GoBD-Verfahrensdokumentation: Personendaten anonymisieren – DSGVO-konform anonymisieren (§ 147 AO)
Eine GoBD-Verfahrensdokumentation ist ein Pflichtdokument nach den GoBD 2019 (BMF-Schreiben vom 28.11.2019), das buchführungsrelevante Prozesse beschreibt und gemäß § 147 AO 10 Jahre aufbewahrt werden muss; Handels- und Geschäftsbriefe unterliegen nach § 147 Abs. 1 Nr. 3 AO einer Aufbewahrungsfrist von 6 Jahren. Das Dokument nennt Verantwortliche, Ansprechpartner und Berechtigungen namentlich. anonym.legal pseudonymisiert diese Personendaten reversibel, damit die Dokumentation an Prüfer oder Berater weitergegeben werden kann.
When this applies
Sie erstellen oder pflegen die Verfahrensdokumentation nach den GoBD und müssen sie an Betriebsprüfer, Wirtschaftsprüfer oder externe Berater übergeben. Die nach § 147 AO aufbewahrungspflichtige Dokumentation benennt Prozessverantwortliche, IT-Ansprechpartner, Freigabeberechtigte und Vertreter namentlich, häufig mit Funktion und Kontaktdaten. Laut GoBD 2019 muss die Verfahrensdokumentation vollständig, richtig, zeitgerecht und geordnet sein und alle Änderungen revisionssicher nachvollziehbar machen. Weil sie über die Aufbewahrungsfrist von 10 Jahren mehrfach geteilt wird, besteht hier der Bedarf, diese Personendaten zu schützen, während die Beschreibung der Prozesse und Kontrollen vollständig lesbar bleibt.
How anonym.legal handles it
- Die Verfahrensdokumentation wird im Originalformat in anonym.legal eingelesen, ohne die Gliederung des Dokuments zu verändern.
- Die Engine durchsucht den gesamten Text und erkennt Namen, Funktionen mit Personenbezug und Kontaktdaten aus über 267 unterstützten Entitätstypen.
- Jede genannte Person wird konsistent pseudonymisiert (z. B. durchgehend „Verantwortlicher A“), sodass die Zuständigkeiten über das gesamte Dokument hinweg nachvollziehbar bleiben.
- Prüfungsrelevante Inhalte — Prozessbeschreibungen, Kontrollen, Systembezeichnungen und Datenflüsse ohne Personenbezug — bleiben im Klartext erhalten.
- Die Zuordnung von Pseudonym zu Klarname wird in einer verschlüsselten Mapping-Tabelle mit EU-Datenresidenz festgehalten.
- Für die Betriebsprüfung wird die anonymisierte Fassung weitergegeben und bei Bedarf mit dem zugehörigen Schlüssel re-identifiziert.
What you provide
- GoBD-Verfahrensdokumentation als Dokument
- Übersicht der benannten Verantwortlichen und Vertreter
- Berechtigungs- oder Rollenkonzept, soweit referenziert
Limitations & cautions
- anonym.legal bewertet nicht die GoBD-Konformität der Dokumentation und ersetzt keine steuerliche Beratung; die Software bereitet ausschließlich die Daten auf.
- Die Einhaltung der Aufbewahrungspflicht nach § 147 AO (10 Jahre für Buchungsbelege und Verfahrensdokumentationen) für die Originaldokumentation liegt in Ihrer Verantwortung und wird von der Software nicht überwacht.
- Die Re-Identifikation setzt die sichere Verwahrung des zugehörigen Schlüssels voraus.
- Verstöße gegen DSGVO-Pflichten bei der Verarbeitung personenbezogener Buchhaltungsdaten können nach Art. 83 Abs. 5 DSGVO mit Bußgeldern bis zu 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes geahndet werden.
FAQ
Bleibt die Beschreibung der Prozesse für die Prüfung erhalten?
Ja, Prozessbeschreibungen, Kontrollen, Systembezeichnungen und Datenflüsse ohne Personenbezug bleiben vollständig lesbar. Nur namentlich genannte Personen und ihre Kontaktdaten werden pseudonymisiert. So bleibt die Dokumentation für die Betriebsprüfung aussagekräftig.
Wie lange muss die GoBD-Verfahrensdokumentation gemäß § 147 AO aufbewahrt werden?
Gemäß § 147 Abs. 1 AO müssen Bücher, Aufzeichnungen und sonstige Organisationsunterlagen — zu denen die Verfahrensdokumentation zählt — 10 Jahre aufbewahrt werden; die Frist beginnt mit Ablauf des Kalenderjahres der letzten Eintragung. Handelsbriefe unterliegen nach § 147 Abs. 1 Nr. 3 AO einer Aufbewahrungsfrist von 6 Jahren. Da die Dokumentation über diesen Zeitraum mehrfach geteilt wird, empfiehlt sich eine frühzeitige Pseudonymisierung.
Bleiben die Zuständigkeiten trotz Pseudonymisierung nachvollziehbar?
Ja, jede Person wird konsistent pseudonymisiert, sodass dieselbe Zuständigkeit über das gesamte Dokument hinweg demselben Pseudonym zugeordnet bleibt. Die Verantwortungs- und Vertretungsbeziehungen bleiben dadurch erkennbar. Vor der finalen Fassung re-identifizieren Sie das Dokument mit dem Schlüssel.
Kann ich die Dokumentation an einen Betriebsprüfer weitergeben?
Ja, die anonymisierte Fassung lässt sich an Betriebsprüfer oder Berater weitergeben, ohne die benannten Personen offenzulegen. Die Verarbeitung erfolgt mit EU-Datenresidenz und ist auf DSGVO-Konformität ausgelegt. Bei Bedarf stellen Sie die namentliche Fassung über den Schlüssel wieder her.