Eine Belegablage ist dann geordnet, wenn eine fremde Person in angemessener Zeit darin findet, was sie sucht. So steht es der Sache nach im Gesetz: Nach § 145 Abs. 1 AO muss die Buchführung einem sachverständigen Dritten innerhalb angemessener Zeit einen Überblick über die Geschäftsvorfälle und über die Lage des Unternehmens vermitteln können, und § 147 Abs. 1 AO verlangt für die Unterlagen selbst nur ein Wort, nämlich „geordnet". Welche Ordnung das ist, bleibt dir überlassen. Die GoBD stellen in Randziffer 117 ausdrücklich klar, dass kein bestimmtes Ordnungssystem vorgeschrieben ist, und nennen Zeitfolge, Sachgruppen, Kontenklassen, Belegnummern oder alphabetisch als mögliche Wege; sichergestellt sein muss allein, dass ein sachverständiger Dritter innerhalb angemessener Zeit prüfen kann. In meiner Ablage haben sich vier Entscheidungen als die tragenden erwiesen: ein führendes System je Sache statt zweier halber Ablagen, abgestufte Zugriffsrechte, eine Verfahrensdokumentation, die beschreibt wie hier gearbeitet wird, und eine Regel dafür, wann gelöscht werden darf und wann gerade nicht.
Bei mir hat die Ablage ihre heutige Form bekommen, als ich die Belegarbeit abgegeben habe. Vorher war mein Kopf das Ordnungssystem, und das hat funktioniert, solange ich da war. Seit Peter die Belege sichtet, den Belegtyp setzt und die Kartenabrechnung dagegen abgleicht, muss jede Regel aufgeschrieben sein. Wie so ein Aufbau aus Postfach, Belegen und Zuordnung aussieht, steht in KI-Agent für Buchhaltung und Postfach. Hier geht es um die Ebene darunter: was mit dem Beleg passiert, nachdem er im System ist. Wie er hineinkommt, klärt Belege scannen per App: die besten Tools.
Der Maßstab ist nicht dein Alltag, sondern der Tag der Einsicht
Viele Ablagen sind gebaut wie ein Schreibtisch und nicht wie ein Archiv. Im Alltag funktioniert fast jede Struktur, weil du weißt, wo du etwas hingelegt hast. Gebraucht wird sie aber an einem Tag, an dem du nicht der Suchende bist: Der Steuerberater fragt nach einem Beleg, eine Prüfung sieht sich einen Zeitraum an, oder jemand vertritt dich.
Randziffer 148 der GoBD beschreibt, wen du dir dabei vorstellen sollst: Vom sachverständigen Dritten sind Sachverstand zu den §§ 145 bis 147 AO und allgemeiner DV-Sachverstand zu erwarten, nicht jedoch spezielle, produktabhängige System- oder Programmierkenntnisse. Eine Ablage, die nur funktioniert, wenn man deine Abkürzungen kennt, erfüllt diesen Maßstab in der Regel nicht. Dazu kommt § 147 Abs. 5 AO: Wer Unterlagen auf einem Datenträger vorlegt, muss auf seine Kosten die Hilfsmittel bereitstellen, um sie lesbar zu machen. Wer die Ablage so denkt, baut sie erklärbarer, nicht bequemer.
Eine Ordnung, die auch ein Dritter versteht
Vier Entscheidungen solltest du bewusst treffen und aufschreiben, statt sie sich ergeben zu lassen.
Zur ersten Zeile ein Missverständnis vorweg: Ein führendes System heißt, dass für jeden Beleg feststeht, welche Fassung die maßgebliche ist. Es ist kein Verbot technischer Kopien. Sicherungen und revisionsgerechte Replikate sind nicht nur erlaubt, sondern nach Randziffer 106 der GoBD Teil des Verfahrens, das du beschreibst. Das Problem sind zwei gleichrangige Ablagen, nicht das Backup.
Zwei rechtliche Punkte kommen hinzu, die bei reinen Ordnerstrukturen gern übersehen werden. Erstens: Nach § 146 Abs. 5 AO können Bücher und erforderliche Aufzeichnungen auch in der geordneten Ablage von Belegen bestehen, und Randziffer 46 der GoBD führt aus, dass die Funktion der Grundbuchaufzeichnungen auf Dauer durch eine geordnete Belegablage erfüllt werden kann. Übernimmt deine Ablage diese Rolle, ist sie Teil der Buchführung.
