Was die GoBD fordert — Kurzfassung
Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) wurden mit dem BMF-Schreiben vom 28.11.2019 neu gefasst und zuletzt durch das BMF-Schreiben vom 14.07.2025 geändert. Sie konkretisieren die Anforderungen aus §§ 145 bis 147 AO für digitale Buchführung und sind als Verwaltungsanweisung der Maßstab der Finanzverwaltung für jede Kanzlei, die digital arbeitet — und das tun heute praktisch alle.
Die sechs Kernanforderungen lauten: Nachvollziehbarkeit, Vollständigkeit, Richtigkeit, zeitgerechte Buchungen, Ordnung und Unveränderbarkeit. Jede nachträgliche Änderung muss protokolliert sein, damit die Datenwahrheit über die Aufbewahrungsfrist hinweg überprüfbar bleibt. Verstöße mit sachlichem Gewicht können dazu führen, dass die Finanzverwaltung die Buchführung ganz oder teilweise verwirft und die Besteuerungsgrundlagen schätzt (§§ 158, 162 AO).
Quellen:
AO §§ 145–147 — §§ 145, 146, 147 AO (Quelle)
BMF-Schreiben GoBD — BMF-Schreiben vom 28.11.2019, IV A 4 - S 0316/19/10003 :001, zuletzt geändert durch BMF-Schreiben vom 14.07.2025, IV D 2 - S 0316/00128/005/088 (Quelle)
BMF-Schreiben GoBD, 2. Änderung — BMF-Schreiben vom 14.07.2025, IV D 2 - S 0316/00128/005/088 (GoBD, 2. Änderung aufgrund verschiedener gesetzlicher Änderungen) (Quelle)
§ 158 AO — § 158 AO (Beweiskraft der Buchführung) (Quelle)
§ 162 AO — § 162 AO (Schätzung von Besteuerungsgrundlagen) (Quelle)
Die zehn praktischen GoBD-Pflichten
Statt der akademischen Definition: was muss eine Kanzlei im Alltag konkret tun? Die folgenden zehn Punkte fassen die Anforderungen zusammen.
- Verfahrensdokumentation pro Mandant — System, Datenflüsse, Kontrollen, Verantwortlichkeiten. Ohne sie lässt sich die Nachvollziehbarkeit der Buchführung kaum belegen.
- Zeitgerechte Buchung: Kasseneinnahmen und -ausgaben täglich festhalten (§ 146 Abs. 1 AO); unbare Geschäftsvorfälle innerhalb von zehn Tagen zu erfassen, gilt nach den GoBD als unbedenklich. Spätere Korrekturen sind protokollpflichtig.
- Belege vor Buchung digitalisieren oder im Original archivieren — Doppelablage ohne klaren Status verletzt die Ordnungsanforderung.
- Unveränderbarkeit der Buchungen, z. B. durch eine Sperre nach Festschreibung. Die GoBD lassen dafür hardware-, software- oder organisatorische Maßnahmen zu, WORM-Speicher ist eine davon.
- Maschinelle Auswertbarkeit: Daten müssen so vorgehalten werden, dass die Finanzverwaltung im Rahmen der Außenprüfung lesend, sortierend und filternd zugreifen kann (Z3-Datenträgerüberlassung).
- Aufbewahrungsfristen einhalten — siehe Abschnitt unten zu § 147 AO.
- Audit-Trail über jede Datenänderung: wer, wann, was, warum. Der Trail selbst ist Teil der aufbewahrungspflichtigen Unterlagen.
- Datensicherung gegen Verlust. Einen Wiederherstellungstest schreiben die GoBD nicht vor, er ist aber gute Praxis: Eine Sicherung, deren Wiederherstellung nie geprüft wurde, ist im Ernstfall ein Risiko.
- Berechtigungskonzept: rollenbasierter Zugriff, dokumentiert, regelmäßig überprüft.
- Prüfung auf vollständige Datenübernahme bei Systemwechseln. Übernehmen Sie die Daten nicht quantitativ und qualitativ gleichwertig, müssen Sie das Altsystem bis zum Ende der Aufbewahrungsfrist vorhalten.
