DMS und DSGVO: GoBD-konform archivieren ohne Stolperfallen

En bref

• GoBD geben die Regeln für steuerrelevante Unterlagen vor; Revisionssicherheit ist das praktische Ergebnis einer sauberen Umsetzung.
• DSGVO und gesetzliche Aufbewahrungspflichten sind kein Widerspruch, jedoch braucht es klare Zwecke, Rollen und Löschkonzepte.
• Ein DMS bringt Ordnung, Protokolle, Rechteverwaltung und schnelle Suche – und senkt damit typische Stolperfallen.
• Digitalisierung gelingt nachhaltig nur mit Standards: Indexierung, OCR, geeignete Formate wie PDF/A und definierte Workflows.
• Cloud ist zulässig, sofern Datenschutz, Zugriffskontrolle, Protokollierung und Verfügbarkeit nachweisbar umgesetzt sind.
• Praxisrelevant sind saubere Verfahrensdokumentation, TR-RESISCAN beim ersetzenden Scannen sowie belastbare Backups.

Überquellende Aktenschränke sind selten nur ein Platzproblem. Häufig steckt dahinter ein Mix aus Zeitdruck, fehlenden Zuständigkeiten und der Sorge, bei einer Steuerprüfung nicht schnell genug liefern zu können. Gleichzeitig wächst der digitale Strom: E-Rechnungen, E-Mails, ERP-Exports, Chat-Protokolle und eingescanntes Papier landen in unterschiedlichen Systemen. Genau hier treffen GoBD, DSGVO und operative Realität aufeinander. Wer in der Archivierung auf Improvisation setzt, riskiert Medienbrüche, Suchchaos und im schlimmsten Fall Beanstandungen. Wer jedoch strukturiert vorgeht, gewinnt gleich mehrfach: schnellere Abläufe, bessere Zusammenarbeit und mehr Sicherheit.

Ein modernes Dokumentenmanagement ist dabei weniger „Tool-Frage“ als Governance-Frage. Ein DMS kann Ordnung schaffen, jedoch nur, wenn Prozesse, Rechte und Nachweise mitziehen. Deshalb lohnt der Blick auf typische Stolpersteine: unklare Aufbewahrungsfristen, fehlende Protokolle, unkontrollierte Zugriffe auf personenbezogene Daten oder schlecht geplante Scan-Projekte. Dieser Beitrag beleuchtet, wie Unternehmen GoBD-konform und DSGVO-sicher digital arbeiten können, ohne sich in Bürokratie zu verlieren. Die Leitidee bleibt pragmatisch: Compliance soll den Betrieb stützen, nicht ausbremsen.

GoBD-konforme Archivierung mit DMS: Anforderungen, Nachweise und typische Stolperfallen

Für steuerlich relevante Unterlagen sind die GoBD der zentrale Kompass. Sie definieren, wie Bücher, Aufzeichnungen und Belege in elektronischer Form geführt und aufbewahrt werden müssen. Deshalb ist es nicht entscheidend, ob ein Dokument „nur“ eine PDF-Datei ist. Relevant ist, ob es für die Besteuerung Bedeutung hat. Genau dadurch entstehen in der Praxis Stolperfallen, weil Teams Dokumentarten unterschiedlich bewerten. Ein DMS hilft, weil es Regeln erzwingt und Ablage diszipliniert, jedoch müssen diese Regeln zuerst definiert werden.

Im Kern zählt, dass Unterlagen vollständig und nachvollziehbar sind. Außerdem müssen sie unveränderbar archiviert werden, sodass Manipulationen ausgeschlossen oder zumindest lückenlos erkennbar bleiben. Zusätzlich braucht es eine Verfahrensdokumentation, die beschreibt, wie Belege ins System kommen, wie sie indexiert werden und wer was darf. Ohne diese Dokumentation bleibt selbst ein technisch gutes DMS angreifbar. Daher sollte ein Unternehmen die Verfahrensdokumentation wie ein Betriebs-Handbuch behandeln und bei Prozessänderungen mitpflegen.