Zweitens: Randziffer 110 sagt, dass die Ablage in einem Dateisystem die Anforderungen der Unveränderbarkeit regelmäßig nicht erfüllt, soweit keine zusätzlichen Maßnahmen ergriffen werden. Der Ordner auf dem Rechner oder in der Cloud ist damit kein Archiv im Sinne der Vorschriften, solange nichts hinzukommt, das ein Ersetzen oder Löschen erkennbar macht. Für elektronische Unterlagen verlangt Randziffer 117 außerdem, Eingang, Archivierung, gegebenenfalls Konvertierung und weitere Verarbeitung zu protokollieren.
Zugriff: warum nicht jeder alles sehen sollte
Zugriffsrechte wirken in einem kleinen Betrieb wie Bürokratie, bis zum ersten Mal jemand anderes im System ist. Randziffer 100 der GoBD führt Zugangs- und Zugriffsberechtigungskontrollen als erstes Beispiel für das interne Kontrollsystem auf, gleich danach Funktionstrennungen. Diese Kontrollen sind einzurichten, auszuüben und zu protokollieren; ihre Ausgestaltung hängt von Komplexität, Organisationsstruktur und eingesetztem System ab.
Das stärkste Argument steht in Randziffer 172. Enthalten die Datenbestände auch Daten, die nicht aufzeichnungs- und aufbewahrungspflichtig sind, etwa personenbezogene oder dem Berufsgeheimnis nach § 102 AO unterliegende, dann obliegt es dir, sie so zu organisieren, dass der Prüfer nur auf die pflichtigen Daten zugreift, etwa über Zugriffsbeschränkungen oder digitales Schwärzen. Danach folgt der Satz, der die Sache entscheidet: Für versehentlich überlassene Daten besteht kein Verwertungsverbot. Das ist eine Aussage zum Besteuerungsverfahren und keine Freigabe. Datenminimierung, Zugriffsschutz und Berufsgeheimnisse bleiben eigene Pflichten. Die Trennung muss vorher da sein, nicht im Moment der Einsicht.
In meiner Ablage haben sich drei Stufen bewährt, und mehr braucht ein kleiner Betrieb meiner Erfahrung nach nicht:
- Lesen. Wer Belege finden und ansehen muss, aber nichts verändert. Der typische Fall für eine Vertretung.
- Erfassen und zuordnen. Wer Belege hochlädt, Belegtypen setzt und Vorgänge vorbereitet. Hier fällt die meiste Arbeit an und wird nichts endgültig entschieden.
- Ändern, löschen, freigeben. Die Stufe, die dir gehört.
Weil Belege meist personenbezogene Daten enthalten, kommt eine zweite Rechtsordnung dazu: Nach Art. 32 Abs. 4 DSGVO hast du sicherzustellen, dass dir unterstellte Personen mit Zugang zu personenbezogenen Daten diese nur auf deine Anweisung verarbeiten. Eine Form schreibt der Absatz nicht vor. Eine schriftliche Rollen- und Arbeitsanweisung ist deshalb keine Vorgabe aus dem Gesetzestext, wohl aber die Praxis, mit der sich das im Zweifel nachweisen lässt. Was das für KI-Werkzeuge bedeutet, klärt KI und Datenschutz: was die KI sehen darf.
Die Verfahrensdokumentation: das Blatt, das beschreibt, wie hier gearbeitet wird
Nach Randziffer 151 der GoBD muss für jedes eingesetzte System eine übersichtlich gegliederte Verfahrensdokumentation vorhanden sein, aus der Inhalt, Aufbau, Ablauf und Ergebnisse des Verfahrens vollständig und schlüssig ersichtlich sind, nachprüfbar für einen sachverständigen Dritten in angemessener Zeit. Randziffer 152 nennt den Inhalt: den Prozess von der Entstehung der Informationen über Indizierung, Verarbeitung und Speicherung bis zum eindeutigen Wiederfinden, zur maschinellen Auswertbarkeit, zur Absicherung gegen Verlust und Verfälschung und zur Reproduktion.
