Kassensysteme, Datenschutz und GoBD: der rechtliche Rahmen

Ein Kassensystem ist aus rechtlicher Sicht kein reines Verkaufswerkzeug, sondern ein Instrument, mit dem steuerlich relevante und häufig zugleich personenbezogene Daten erhoben und verarbeitet werden. Wer eine elektronische Kasse betreibt, unterliegt damit zwei getrennten, aber nebeneinander geltenden Regelungskomplexen: den steuerrechtlichen Aufzeichnungs- und Aufbewahrungspflichten einerseits und dem Datenschutzrecht andererseits. Dieser Ratgeber ordnet beide Bereiche ein und erläutert am Ende, warum der Rechner auf dieser Seite bewusst so gebaut ist, dass er keine dieser Pflichten auslöst.

Vorab ein Hinweis, der für den gesamten Text gilt: Die folgenden Ausführungen dienen der allgemeinen Orientierung und ersetzen keine individuelle Rechts- oder Steuerberatung. Für die verbindliche Beurteilung des Einzelfalls sind die zuständige Steuerberatung, die Finanzverwaltung sowie gegebenenfalls eine fachkundige Rechtsberatung heranzuziehen.

Die steuerrechtliche Ebene: GoBD und Paragraph 146a AO

Die zentrale steuerliche Vorgabe für den Betrieb elektronischer Kassensysteme ergibt sich aus Paragraph 146a der Abgabenordnung. Danach müssen aufzeichnungspflichtige Geschäftsvorfälle einzeln, vollständig, richtig, zeitgerecht und geordnet festgehalten werden. Ergänzend hat jede eingesetzte Kasse über eine zertifizierte technische Sicherheitseinrichtung zu verfügen, die jeden Vorgang fälschungssicher protokolliert. Die technischen Anforderungen an diese Einrichtung sind in einem eigenen Beitrag ausführlich dargestellt: TSE-Pflicht bei Kassensystemen.

Konkretisiert werden diese gesetzlichen Vorgaben durch die sogenannten GoBD, die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff. Es handelt sich dabei um ein Schreiben der Finanzverwaltung, das festlegt, wie steuerlich relevante Daten zu erfassen, zu sichern und vorzuhalten sind. Kernanliegen ist die Unveränderbarkeit: Eine einmal erfasste Buchung darf nicht mehr spurlos verändert oder gelöscht werden können. Nachträgliche Korrekturen müssen als solche erkennbar und nachvollziehbar bleiben.

Die folgende Übersicht fasst die tragenden Ordnungsmäßigkeitsgrundsätze zusammen, an denen sich jedes Kassensystem messen lassen muss.

Grundsatz	Bedeutung für die Kassenführung
Einzelaufzeichnung	Jeder Geschäftsvorfall wird gesondert und nicht nur summarisch erfasst.
Vollständigkeit	Sämtliche Vorgänge werden lückenlos aufgezeichnet, ohne Auslassungen.
Richtigkeit	Die Aufzeichnung gibt den tatsächlichen Vorgang inhaltlich zutreffend wieder.
Zeitgerechtheit	Die Erfassung erfolgt zeitnah zum Geschäftsvorfall, nicht verzögert.
Ordnung	Die Daten sind systematisch und nachvollziehbar strukturiert.
Unveränderbarkeit	Nachträgliche Änderungen sind ausgeschlossen oder bleiben dokumentiert erkennbar.

Hinzu kommt die Aufbewahrungspflicht. Steuerlich relevante Kassendaten sind grundsätzlich zehn Jahre lang aufzubewahren, und zwar in maschinell auswertbarer Form. Es genügt also nicht, am Jahresende einen Papierausdruck abzuheften. Die digitalen Einzeldaten selbst müssen über den gesamten Zeitraum verfügbar und lesbar bleiben, auch nach einem Wechsel der Kassensoftware oder des Anbieters. Diesen Punkt sollte man bei der Auswahl eines Systems frühzeitig klären, weil die spätere Migration von Altdaten sonst zum Problem wird.

Datenzugriff des Finanzamts: Z1, Z2 und Z3

Damit die Finanzverwaltung die aufbewahrten Daten prüfen kann, sieht die Abgabenordnung drei Zugriffsarten vor. Sie unterscheiden sich danach, wer auf die Daten zugreift und in welcher Form diese bereitgestellt werden.