Revisionssicherheit als Ergebnis: Was ein DMS praktisch leisten muss

Revisionssicherheit ist kein eigenständiges Gesetz, sondern das Ergebnis einer GoBD-gerechten Umsetzung. Ein DMS muss daher mehrere Funktionen zusammenbringen: Rechteverwaltung, Protokollierung, Versionierung, sichere Ablage und eine Suchlogik. Außerdem braucht es definierte Übergabepunkte, etwa aus dem ERP, dem E-Mail-System oder dem Scanprozess. Wenn Belege auf Netzlaufwerken „zwischengeparkt“ werden, entstehen Schattenarchive. Folglich gehen Nachvollziehbarkeit und Ordnung schnell verloren.

Ein konkretes Beispiel zeigt den Unterschied: Die fiktive „Müller & Partner GmbH“ erhält im Tagesgeschäft 200 Eingangsrechnungen pro Woche. Früher wurden PDFs in Mail-Postfächern belassen und später manuell abgelegt. Dadurch fehlten oft Anhänge, und Freigaben waren nicht nachvollziehbar. Mit DMS-Workflow werden Rechnungen hingegen zentral erfasst, automatisch verschlagwortet und in einen Freigabeprozess überführt. Zudem protokolliert das System, wer wann geprüft und freigegeben hat. Damit ist bei der Betriebsprüfung nicht nur der Beleg verfügbar, sondern auch die Entscheidungskette.

Aufbewahrungsfristen nach AO und HGB: Klarheit statt Bauchgefühl

Aufbewahrungsfristen kommen aus der Abgabenordnung und dem Handelsgesetzbuch. Typisch sind 10 Jahre für Bücher und Aufzeichnungen, 8 Jahre für Buchungsbelege sowie 6 Jahre für Handels- und Geschäftsbriefe. Wichtig ist außerdem der Fristbeginn: Er startet in der Regel erst mit dem Ende des Kalenderjahres. Eine Rechnung vom 11.03.2025 fällt damit ab 01.01.2026 in die Frist und läuft bis Ende 2035, sofern zehn Jahre gelten. Gerade in Scan-Projekten wird diese Logik gern übersehen, weshalb Metadaten zum Belegdatum und Geschäftsjahr sauber gepflegt werden sollten.

Ein DMS kann Fristen technisch unterstützen, jedoch ersetzt es keine fachliche Klassifikation. Daher empfiehlt sich ein Dokumentenplan, der Dokumentarten, Aufbewahrungsdauer und Zugriffskreise festlegt. Zudem sollte klar sein, welche Systeme ebenfalls archivierungspflichtige Daten enthalten, etwa Kassen- oder Zeiterfassungssysteme. Das Ziel bleibt: Ein Prüfpfad, der nicht vom Zufall abhängt.

Damit die Technik nicht zum Selbstzweck wird, lohnt als Nächstes der Blick auf Datenschutz und Rollenmodelle. Denn genau dort kollidieren Aufbewahren und Löschen am häufigsten.

DSGVO und Datenschutz im Dokumentenmanagement: Zweckbindung, Zugriffskontrolle und Löschkonzepte

Die DSGVO greift immer dann, wenn personenbezogene Daten verarbeitet werden. In der Archivierung betrifft das fast jedes Unternehmen: Rechnungen mit Kundendaten, E-Mails, Personalakten oder Lieferdokumente. Der häufigste Irrtum lautet, Datenschutz bedeute „so schnell wie möglich löschen“. In Wahrheit verlangt die DSGVO eine begründete Speicherdauer. Sobald jedoch gesetzliche Aufbewahrungspflichten gelten, haben diese in der Regel Vorrang. Das ist kein Freifahrtschein, denn Zugriff und Zweck müssen trotzdem sauber geregelt bleiben.

