Stand 23.10.2026 | Arbeitsgrundlage zur betrieblichen Prüfung

Je Punkt festhalten: erledigt / offen / nicht einschlägig, verantwortliche Person, Nachweis und Termin. Die Liste ist keine Konformitätsbescheinigung und ersetzt keine Prüfung des Einzelfalls.

E Rechnung und Steuerfall

• Anwendungsbereich bestimmen: inländischer B2B-Umsatz, B2C oder öffentlicher Auftraggeber? Steuerbefreiungen, Kleinunternehmerregelung und weitere Ausnahmen prüfen. [R1, R3, R6]
• Empfangsweg funktionsfähig halten. Seit 2025 gilt die Empfangsanforderung im B2B-Anwendungsbereich auch für Kleinunternehmer. Eine lesbare Ansicht allein ersetzt nicht das Erhalten und Bewahren der strukturierten Datei. [R3]
• Ausstellungsfrist feststellen: Übergangsregel 2026, Vorjahresgesamtumsatz über beziehungsweise höchstens 800.000 EUR für 2027; Sonderregel für EDI beachten. Die 800.000-EUR-Grenze ist keine Kleinunternehmergrenze. [R2]
• Bei Nutzung sonstiger elektronischer Rechnungen in der Übergangszeit Empfängerzustimmung beachten. Papier ist in dieser Übergangsregel nicht an dieselbe Zustimmung gebunden. [R2]
• Pflichtangaben prüfen: vollständige Namen und Anschriften, Steuerkennung des Leistenden, Datum, eindeutige Rechnungsnummer, Leistung und Menge, Leistungszeitpunkt, Entgelt, Steuerbetrag beziehungsweise Steuerhinweis und einschlägige Sonderangaben. [R1]
• Im Baugewerbe insbesondere § 13b, Abschläge, Schlussrechnung, Nachträge und Einbehalte fachlich prüfen. Der Musterfall setzt ausdrücklich keinen §-13b-Fall voraus.
• Format, Profil, Version und Empfangskanal mit Empfänger und Software abstimmen. XRechnung ist nicht auf B2G beschränkt. Bei öffentlichen Auftraggebern zusätzliche Vorgaben, gegebenenfalls Leitweg-ID und Portalweg prüfen. [R3]
• Schema und Geschäftsregeln validieren; tatsächliche Leistung, Beträge und Steuerbehandlung zusätzlich fachlich prüfen. Validatorversion und Bericht dokumentieren.
• Strukturierte Daten und lesbare Darstellung vergleichen. Ergänzende Nachweise eindeutig zuordnen. Neue Bauleistungs-Sonderregeln nicht ungeprüft übernehmen; vor Anwendung die aktuellen Verwaltungsanweisungen und Fachveröffentlichungen prüfen.
• Korrekturweg festlegen: ausgestellte Rechnungen nicht still überschreiben. Bezug zwischen ursprünglicher und berichtigter Rechnung erhalten.

Nachweisfelder

Steuerfall geprüft durch: __________________ Datum: ______________

Format / Version / Validator: ___________________________________

Testdatei / Prüfbericht / Ablage: _________________________________

GoBD und geordnete Aufbewahrung

• Für steuerlich relevante Vorgänge Vollständigkeit, Richtigkeit, zeitgerechte Erfassung, Ordnung und Nachvollziehbarkeit organisatorisch und technisch abbilden. Eine Produktbezeichnung ersetzt den Nachweis nicht. [R5, R8, R12]
• Kurz dokumentieren: Eingang und Erstellung, Prüfung, Freigabe, Korrektur, Ablage, Rechte, Sicherung, Export, Verantwortliche und Änderungen am Verfahren. Verfahrensdokumentation an den tatsächlichen Ablauf anpassen.
• Strukturierte Rechnungsdaten im Ursprungsformat aufbewahren. Zusätzliche steuerlich relevante oder abweichende Informationen in Anlagen beziehungsweise Darstellung mitbewahren. Keine ausschließliche Ablage als Ausdruck oder Bildschirmbild. [R3, R8]
• Änderungen nachvollziehbar machen und unbemerkte Änderungen verhindern. Testen, ob Administrierende oder Schnittstellen Schutzregeln umgehen können. Versionshistorie allein ist kein vollständiges Kontrollsystem.
• Für Rechnungen grundsätzlich acht Jahre, gerechnet ab Ende des Ausstellungsjahres. Abweichende beziehungsweise verlängerte Fristen und laufende Verfahren beachten. Keine einheitliche Achtjahresfrist für die gesamte Bauakte festlegen. [R4, R5]
• Weitere Dokumentklassen getrennt bewerten: Bücher und Abschlüsse, Geschäftsbriefe, Arbeitszeit- und Personalunterlagen, Verträge und Gewährleistungsnachweise. Löschfristen und Sperren fachlich abstimmen. [R5]
• Verfügbarkeit, Lesbarkeit und maschinelle Auswertbarkeit sichern. Export einschließlich Metadaten und Belegbezug sowie Rücksicherung testen. Beim Anbieterwechsel Aufbewahrung und Zugriff erhalten. [R5]