Zugriffsart	Bezeichnung	Beschreibung
Z1	Unmittelbarer Zugriff	Die Prüferin oder der Prüfer greift selbst lesend auf das System zu.
Z2	Mittelbarer Zugriff	Der Betrieb wertet die Daten nach Vorgabe aus und stellt das Ergebnis bereit.
Z3	Datenträgerüberlassung	Die Daten werden in einem auswertbaren Format übergeben.

Für den dritten Fall, die Datenträgerüberlassung, hat sich ein einheitliches Exportformat etabliert: die Digitale Schnittstelle der Finanzverwaltung für Kassensysteme, kurz DSFinV-K. Sie legt fest, in welcher Struktur die Kassendaten ausgegeben werden müssen, damit sie prüffähig sind. Ein Kassensystem, das diese Schnittstelle sauber bedient, erspart im Prüfungsfall erheblichen Aufwand. Auch dieser Punkt gehört auf die Prüfliste bei der Anschaffung.

Die Kassennachschau nach Paragraph 146b AO

Eine Besonderheit des Kassenrechts ist die Kassennachschau nach Paragraph 146b der Abgabenordnung. Anders als eine reguläre Außenprüfung wird sie nicht angekündigt. Die Finanzbehörde darf während der üblichen Geschäftszeiten unangemeldet erscheinen und die Ordnungsmäßigkeit der Kassenaufzeichnungen sowie der Kassenführung überprüfen. Dazu gehört insbesondere die Frage, ob die eingesetzte technische Sicherheitseinrichtung ordnungsgemäß arbeitet und ob die Aufzeichnungen den oben genannten Grundsätzen entsprechen.

Im Rahmen der Nachschau kann verlangt werden, dass die gespeicherten Daten über die vorgesehene Schnittstelle ausgegeben werden. Wer hier keine prüffähigen Daten liefern kann, riskiert, dass die Finanzverwaltung die Grundlagen der Besteuerung schätzt. Für die Praxis bedeutet das: Die Ordnungsmäßigkeit muss dauerhaft gewährleistet sein, nicht nur zum Zeitpunkt einer angekündigten Prüfung. Ein System, das jederzeit einen sauberen DSFinV-K-Export liefert, ist an dieser Stelle die deutlich ruhigere Wahl.

Die datenschutzrechtliche Ebene: DSGVO

Neben dem Steuerrecht steht das Datenschutzrecht, das einer eigenen Logik folgt. Die Datenschutz-Grundverordnung greift, sobald personenbezogene Daten verarbeitet werden. Bei einem Kassensystem ist das häufiger der Fall, als es auf den ersten Blick erscheint. Personenbezug entsteht etwa bei Kundenkonten und Kundenkarten, bei auf Namen ausgestellten Rechnungen, bei Liefer- oder Reservierungsdaten und regelmäßig auch bei Kartenzahlungen, bei denen Transaktionsdaten anfallen.

Verantwortlich für diese Verarbeitung im Sinne der DSGVO ist zunächst der Händler oder Gastronom selbst, also der Betrieb, der das Kassensystem einsetzt. Ihm obliegen die zentralen Pflichten: eine Rechtsgrundlage für jede Verarbeitung, die Information der betroffenen Personen, die Wahrung ihrer Rechte sowie die Datensparsamkeit, also die Beschränkung auf das, was tatsächlich erforderlich ist. Kassendaten dürfen demnach nicht über das notwendige Maß hinaus gesammelt und nicht länger als nötig gespeichert werden, wobei die steuerlichen Aufbewahrungsfristen als eigenständige Rechtsgrundlage die Speicherung der steuerlich relevanten Daten rechtfertigen.

Cloud-Kassen und Auftragsverarbeitung

Ein datenschutzrechtlich sensibler Punkt betrifft Cloud-Kassensysteme. Wird die Kassensoftware nicht lokal betrieben, sondern läuft sie beim Anbieter, so verarbeitet dieser Anbieter personenbezogene Daten im Auftrag des Betriebs. Es handelt sich damit um eine Auftragsverarbeitung im Sinne des Artikels 28 der DSGVO. Erforderlich ist in diesem Fall ein Vertrag zur Auftragsverarbeitung, kurz AV-Vertrag, der die Pflichten des Anbieters, die Art der Daten und die technisch-organisatorischen Maßnahmen verbindlich regelt. Ohne einen solchen Vertrag ist die Verarbeitung nicht rechtskonform.

