Kartennummern und Datenschutz im Beleglauf
Ein Belegarchiv ist auch ein Personenverzeichnis: wer wann wo womit gezahlt hat. Das Steuerrecht verlangt, dass davon nichts verloren geht. Der Datenschutz verlangt, dass davon nur das Nötige entsteht. Beides zusammen geht — aber nur in dieser Reihenfolge.
Stand: 08. August 2026
Zwei Pflichten, die in verschiedene Richtungen ziehen
Auf der einen Seite steht die Unveränderbarkeit. Eine Buchung oder Aufzeichnung darf nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist (§ 146 Abs. 4 AO, GoBD Rz. 107); das Verfahren muss gewährleisten, dass einmal eingeführte Informationen nicht ohne Kenntlichmachung überschrieben, gelöscht, geändert oder verfälscht werden können (Rz. 108). Dazu kommt die Lesbarkeit: Die Wiedergabe muss beim Lesbarmachen mit dem Original bildlich übereinstimmen (Rz. 130).
Auf der anderen Seite stehen der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO), der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und das Recht auf Löschung (Art. 17 Abs. 1 DSGVO).
Der Widerspruch löst sich in Art. 17 Abs. 3 lit. b DSGVO: Die Löschpflicht gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung nach Unions- oder Mitgliedstaatenrecht erforderlich ist — und genau das sind die steuerlichen Aufbewahrungspflichten. Häufig wird an dieser Stelle lit. e zitiert; der betrifft die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen und kann ergänzend einschlägig sein, ist aber nicht die Norm für die Aufbewahrungspflicht.
Was geht und was nicht
Trägt nicht: Kartendaten nach der Erfassung aus dem Belegbild entfernen. Einmal eingeführte Informationen dürfen nicht ohne Kenntlichmachung überschrieben, gelöscht oder geändert werden (GoBD Rz. 108); der ursprüngliche Inhalt muss feststellbar bleiben (§ 146 Abs. 4 AO).
Trägt nicht: Den Beleg vor der Erfassung „bereinigen". Die Wiedergabe muss beim Lesbarmachen mit dem Original bildlich übereinstimmen (GoBD Rz. 130). Ein geschwärzter Scan ist keine bildliche Übereinstimmung.
Trägt nicht: Vollständige Kartennummern in Buchungstexte, Dateinamen, Betreffzeilen oder Freitextfelder schreiben. Was einmal in einer festgeschriebenen Aufzeichnung steht, lässt sich nicht mehr folgenlos entfernen — die Änderungshistorie darf nachträglich nicht veränderbar sein (GoBD Rz. 111).
Trägt: Den Zugriff beschränken. Zugriffsberechtigungskonzepte sind in GoBD Rz. 110 ausdrücklich als organisatorische Maßnahme zur Unveränderbarkeit genannt. Wer einen Beleg für seine Arbeit nicht braucht, muss ihn nicht sehen.
Trägt: Beim Datenzugriff der Finanzbehörde begrenzen. Enthalten Datenbestände nicht aufbewahrungspflichtige, personenbezogene oder dem Berufsgeheimnis nach § 102 AO unterliegende Daten, muss der Steuerpflichtige den Zugriff entsprechend begrenzen — etwa durch Zugriffsbeschränkungen oder digitales Schwärzen (GoBD Rz. 172).
Der Satz, der zur Sorgfalt zwingt
GoBD Rz. 172 enthält neben der Pflicht zur Begrenzung auch die Rechtsfolge ihrer Verletzung: Für versehentlich überlassene Daten besteht kein Verwertungsverbot. Wer bei einer Datenträgerüberlassung mehr mitgibt als geschuldet, kann das nicht zurückholen.
Deshalb lohnt es, die drei Zugriffsarten vorher zu kennen. Beim unmittelbaren Datenzugriff (Z1) erhält die Finanzbehörde einen Nur-Lesezugriff auf das System einschließlich der Auswertungsmöglichkeiten; eine Fernabfrage ist ausgeschlossen (GoBD Rz. 165). Beim mittelbaren Zugriff (Z2) wertet der Steuerpflichtige nach Vorgaben aus; nach der Neufassung vom 14. Juli 2025 ist das Ergebnis im maschinell auswertbaren Format zur Verfügung zu stellen oder anschließend ein Nur-Lesezugriff zu ermöglichen (Rz. 166). Bei der Datenträgerüberlassung (Z3) werden die aufzeichnungs- und aufbewahrungspflichtigen Daten samt Meta-, Stamm- und Bewegungsdaten und Verknüpfungen überlassen (Rz. 167).