Ein DMS schafft hier Ordnung, weil Rollen und Berechtigungen granular umgesetzt werden können. Allerdings entsteht die nächste Stolperfalle, wenn alle Mitarbeitenden „zur Sicherheit“ Vollzugriff erhalten. Dadurch wird zwar die Suche bequemer, jedoch steigen Risiken: unberechtigte Einsicht, Datenabfluss oder versehentliche Weitergabe. Deshalb sollte Datenschutz als Teil von Compliance verstanden werden: Wer darf was sehen, wer darf exportieren, und wie wird das protokolliert?

Praktische Zugriffskontrolle: Rollen, Need-to-know und Protokollierung

In gut geführten DMS-Umgebungen gilt ein klares Prinzip: Need-to-know. Personalakten sind für HR und definierte Führungskräfte sichtbar, jedoch nicht für die gesamte Buchhaltung. Umgekehrt müssen steuerrelevante Belege verfügbar sein, aber nicht zwangsläufig mitsamt sensiblen Zusatzinformationen. Daher lohnt es sich, Dokumentklassen zu definieren und Rechte entlang von Abteilungen zu vergeben. Zusätzlich sollte ein DMS Protokolle liefern, die Abrufe und Änderungen sichtbar machen. So lassen sich Vorfälle untersuchen, und zugleich werden Anforderungen an Nachvollziehbarkeit erfüllt.

Ein Fall aus der Praxis: In einem mittelständischen Bauunternehmen wurden Angebotsunterlagen und Arbeitsverträge in denselben Projektordnern gespeichert. Das führte dazu, dass Projektteams Zugriff auf Vertragsdetails erhielten. Nach einer internen Prüfung wurde das DMS neu strukturiert: Projektakten enthalten nur projektbezogene Dokumente, während HR-Dokumente in einem geschützten Bereich liegen. Folglich sank das Risiko, und zugleich wurde die Suche im Projektgeschäft schneller, weil weniger „Ballast“ im Projektordner liegt.

Löschkonzept trifft Aufbewahrung: So wird der scheinbare Widerspruch handhabbar

Ein belastbares Löschkonzept ist kein Automatismus, sondern eine Regelmatrix: Dokumenttyp, Zweck, Frist, Sperrgründe und Verantwortliche. Außerdem braucht es eine „Legal-Hold“-Logik, falls Streitfälle, Audits oder Prüfungen laufen. Dennoch dürfen Daten nicht unbegrenzt liegen bleiben, wenn kein Aufbewahrungsgrund existiert. Gerade bei Bewerbungsunterlagen oder Newslettern ist die Lage oft klarer als bei E-Mails mit Mischinhalten. Deshalb ist eine gute Trennschärfe wichtig: Was ist reiner Transport, was ist Geschäftsbrief, was ist steuerrelevant?

Zusätzlich sollten Unternehmen festlegen, wie mit privaten E-Mails in betrieblichen Accounts umgegangen wird. Wenn private Nutzung erlaubt ist, steigt die Komplexität erheblich. Daher entscheiden sich viele Organisationen für ein Verbot privater Nutzung, weil Archivierung und Datenschutz dann konsistenter umsetzbar sind. Alternativ braucht es Schulungen und klare Prozesse zur Trennung. In jedem Fall gilt: Ohne Governance wird das Thema E-Mail-Archiv zur Dauerbaustelle.

Wenn Datenschutz und Zugriffskontrolle stehen, rückt die Frage in den Vordergrund, wie Papierbestände sauber in digitale Prozesse überführt werden. Genau dort entscheidet sich, ob Digitalisierung den Betrieb entlastet oder neue Fehlerquellen schafft.

