Verfahrensdokumentation nach GoBD: Vorlage und Anleitung

Die 8 Pflicht­ab­schnit­te #

1. Beschrei­bung des Archi­vie­rungs­pro­zes­ses #

Über­sicht: Wie lau­fen Unter­la­gen in Ihr Archiv-System?

Beispiel:

Eingangsrechnungen entstehen bei Lieferanten → per Email oder Post an uns 
→ werden gescannt oder direkt importiert → validiert im DMS → Metadaten-Erfassung 
→ Genehmigung durch Accounting → monatliche Archivierung auf Silent Cubes 
→ 10 Jahre lagern im Tresor → dann löschen

2. Erfas­sungs-Ver­fah­ren und ‑Mit­tel #

Wie genau wer­den Daten erfasst? Mit wel­chen Tools?

Scanner: Fujitsu fi-7460 mit OCR-Software
Erfassungs-Qualität: 300 DPI Farbscans
Dateiformat: PDF/A-1 (langzeitstabil)
Automatische Validierung: OCR-Qualität, Duplikat-Erkennung, Größen-Plausibilität
Fehlerrate Sollte < 0,1% sein (gemessen monatlich)
Qualitäts-Monitoring: Stichproben-Checks wöchentlich (10% aller Scans)

3. Inde­xie­rung und Auf­find­bar­keit #

Wie fin­den Sie Doku­men­te wieder?

Indexierungs-Kriterien:
- Dokumenttyp (Rechnung, Lieferschein, Gutschrift)
- Datum (Rechnungsdatum, Eingangsdatum)
- Geschäftspartner (Kundennummer, Lieferantennummer)
- Betrag
- Textvolltext (OCR-Suche)
- Freie Tags (Projekt, Kostenstelle)

DMS: d.velop Archiver mit Elasticsearch-Indizierung
Suchtest: Monatlich wird Stichproben-Suche durchgeführt (5 zufällige Rechnungen)

4. Speich­ver­fah­ren und ‑medi­um #

Wo und wie wer­den Daten gespeichert?

Tier 1 (Online): Dedupliziertes Backup-System (Veeam), tägliche Snapshots
Tier 2 (Air-Gap): Silent Brick, wöchentlich physisch isoliert
Tier 3 (WORM): Silent Cubes, monatliche Archivierung, Hardware-WORM Firmware
Redundanz: Geo-Replikation in separatem Datacenter (Notfall-Recovery)
Encryption: AES-256 für Transit und Storage

5. Unver­än­der­bar­keit und Sicher­heits­maß­nah­men #

Wie wird ver­hin­dert, dass Daten ver­än­dert werden?

Technisch:
- Hardware-WORM Tier 3 (Firmware-Level Schutz, nicht umgehbar)
- Digitale Signaturen auf Tier 1 (Kryptographischer Nachweis)
- Backup-Integrität Checks (monatlich)

Organisatorisch:
- Rollenbasierte Zugriffskontrolle (DMS Admin, Accounting, Prüfer)
- Audit Logs für alle Zugriffe und Änderungen
- Vier-Augen-Prinzip für Freigaben
- Datenschutz-Beauftragter reviewed Zugriffs-Policy jährlich

Überwachung:
- Tägliche automatische Integritäts-Checks
- Monatliche Recovery-Tests aus Tier 2/3
- Jährliche externe Audit durch WP

6. Auf­be­wah­rungs­fris­ten und Lösch­ver­fah­ren #

Wie lan­ge wird auf­be­wahrt? Wie wird gelöscht?

Dokumenttypen und Fristen:
- Rechnungen/Belege: 10 Jahre (§257 HGB)
- Handelsbriefen: 6 Jahre (§257 HGB)
- Personalunterlagen: 3 Jahre nach Beendigung (§15 AÜG)
- Röntgenaufnahmen: 10 Jahre diagnostisch, 30 Jahre Strahlentherapie (§28 RöV)

Fristbeginn: Ende des Kalenderjahres der Dokumenterstellung
Löschverfahren: Automatische Löschung nach Fristablauf via Archiv-Job
Lösch-Protokoll: Tägliches Lösch-Log wird 3 Jahre aufbewahrt
Benachrichtigung: Accounting und DMS-Admin erhalten monatlichen Bericht

7. Zugriffs­kon­trol­le und Daten­nut­zung #

Wer darf auf Daten zugrei­fen? Unter wel­chen Bedingungen?

