
Der GDPdU-Export: Technische Anforderungen an die Datenträgerüberlassung
Die Datenträgerüberlassung (Z3) ist in der Praxis der digitalen Betriebsprüfung von großer Bedeutung. Damit die Finanzverwaltung die exportierten Daten effizient prüfen kann, wurde ein Beschreibungsstandard etabliert. Dieser Standard stellt sicher, dass die Daten strukturiert und maschinell auswertbar sind.
Ein typischer Export besteht aus den eigentlichen Daten in Form von Flat Files (zum Beispiel als CSV- oder TXT-Dateien) und einer zentralen Beschreibungsdatei namens index.xml. Diese XML-Datei ist das Herzstück des Exports. Sie muss gegen die offizielle Document Type Definition (DTD) mit dem Namen gdpdu-01-09-2004.dtd valide sein. Die index.xml beschreibt den Aufbau der Daten-Dateien detailliert, unter anderem die enthaltenen Tabellen, die einzelnen Spalten mit ihren Namen und Datentypen, das verwendete Trennzeichen und den Zeichensatz. Dieses standardisierte Exportformat für GDPdU-Daten ermöglicht einen reibungslosen Import in die Prüfsoftware der Finanzverwaltung.
Die Finanzverwaltung setzt für die Analyse der überlassenen Daten eine spezielle Software namens IDEA ein. Es ist ein weit verbreiteter Irrtum, dass IDEA ein Datenformat sei, das Unternehmen erzeugen müssten. IDEA ist eine Prüfsoftware des Herstellers CaseWare (früher Audicon), die den GDPdU-Beschreibungsstandard direkt einlesen und verarbeiten kann. Die Aufgabe des Unternehmens besteht darin, die Daten gemäß dem Beschreibungsstandard bereitzustellen, nicht, ein proprietäres IDEA-Format zu erzeugen.
Für Kassensysteme gelten seit 2018 durch die Einführung der Kassen-Nachschau (§ 146b AO) und der technischen Sicherheitseinrichtung (TSE, § 146a AO) nochmals verschärfte Anforderungen. Hierfür wurde mit der DSFinV-K eine eigene, hoch standardisierte Exportschnittstelle geschaffen.
GoBD-konforme Prozesse: Verfahrensdokumentation und IKS
Die Einhaltung der GoBD geht weit über die reine Datenbereitstellung im Prüfungsfall hinaus. Sie erfordert eine lückenlose und nachvollziehbare Organisation der digitalen Buchführungsprozesse. Zwei Instrumente sind dafür zentral: die Verfahrensdokumentation und ein internes Kontrollsystem (IKS).
Die Verfahrensdokumentation ist eine nach GoBD verpflichtende Beschreibung des gesamten datenverarbeitenden Prozesses. Sie muss Inhalt, Aufbau, Ablauf und Ergebnisse des DV-Verfahrens vollständig und verständlich dokumentieren. Dazu gehört beispielsweise, wie Belege erfasst, verarbeitet, ausgegeben und aufbewahrt werden. Eine fehlende oder mangelhafte Verfahrensdokumentation stellt einen formellen Mangel dar. Wenn dadurch die Nachvollziehbarkeit der Buchführung beeinträchtigt ist, kann dies zur Infragestellung der Ordnungsmäßigkeit und im schlimmsten Fall zu Hinzuschätzungen führen.
Eng damit verknüpft ist die Pflicht zur Einrichtung eines internen Kontrollsystems. Gemäß GoBD (Rz. 100 ff.) muss der Steuerpflichtige Kontrollen einrichten, ausüben und protokollieren, um die Ordnungsmäßigkeit der Prozesse sicherzustellen. Ein solches internes Kontrollsystem nach GoBD umfasst technische und organisatorische Maßnahmen wie die Vergabe und Dokumentation von Zugangs- und Zugriffsberechtigungen, die Sicherstellung von Funktionstrennungen, automatische Plausibilitätskontrollen bei der Dateneingabe sowie Maßnahmen zum Schutz vor unberechtigter Veränderung oder Löschung von Daten.
Aufbewahrungspflichten und Fristen: Was muss wie lange archiviert werden?
Die ordnungsgemäße Aufbewahrung von Geschäftsunterlagen ist ein Kernaspekt der GoBD. Die gesetzlichen Aufbewahrungsfristen sind in § 147 Abs. 3 AO und § 257 HGB geregelt. Grundsätzlich gilt:
- 10 Jahre für Bücher, Aufzeichnungen, Jahresabschlüsse, Inventare sowie für zum Verständnis dieser Unterlagen erforderliche Arbeitsanweisungen und sonstige Organisationsunterlagen.
- 6 Jahre für empfangene und versandte Handels- und Geschäftsbriefe.