Digitalisierung von Aktenbeständen: Scanstrategie, OCR/Indexierung und ersetzendes Scannen ohne Risiken

Die Digitalisierung ist häufig der sichtbarste Schritt, jedoch nicht der wichtigste. Entscheidend ist, ob aus Papier ein verlässlicher, auffindbarer und rechtssicherer Datenbestand entsteht. Viele Scanprojekte scheitern nicht an der Scanqualität, sondern an fehlender Indexlogik. Dann liegen zwar tausende PDFs im System, jedoch bleibt die Suche mühsam. Ein DMS entfaltet seinen Nutzen erst, wenn Metadaten stimmen: Belegdatum, Dokumenttyp, Kreditor, Projekt, Kundenname oder Rechnungsnummer. Deshalb sollten Unternehmen vor dem ersten Scan definieren, welche Felder für die tägliche Arbeit und für Prüfungen benötigt werden.

Hinzu kommt die Frage der Scanqualität. Für einfache Textbelege reicht oft eine solide Auflösung, jedoch können Details, Stempel oder handschriftliche Notizen entscheidend sein. Daher wird in vielen Projekten eine höhere Qualität bis 600 dpi gewählt, je nach Dokumentart. Ebenso wichtig ist die Entscheidung zwischen Schwarzweiß und Farbe. Farbe kann Kontext liefern, jedoch erzeugt sie mehr Datenvolumen. Folglich sollte die Wahl dokumentiert und begründet sein, damit später nicht nachkorrigiert werden muss.

OCR und Indexierung: Von der Bilddatei zur echten Arbeitsgrundlage

OCR macht aus Scans durchsuchbaren Text. Das ist im Alltag oft der größte Effizienzhebel, weil Teams nicht mehr „Ordner wälzen“, sondern per Stichwortsuche in Sekunden Treffer erhalten. Trotzdem ersetzt OCR keine saubere Indexierung. Eine Volltextsuche findet zwar vieles, jedoch nicht zuverlässig das Richtige. Deshalb sind strukturierte Indexfelder sinnvoll, beispielsweise „Dokumentklasse“, „Geschäftsjahr“, „Partner“, „Vorgangsnummer“ und „Aufbewahrungsfrist“. So entstehen filterbare Trefferlisten, die auch bei großen Datenmengen stabil bleiben.

Ein Beispiel: Bei der fiktiven „Nordlicht Handels KG“ wurden Lieferscheine zunächst nur per OCR erschlossen. In der Inventurphase mussten jedoch alle Lieferscheine eines bestimmten Lagers in einem Zeitraum exportiert werden. Das gelang erst nach einer nachträglichen Indexierung, was Zeit kostete. Danach wurde ein Scan-Standard eingeführt: Lager, Zeitraum und Belegtyp sind Pflichtfelder. Dadurch wurde die spätere Auswertung deutlich einfacher, und die Compliance-Nachweise wurden belastbarer.

Ersatzendes Scannen: Prozesssicherheit statt Schnellschuss

Wer Papier nach dem Scannen vernichten will, braucht einen besonders sauberen Prozess. In Deutschland spielt dabei TR-RESISCAN als technischer Rahmen eine Rolle, weil er die Beweiskraft des Scanprozesses stärkt. Praktisch heißt das: klare Zuständigkeiten, dokumentierte Scanstrecken, Qualitätskontrollen und Schutz vor nachträglicher Manipulation. Außerdem ist eine qualifizierte elektronische Signatur oder ein vergleichbarer Integritätsnachweis oft Teil des Konzepts. Damit sinkt das Risiko, dass gescannte Dokumente später angezweifelt werden.

Auch Logistik und Sicherheit sind Bestandteil der Digitalisierung. Eine sichere Abholung mit eigenem Personal und Sicherheitskonzept reduziert Kettenrisiken. Ebenso wichtig ist ein verschlüsselter Transferserver, damit Daten nicht unkontrolliert per E-Mail oder USB-Stick wandern. Wer zusätzlich Scan-on-Demand oder hybride Lösungen nutzt, kann Altarchive schrittweise abbauen, ohne das Tagesgeschäft zu blockieren. Der zentrale Punkt bleibt: Digitalisierung ist ein Projekt, aber danach muss es Betrieb werden.

