E-Rechnungen können grundsätzlich per E-Mail, über eine Schnittstelle oder ein Portal übermittelt werden. Enthält eine Rechnung personenbezogene oder besonders sensible Daten, müssen Übermittlungsweg, Zugriffsrechte, eingesetzte Dienstleister und Aufbewahrung zusätzlich nach Datenschutz und Datensicherheit beurteilt werden. Das gilt auch für den Umgang mit Fehlversendungen.

E-Mail, Schnittstelle oder Portal sind grundsätzlich möglich

Das Umsatzsteuerrecht schreibt für E-Rechnungen keinen bestimmten Übermittlungsweg vor. Unternehmen können deshalb beispielsweise E-Mail, Schnittstellen, gemeinsame Speicherbereiche oder Rechnungsportale nutzen. Die Finanzverwaltung nennt mögliche Übermittlungswege in ihren FAQ zur E-Rechnung.

Für eine verpflichtende E-Rechnung ist keine Zustimmung des Empfängers zur elektronischen Form erforderlich. Wird während einer Übergangsregel stattdessen beispielsweise ein einfaches PDF verwendet, kann die Zustimmung des Empfängers zu dieser elektronischen Rechnungsform weiterhin erforderlich sein.

Echtheit, Unversehrtheit und Lesbarkeit müssen gewährleistet sein

Für Rechnungen müssen Echtheit der Herkunft, Unversehrtheit des Inhalts und Lesbarkeit gewährleistet sein. Dies kann insbesondere durch ein innerbetriebliches Kontrollverfahren sichergestellt werden, das einen verlässlichen Zusammenhang zwischen Rechnung und tatsächlich erbrachter Leistung herstellt.

Für E-Rechnungen bedeutet das unter anderem: Die strukturierte Originaldatei muss unverändert erhalten bleiben. Bearbeitungsschritte dürfen nicht dazu führen, dass das Original überschrieben oder ersetzt wird. Außerdem sollte später nachvollziehbar bleiben, zu welchem Geschäftsvorgang die Rechnung gehört.

E-Mail ist umsatzsteuerlich möglich – Datenschutz bleibt zusätzlich zu beachten

Eine E-Rechnung darf umsatzsteuerlich per E-Mail übermittelt werden. Enthält sie personenbezogene Daten, gelten daneben die Anforderungen der DSGVO. Dazu gehören insbesondere eine dem Risiko angemessene Sicherheit nach Art. 32 DSGVO und die Beschränkung der verarbeiteten Daten auf das Erforderliche.

Je sensibler die Rechnungsdaten sind und je mehr Personen Zugriff auf ein Postfach haben, desto wichtiger werden Schutz vor Fehladressierungen, unbefugtem Zugriff und unnötig weitreichenden Berechtigungen.

Zugriffsrechte auf Rechnungsdaten klar begrenzen

E-Rechnungen können an mehreren Stellen verarbeitet werden – etwa im Postfach, in einem Rechnungsportal, bei der Freigabe, in der Finanzbuchhaltung und im Archiv. Zugriff sollten jeweils nur die Mitarbeiter und externen Bearbeiter erhalten, die ihn für ihre Aufgabe benötigen.

Berechtigungen sollten außerdem angepasst werden, wenn Mitarbeiter die Aufgabe wechseln, das Unternehmen verlassen oder Vertretungsregelungen geändert werden.

Bei Cloud- und Plattformdiensten muss die datenschutzrechtliche Rolle geklärt sein

Werden externe Plattformen oder Cloud-Dienste für E-Rechnungen eingesetzt, muss geklärt werden, in welcher datenschutzrechtlichen Rolle der Anbieter personenbezogene Daten verarbeitet. Handelt er als Auftragsverarbeiter, gelten insbesondere die Anforderungen des Art. 28 DSGVO.

Relevant können außerdem eingesetzte Unterauftragnehmer, Datenstandorte sowie Möglichkeiten zur Rückgabe oder zum Export der Daten sein. Werden personenbezogene Daten außerhalb der EU oder des Europäischen Wirtschaftsraums verarbeitet, sind zusätzlich die Regeln für Drittlandübermittlungen zu beachten.

Aufbewahrungspflicht und Datenschutz gelten gleichzeitig

Rechnungen müssen umsatzsteuerlich grundsätzlich acht Jahre aufbewahrt werden. Bei einer E-Rechnung muss der strukturierte Rechnungsteil in seiner ursprünglichen Form erhalten bleiben.

Die gesetzliche Aufbewahrungspflicht kann einer Löschung entgegenstehen. Sie rechtfertigt aber nicht automatisch zusätzliche Kopien oder eine darüber hinausgehende Nutzung der Rechnungsdaten. Auch während der Aufbewahrungszeit sollten Zugriffsrechte auf das Erforderliche beschränkt bleiben.

Ein Fehlversand kann eine Datenschutzverletzung sein

Eine E-Rechnung, die an den falschen Empfänger gesendet wird, ein unbeabsichtigt öffentlich erreichbares Portal oder ein versehentlich freigegebener Rechnungsordner kann eine Verletzung des Schutzes personenbezogener Daten darstellen.

Nicht jeder Datenschutzvorfall muss an die Aufsichtsbehörde gemeldet werden. Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen, ist die zuständige Aufsichtsbehörde nach Art. 33 DSGVO unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden zu informieren. Datenschutzverletzungen sind außerdem zu dokumentieren.

Deshalb sollte feststehen, wer einen solchen Vorfall bewertet und die erforderlichen nächsten Schritte veranlasst.

Steuerliche und rechtliche Fragen gezielt klären

→ Entdecken Sie weitere Informationen: Alles zum Thema E-Rechnung