Stand 23.10.2026 | Arbeitsliste für die Prüfung im eigenen Betrieb

Halten Sie bei jedem Punkt fest: erledigt / offen / trifft nicht zu, zuständige Person, Nachweis und Termin. Die Liste bescheinigt nicht, dass alles den Vorschriften entspricht, und ersetzt nicht die Prüfung des Einzelfalls oder eine Steuer- oder Rechtsberatung.

E-Rechnung und Steuer

• Klären, um welchen Fall es geht: Rechnung an ein Unternehmen im Inland (B2B), an Privatkunden (B2C) oder an eine Behörde? Steuerbefreiungen, Kleinunternehmerregelung und andere Ausnahmen prüfen. [R1, R3, R6]
• E-Rechnungen empfangen können: Seit 2025 gilt das für Rechnungen zwischen Unternehmen auch für Kleinunternehmer. Nur eine lesbare Ansicht reicht nicht – die Datei mit den festen Datenfeldern muss ankommen und aufbewahrt werden. [R3]
• Klären, ab wann Sie selbst E-Rechnungen ausstellen müssen: Übergangsregel 2026; für 2027 kommt es darauf an, ob der Gesamtumsatz im Vorjahr über 800.000 € lag oder nicht; Sonderregel für EDI-Verfahren beachten. Die 800.000-€-Grenze ist nicht die Grenze für Kleinunternehmer. [R2]
• Wer in der Übergangszeit andere elektronische Rechnungen (z. B. PDF) schickt, braucht dafür die Zustimmung des Empfängers. Für Papier gilt in dieser Übergangsregel nicht dieselbe Zustimmung. [R2]
• Pflichtangaben prüfen: vollständige Namen und Anschriften, Steuernummer des Leistenden, Datum, eindeutige Rechnungsnummer, Leistung und Menge, Zeitpunkt der Leistung, Preis, Steuerbetrag oder Steuerhinweis und nötige Sonderangaben. [R1]
• Im Baugewerbe besonders prüfen: § 13b (Steuerschuld beim Kunden), Abschlagsrechnungen, Schlussrechnung, Nachträge und Einbehalte. Das Beispiel im Vortrag ist ausdrücklich kein § 13b-Fall.
• Format, Profil, Version und Empfangsweg mit Empfänger und Software absprechen. XRechnung gibt es nicht nur für Behörden. Bei Behörden zusätzliche Vorgaben prüfen, eventuell Leitweg-ID und Portal. [R3]
• Datei technisch prüfen lassen (Aufbau und Regeln des Formats) und zusätzlich fachlich prüfen: echte Leistung, Beträge und Steuer. Version des Prüfprogramms und Prüfbericht aufschreiben.
• Datenfelder und lesbare Ansicht vergleichen. Zusätzliche Nachweise eindeutig zuordnen. Neue Sonderregeln für Bauleistungen nicht ungeprüft übernehmen – vorher die aktuellen Anweisungen der Finanzverwaltung und Fachveröffentlichungen prüfen.
• Korrekturen festlegen: Eine ausgestellte Rechnung nie unbemerkt überschreiben. Die Verbindung zwischen ursprünglicher und berichtigter Rechnung muss erhalten bleiben.

Nachweis

Steuerfall geprüft durch: __________________ Datum: ______________

Format / Version / Prüfprogramm: ________________________________

Testdatei / Prüfbericht / Ablageort: ______________________________

Ordentliche Ablage nach GoBD

• Für alles, was steuerlich wichtig ist, muss durch Organisation und Technik sichergestellt sein: vollständig, richtig, rechtzeitig erfasst, geordnet und nachvollziehbar. Ein Produktname allein ist dafür kein Nachweis. [R5, R8, R12]
• Kurz aufschreiben (Verfahrensdokumentation): Eingang und Erstellung, Prüfung, Freigabe, Korrektur, Ablage, Zugriffsrechte, Datensicherung, Export, Zuständige und Änderungen am Ablauf. Die Beschreibung muss zum echten Ablauf passen.
• E-Rechnungen in ihrem Original-Dateiformat aufbewahren. Zusätzliche steuerlich wichtige oder abweichende Angaben in Anlagen oder Ansicht mit aufbewahren. Nicht nur einen Ausdruck oder ein Bildschirmfoto ablegen. [R3, R8]
• Änderungen nachvollziehbar machen und unbemerkte Änderungen verhindern. Testen, ob Administratoren oder Schnittstellen die Schutzregeln umgehen können. Ein Versionsverlauf allein ist noch keine vollständige Kontrolle.
• Rechnungen grundsätzlich acht Jahre aufbewahren, gerechnet ab Ende des Jahres, in dem sie ausgestellt wurden. Abweichende oder längere Fristen und laufende Verfahren beachten. Nicht pauschal acht Jahre für den ganzen Auftragsordner festlegen. [R4, R5]
• Andere Unterlagen getrennt bewerten: Bücher und Abschlüsse, Geschäftsbriefe, Arbeitszeit- und Personalunterlagen, Verträge und Gewährleistungsnachweise. Löschfristen und Sperren fachlich abstimmen. [R5]
• Sicherstellen, dass Daten verfügbar, lesbar und maschinell auswertbar bleiben. Export mit Zusatzangaben und Belegbezug sowie Wiederherstellung testen. Bei einem Anbieterwechsel müssen Aufbewahrung und Zugriff erhalten bleiben. [R5]