Drei Dinge daran werden regelmäßig unterschätzt:
- Sie ist selbst aufbewahrungspflichtig, und zwar zehn Jahre. § 147 Abs. 1 Nr. 1 AO zählt neben Büchern und Aufzeichnungen ausdrücklich die zu ihrem Verständnis erforderlichen Arbeitsanweisungen und sonstigen Organisationsunterlagen auf. Randziffer 154 ergänzt, dass ihre Frist nicht abläuft, solange die Frist für die Unterlagen läuft, zu deren Verständnis sie erforderlich ist.
- Alte Fassungen bleiben. Nach derselben Randziffer muss nachgewiesen sein, dass das beschriebene Verfahren dem tatsächlich eingesetzten entspricht; dem wird genügt, wenn Änderungen versioniert sind und eine Änderungshistorie vorliegt.
- Sie ist kein reines IT-Papier. Die Beschreibung des internen Kontrollsystems ist nach Randziffer 102 Bestandteil der Verfahrensdokumentation, die der Datensicherung nach Randziffer 106. Wer Zugriffsstufen und Sicherung ohnehin festlegt, hat zwei Kapitel schon geschrieben.
Randziffer 155 nimmt der Sache die Schärfe: Soweit eine fehlende oder ungenügende Verfahrensdokumentation die Nachvollziehbarkeit und Nachprüfbarkeit nicht beeinträchtigt, liegt kein formeller Mangel mit sachlichem Gewicht vor. Wie lang sie wird, hängt am tatsächlichen Verfahren und nicht an der Mitarbeiterzahl. Wer einen Eingangskanal, ein führendes System und eine Sicherung hat, bekommt die Punkte aus Randziffer 152 auf einer Seite unter. Kommen ein Scanprozess, mehrere Schnittstellen oder ein Systemwechsel dazu, wird es mehr, und die Kurzfassung trägt nur noch, wenn sie auf versionierte Anlagen verweist. Ein kostenloses Gerüst gibt es bei der Bundessteuerberaterkammer als Muster-Verfahrensdokumentation zum ersetzenden Scannen. Das ist die Rechtslage, wie sie in den genannten Vorschriften steht, und keine Steuerberatung: Was bei dir konkret zu dokumentieren ist, klärst du mit deinem Steuerberater.
Wann etwas weg darf, und wann gerade nicht
Die Fristen selbst sind schnell erzählt, aber sie sind gestaffelt, und für die Ablage ist genau diese Staffelung der Punkt.
Die Verfahrensdokumentation fällt damit in die erste Zeile und nicht in die zweite: zehn Jahre, nicht acht. Den allgemeinen Überblick findest du in Buchhaltung für Selbstständige: der Einstieg.
Für die Ablage ist § 147 Abs. 3 Satz 5 AO der wichtige Satz: Die Frist läuft nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist. Läuft eine Außenprüfung oder ist ein Bescheid offen, wird nichts weggeworfen, auch wenn die acht Jahre formal um sind.
Daraus folgt eine Gestaltungsregel: Löschen ist ein Vorgang mit einer Entscheidung davor, kein Kalendereintrag. Eine automatische Aufräumregel, die niemand anhalten kann, ist genau deshalb riskant. Wer automatisch löscht, braucht zweierlei: einen Sperrvermerk, der einen Jahrgang anhält, solange eine Außenprüfung läuft, ein Rechtsstreit offen ist oder eine Festsetzungsfrist noch nicht abgelaufen ist, und je nach Risiko ein zweites Augenpaar, das die Löschung freigibt, protokolliert mit Datum und Person. In einem kleinen Betrieb genügt dafür eine Liste, in der je Jahrgang steht, wann er frühestens weg darf, ob etwas offen ist, das die Frist hemmt, und wer die Freigabe erteilt hat. Die andere Richtung ist genauso streng: Nach Randziffer 119 sind elektronisch entstandene oder eingegangene Unterlagen auch in dieser Form aufzubewahren und dürfen vor Fristablauf nicht gelöscht werden. Was beim Anbieterwechsel mit alten Jahrgängen passiert, steht in Buchhaltungssoftware für Kleinunternehmen.