Wenn die Dokumente zuverlässig digital vorliegen, entscheidet die Systemarchitektur über langfristige Stabilität. Damit kommt die nächste Frage: Cloud, On-Premise oder Hybrid – und wie bleibt der Betrieb GoBD- und DSGVO-konform?

DMS-Architektur und Betrieb: Cloud, On-Premise, Hybrid und sichere Schnittstellen für Compliance

Bei der Auswahl einer DMS-Architektur geht es nicht um Ideologie, sondern um Risikoprofile und Betriebsrealität. Cloud-Lösungen bieten schnelle Skalierung und oft geringeren Administrationsaufwand. On-Premise kann mehr direkte Kontrolle geben, verlangt jedoch IT-Ressourcen. Hybrid-Modelle kombinieren beides, etwa indem sensible Daten lokal bleiben, während skalierbare Archivspeicher in der Cloud liegen. Entscheidend ist, dass GoBD-Anforderungen wie Verfügbarkeit, Unveränderbarkeit, Ordnung und Nachvollziehbarkeit erfüllt werden. Gleichzeitig müssen DSGVO und Datenschutz mit Rollen, Verschlüsselung und Protokollen abgedeckt sein.

Ein häufiger Stolperstein ist die Annahme, Cloud sei per se unzulässig. Tatsächlich ist Cloud-Archivierung erlaubt, wenn sie rechtskonform betrieben wird. Wichtig ist also der Betrieb: Datenstandorte, Zugriffskonzepte, Vertragsgestaltung zur Auftragsverarbeitung, Backup-Strategien und Exit-Szenarien. Außerdem sollten Unternehmen prüfen, wie ein Systemwechsel ablaufen würde. Ohne standardisierte Schnittstellen und Exportmöglichkeiten entsteht Vendor-Lock-in, was langfristig teuer werden kann.

Schnittstellen und Datenflüsse: ERP, E-Mail, Kasse und E-Rechnung

Ein DMS ist selten ein Solosystem. Es hängt an der Finanzbuchhaltung, an der Warenwirtschaft, an Kassensystemen und am E-Mail-Server. Daher sollten Schnittstellen früh bewertet werden. Idealerweise gibt es APIs oder standardisierte Importformate, damit Dokumente samt Metadaten automatisch ins DMS gelangen. Dadurch sinkt die manuelle Ablagearbeit, und Fehlerquellen verschwinden. Außerdem entsteht ein konsistenter Prüfpfad, weil derselbe Beleg nicht mehrfach in unterschiedlichen Versionen existiert.

Seit Einführung der E-Rechnungspflicht in Deutschland ist die E-Rechnung ein weiterer Treiber. E-Rechnungen sind nicht nur „PDF“, sondern häufig strukturierte Formate, die maschinell auswertbar sind. Daher müssen Unternehmen nicht nur das Sichtdokument, sondern auch die strukturierte Datei korrekt aufbewahren. Ein DMS kann beides verwalten, sofern es Formate akzeptiert und die Unveränderbarkeit sicherstellt. Folglich sollte die DMS-Strategie E-Rechnung von Anfang an mitdenken, statt später nachzurüsten.

Backups, Verfügbarkeit und Notfallplanung: Schutz vor Datenverlust und Stillstand

Digitale Ablage schützt vor Wasser, Feuer und Schimmel, jedoch nur, wenn Redundanz und Wiederherstellbarkeit stimmen. Deshalb braucht es Backups, idealerweise mehrfach und geografisch getrennt. Zudem ist ein Wiederanlaufplan wichtig: Wer tut was, wenn das System ausfällt? Wie schnell müssen Belege wieder verfügbar sein? Solche Fragen gehören zur Compliance, weil GoBD auch die Verfügbarkeit über die gesamte Aufbewahrungsdauer verlangen. Außerdem sollten Unternehmen regelmäßig Restore-Tests durchführen, weil Backups ohne Test nur Hoffnung sind.

