GDPdU und GoBD: Welche Strafen drohen und wie sich Unternehmen schützen
Finanzielle Risiken bei Verstößen gegen GoBD und GDPdU
Obwohl die „Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen“ (GDPdU) bereits zum 01.01.2015 durch die GoBD abgelöst wurden, ist der Begriff im Unternehmensalltag weiterhin präsent. Er wird vor allem synonym für den Exportstandard bei der Datenträgerüberlassung verwendet. Die zugrundeliegenden Pflichten sind heute in den „Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“ (GoBD) geregelt. Eine Missachtung dieser Vorschriften kann erhebliche finanzielle und rechtliche Konsequenzen nach sich ziehen.
Die Sanktionen bei Mängeln in der digitalen Buchführung sind vielfältig und im Gesetz klar definiert. Die wohl gravierendste Folge ist die Hinzuschätzung von Besteuerungsgrundlagen nach § 162 AO. Stellt der Prüfer fest, dass die Buchführung nicht ordnungsgemäß ist und die Nachvollziehbarkeit nicht gewährleistet ist, kann die Finanzverwaltung die Umsätze und Gewinne schätzen. Diese Schätzungen fallen in der Regel zuungunsten des Unternehmens aus.
Wird der Finanzverwaltung der gesetzlich verankerte Datenzugriff nach § 147 Abs. 6 AO nicht, nicht vollständig oder nicht rechtzeitig gewährt, kann ein Verzögerungsgeld nach § 146 Abs. 2c AO festgesetzt werden. Der gesetzliche Rahmen hierfür liegt zwischen 2.500 und 250.000 Euro. Für neu angeordnete Prüfungen ab 2025 kommt zusätzlich das Mitwirkungsverzögerungsgeld nach § 200a AO als mögliches Sanktionsmittel hinzu. Spezifische Verstöße im Bereich der Kassenführung, etwa gegen die Pflicht zur Nutzung einer technischen Sicherheitseinrichtung (TSE), können als Ordnungswidrigkeit nach § 379 AO mit einem Bußgeld von bis zu 25.000 Euro geahndet werden.
Häufige Ursachen für Beanstandungen bei der Betriebsprüfung
Mängel in der Buchführung entstehen oft durch formale Versäumnisse, die sich in der Praxis leicht vermeiden ließen. Eine der zentralsten Anforderungen der GoBD ist eine aktuelle und nachvollziehbare Verfahrensdokumentation. Sie beschreibt den gesamten datenverarbeitenden Prozess von der Entstehung der Information bis zu ihrer Archivierung. Fehlt diese Dokumentation oder ist sie lückenhaft, kann die Ordnungsmäßigkeit der Buchführung in Frage gestellt werden, wenn die Nachprüfbarkeit dadurch leidet.
Ein weiterer kritischer Punkt ist ein fehlendes oder unzureichendes internes Kontrollsystem. Gemäß GoBD (Rz. 100 ff.) müssen Steuerpflichtige Kontrollen einrichten, ausüben und protokollieren, um die Ordnungsmäßigkeit sicherzustellen. Dazu gehören technische und organisatorische Maßnahmen wie Zugangs- und Zugriffsberechtigungen, Funktionstrennungen, Plausibilitätskontrollen und der Schutz vor nachträglicher Veränderung. Ein wirksames internes Kontrollsystem ist somit ein wesentlicher Baustein der Compliance.
Auch bei der Archivierung digitaler Unterlagen treten häufig Fehler auf. Elektronisch empfangene Dokumente wie Rechnungen oder Geschäftsbriefe per E-Mail müssen im Ursprungsformat aufbewahrt werden. Eine reine Speicherung als PDF-Bilddatei genügt nicht, wenn das Original maschinell auswertbare Daten enthielt. Es gelten zudem klare Aufbewahrungsfristen und Anforderungen an die revisionssichere Archivierung. So beträgt die Frist für Bücher und Jahresabschlüsse 10 Jahre, während für Buchungsbelege durch das Vierte Bürokratieentlastungsgesetz ab 01.01.2025 eine verkürzte Frist von 8 Jahren gilt.
Datenzugriff und korrekte Datenbereitstellung
Im Rahmen einer digitalen Betriebsprüfung hat die Finanzverwaltung drei Möglichkeiten des Datenzugriffs, deren Wahl in ihrem Ermessen liegt. Dies sind der unmittelbare Lesezugriff (Z1), der mittelbare Zugriff über Auswertungen durch das Unternehmen (Z2) und die Datenträgerüberlassung (Z3). Bei letzterer werden die steuerrelevanten Daten in einem maschinell auswertbaren Format exportiert und dem Prüfer übergeben.
Der sogenannte GDPdU-Export folgt einem festen Beschreibungsstandard, der die Grundlage für die Auswertung durch die Prüfsoftware der Finanzverwaltung, IDEA, bildet. Der Export besteht typischerweise aus den eigentlichen Daten in Flat-Files (z. B. CSV oder TXT) und einer XML-Beschreibungsdatei namens index.xml. Diese Datei muss gegen die DTD gdpdu-01-09-2004.dtd valide sein und beschreibt die Struktur der Tabellen, Spalten, Datentypen und Trennzeichen. Es ist ein häufiges Missverständnis, dass Unternehmen ihre Daten im IDEA-Format bereitstellen müssen. Korrekt ist, dass sie einen standardkonformen Export liefern, den die Software IDEA einlesen kann.
Aktuelle Entwicklungen: GoBD-Änderungen und E-Rechnung
Die GoBD sind keine statischen Vorschriften. Das Bundesministerium der Finanzen (BMF) passt sie regelmäßig an technische und rechtliche Entwicklungen an, wie die Neufassung vom 28.11.2019 und die Änderung vom 11.03.2024 zeigen. Eine wesentliche Neuerung für Unternehmen ergibt sich aus dem Wachstumschancengesetz: Ab dem 01.01.2025 müssen alle inländischen Unternehmen im B2B-Bereich in der Lage sein, elektronische Rechnungen zu empfangen.
Eine E-Rechnung ist dabei mehr als ein einfaches PDF. Sie muss einem strukturierten Format entsprechen, das der Norm EN 16931 genügt, wie zum Beispiel XRechnung oder ZUGFeRD (ab Version 2.0.1). Die Pflicht zur Ausstellung von E-Rechnungen wird stufenweise eingeführt: ab 2027 für Unternehmen mit über 800.000 Euro Vorjahresumsatz, ab 2028 für alle. Eine für den 14.07.2025 angekündigte Änderung der GoBD wird klarstellen, dass bei diesen Rechnungen der strukturierte Datenteil maßgeblich ist und zwingend aufbewahrt werden muss.