Arbeitszeit und Mitarbeiterdaten

• Echten Beginn, echtes Ende und die Dauer der täglichen Arbeitszeit erfassen. Pausen richtig eintragen; prüfen, ob die Projektbuchungen den ganzen Arbeitstag abdecken. [R7]
• Fehlende Einträge sichtbar klären. Echte Zeiten nachmelden lassen, nachvollziehbar korrigieren und keine Arbeitszeit aus Lücken im System ableiten.
• Laut Auskunft des Bundesarbeitsministeriums (BMAS) gibt es keine allgemeine Formvorschrift, also keine bestimmte App. Diese Aussage vor November erneut auf Gesetzesänderungen prüfen. Branchenpflichten, Mindestlohn-Aufzeichnungen und Tarifregeln gesondert prüfen. [R7]
• Auch wenn Mitarbeitende selbst erfassen, bleibt der Arbeitgeber verantwortlich. Einen vorhandenen Betriebsrat früh beteiligen. [R7]
• Arbeitszeitnachweis, interne Kostenrechnung und Abrechnung beim Kunden klar trennen. Projektstunden sind keine automatische Freigabe für die Rechnung.

Nachweis

Zuständige Person für den Ablauf: _______________________________

Letzter Test von Export und Wiederherstellung: ____________________

Prüfung der Regeln zu Arbeitszeit und Mitbestimmung: _______________

Datenschutz im Ablauf

• Für jede Verarbeitung aufschreiben: wozu und auf welcher Rechtsgrundlage. Nur nötige Daten erheben; dauerhafte Standortverfolgung ist für die Zeiterfassung nicht der Normalfall. [R9, R11]
• Mitarbeitende und ggf. Kunden verständlich informieren. Fotos auf Personen, Autokennzeichen, private Bereiche und unnötige Zusatzdaten prüfen. Veröffentlichungen gesondert behandeln.
• Rechte nur so weit wie nötig: Baustellenteam, Bauleitung, Buchhaltung, Personal und Kunde. Auch direkte Links und Exporte auf Zugriffsschutz testen. Gesundheitsdaten besonders eng beschränken.
• Klären, welche Rolle Dienstleister haben. Wenn sie Daten im Auftrag verarbeiten: Vertrag nach Art. 28 DSGVO, Unterauftragnehmer, Löschung und Kontrollmöglichkeiten prüfen. Bei Übermittlung in Länder außerhalb der EU die Voraussetzungen nach Art. 44 ff. DSGVO prüfen. [R9]
• Lösch- und Aufbewahrungsregeln abstimmen. Rechte der Betroffenen (z. B. Auskunft) organisieren. Bei riskanten Verarbeitungen prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist. [R9]

IT-Sicherheit und Betrieb

• Persönliche Zugänge, Mehrfaktor-Anmeldung und getrennte Administrator-Zugänge. Wer den Betrieb verlässt: Zugang und offene Anmeldungen sofort sperren. [R10]
• Geräte aktuell halten, verschlüsseln und sperren. Regeln für Verlust, Sperren aus der Ferne und privat genutzte Geräte. Private Messenger nicht pauschal für Auftragsunterlagen erlauben.
• Datensicherung vor Verschlüsselung durch Schadsoftware und vor fremdem Zugriff schützen. Regelmäßig wiederherstellen und das Ergebnis aufschreiben. Zuständige und Vertretung benennen.
• Mail-Anhänge und Rechnungsdateien vorsichtig behandeln. Eine geänderte Bankverbindung über einen bekannten, unabhängigen Kontakt prüfen. Keine Zahlung nur wegen einer Dateiansicht freigeben.
• Daten, die ohne Internet auf dem Gerät liegen, schützen: Gerätesperre, Warteschlange, Kontrolle der späteren Übertragung und erneute Versuche testen. Browserdaten nicht löschen, solange Einträge noch nicht übertragen sind.
• Notfallweg festlegen: Wer wird bei Ausfall oder Datenpanne informiert? Wie wird die Arbeit solange festgehalten und später geprüft nachgetragen? Meldepflichten von der zuständigen Stelle prüfen lassen.

Automatisierung und KI

Nur freigegebene Dienste und geeignete Daten verwenden. Entwürfe als Entwurf kennzeichnen. Keine erfundenen Angaben übernehmen. Versand, Freigabe der Leistung und Steuerentscheidung bleiben Schritte, die ein Mensch kontrolliert. Nötige KI-Kenntnisse und geltende Pflichten gesondert prüfen.

Freigabe des Testbetriebs: zuständige Person _____________

Offene wichtige Punkte / Termin: _________________________________