E-Rechnung und Datenschutz: Was die DSGVO wirklich verlangt
Kurz & knapp: E-Rechnungen enthalten regelmäßig personenbezogene Daten, etwa Namen von Ansprechpartnern, Kontaktdaten oder bei Rechnungen an Einzelunternehmer und Freiberufler sogar direkt personenbezogene Geschäftsdaten. Die DSGVO steht der E-Rechnungspflicht dabei nicht entgegen, verlangt aber, dass Verarbeitung, Speicherung und insbesondere die Nutzung von Cloud-Software mit Bedacht und auf einer klaren Rechtsgrundlage erfolgen. Dieser Beitrag ordnet ein, wo Datenschutz und E-Rechnung tatsächlich zusammentreffen und was Unternehmen konkret beachten sollten.
Enthalten E-Rechnungen überhaupt personenbezogene Daten?
Ob eine E-Rechnung personenbezogene Daten im Sinne der DSGVO enthält, hängt vom Einzelfall ab. Bei Rechnungen zwischen zwei Kapitalgesellschaften mit reinen Firmenkontaktdaten ist der Personenbezug oft gering, auch wenn Ansprechpartner-Namen oder direkte Durchwahlen genannt werden. Anders sieht es aus, wenn der Rechnungsempfänger oder -aussteller eine natürliche Person ist, etwa ein Einzelunternehmer oder Freiberufler: Hier stellen bereits Name, Anschrift und Bankverbindung personenbezogene Daten dar, deren Verarbeitung den Anforderungen der DSGVO unterliegt. Auch enthaltene Positionsdaten, etwa bei personenbezogenen Dienstleistungen wie einer ärztlichen Behandlung oder einer anwaltlichen Beratung, können zusätzliche datenschutzrechtliche Sensibilität mit sich bringen.
Die Rechtsgrundlage: Gesetzliche Pflicht statt Einwilligung
Ein häufiges Missverständnis besteht darin, anzunehmen, für die Verarbeitung personenbezogener Daten in E-Rechnungen sei eine gesonderte Einwilligung der betroffenen Person notwendig. Das ist in aller Regel nicht der Fall: Die Verarbeitung von Rechnungsdaten erfolgt zur Erfüllung eines Vertrags beziehungsweise zur Erfüllung einer rechtlichen Verpflichtung, etwa der handels- und steuerrechtlichen Aufbewahrungspflichten sowie der E-Rechnungspflicht selbst. Beide Fälle sind als eigenständige Rechtsgrundlagen in der DSGVO vorgesehen, sodass Unternehmen für die reguläre Rechnungsstellung und -archivierung grundsätzlich keine separate Einwilligung einholen müssen.
Auftragsverarbeitung bei Cloud-basierter E-Rechnung-Software
Ein zentraler Punkt in der Praxis betrifft die Nutzung von Cloud-basierter E-Rechnung-Software: Sobald ein externer Softwareanbieter personenbezogene Daten im Auftrag des Unternehmens verarbeitet, etwa indem er Rechnungen mit Kundendaten auf seinen Servern speichert, liegt in aller Regel eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor. Das bedeutet: Unternehmen müssen mit dem jeweiligen Softwareanbieter einen Auftragsverarbeitungsvertrag (AVV) abschließen, der die Pflichten beider Seiten klar regelt. Vor der Auswahl einer E-Rechnung-Software lohnt sich daher ein gezielter Blick darauf, ob der Anbieter einen solchen AVV standardmäßig anbietet und wo genau die Server des Anbieters stehen.
Serverstandort: Warum das EU-Ausland meist unproblematisch ist
Solange die Server eines Softwareanbieters innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums liegen, gelten datenschutzrechtlich vergleichbar hohe Standards wie in Deutschland, da die DSGVO EU-weit unmittelbar gilt. Kritischer wird es bei einem Serverstandort außerhalb der EU, etwa in den USA, da hier zusätzliche Übermittlungsmechanismen wie Standardvertragsklauseln oder ein Angemessenheitsbeschluss erforderlich sein können. Für Unternehmen, die besonderen Wert auf Datenschutz legen, kann die gezielte Auswahl eines Anbieters mit Serverstandort in Deutschland oder der EU ein sinnvolles, wenn auch nicht zwingend erforderliches Auswahlkriterium sein.