Arbeitszeit und Beschäftigtendaten

• Tatsächlichen Beginn, Ende und Dauer der täglichen Arbeitszeit erfassen. Pausen korrekt abbilden; Projektbuchungen auf Vollständigkeit des Arbeitstags prüfen. [R7]
• Fehlende Stempel sichtbar klären. Tatsächliche Zeiten nachmelden lassen, prüfbar berichtigen und keine Arbeitszeit aus Systemlücken ableiten.
• Nach BMAS-Auskunft besteht keine allgemeine Formvorschrift; die Aussage vor November erneut auf Gesetzesänderungen prüfen. Branchenpflichten, Mindestlohnaufzeichnungen und Tarifregeln gesondert bewerten. [R7]
• Arbeitgeberverantwortung bleibt bei delegierter Erfassung bestehen. Bestehende Mitbestimmungsrechte früh berücksichtigen. [R7]
• Arbeitszeitnachweis, interne Kostenrechnung und vertragliche Abrechnung klar trennen. Projektstunden sind keine automatische Rechnungsfreigabe.

Nachweisfelder

Verfahrensverantwortliche Person: _______________________________

Letzter Export- und Wiederherstellungstest: _______________________

Prüfung von Arbeitszeit- und Mitbestimmungsregeln: _________________

Datenschutz im Ablauf

• Zwecke und Rechtsgrundlagen je Verarbeitung dokumentieren. Erforderliche Daten bestimmen; dauerhafte Standorterfassung nicht als Standard für Zeiterfassung voraussetzen. [R9, R11]
• Beschäftigte und gegebenenfalls Kunden verständlich informieren. Fotos auf Personen, Kennzeichen, Privatbereiche und unnötige Metadaten prüfen. Veröffentlichungen gesondert behandeln.
• Rollen nach Erforderlichkeit: Baustellenteam, Bauleitung, Buchhaltung, Personal und Kunde. Auch Direktlinks und Exporte auf Zugriffsschutz testen. Gesundheitsdaten besonders beschränken.
• Dienstleisterrollen klären. Soweit Auftragsverarbeitung vorliegt, Vertrag nach Art. 28 DSGVO, Unterauftragnehmer, Löschung und Kontrollmöglichkeiten prüfen. Bei Drittlandübermittlungen passende Voraussetzungen nach Art. 44 ff. bewerten. [R9]
• Lösch- und Aufbewahrungsregeln abstimmen. Betroffenenrechte organisieren. Bei risikoreichen Verarbeitungen die Erforderlichkeit einer Datenschutz-Folgenabschätzung prüfen. [R9]

IT Sicherheit und Betriebsfähigkeit

• Persönliche Konten, Mehrfaktor-Anmeldung und getrennte Administrationskonten vorsehen. Bei Austritt Zugang und aktive Sitzungen sperren. [R10]
• Geräte aktuell halten, verschlüsseln und sperren. Verlustmeldung, Fernsperre und Umgang mit privat genutzten Geräten regeln. Keine pauschale Freigabe privater Messenger für Bauakten.
• Datensicherung gegen Mitverschlüsselung und unberechtigten Zugriff schützen. Regelmäßige Rücksicherung mit protokolliertem Ergebnis durchführen. Verantwortliche und Vertretung benennen.
• E-Mail-Anhänge und Rechnungsdateien geschützt verarbeiten. Geänderte Bankverbindungen über einen bekannten unabhängigen Kontakt prüfen. Keine Zahlung nur aufgrund einer Dateiansicht freigeben.
• Offline-Daten schützen: Gerätesperre, Warteschlange, Synchronisationskontrolle und Wiederholungslogik testen. Lokale Browserdaten nicht löschen, solange Einträge ungesendet sind.
• Notfallweg festlegen: wen bei Ausfall oder Datenvorfall informieren, wie Arbeit dokumentieren, wie Daten später kontrolliert nacherfassen? Meldepflichten durch zuständige Stelle prüfen lassen.

Automatisierung und KI

Nur freigegebene Dienste und geeignete Daten verwenden. Entwürfe als solche kennzeichnen. Keine erfundenen Angaben übernehmen. Versand, Leistungsfreigabe und Steuerentscheidung bleiben kontrollierte Schritte. Benötigte KI-Kompetenz und einschlägige Pflichten gesondert bewerten.

Freigabe des Pilotbetriebs: Verantwortliche Person _____________

Offene kritische Punkte / Termin: _________________________________