GoBD & DSGVO – Widersprechen sich die Verordnungen?

Um das vermeintliche Spannungsfeld zwischen den Aufbewahrungspflichten und Löschfristen zu verstehen, lohnt sich ein Blick auf die beiden Verordnungen. GoBD und DSGVO verfolgen unterschiedliche Zwecke, greifen jedoch ineinander.

 

GoBD: Wie Sie Buchhaltungsunterlagen digital archivieren müssen

Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form) legen verbindlich fest, wie steuerrelevante Dokumente digital aufzubewahren sind. Entscheidend ist, dass Unterlagen jederzeit prüfbar, nachvollziehbar und unverändert verfügbar sind. Die Archivierung muss also revisionssicher erfolgen.

Neben den eigentlichen Belegen sind alle Informationen zu speichern, die einen Geschäftsvorfall vollständig dokumentieren. Dazu zählen auch personenbezogene Daten, sofern sie Bestandteil des Vorgangs sind.

Dazu zählen beispielsweise:

• Metadaten
• Zusatzdokumente
• Anhänge
• E-Mail-Begleittexte
• Buchungsdaten

Damit ist klar: Personenbezogene Daten müssen im Rahmen der GoBD ebenfalls archiviert werden, wenn sie für die steuerliche Nachvollziehbarkeit eines Vorgangs erforderlich sind.

Ausführliche Informationen finden Sie auf unserer Seite GoBD-konforme Archivierung.

 

Quelle: BMF 2025

 

DSGVO: Wie Sie personenbezogene Daten rechtssicher speichern und löschen

Die Datenschutz-Grundverordnung (DSGVO) regelt, wie Unternehmen personenbezogene Daten verarbeiten, speichern und wieder löschen müssen. Ziel ist es, sicherzustellen, dass Daten nur im notwendigen Umfang erhoben werden und nicht länger gespeichert bleiben, als es der ursprüngliche Zweck erfordert. Im Fokus stehen dabei Transparenz, Schutz persönlicher und sensibler Daten sowie deren verantwortungsbewusste Nutzung.

Wesentliche Vorgaben der DSGVO sind:

• Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den jeweiligen Zweck notwendig ist.
• Recht auf Löschung (Art. 17 Abs. 1): Betroffene können verlangen, dass ihre Daten gelöscht werden, sobald kein rechtmäßiger Grund für die Speicherung mehr besteht.
• Zweckbindung & Datenminimierung (Art. 5 Abs. 1 lit. b und c): Daten dürfen ausschließlich für den Zweck verarbeitet werden, für den Sie erhoben wurden und nur im unbedingt erforderlichen Umfang.

Die zeitliche Begrenzung der Speicherdauer personenbezogener Daten nach DSGVO wird häufig als ein Widerspruch zur Aufbewahrungspflicht nach GoBD und AO gesehen.

Hier muss man genauer hinschauen.

 

Quelle: DSGVO 2016

Auch wenn die DSGVO grundsätzlich eine begrenzte Speicherdauer personenbezogener Daten fordert, steht sie den gesetzlichen Aufbewahrungspflichten nach GoBD nicht entgegen. Beide Verordnungen greifen ineinander und das wird in der Datenschutz-Grundverordnung auch klargestellt.

 

Vorrang rechtlicher Verpflichtungen

Nach Art. 6 Abs. 1 lit. c DSGVO ist die Verarbeitung personenbezogener Daten zulässig, sofern sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Die steuerlichen Aufbewahrungsfristen nach GoBD, Abgabenordnung und Handelsgesetzbuch fallen genau darunter.

Damit gilt:

• Die Archivierung steuerrelevanter Unterlagen (inkl. personenbezogener Daten) ist ein legitimer und notwendiger Zweck
• Unternehmen sind während der Aufbewahrungsfrist sogar verpflichtet, diese Daten nicht zu löschen - andernfalls wäre der Geschäftsvorfall steuerlich nicht mehr nachweisbar

Art. 17 Abs 3 DSGVO schränkt zudem das Recht auf Löschung ein, sofern die Daten zur Erfüllung einer rechtlichen Verpflichtung nach Recht der Europäischen Union oder der eines Mitgliedsstaates erforderlich sind.

Das heißt: Solange GoBD-Aufbewahrungsfristen bestehen, dürfen steuerrelevante personenbezogene Daten weder gelöscht noch nachträglich verändert werden.

 

Missverständnis: Aufbewahrung ist nicht gleich Nutzung

Ein häufiger Irrtum besteht zudem darin, Archivierung und Nutzung personenbezogener Daten gleichzusetzen. Die Archivierung und Speicherung der Daten dient der Dokumentation steuerrelevanter Geschäftsvorfälle. Die Weiterverarbeitung und Nutzung beispielsweise für Marketingmaßnahmen, Kundenauswertungen oder sonstige Zwecke abseits der Dokumentation ist nicht gestattet.

 

Operative Systeme vs. revisionssicheres Archiv

Ein häufiger Fehler besteht darin, operative Systeme wie ERP, E-Mail oder Fileserver als Archiv zu verwenden. Die DSGVO verlangt jedoch eine klare Zweckbindung bei der Speicherung personenbezogener Daten. Das bedeutet: Aktive Nutzung und reine Aufbewahrung müssen strikt voneinander getrennt sein.