Der Tag, an dem du nicht da bist
Fällt der Zuständige aus, wird aus der Ablage eine Frage der Erreichbarkeit. § 200 Abs. 1 AO verpflichtet dich, bei der Feststellung der Sachverhalte mitzuwirken, Unterlagen zur Einsicht vorzulegen, die erforderlichen Erläuterungen zu geben und die Finanzbehörde beim Datenzugriff zu unterstützen. Randziffer 175 der GoBD zählt zur Mithilfe ausdrücklich die Unterstützung durch mit dem System vertraute Personen, wobei sich der Umfang nach den betrieblichen Gegebenheiten richtet. Ein kleiner Betrieb schuldet weniger als ein großer, aber niemand schuldet nichts.
Zwei Punkte gehören deshalb in die Ablage und nicht in einen Notfallordner, den keiner findet. Erstens: Liegen deine Daten bei einem Dritten, also beim Softwareanbieter oder in der Kanzlei, hat dieser nach § 147 Abs. 6 Satz 2 AO der Finanzbehörde Einsicht zu gewähren, die Daten auszuwerten oder sie maschinell auswertbar zu übertragen, und die Kosten trägst du. Deine Auskunftsfähigkeit hängt damit an einem Vertrag, den im Zweifel jemand anderes kennen muss. Zweitens ist auch der Speicherort geregelt: Nach § 146 Abs. 2 AO sind Bücher und die sonst erforderlichen Aufzeichnungen grundsätzlich im Inland zu führen und aufzubewahren, Absatz 2a erlaubt für elektronische Bücher und erforderliche elektronische Aufzeichnungen abweichend die EU, wenn der Datenzugriff voll möglich bleibt, und Absatz 2b lässt Drittstaaten nur nach Bewilligung auf Antrag zu. Wichtig ist der Bezug: Diese Absätze regeln Bücher und erforderliche Aufzeichnungen, nicht pauschal jeden Cloudspeicher. Umgekehrt ist ein Serverstandort in der EU auch kein Freibrief. Ob ein Anbieter für deine Ablage taugt, entscheidet sich zusätzlich am tatsächlichen Datenzugriff, am Vertrag mit ihm und an der DSGVO.
Praktisch reichen drei Zeilen: wo die Belege liegen, wer im Vertretungsfall auf welchem Weg hineinkommt, und wie sie lesbar gemacht werden, wenn das System nicht läuft. Abläufe und Zugänge über die Buchhaltung hinaus behandelt Büroorganisation für Selbstständige: Tipps.
Was ein KI-Mitarbeiter an dieser Stelle tut
Eine aufgeschriebene Ablage ist die Voraussetzung dafür, die Belegarbeit überhaupt abgeben zu können, an eine Aushilfe genauso wie an einen KI-Mitarbeiter. Bei mir macht diesen Teil Peter. Er arbeitet im Browser in meiner Buchhaltungsoberfläche, sichtet die eingegangenen Belege, setzt den Belegtyp und geht die Abrechnung Position für Position durch. Er folgt einer schriftlichen Prozessbeschreibung, und was dort nicht steht, macht er nicht. Passt etwas nicht, meldet er es als offen. Die fachliche Prüfung und die Abnahme bleiben bei mir, der Steuerberater bleibt der Steuerberater. Wie so eine Rolle grundsätzlich entsteht, sammle ich auf der Seite KI-Mitarbeiter einstellen.
Der Zusammenhang mit diesem Beitrag ist enger, als er aussieht. Die Prozessbeschreibung, die ein KI-Mitarbeiter braucht, beantwortet weitgehend dieselben Fragen, die Randziffer 152 an eine Verfahrensdokumentation stellt: woher die Belege kommen, wie sie benannt und wiedergefunden werden, was mit Zweifelsfällen geschieht und was ohne Freigabe nie passiert. Das eine ersetzt das andere nicht, denn die Verfahrensdokumentation beschreibt das System und nicht nur eine Rolle darin. Der Aufwand fällt aber nur einmal an.