Welche Art verlangt wird, entscheidet die Finanzbehörde. Was Sie entscheiden können, ist die Vorbereitung: einmal festlegen, welche Felder zum aufbewahrungspflichtigen Bestand gehören und welche nicht — nicht am Tag der Prüfungsanordnung.
Wer die Daten anfasst und woraus sich das ergibt
| Rolle | Grundlage |
|---|---|
| Ihr Unternehmen als Verantwortlicher | Verarbeitung zur Erfüllung der Buchführungspflichten, Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 145 ff. AO und §§ 238, 257 HGB — die Einordnung im Einzelfall bleibt eine Bewertung |
| Softwareanbieter und Rechenzentrum | Auftragsverarbeitung mit Vertrag nach Art. 28 Abs. 3 DSGVO; hinreichende Garantien durch technische und organisatorische Maßnahmen, Art. 28 Abs. 1 DSGVO |
| Unterauftragsverarbeiter | in der Vereinbarung offenzulegen und zu genehmigen, Art. 28 Abs. 2 und Abs. 4 DSGVO |
| Nach Ende der Verarbeitung | Löschung oder Rückgabe der Daten, Art. 28 Abs. 3 Satz 2 lit. g DSGVO — außer, es besteht eine gesetzliche Speicherpflicht; genau die greift bei steuerlichen Fristen |
| Kanzlei und Prüfung | Zugriff auf das, was für die Prüfung erforderlich ist; nicht aufbewahrungspflichtige und dem Berufsgeheimnis unterliegende Daten sind abzugrenzen, GoBD Rz. 172, § 102 AO |
Fünf Fragen für Ihr Löschkonzept
- Welche Unterlagen fallen unter zehn Jahre, welche unter acht, welche unter sechs? Buchungsbelege und Rechnungen acht, Bücher und Abschlüsse zehn, Handels- und Geschäftsbriefe sechs Jahre (§ 147 Abs. 3 Satz 1 AO, § 14b Abs. 1 Satz 1 UStG).
- Ist berücksichtigt, dass die Frist nicht abläuft, solange die Festsetzungsfrist läuft (§ 147 Abs. 3 Satz 5 AO)? Ein Löschlauf nach Kalender allein trifft diesen Fall nicht.
- Wo liegen die Daten? Rechnungen sind grundsätzlich im Inland aufzubewahren; bei vollständiger Fernabfrage auch im übrigen Gemeinschaftsgebiet, dann mit Mitteilung an das Finanzamt (§ 14b Abs. 2 UStG).
- Welche Felder braucht die Buchführung wirklich — und welche entstehen nur, weil ein Formular sie anbietet? Was nicht erhoben wird, muss später nicht geschützt werden.
- Wer darf ein Belegbild öffnen, und wird dieser Zugriff protokolliert? Das Rechtekonzept ist zugleich eine steuerliche und eine datenschutzrechtliche Maßnahme.
Der Serverstandort allein begründet keine Rechtmäßigkeit der Verarbeitung. Erforderlich sind unter anderem ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, geeignete technische und organisatorische Maßnahmen und ein Löschkonzept, das die steuerlichen Fristen abbildet.
Benvero speichert zu einer registrierten Karte nur die letzten vier Ziffern; vollständige Kartennummern werden nie gespeichert.
- Benvero gibt heute noch keine eigenen Karten aus.
- Dieser Beitrag ist eine Recherchezusammenfassung und keine Steuerberatung.