Ein weiteres Detail ist die Langzeitlesbarkeit. Formate wie PDF/A sind verbreitet, weil sie für Archivzwecke ausgelegt sind. Dennoch müssen Unternehmen sicherstellen, dass auch nach Jahren die notwendigen Informationen lesbar bleiben. Dazu zählen nicht nur Dateien, sondern gegebenenfalls auch die Umgebungen, die sie interpretieren. Wer E-Mails komprimiert archiviert, muss weiterhin wiederherstellen können. Der beste Schutz ist daher eine Mischung aus Standardformaten, dokumentierten Prozessen und regelmäßigen Kontrollen.

Mit Architektur und Betrieb steht das Fundament. Als Nächstes kommt die Königsdisziplin: Prozessgestaltung und Verfahrensdokumentation, damit Prüfer, Datenschutzbeauftragte und Teams dieselbe Realität sehen.

Verfahrensdokumentation und Prozesse: So wird GoBD, DSGVO und Dokumentenmanagement auditfest

Die Verfahrensdokumentation ist oft der Teil, der am längsten liegen bleibt. Dabei ist sie der Hebel, um Technik, Menschen und Regeln zusammenzubringen. Sie beschreibt den Weg eines Dokuments: Eingang, Erfassung, Indexierung, Prüfung, Ablage, Zugriff, Änderung, Export und Löschung. Außerdem dokumentiert sie Rollen, Verantwortlichkeiten und Kontrollen. Dadurch entsteht ein nachvollziehbares System, das auch bei Personalwechsel stabil bleibt. Gerade in wachsenden Unternehmen ist das wichtig, weil Wissen sonst in Köpfen verschwindet.

Gute Verfahrensdokumentationen sind keine Romane. Sie sind klar, aktuell und in der Praxis verwendbar. Dazu gehören Checklisten, Prozessgrafiken in Textform, Rollenmodelle und Beispiele. Außerdem sollte festgehalten werden, welche Dokumente in welchen Systemen entstehen und wie sie ins DMS gelangen. Wer diese Transparenz schafft, reduziert Stolperfallen wie doppelte Ablagen, unklare Verantwortlichkeiten und unvollständige Belegketten.

Praxisliste: Typische Stolperfallen und wie sie sich vermeiden lassen

Viele Probleme wiederholen sich branchenübergreifend. Deshalb hilft eine konkrete Orientierung an wiederkehrenden Fehlerbildern, die im Alltag „klein“ wirken, bei Prüfungen jedoch groß werden.

• Schattenarchive auf Netzlaufwerken: Daher klare Regeln, dass steuerrelevante Dokumente nur im DMS revisionssicher abgelegt werden.
• Unklare Dokumentklassifikation: Deshalb Dokumentenplan mit Aufbewahrungsfrist, Zweck und Zugriffskreis definieren.
• Zu breite Berechtigungen: Zudem Rollenmodell nach Need-to-know einführen und regelmäßig rezertifizieren.
• Fehlende Protokollauswertung: Folglich nicht nur loggen, sondern stichprobenartig prüfen und in Kontrollen dokumentieren.
• Scan ohne Qualitätskontrolle: Daher Stichproben, Vier-Augen-Prinzip für kritische Dokumentarten und dokumentierte Scanparameter.
• E-Mail-Archivierung „nach Gefühl“: Stattdessen Regeln zu Geschäftsbriefen, Buchungsbelegen und Anhängen schulen und technisch unterstützen.

Der entscheidende Punkt ist dabei nicht Perfektion, sondern Nachweisbarkeit. Wer zeigen kann, dass ein Prozess definiert, geschult und kontrolliert ist, steht in Prüfungen deutlich stabiler.