Zugriffs-Rollen:
1. DMS-Admin: Vollständiger Zugriff (Systemverwaltung, Konfiguration)
2. Accounting: Lesezugriff auf Rechnungen (DMS, nicht Tier 3)
3. Prüfer: Zeitlich limitierter Zugriff (6 Monate vor/nach Audit)
4. Backup-Admin: Zugriff nur auf Recovery-Prozesse
5. IT-Security: Audit-Logs, Integrity Checks

Authentifizierung: MFA (Multi-Faktor), alle Zugriffe geloggt
Autorisierung: Role-Based Access Control (RBAC) im DMS
Datennutzung: Rechnungen dürfen für Steuererklärung genutzt werden (erlaubt)
              Rechnungen dürfen nicht für Marketing-Listen verwendet werden (unerlaubt)

Export-Kontrolle: Daten-Export erfordert Genehmigung, wird protokolliert

8. Ver­ant­wort­lich­kei­ten und Kon­troll­me­cha­nis­men #

Wer macht was? Wie wird Qua­li­tät überprüft?

Rollen & Verantwortlichkeiten:
- CIO: Gesamtverantwortung Archivierungssystem
- DMS-Administrator: Tägliche Betriebung, Fehlerbehandlung
- Accounting-Lead: Metadaten-Korrektheit vor Archivierung, Fristmanagement
- Data Protection Officer: Datenschutz & Compliance-Überprüfung
- IT-Security: Sicherheits-Audits, Penetration-Tests

Fehlerbehandlung:
- Scan-Fehler: Automatisch erkannt, manuelle Nachbearbeitung
- Datenverlust: Wiederherstellung aus Tier 2/3 innerhalb 4 Stunden
- Zugriffsverweigerung: Incident-Ticket, 2-Stunden-Ziel

Monitoring & Testing:
- Täglich: Automatische Integritäts-Checks
- Wöchentlich: Stichproben-Abruf von 10 Dokumenten aus Archiv
- Monatlich: Recovery-Test aus Tier 2 (1-2 Systeme)
- Quartalsweise: Vollständiger Recovery-Test
- Jährlich: Externe Audit durch Wirtschaftsprüfer

Häu­fi­ge Lücken in Ver­fah­rens­do­ku­men­ta­tio­nen #

1. Kei­ne Feh­ler­quel­len-Ana­ly­se: ​“Was schief gehen kann” ist nicht dokumentiert
2. Kei­ne Ver­ant­wort­li­chen nament­lich: ​“Der IT-Admin” ist nicht kon­kret genug
3. Kei­ne Test­plä­ne: ​“Wir tes­ten irgend­wann” ist unzureichend
4. Kei­ne Audit-Trails: Wie wer­den Zugrif­fe und Ände­run­gen protokolliert?
5. Kei­ne Abhän­gig­kei­ten: Wel­che Sys­te­me brau­chen wel­che ande­ren (z.B. DMS braucht Database)?

Häu­fi­ge Fra­gen #

Wie detail­liert muss die Ver­fah­rens­do­ku­men­ta­ti­on sein? Detail­liert genug, dass ein sach­kun­di­ger Prü­fer Ihr Sys­tem ver­ste­hen und über­prü­fen kann. 10 – 20 Sei­ten ist typisch für ein mit­tel­stän­di­sches System.

Muss alles schrift­lich sein? Ja, oder digi­tal mit Audit-Trail. Screen­shots von Sys­tem­kon­fi­gu­ra­tio­nen sind ok, wenn sie aktu­ell sind.

Wie oft müs­sen wir die Doku­men­ta­ti­on aktualisieren? Nach jeder signi­fi­kan­ten Ände­rung. Min­des­tens jähr­lich über­prü­fen und datieren.

---