- GoBD Rz. 107, 108, 110, 111 und 130 — Unveränderbarkeit, Änderungshistorie, Zugriffsberechtigungskonzepte, bildliche Übereinstimmung
- GoBD Rz. 165, 166 (Fassung vom 14.07.2025), 167, 172 und 176 — Z1, Z2, Z3, digitales Schwärzen, Strukturinformationen
- § 146 Abs. 4 AO und § 102 AO — Änderungsverbot und Berufsgeheimnis
- § 147 Abs. 3 Sätze 1 und 5 AO, § 14b Abs. 1 und Abs. 2 UStG — Fristen und Aufbewahrungsort
- Art. 5, 6 und 17 DSGVO — Datenminimierung, Speicherbegrenzung, Rechtsgrundlage, Löschung und ihre Ausnahmen
- Art. 28 DSGVO — Auftragsverarbeitung, Unterauftragsverarbeiter, Löschung oder Rückgabe nach Vertragsende
Recherchestand, keine Steuer- oder Rechtsberatung. Prüfen Sie Ihren Fall mit Ihrer Kanzlei.
Häufige Fragen
- Dürfen wir die Kartennummer auf einem Beleg unkenntlich machen?
- Nicht im aufbewahrten Belegbild. Die Wiedergabe muss beim Lesbarmachen mit dem Original bildlich übereinstimmen (GoBD Rz. 130), und nach der Erfassung dürfen Informationen nicht ohne Kenntlichmachung überschrieben oder gelöscht werden (Rz. 108, § 146 Abs. 4 AO). Der richtige Hebel ist der Zugriff, nicht der Radiergummi: Zugriffsberechtigungskonzepte sind in Rz. 110 ausdrücklich vorgesehen.
- Wie passen Aufbewahrungspflicht und Recht auf Löschung zusammen?
- Über Art. 17 Abs. 3 lit. b DSGVO: Die Löschpflicht gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist — dazu zählen die Aufbewahrungspflichten aus §§ 147 AO und 14b UStG. Nach Ablauf der Frist greift der Grundsatz der Speicherbegrenzung wieder (Art. 5 Abs. 1 lit. e DSGVO), sofern kein anderer Grund die Aufbewahrung trägt.
- Brauchen wir einen Vertrag zur Auftragsverarbeitung, wenn die Belege bei einem Anbieter liegen?
- Ja. Wer Belege durch einen externen Dienstleister verarbeiten lässt, bleibt Verantwortlicher; der Dienstleister ist Auftragsverarbeiter. Der Vertrag nach Art. 28 Abs. 3 DSGVO ist zwingend, Unterauftragsverarbeiter sind offenzulegen und zu genehmigen (Art. 28 Abs. 2 und 4 DSGVO).
- Was gilt, wenn die Prüfung einen Datenträger verlangt?
- Bei der Datenträgerüberlassung sind alle zur Auswertung notwendigen Struktur- und Herkunftsinformationen in maschinell auswertbarer Form beizufügen; das Einlesen muss ohne Installation von Fremdsoftware bei der Finanzbehörde möglich sein (GoBD Rz. 176). Nicht aufbewahrungspflichtige, personenbezogene und dem Berufsgeheimnis unterliegende Daten sind vorher zu begrenzen — für versehentlich überlassene Daten besteht kein Verwertungsverbot (Rz. 172).
- Genügt es, die Belege in einem Ordner mit eingeschränkten Rechten abzulegen?
- Für die Zugriffsseite hilft das, für die Unveränderbarkeit nicht: Die Ablage von Daten und elektronischen Dokumenten in einem Dateisystem erfüllt die Anforderungen der Unveränderbarkeit regelmäßig nicht, soweit keine zusätzlichen Maßnahmen ergriffen werden (GoBD Rz. 110). Gemeint sind hardwaremäßige, softwaremäßige oder organisatorische Maßnahmen — in der Regel eine Kombination.
Belege rein. Buchungen raus.
Basic ist dauerhaft kostenlos — ohne Zahlungsdaten, ohne Kündigungsfrist.
- Tankbelege richtig abrechnenOb ein Tankbeleg zählt, entscheidet sich vor dem Tanken: Wer die Kilometerpauschale ansetzt, rechnet Kraftstoff nicht zusätzlich ab.
- Parkgebühren und Belege, die es nicht gibtParkgebühren sind Reisenebenkosten und werden zusätzlich zur Kilometerpauschale erstattet. Was der Automat ausdruckt, entscheidet über die Vorsteuer.
- Limits auf Firmenkarten und was sie nicht ersetzenEin Kartenlimit begrenzt das Risiko, nicht die Belegpflicht. Welche Betragsgrenzen wirklich Rechtsfolgen auslösen — und warum 250 Euro das falsche Limit ist.