Tabelle: Dokumentarten, Fristen und DSGVO-Hinweise für die Archivierung

Dokumentart	Typische Aufbewahrungsfrist	GoBD-Relevanz	DSGVO/Datenschutz-Hinweis
Eingangs- und Ausgangsrechnungen	10 Jahre (häufig, je nach Einordnung)	hoch	Personenbezug möglich; Zugriff beschränken, jedoch Frist vorrangig
Buchungsbelege	8 Jahre	hoch	Integrität sichern, Protokolle und Unveränderbarkeit nachweisen
Handels- und Geschäftsbriefe (inkl. E-Mail)	6 Jahre	mittel bis hoch	Trennung privat/geschäftlich regeln; Export und Zugriff protokollieren
Jahresabschlüsse, Eröffnungsbilanzen, Lageberichte	10 Jahre	sehr hoch	Strenge Rechte, sichere Ablage, Verfügbarkeit über Langzeit sicherstellen
Personalunterlagen	je nach Inhalt unterschiedlich	teilweise	besonders sensibel; restriktive Rollen, Löschkonzept und Zweckbindung

Damit Prozesse lebendig bleiben, braucht es auch Schulung und eine Kultur, die digitale Ordnung belohnt. Wer in Teams klare Routinen etabliert, reduziert Rückfragen und erhöht die Qualität der Datenbasis.

Zum Abschluss folgt ein praxisnaher Fragenblock, der in Projekten rund um DMS, GoBD und DSGVO regelmäßig auftaucht und schnell Klarheit schafft.

Muss ein DMS zwingend eingesetzt werden, um GoBD-konform zu archivieren?

Ein DMS ist nicht zwingend vorgeschrieben, jedoch ist es in der Praxis oft der einfachste Weg zu GoBD-konformer Archivierung. Entscheidend sind Unveränderbarkeit, Vollständigkeit, Nachvollziehbarkeit, Verfügbarkeit und Ordnung sowie eine gepflegte Verfahrensdokumentation. Ein DMS bringt dafür typischerweise Rechteverwaltung, Protokollierung und strukturierte Suche mit.

Dürfen Dokumente trotz personenbezogener Daten zehn Jahre gespeichert werden?

Ja, sofern eine gesetzliche Aufbewahrungspflicht greift, geht diese in der Regel vor. Trotzdem müssen DSGVO-Grundsätze eingehalten werden: Zugriff beschränken, Zweck klar definieren, Daten schützen und nur berechtigten Personen zugänglich machen. Zusätzlich sollte ein Löschkonzept dokumentieren, was nach Fristablauf passiert.

Welche Rolle spielt OCR bei revisionssicherer Archivierung?

OCR ist kein GoBD-Pflichtmerkmal, jedoch ein starker Effizienztreiber. Revisionssicherheit entsteht durch unveränderbare Ablage, Protokollierung, Vollständigkeit und geordnete Prozesse. OCR verbessert die Auffindbarkeit, sollte aber durch Indexfelder ergänzt werden, damit Suchen auch bei großen Beständen präzise bleiben.

Ist Cloud-Archivierung im Rahmen von DSGVO und GoBD zulässig?

Ja, Cloud ist zulässig, wenn die Lösung rechtskonform betrieben wird. Wichtig sind ein belastbares Berechtigungskonzept, Protokollierung, Verschlüsselung, klare Verträge zur Auftragsverarbeitung, Datenverfügbarkeit über die Aufbewahrungsdauer sowie ein Exit- und Migrationskonzept. Entscheidend ist also die Umsetzung, nicht das Betriebsmodell.

Was passiert mit Papieroriginalen nach dem Scannen?

Das hängt vom Scanverfahren und den internen Regeln ab. Bei ersetzendem Scannen müssen Prozesssicherheit und Nachweise stimmen, häufig orientiert an TR-RESISCAN. Danach können Originale datenschutzkonform vernichtet, zurückgegeben oder sicher eingelagert werden. Wichtig ist, dass der Prozess in der Verfahrensdokumentation beschrieben und kontrolliert wird.