Zu klären ist außerdem der Serverstandort. Werden Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, liegt ein Drittlandtransfer vor, der nur unter zusätzlichen Voraussetzungen zulässig ist, etwa auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie den Standardvertragsklauseln. Wer ein Cloud-System auswählt, sollte daher gezielt nach dem Verarbeitungsort und den vertraglichen Grundlagen fragen. Weitere Hinweise zum Umgang mit personenbezogenen Daten auf dieser Website finden sich in unserer Datenschutzerklärung.

Wie dieser Rechner mit dem rechtlichen Rahmen umgeht

Vor diesem Hintergrund ist eine Einordnung des Werkzeugs auf dieser Seite angebracht, denn hier bestehen häufig Missverständnisse. Der Kostenrechner auf kassen-vergleich.net ist ausdrücklich keine Kassensoftware. Er zeichnet keine Geschäftsvorfälle auf, führt keine Kasse, erzeugt keine steuerlich relevanten Aufzeichnungen und unterliegt damit weder den GoBD noch der Aufzeichnungspflicht nach Paragraph 146a der Abgabenordnung. Er dient allein dazu, die Gesamtkosten verschiedener Kassenmodelle rechnerisch gegenüberzustellen.

Datenschutzrechtlich ist das Werkzeug so gestaltet, dass es Verarbeitungsrisiken von vornherein vermeidet. Die vom Nutzer eingegebenen Kostenzahlen werden ausschließlich lokal im Browser verarbeitet. Es findet keine Übertragung an einen Server statt, und es werden keine Eingaben gespeichert. Sobald die Seite geschlossen wird, sind die eingegebenen Werte verschwunden. Diese Bauweise ist bewusst gewählt: Sie setzt den Grundsatz der Datensicherheit aus Artikel 32 der DSGVO auf die einfachste denkbare Weise um, nämlich dadurch, dass gar keine Daten das Gerät des Nutzers verlassen und mithin nichts übertragen oder vorgehalten werden muss, das geschützt werden müsste.

Zudem sind die eingegebenen Werte in aller Regel ohnehin nicht personenbezogen. Wer Hardwarepreise, ein Software-Abo und einen geschätzten Kartenumsatz einträgt, gibt keine Daten ein, die auf eine bestimmte Person zurückführen. Der Rechner ist damit sowohl steuerrechtlich als auch datenschutzrechtlich unkritisch und lässt sich ohne rechtliche Vorbehalte nutzen.

Zusammenfassung

Der Betrieb eines elektronischen Kassensystems bewegt sich in einem doppelten rechtlichen Rahmen. Steuerlich verlangen Paragraph 146a der Abgabenordnung und die GoBD eine einzelne, vollständige, richtige, zeitgerechte, geordnete und unveränderbare Aufzeichnung, eine zehnjährige Aufbewahrung in auswertbarer Form sowie einen prüffähigen Datenzugriff über die Zugriffsarten Z1 bis Z3 und das einheitliche Exportformat DSFinV-K. Die unangekündigte Kassennachschau nach Paragraph 146b der Abgabenordnung stellt sicher, dass diese Ordnungsmäßigkeit jederzeit gegeben sein muss. Datenschutzrechtlich ist der Betrieb als Verantwortlicher gefragt, insbesondere bei Kundendaten und Kartenzahlungen, und muss bei Cloud-Systemen einen Auftragsverarbeitungsvertrag nach Artikel 28 der DSGVO schließen sowie den Serverstandort im Blick behalten.

Der Rechner auf dieser Seite steht außerhalb dieses Pflichtenkreises, weil er keine steuerlich relevanten Aufzeichnungen führt und ausschließlich lokal im Browser rechnet, ohne Daten zu übertragen oder zu speichern. Für die verbindliche Beurteilung der eigenen Kassenführung bleiben gleichwohl die Steuerberatung und die Finanzverwaltung die maßgeblichen Ansprechpartner.