Aufbewahrungsfristen: Datenschutz versus GoBD-Pflicht
Ein datenschutzrechtlicher Grundsatz besagt, dass personenbezogene Daten nicht länger als notwendig gespeichert werden dürfen. Bei Rechnungsdaten steht dieser Grundsatz jedoch nicht im Widerspruch zur handels- und steuerrechtlichen Aufbewahrungspflicht von acht Jahren nach den GoBD: Die gesetzliche Aufbewahrungspflicht stellt selbst eine anerkannte Rechtsgrundlage für die weitere Speicherung dar, sodass Unternehmen personenbezogene Rechnungsdaten während dieser gesetzlichen Frist grundsätzlich weiter speichern dürfen und sogar müssen, ohne dass dies gegen die DSGVO verstößt.
Praxisbeispiel: Eine Physiotherapiepraxis prüft ihre Software-Auswahl
Eine Physiotherapiepraxis mit mehreren angestellten Therapeutinnen und Therapeuten stellte im Zuge der Umstellung auf E-Rechnung fest, dass ihre Rechnungen sowohl Patientendaten als auch Abrechnungsdetails zu einzelnen Behandlungen enthalten – Informationen mit besonders hoher datenschutzrechtlicher Sensibilität. Vor der endgültigen Softwareauswahl prüfte die Praxis gezielt, ob der jeweilige Anbieter einen Auftragsverarbeitungsvertrag anbietet, wo die Server stehen und welche technischen Schutzmaßnahmen wie Verschlüsselung während der Übertragung eingesetzt werden. Erst nach dieser Prüfung entschied sich die Praxis für einen Anbieter mit Serverstandort in Deutschland und einem klar formulierten AVV.
Typische Fehler im Zusammenspiel von E-Rechnung und Datenschutz
Ein verbreiteter Fehler ist die Annahme, die E-Rechnungspflicht und die DSGVO stünden grundsätzlich im Widerspruch zueinander, weshalb Unternehmen zögern, personenbezogene Daten überhaupt digital zu verarbeiten. Tatsächlich sieht die DSGVO ausdrücklich Rechtsgrundlagen für die Erfüllung gesetzlicher Pflichten vor, wozu die E-Rechnungspflicht zählt. Ein zweiter Fehler ist das Fehlen eines Auftragsverarbeitungsvertrags bei der Nutzung von Cloud-Software, was bei einer Datenschutzprüfung schnell zu einem formalen Beanstandungspunkt werden kann, selbst wenn die eigentliche Datenverarbeitung inhaltlich unproblematisch ist.
Löschkonzept nach Ablauf der Aufbewahrungsfrist
Ein datenschutzrechtlich relevanter, in der Praxis aber oft vernachlässigter Punkt betrifft die Zeit nach Ablauf der gesetzlichen achtjährigen Aufbewahrungsfrist. Sobald die steuerrechtliche Aufbewahrungspflicht endet, entfällt auch die Rechtsgrundlage für eine weitere Speicherung der enthaltenen personenbezogenen Daten, sodass diese grundsätzlich gelöscht werden sollten, sofern keine andere Rechtsgrundlage für eine längere Aufbewahrung greift. Unternehmen sollten daher ein klares, idealerweise automatisiertes Löschkonzept für ihre E-Rechnungsarchive einrichten, das abgelaufene Rechnungen zuverlässig identifiziert und entfernt, statt Daten unbegrenzt „vorsichtshalber“ weiter zu speichern.
Betroffenenrechte im Kontext archivierter Rechnungsdaten
Auch archivierte E-Rechnungen unterliegen grundsätzlich den Betroffenenrechten der DSGVO, etwa dem Auskunftsrecht. Allerdings ist zu beachten, dass ein Löschbegehren einer betroffenen Person während der laufenden gesetzlichen Aufbewahrungsfrist regelmäßig nicht durchgreift, da die steuerrechtliche Aufbewahrungspflicht als vorrangige rechtliche Verpflichtung gilt. Unternehmen sollten dennoch in der Lage sein, auf ein Auskunftsersuchen zu archivierten Rechnungsdaten strukturiert zu reagieren, was durch eine saubere, metadatenbasierte Archivierung – wie sie ohnehin für die GoBD-Konformität notwendig ist – in der Praxis deutlich erleichtert wird.
Technische und organisatorische Maßnahmen konkret gestalten
Die DSGVO verlangt allgemein angemessene technische und organisatorische Maßnahmen (TOM) zum Schutz personenbezogener Daten. Bei E-Rechnungen betrifft das vor allem die Verschlüsselung der Datenübertragung, ein durchdachtes Berechtigungskonzept, das nur befugten Mitarbeitenden Zugriff auf Rechnungsdaten mit Personenbezug gewährt, sowie eine nachvollziehbare Protokollierung von Zugriffen auf besonders sensible Rechnungen, etwa im Gesundheits- oder Rechtsberatungsbereich. Diese Maßnahmen sind größtenteils ohnehin sinnvolle Bestandteile einer guten IT-Sicherheitsstrategie und keine spezifische Zusatzlast, die allein durch die E-Rechnungspflicht entsteht.