Quellen:
§ 146 AO — § 146 Abs. 1 und 4 AO (zeitgerechte Buchung, tägliche Kassenaufzeichnung, Unveränderbarkeit) (Quelle)
GoBD — GoBD Rz. 46–48 (zeitgerechte Buchung), 58–59 und 110–111 (Unveränderbarkeit, Protokollierung), 100 und 103 (Kontrollen, Datensicherung), 142–143 (Systemwechsel), 151–155 (Verfahrensdokumentation), 163–167 (Datenzugriff) (Quelle)
§ 147 AO — § 147 Abs. 3 und 6 AO (Aufbewahrungsfristen, Datenzugriff der Finanzverwaltung) (Quelle)
Aufbewahrungsfristen nach § 147 AO
Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die letzte Eintragung in das Buch gemacht, der Jahresabschluss aufgestellt, der Handels- oder Geschäftsbrief empfangen oder abgesandt oder der Buchungsbeleg oder die sonstige Unterlage entstanden ist (§ 147 Abs. 4 AO). Digitale Wiedergabe ist zulässig, wenn sie GoBD-konform jederzeit lesbar und maschinell auswertbar ist; Jahresabschlüsse und die Eröffnungsbilanz sind jedoch im Original aufzubewahren (§ 147 Abs. 2 AO). Elektronisch entstandene oder eingegangene Unterlagen bewahren Sie elektronisch auf, ein Papierausdruck reicht dafür nicht.
Seit dem Vierten Bürokratieentlastungsgesetz wurden die Fristen für Buchungsbelege verkürzt. Andere Unterlagen-Kategorien sind unverändert. Aufpassen: Noch laufende zivilrechtliche Verjährungsfristen können eine längere Aufbewahrung rechtfertigen — pauschale Frühlöschung nach Ablauf der Steuerfrist ist riskant.
- Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Eröffnungsbilanzen, Lageberichte sowie die zu ihrem Verständnis erforderlichen Arbeitsanweisungen und Organisationsunterlagen: 10 Jahre
- Buchungsbelege (seit 2025): 8 Jahre (vorher 10 Jahre)
- Empfangene Handels- und Geschäftsbriefe, Wiedergaben abgesandter Handels- und Geschäftsbriefe und sonstige Unterlagen mit steuerlicher Bedeutung: 6 Jahre
- Die Verfahrensdokumentation selbst: für die Dauer der Aufbewahrungspflicht der zugrundeliegenden Unterlagen
Quellen:
§ 147 AO — § 147 Abs. 3 AO (Quelle)
Viertes Bürokratieentlastungsgesetz — BGBl. 2024 I Nr. 323 (BEG IV) (Quelle)
Art. 97 § 19a EGAO — Art. 97 § 19a Abs. 2 EGAO (erstmalige Anwendung der verkürzten Aufbewahrungsfrist ab 01.01.2025) (Quelle)
GoBD — GoBD Rz. 118–119 (Aufbewahrung digitaler Wiedergaben und originär digitaler Unterlagen) (Quelle)
Die Verfahrensdokumentation
Die GoBD verlangen eine Verfahrensdokumentation für jedes eingesetzte DV-System. Fehlt sie oder ist sie unzureichend, ist das für sich allein noch kein formeller Mangel mit sachlichem Gewicht, solange die Buchführung nachvollziehbar und nachprüfbar bleibt; genau diesen Nachweis erschwert sie aber. Sie sollte System, Datenflüsse, Kontrollen und organisatorische Maßnahmen pro Mandant beschreiben — nicht abstrakt, sondern konkret genug, dass ein außenstehender Prüfer den Buchführungsprozess in der Kanzlei rekonstruieren kann.
Nach den GoBD besteht die Verfahrensdokumentation in der Regel aus einer allgemeinen Beschreibung, einer Anwenderdokumentation, einer technischen Systemdokumentation und einer Betriebsdokumentation. Dazu gehören Datenflüsse, Programme und Schnittstellen, die eingesetzte Hard- und Software, mandatsbezogene Besonderheiten, ein Notfallkonzept und die Kontrollmaßnahmen. Kanzleisoftware wie DATEV, Agenda oder Lexware liefert Bausteine, die Mandatsspezifik bleibt aber Aufgabe der Kanzlei. PrimeBalance erzeugt in den Einstellungen unter GoBD & Compliance auf Abruf eine Verfahrensdokumentation als PDF mit den aktuellen Systeminformationen und Betriebsdaten Ihrer Kanzlei. Sie beschreibt derzeit den in PrimeBalance abgebildeten Teil der Vorbereitung von Steuererklärungen (ELSTER), gilt für die Kanzlei und nicht je Mandant und wird bei jedem Abruf neu erzeugt; frühere Fassungen speichert PrimeBalance nicht.
