GOBD und DSGVO - widersprechen sich die Verordnungen?
GOBD & DSGVO – Wie werde ich beiden Verordnungen gerecht?
GOBD – Was ist das genau?
Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff - kurz GOBD – enthalten die Verhaltensanweisungen des Bundesministeriums der Finanzen der Bundesrepublik Deutschland. In diesen Anweisungen wird genau beschrieben, wie lang und unter welchen Bedingungen steuerlich relevante Unterlagen aufzubewahren sind. Die neueste Version der GOBD erschien durch ein Schreiben des Bundesfinanzministeriums am 28. November 2019. Dieses Schreiben ersetzt seit dem 1. Januar 2020 die erste Fassung vom 14. November 2014.
Kurz gesagt beschreiben die GOBD die Anforderungen, die nach Sicht der Finanzverwaltung alle Systeme erfüllen müssen, die zur Verwaltung von Steuerakten und Steuerbelegen verwendet werden. Die wichtigsten Grundsätze sind Vollständigkeit, Richtigkeit, Ordnung, Unveränderbarkeit. Außerdem müssen die Belege auf Basis dieser Grundsätze nachvollziehbar und nachprüfbar sein und das über die gesamte Zeit der geltenden Aufbewahrungsfrist. Ganz genau erklären wir das auch auf unserer Seite „GOBD konforme Archivierung.“
DSGVO – Die Verordnung und was es zu beachten gibt
Die Datenschutzgrundverordnung wurde durch die EU am 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten erlassen. Der Gedanke und Zweck hinter der Verordnung ist die Unterstreichung und Durchsetzung des Grundrechts von natürlichen Personen auf den Schutz ihrer personenbezogenen Daten. Einfach ausgedrückt: Die Daten eines Menschen gehören ihm und sollen geschützt werden. Um dieses Grundrecht zu bewahren hat die EU in 99 Artikeln detailliert formuliert, wie mit personenbezogenen Daten umzugehen ist. Diese erklären, wann eine Verarbeitung erlaubt ist, wann nicht und vor allem was die Folgen für einen Verstoß gegen die Bestimmungen der Datenschutzgrundverordnung sind.
Um Strafen, Schadensersatzansprüche oder Bußgelder zu vermeiden, muss man sich an folgende Bestimmungen halten:
Rechtmäßigkeit, Transparenz, Rechenschaftspflicht – Daten müssen auf eine nachvollziehbare Weise verarbeitet werden. Der Verarbeitende hat, den betroffenen Personen gegenüber, eine Auskunftspflicht und muss bei Anfrage Informationen über die erhobenen Daten und die Nutzungsdauer und Art geben. Am besten werden diese Daten in einem Auftragsdatenverarbeitungsvertrag festgehalten.
Zweckbindung – Daten die z.B. für eine Angebotserstellung erhoben wurden, dürfen nicht automatisch für Werbezwecke gespeichert oder sogar weiterverkauft werden.
Datenminimierung und Zweckmäßigkeit – Daten, die nicht mehr für einen aktiven Geschäftsvorfall benötigt werden, dürfen nicht zu anderen Zwecken gespeichert werden. In jedem Fall sind Löschfristen zu setzen und einzuhalten.
Richtigkeit - Personenbezogene Daten müssen sachlich richtig und auf dem aktuellen Stand sein. Sollten
Integrität und Vertraulichkeit – Für die Zeit der Verarbeitung und Speicherung muss die Sicherheit der Daten gewährleistet sein. Durch technische und organisatorische Maßnahmen müssen die Daten vor unbefugter und unrechtmäßiger Verarbeitung, Verlust, Schäden und Zerstörung geschützt sein.
Löschfristen und Aufbewahrungsfristen widersprechen sich nicht
GOBD gegen DSGVO, Aufbewahrungsfrist gegen Löschfrist. Klingt widersprüchlich, aber ergibt bei genauerem Betrachten durchaus Sinn und widerspricht sich keinesfalls. Die Aufbewahrung von Rechnungen auch inklusive der personenbezogenen Daten, wie Adresse, Name, Kontodaten und anderen nötigen Informationen zu Archivierungszwecken gemäß GOBD verstößt nicht gegen die DSGVO. Der Verwendung der Daten zu diesen Zwecken hat der Kunde bei Geschäftsabschluss zugestimmt. Problematisch wäre an dieser Stelle nur, wenn die Daten durch unzureichende Sicherung oder auch absichtlich zu anderen Zwecken verwendet werden.
Maßnahmen und Vereinbarungen für die Einhaltung der Verordnungen
Die Einhaltung der DSGVO und GOBD kann mit wenigen Maßnahmen sichergestellt werden. Die strukturierte und komplett digitale Aufbewahrung aller Kundendaten und Firmenunterlagen erleichtert die Übersicht und ermöglicht eine penible Überwachung der Löschfristen und Aufbewahrungsfristen. Archivierung in einem Dokumentenmanagementsystem, wie zum Beispiel DocuWare, ist zudem sicher und erfüllt die Anforderungen an Revisionssicherheit und Zugriffsschutz. Mehr Informationen finden Sie dazu auch auf unserer Seite DSGVO-mit-DMS. Eine Verfahrensdokumentation ist für die revisionssichere Archivierung nach GOBD nötig, kann aber auch für die Einhaltung der DSGVO hilfreich sein und die Informations- und Auskunftspflicht erleichtern. Schriftliche Verträge zur Einwilligung der Datenverarbeitung, wie ein Auftragsdatenverarbeitungsvertrag (AVV) oder ein zweckgebundener Einwilligungsvertrag für die Verwendung der erhobenen Daten zu Werbezwecken geben Vereinbarungen zwischen Auftragnehmer und Auftraggeber einen gesetzlichen Rahmen und schützen vor Abmahnungen oder rechtlichen Folgen.
Unser Tipp:
Digitalisieren Sie Ihre Akten durch einen Scandienstleister können Sie von der Fachkenntnis des Dienstleisters zur revisionssicheren Archivierung profitieren. Die üblichen Techniken zur Digitalisierung sollten sich an den Vorgaben orientieren und eine rechtssichere Ablage ermöglichen.
Im Rahmen unseres Scanservice bieten wir bei Bedarf sogar die Erstellung der Verfahrensdokumentation als optionale Leistung an. Außerdem beraten wir Sie gerne zum Thema revisionssichere Archivierung und Dokumentenmanagementsysteme.