Datenschutz-Folgenabschätzung: Wann sie relevant werden kann
Für die allermeisten Unternehmen ist eine förmliche Datenschutz-Folgenabschätzung im Zusammenhang mit der regulären E-Rechnungsverarbeitung nicht erforderlich, da es sich um eine im Regelfall risikoarme Standardverarbeitung zur Vertrags- und Pflichterfüllung handelt. Anders kann es aussehen, wenn ein Unternehmen zusätzlich zur reinen Rechnungsverarbeitung ein umfangreiches automatisiertes Profiling von Kundendaten auf Basis der Rechnungshistorie durchführt oder besonders sensible Datenkategorien in großem Umfang verarbeitet. In solchen Sonderfällen empfiehlt sich eine gezielte Rücksprache mit dem eigenen Datenschutzbeauftragten, um den konkreten Einzelfall rechtssicher einzuordnen.
Fazit
Die E-Rechnungspflicht und die DSGVO lassen sich in aller Regel gut miteinander vereinbaren, da die Verarbeitung von Rechnungsdaten auf klare gesetzliche Rechtsgrundlagen gestützt werden kann. Entscheidend ist, bei der Auswahl der Software gezielt auf einen Auftragsverarbeitungsvertrag, transparente Angaben zum Serverstandort und angemessene technische Schutzmaßnahmen zu achten, statt Datenschutz und E-Rechnungspflicht als grundsätzlichen Widerspruch zu betrachten.
Häufig gestellte Fragen
Brauche ich eine Einwilligung, um Rechnungsdaten meiner Kunden zu verarbeiten?
In der Regel nicht, da die Verarbeitung auf der Erfüllung eines Vertrags beziehungsweise einer gesetzlichen Pflicht beruht, nicht auf einer Einwilligung.
Muss ich mit meinem E-Rechnung-Softwareanbieter einen AVV abschließen?
Ja, sofern der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet und speichert, was bei Cloud-Software regelmäßig der Fall ist.
Ist ein Serverstandort außerhalb der EU automatisch unzulässig?
Nicht automatisch, erfordert aber zusätzliche rechtliche Absicherung wie Standardvertragsklauseln. Ein Serverstandort innerhalb der EU ist datenschutzrechtlich meist unkomplizierter.
Widerspricht die achtjährige Aufbewahrungspflicht dem Datenschutz?
Nein, die gesetzliche Aufbewahrungspflicht ist selbst eine anerkannte Rechtsgrundlage für die weitere Speicherung während dieser Frist.
Sind Rechnungen an Einzelunternehmer datenschutzrechtlich sensibler?
Ja, da Name, Anschrift und Bankverbindung hier direkt personenbezogene Daten einer natürlichen Person darstellen, im Gegensatz zu reinen Firmenkontaktdaten juristischer Personen.
Was sollte ich vor der Wahl einer E-Rechnung-Software datenschutzrechtlich prüfen?
Ob ein Auftragsverarbeitungsvertrag angeboten wird, wo die Server stehen und welche technischen Schutzmaßnahmen wie Verschlüsselung eingesetzt werden.
Gilt für besonders sensible Branchen wie Arztpraxen etwas anderes?
Die grundsätzlichen Regeln bleiben gleich, allerdings sollte die Sorgfalt bei der Softwareauswahl aufgrund der höheren Sensibilität der enthaltenen Daten entsprechend größer sein.
Brauche ich eine Datenschutz-Folgenabschätzung für meine E-Rechnungsverarbeitung?
Meist nicht, da es sich um eine risikoarme Standardverarbeitung handelt. Bei zusätzlichem Profiling oder besonders sensiblen Datenkategorien sollte im Einzelfall der Datenschutzbeauftragte einbezogen werden.
Was sollte ein internes Löschkonzept für Rechnungsdaten enthalten?
Eine klare Regelung, wann Rechnungen nach Ablauf der gesetzlichen Aufbewahrungsfrist gelöscht werden, idealerweise automatisiert statt auf manuelle Einzelfallprüfung angewiesen.
Kann ich eine Anfrage zur Löschung meiner Rechnungsdaten während der Aufbewahrungsfrist ablehnen?
In der Regel ja, da die gesetzliche Aufbewahrungspflicht als vorrangige Rechtsgrundlage gilt. Die Ablehnung sollte gegenüber der betroffenen Person nachvollziehbar begründet werden.