Quellen:
GoBD, Verfahrensdokumentation — GoBD Rz. 151–155 (Abschnitt 10.1 Verfahrensdokumentation) (Quelle)
Audit-Trails und Unveränderbarkeit in der Praxis
Die GoBD verlangt nicht, dass Buchungen unveränderlich erstellt werden — sie verlangt, dass jede Änderung nachvollziehbar protokolliert ist. In der Praxis bedeutet das: ein technisches Sperrverfahren nach Festschreibung (Monatsabschluss), ein Korrekturbuchungsmechanismus mit Bezug zur Originalbuchung, und ein Audit-Log, das wer-wann-was-warum für jede Änderung enthält.
Das Log selbst ist aufbewahrungspflichtig. Wer Audit-Trails nur 30 Tage rollend speichert, verletzt § 147 AO. Buchungsbelege sind nach § 147 AO acht Jahre, Bücher und Jahresabschlüsse zehn Jahre aufzubewahren, und zwar unveränderbar. Wie das erreicht wird, lassen die GoBD offen: Hardware- und Softwarelösungen (etwa Sperren, Protokollierung, Versionierung) kommen ebenso in Betracht wie organisatorische Maßnahmen. PrimeBalance protokolliert die Werkzeug-Aufrufe jedes Agentenlaufs mit Zeitstempel, versiegelt abgeschlossene Läufe mit SHA-256 und verkettet sie per Hash. Änderungen an Buchungen stehen mit Akteur und Zeitpunkt in einer Hash-Kette je Buchung. Gebuchte Buchungen werden per Storno korrigiert statt überschrieben, und in geschlossenen Perioden sind finanzielle Änderungen gesperrt; Berufsträger können eine Periode mit Begründung wieder öffnen, das wird protokolliert. Das macht Änderungen erkennbar, ist aber kein WORM-Speicher.
Quellen:
§ 146 AO — § 146 Abs. 4 AO (Unveränderbarkeit von Buchungen und Aufzeichnungen) (Quelle)
GoBD — GoBD Rz. 58–59 (Protokollierung von Änderungen), 64 (Korrekturbuchungen mit Bezug zur Originalbuchung), 110–111 (Mittel der Unveränderbarkeit, Änderungshistorie) (Quelle)
§ 147 AO — § 147 Abs. 1 und 3 AO (Aufbewahrungspflicht und -fristen) (Quelle)
Datenzugriff der Finanzverwaltung — Z1, Z2, Z3
Bei Außenprüfungen unterscheidet § 147 Abs. 6 AO drei Zugriffsarten:
Z1 (unmittelbarer Zugriff) — der Prüfer sitzt in der Kanzlei und arbeitet selbst mit dem System. Berechtigungen und Lesefunktionen müssen vorbereitet sein.
Z2 (mittelbarer Zugriff) — der Prüfer benennt Auswertungen, die Kanzlei führt sie aus. Voraussetzung: das System unterstützt die geforderten Filter, Sortierungen und Exporte.
Z3 (Datenträgerüberlassung) — strukturierte Exportdaten werden auf einem Datenträger oder per sicherem Transfer übergeben. Format: in der Regel CSV mit einer Beschreibungsdatei nach dem Beschreibungsstandard (index.xml). Den Standard nennen die GoBD eine freiwillige Bereitstellungshilfe; verlangt sind aber die Strukturinformationen in maschinell auswertbarer Form. Ein CSV-Dump ohne Strukturbeschreibung reicht deshalb nicht.
Kanzleisoftware sollte alle drei Modi unterstützen. PrimeBalance exportiert Buchungsstapel im DATEV-Format EXTF und bietet einen GDPdU/GoBD-Datenexport des Archivs als CSV oder XML. Eine Beschreibungsdatei nach dem Beschreibungsstandard der Finanzverwaltung erzeugt dieser Export derzeit nicht, und eigene Lesemodi für Z1 und Z2 bietet PrimeBalance nicht.
Quellen:
§ 147 AO — § 147 Abs. 6 AO (Datenzugriff der Finanzbehörde bei Außenprüfungen) (Quelle)
GoBD, Datenzugriff — GoBD Rz. 163–170 (Z1, Z2, Z3), Rz. 176 (Strukturinformationen) und Anlage 1 (Ergänzende Informationen zur Datenüberlassung, Beschreibungsstandard) (Quelle)
Mängel, die Sie vermeiden sollten
Fünf Problemfelder sollten Sie kennen. Die ersten drei betreffen die Buchführung selbst und können bei einer Außenprüfung zu Hinzuschätzungen führen, die letzten beiden vor allem Datenschutz und Verschwiegenheit.