Die GoBD wiederum fordern revisionssicher Archivierung, etwa durch Unveränderbarkeit und Nachvollziehbarkeit der gespeicherten Unterlagen. Diese Anforderungen lassen sich nur mit dafür vorgesehenen Archivsystemen erfüllen.

Die folgenden Maßnahmen und organisatorischen Regelungen zeigen, wie Unternehmen die Anforderungen aus DSGVO und GoBD miteinander vereinbaren können.

 

Digitale Archivierung als Grundlage für Rechtskonformität

Viele Unternehmen arbeiten noch mit analogen oder hybriden Archivsystemen. Uneinheitliche und unstrukturierte Ablagen sowie Papierakten vergrößern das Risiko von Verstößen gegen sowohl GoBD als auch DSGVO.

Eine vollständig digitale Archivierung schafft Struktur und Sicherheit bei der Aufbewahrung von Geschäftsunterlagen und Kundendaten. Der Einsatz einer Archivsoftware in Form eines Dokumentenmanagement-Systems (DMS) ermöglicht die präzise und zuverlässige Überwachung von Aufbewahrungsfristen und Löschfristen. Ein DMS unterstützt zusätzliche eine revisionssichere Archivierung. Damit schaffen Sie eine rechtssichere Grundlage, welche bei analoger oder hybrider Archivierung nicht gegeben ist.

Wichtige Compliance Funktionen sind:

• Rollen- und Berechtigungskonzepte: Stellen sicher, dass nur autorisierte Personen Zugriff auf personenbezogene Daten erhalten und verhindern unbefugte Einsichtnahme
• Überwachung von Aufbewahrungs- und Löschfirsten: Je nach Dokumententyp haben Sie stets Überblick über die geltenden Fristen
• Lückenlose Protokollierung: Dokumentiert alle Zugriffe, Änderungen und Löschvorgänge und ermöglicht so den Nachweis der DSGVO-Compliance
• Unterstützung bei Auskunft- und Löschanfragen: Findet personenbezogene Daten per Suchanfrage und stellt Sie für Auskünfte oder Löschanfragen bereit

Mehr Informationen finden Sie auf unserer Infoseite DSGVO mit Dokumentenmanagement-System.

 

Professioneller Scanservice nach TR-Resiscan

Als erfahrener Scandienstleister für Akten und jegliche Papierdokumente sorgen wir dafür, dass Ihre analogen Unterlagen strukturiert, vollständig und GoBD-konform in Ihr digitales Archiv überführt werden. Das ersetzende Scannen erlaubt die rein digitale Archivierung steuerrelevanter Unterlagen. Unsere Scanprozesse sind konform mit der Richtlinie TR-Resiscan und produzieren dokumentenechte Scans, gleichwertig mit den Papieroriginalen.

 

Verfahrensdokumentation als Nachweis für GoBD und DSGVO-Konformität

Eine Verfahrensdokumentation beschreibt nachvollziehbar, wie Dokumente erfasst, verarbeitet, archiviert und gelöscht werden. Sie ist nicht nur eine zentrale GoBD-Anforderung, sondern unterstützt auch die Einhaltung der DSGVO, indem sie Verantwortlichkeiten, Abläufe und technische Maßnahmen transparent macht. Unternehmen schaffen damit einen klar definierten, prüfungssicheren Rahmen für ihren gesamten Dokumenten-Workflow.

Ausführliche Informationen finden Sie auf unserer Seite zum Thema Verfahrensdokumentation.

 

AVV: Grundlage für sichere Datenverarbeitung

Wer externe Dienstleister mit der Verarbeitung oder Digitalisierung von Dokumenten beauftragt, sollte die Zusammenarbeit unbedingt vertraglich absichern. Ein Auftragsverarbeitungsvertrag (AVV) ist hierbei verpflichtend, da personenbezogene Daten im Auftrag verarbeitet werden. Er regelt u.a. Verantwortlichkeiten, Sicherheitsmaßnahmen und den zulässigen Umfang der Datenverarbeitung.

Ergänzend können zweckgebundene Einwilligungen notwendig sein, wenn Daten über die reine Auftragsabwicklung hinaus genutzt werden sollen. So stellen Sie sicher, dass auch externe Partner GoBD- und DSGVO-Vorgaben verlässlich einhalten.

 

GoBD und DSGVO verfolgen unterschiedliche Ziele, stehen aber nicht im Widerspruch zueinander. Die GoBD verlangen eine vollständige und unveränderbare Dokumentation steuerrelevanter Vorgänge, während die Datenschutz-Grundverordnung deren Speicherung ausdrücklich erlaubt, solange gesetzliche Pflichten dies verlangen. Unsicherheiten entstehen meist dort, wo Archivierung und Nutzung nicht klar getrennt werden oder klare Prozesse fehlen.

 

Wie wir Sie dabei unterstützen

Wenn Sie Ihre Akten digitalisieren lassen, profitieren Sie von der Expertise eines Scandienstleisters wie Smart-Store, der die Anforderungen an eine GoBD-konforme Archivierung und DSGVO-gerechte Datenverarbeitung sicher beherrscht.

Im Rahmen unseres Scanservice erstellen wir auf Wunsch Ihre Verfahrensdokumentation und beraten Sie zu revisionssicheren Archivstrukturen, dem Einsatz des DocuWare Cloud-DMS sowie zur strukturierten Digitalisierung Ihres gesamten Dokumentenarchivs.