GoBD und E-Rechnung: revisionssichere Archivierung ohne Grauzonen

Von OXORY Redaktion · 18.8.2026 · 6 Min. Lesezeit

Zuletzt aktualisiert am 2.9.2026

Was aufbewahrt werden muss

Maßgeblich ist der strukturierte Datenteil. Bei XRechnung ist das die XML-Datei, bei ZUGFeRD das eingebettete XML innerhalb des PDF. Dieser Teil muss in seiner ursprünglichen Form erhalten bleiben — unverändert, vollständig und über die gesamte Frist maschinell auswertbar. Ein Ausdruck, ein Screenshot oder ein neu erzeugtes PDF genügt nicht, weil damit die maschinelle Auswertbarkeit verloren geht.

Die Aufbewahrungsfrist für Rechnungen beträgt acht Jahre. Sie beginnt mit dem Ende des Kalenderjahres, in dem die Rechnung ausgestellt wurde. Für Belege, die Teil eines längeren Sachverhalts sind — etwa bei laufenden Betriebsprüfungen oder Rechtsstreitigkeiten — kann die Frist faktisch länger laufen.

Unveränderbarkeit praktisch umsetzen

Die GoBD verlangen, dass eine Buchung oder ein Beleg nach der Erfassung nicht mehr unbemerkt verändert werden kann. Technisch lässt sich das über mehrere Wege erreichen: unveränderbare Ablage im Archivsystem, Prüfsummen über den Originaldatensatz, Versionierung mit Änderungsprotokoll oder eine Kombination daraus. Entscheidend ist nicht das gewählte Verfahren, sondern dass es dokumentiert ist und im Betrieb tatsächlich greift.

Häufiger Schwachpunkt in Projekten ist die Zwischenstation: Dateiablagen, Mailpostfächer oder Integrationsverzeichnisse, in denen Rechnungsdaten vor der Archivierung liegen und dort geändert oder gelöscht werden können. Diese Strecke gehört ins Verfahrensdokumentation und braucht dieselbe Sorgfalt wie das Archiv selbst.

Prüfpfad und Verfahrensdokumentation

Ein belastbarer Prüfpfad beantwortet vier Fragen: Woher kam der Beleg, welche Validierungen liefen darauf, wer hat ihn wann bearbeitet oder freigegeben, und wo liegt er heute. In SAP-Landschaften entstehen diese Informationen typischerweise verteilt — in der Integrationsschicht, im Buchungsbeleg und im Archivsystem. Sie müssen zusammenführbar sein, sonst ist der Pfad in einer Prüfung nicht darstellbar.

Die Verfahrensdokumentation ist dabei kein Formalakt. Sie beschreibt den tatsächlichen Ablauf inklusive Zuständigkeiten, Fehlerbehandlung und Änderungen im Zeitverlauf. Wer sie aktuell hält, verkürzt Prüfungen erheblich.

Löschung und Datenschutz zusammen denken

Steuerliche Aufbewahrungspflichten und datenschutzrechtliche Löschpflichten stehen nicht im Widerspruch, müssen aber abgestimmt werden. Rechnungsdaten dürfen und müssen für die Dauer der Frist vorgehalten werden; darüber hinausgehende personenbezogene Daten — etwa Kontaktdaten aus Freitextfeldern — brauchen ein eigenes Löschkonzept.

Praktisch bewährt sich ein Löschlauf, der nach Fristablauf arbeitet, protokolliert und Ausnahmen für laufende Prüfungen kennt. Ein Archiv ohne Löschkonzept wird über die Jahre zum Risiko, nicht zur Absicherung.

Unser Vorgehen

OXORY prüft die Archivierungsstrecke gemeinsam mit der E-Rechnungslösung: Wo entsteht der Originaldatensatz, wo wird er unveränderbar abgelegt, welche Metadaten begleiten ihn, und wie ist der Zugriff geregelt. Das Ergebnis ist eine kurze Bewertung mit konkreten Maßnahmen — keine Grundsatzstudie.

Wenn Sie Ihre bestehende Ablage gegen die Anforderungen spiegeln wollen, melden Sie sich; ein erster Abgleich braucht in der Regel weniger als eine Woche.