- Verfahrensdokumentation veraltet oder generisch — Lösung: jährliche Überprüfung, mandatsspezifische Anpassung bei Konfigurationsänderungen
- Buchungen ohne Beleg-Verknüpfung — Lösung: jeder Buchung einen Beleg zuordnen und die Belegdeckung regelmäßig prüfen
- Audit-Log lückenhaft (Start-/Stopp-Zeiten, Wartungsfenster, Backup-Restores nicht erfasst) — Lösung: System-Audit-Log mit Buchungs-Audit-Log zusammenführen
- E-Mail-basierter Belegtransport ohne Verschlüsselung — Lösung: TLS-Pflicht plus signierte Inhalte; bei sensiblen Daten Ende-zu-Ende-Verschlüsselung
- Cloud-Daten außerhalb der EU oder ohne Auftragsverarbeitungsvertrag — Lösung: DSGVO-Audit der Hosting-Region (PrimeBalance: App und Datenbank in Rechenzentren in Frankfurt am Main; die weiteren Dienstleister mit Standort nennt Anlage 3 des AVV) und schriftliche AVV mit allen Subverarbeitern
Quellen:
GoBD — GoBD Rz. 30 (Belegprinzip), 61 (Belegpflicht), 59 und 111 (Protokollierung von Änderungen) (Quelle)
Art. 28 DSGVO — Art. 28 DSGVO (Auftragsverarbeiter, Vertrag zur Auftragsverarbeitung, weitere Auftragsverarbeiter) (Quelle)
GoBD und KI — was 2026 zusätzlich gilt
KI-gestützte Buchhaltung ändert nichts an den GoBD-Pflichten — aber sie verschiebt, wo sie technisch verankert sein müssen. Drei Punkte sind 2026 besonders relevant: Erstens, jede KI-Aktion ist eine "Verarbeitung" im Sinne der Verfahrensdokumentation und muss dort beschrieben sein. Zweitens, die eingesetzten Modelle und Modellversionen, mit denen Vorschläge erzeugt werden, sollten in der Dokumentation stehen. Drittens, die berufsrechtliche Verantwortung verbleibt beim Steuerberater (StBerG) — der KI-Vorschlag ersetzt nicht die Prüfung, sondern unterstützt sie. Nach der FAQ der Bundessteuerberaterkammer zum KI-Einsatz (Stand 27.01.2026) muss die endgültige fachliche Bewertung und Entscheidung stets der Berufsträger treffen. Freigabe-Gates vor der finalen Buchung und Übermittlung sind ein Weg, das abzusichern; die GoBD selbst schreiben sie nicht vor.
Quellen:
BStBK-FAQ zum KI-Einsatz — Bundessteuerberaterkammer, FAQ: KI im steuerberatenden Berufsstand (Stand 27.01.2026) (Quelle)
§ 57 StBerG — § 57 Abs. 1 StBerG (allgemeine Berufspflichten: eigenverantwortlich und gewissenhaft) (Quelle)
Konkret: 60-Minuten-Quick-Check für Ihre Kanzlei
Wenn Sie heute prüfen wollen, ob Ihre Kanzlei GoBD-konform aufgestellt ist, beantworten Sie folgende sechs Fragen:
- Existiert für jeden aktiven Mandanten eine Verfahrensdokumentation, die dem aktuell eingesetzten Verfahren entspricht? Wenn nein: kritisch.
- Können Sie für eine beliebige Buchung der letzten zwei Jahre die zugehörige Beleg-Datei plus den Audit-Trail aufrufen? Wenn nein: kritisch.
- Wenn Sie eine Buchung im Vorjahr ändern wollen, wird das technisch unterbunden bzw. erzeugt eine Korrekturbuchung mit Bezug zur Originalbuchung? Wenn nein: hoch.
- Werden Backups regelmäßig wiederhergestellt und der Restore protokolliert? Wenn nein: mittel (keine GoBD-Pflicht, aber ohne Test ist die Datensicherung ungeprüft).
- Haben Sie eine schriftliche AVV mit jedem Cloud-Anbieter (Belegerfassung, Buchhaltungssoftware, Hosting)? Wenn nein: kritisch (Art. 28 DSGVO).
- Können Sie auf Anforderung der Finanzverwaltung Z3-Datenträger inklusive maschinell auswertbarer Strukturbeschreibung (z. B. index.xml) liefern? Wenn nein: hoch.
Quellen:
GoBD — GoBD Rz. 30–35 (Nachvollziehbarkeit, Belegprinzip), 64 und 110–111 (Korrekturen, Änderungshistorie), 151–155 (Verfahrensdokumentation), 163–167 (Datenzugriff) (Quelle)
Art. 28 DSGVO — Art. 28 DSGVO (Auftragsverarbeiter) (Quelle)