Eine wichtige Änderung ergibt sich durch das Vierte Bürokratieentlastungsgesetz (BEG IV): Für Buchungsbelege wie Rechnungen und Kontoauszüge verkürzt sich die Aufbewahrungsfrist ab dem 1. Januar 2025 auf 8 Jahre. Die Frist beginnt immer mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist.
Besondere Aufmerksamkeit erfordern E-Mails. Sie sind aufbewahrungspflichtig, wenn sie die Funktion eines Handels- oder Geschäftsbriefs (6 Jahre) oder eines Buchungsbelegs (zukünftig 8 Jahre) erfüllen. Reine Transport-E-Mails, die beispielsweise nur als Anschreiben für eine angehängte Rechnung dienen und keinen eigenen relevanten Inhalt haben, müssen nicht zwingend archiviert werden. Elektronisch eingegangene Unterlagen müssen im Ursprungsformat aufbewahrt werden. Das bedeutet, dass die Unveränderbarkeit und die maschinelle Auswertbarkeit erhalten bleiben müssen. Ein Ausdruck und die anschließende Vernichtung des Originals sind nicht zulässig. Die Anforderungen an die revisionssichere Archivierung digitaler Dokumente sind somit streng. Dabei ist zu beachten, dass steuerliche Aufbewahrungspflichten anderen rechtlichen Regelungen unterliegen, während beispielsweise die DSGVO den Schutz personenbezogener Daten regelt und deren Speicherung auf das notwendige Maß begrenzen will.
Folgen bei Verstößen im Rahmen der digitalen Betriebsprüfung
Verstöße gegen die Grundsätze der ordnungsmäßigen Buchführung und die Mitwirkungspflichten bei einer digitalen Betriebsprüfung können empfindliche Konsequenzen haben. Die Finanzverwaltung verfügt über verschiedene Sanktionsmöglichkeiten, um die Einhaltung der Vorschriften durchzusetzen.
Wenn die Buchführung formelle oder materielle Mängel aufweist, die ihre Ordnungsmäßigkeit in Frage stellen, kann die Finanzverwaltung die Besteuerungsgrundlagen gemäß § 162 AO schätzen. Solche Hinzuschätzungen führen in der Regel zu erheblichen Steuernachzahlungen.
Verzögert ein Unternehmen die Bereitstellung der Daten für den Prüfer, kann ein Verzögerungsgeld nach § 146 Abs. 2c AO festgesetzt werden. Dieses kann zwischen 2.500 und 250.000 Euro betragen. Für Betriebsprüfungen, die nach dem 31. Dezember 2024 angeordnet werden, tritt an diese Stelle das neue Mitwirkungsverzögerungsgeld nach § 200a AO. Verstöße gegen die Aufzeichnungspflichten bei Kassensystemen können zudem als Ordnungswidrigkeit nach § 379 AO mit einem Bußgeld von bis zu 25.000 Euro geahndet werden. Die möglichen Folgen von Verstößen, wie Verzögerungsgeld oder Schätzungen, unterstreichen die Notwendigkeit, die GoBD-Anforderungen ernst zu nehmen.
Ausblick: E-Rechnungspflicht und künftige Herausforderungen
Die Digitalisierung im Steuerrecht schreitet weiter voran. Eine der größten bevorstehenden Änderungen ist die Einführung der verpflichtenden elektronischen Rechnung (E-Rechnung) im B2B-Bereich durch das Wachstumschancengesetz. Sie stellt neue Anforderungen an die Prozesse in der Buchhaltung und IT.
Ab dem 1. Januar 2025 müssen alle inländischen Unternehmen in der Lage sein, E-Rechnungen zu empfangen. Die Pflicht zur Ausstellung von E-Rechnungen wird stufenweise eingeführt: ab dem 1. Januar 2027 für Unternehmen mit einem Vorjahresumsatz von über 800.000 Euro und ab dem 1. Januar 2028 für alle übrigen Unternehmen. Als E-Rechnung gelten nur Formate, die der europäischen Norm EN 16931 entsprechen, wie XRechnung oder ZUGFeRD ab Version 2.0.1 (ausgenommen die Profile MINIMUM und BASIC WL). Eine einfache PDF-Rechnung erfüllt diese Anforderungen nicht.
Diese Entwicklung hat direkte Auswirkungen auf die GoBD. Ein angekündigtes BMF-Schreiben mit Gültigkeit ab dem 14. Juli 2025 wird klarstellen, dass bei E-Rechnungen der strukturierte Datenteil maßgeblich ist. Dieser muss empfangen, verarbeitet und für die Dauer der Aufbewahrungsfrist revisionssicher archiviert werden. Unternehmen sollten daher frühzeitig ihre Systeme und Prozesse anpassen, um den neuen gesetzlichen Vorgaben für die digitale Rechnungsstellung und -archivierung gerecht zu werden.