Die Zugriffsstufen von oben gelten für ihn wie für jeden anderen. In meiner Einrichtung sieht er die Belegablage und die Abrechnungen, sonst nichts, und alles, was einen Zustand ändert, ist durch einen Schritt im freigegebenen Prozess gedeckt. Das ist keine Produkteigenschaft, sondern meine Einrichtung.
Häufige Fragen
Wie muss eine digitale Belegablage aufgebaut sein?
Ein bestimmtes Ordnungssystem ist nicht vorgeschrieben. Randziffer 117 der GoBD nennt Zeitfolge, Sachgruppen, Kontenklassen, Belegnummern oder alphabetisch als zulässige Wege und verlangt nur, dass ein sachverständiger Dritter in angemessener Zeit prüfen kann. Praktisch heißt das: ein führendes System, ein nachvollziehbares Sortierkriterium, sprechende Benennung und eine klare Grenze, was nicht hineingehört.
Reicht ein Ordner auf dem Rechner als Belegablage?
In der Regel nicht. Nach Randziffer 110 der GoBD erfüllt die Ablage in einem Dateisystem die Anforderungen der Unveränderbarkeit regelmäßig nicht, soweit keine zusätzlichen Maßnahmen ergriffen werden. Es fehlt der Nachweis, dass niemand eine Datei unbemerkt ersetzt hat. Als Zwischenstation ist der Ordner in Ordnung, als Archiv nicht.
Wer darf meine Belege sehen?
Das entscheidest du über Berechtigungen, und zwar bewusst. Randziffer 100 nennt Berechtigungskonzepte und Funktionstrennungen als Teil des internen Kontrollsystems. Wichtig ist Randziffer 172: Daten, die nicht aufbewahrungspflichtig sind, trennst du so, dass ein Prüfer nicht darauf zugreift.
Brauche ich als Einzelunternehmer eine Verfahrensdokumentation?
Randziffer 151 verlangt sie für jedes eingesetzte System, ihr Umfang richtet sich nach dem Verfahren. Bei einem Eingangskanal und einem führenden System kann das eine Seite sein, bei Scanprozess oder mehreren Schnittstellen entsprechend mehr. Randziffer 155 entschärft: Solange Nachvollziehbarkeit und Nachprüfbarkeit nicht beeinträchtigt sind, ist eine fehlende Dokumentation kein formeller Mangel mit sachlichem Gewicht.
Darf ich Belege löschen, sobald die Frist abgelaufen ist?
Nicht ohne Prüfung. Nach § 147 Abs. 3 Satz 5 AO läuft die Frist nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch offen ist. Bei laufender Prüfung oder offenem Bescheid bleibt alles liegen. Vor jede Löschung gehört eine Entscheidung, nicht nur ein Datum.
Wie du weitermachst
Fang mit dem Fremdtest an, nicht mit einem neuen Werkzeug: Nimm drei Positionen aus einer Abrechnung des Vorjahres und lass jemanden, der deinen Betrieb nicht kennt, die Belege dazu suchen. Was er nicht in wenigen Minuten findet, zeigt, an welcher der vier Entscheidungen es hakt.
Der zweite Schritt ist die Beschreibung: woher Belege kommen, wo sie liegen, wer was darf, wie kontrolliert und wie gesichert wird. Bei einem einfachen Verfahren ist das eine halbe Stunde und eine Seite, bei mehreren Kanälen entsprechend mehr. Danach legst du die Jahrgangsliste an, in der steht, wann welcher Jahrgang frühestens weg darf.
Das ist der Schritt, an dem die meisten aufhören, weil vor dem leeren Blatt niemand gern sitzt. Du musst da nicht allein sitzen: In meiner Community Claude Practitioners haben Leute ihre Verfahrensbeschreibung schon geschrieben, und wer seine erste Fassung in ein Posting oder in einen Call mitbringt, bekommt die Lücke gezeigt, bevor sie ein Prüfer findet.
Der dritte Schritt ist der, für den die ersten beiden die Voraussetzung sind: die Belegarbeit abgeben. Wie ich das gemacht habe, mit schriftlicher Prozessbeschreibung, abgestuften Rechten und einer Kontrollzählung vor und nach dem Setzen, zeige ich dort ebenfalls.
