Datenschutz bei E-Rechnungen: Warum Uploads ein Risiko sind
Hinweis zu rechtlichen Inhalten: Dieser Artikel gibt den Stand der genannten Quellen wieder (Oktober 2026). Er ist keine Steuer- oder Rechtsberatung. Gesetzliche Regelungen und Verwaltungsanweisungen können sich ändern; maßgeblich sind die verlinkten amtlichen Quellen.
Direkte Antwort: Eine Rechnung enthält fast immer personenbezogene Daten (Namen, Adressen, Kontaktpersonen, Bankverbindungen) und oft Geschäftsgeheimnisse (Preise, Konditionen, Kundenbeziehungen). Wer sie auf einen Online-Dienst hochlädt, überträgt diese Daten an einen Dritten – das ist eine Verarbeitung im Sinne der DSGVO, die eine Rechtsgrundlage und bei Dienstleistern einen Auftragsverarbeitungsvertrag (Art. 28) braucht; bei Anbietern außerhalb der EU zusätzlich Transfergarantien. Für Steuerberater, Anwälte und Ärzte kommt § 203 StGB hinzu. Lokale Verarbeitung im Browser vermeidet das Problem, weil keine Übertragung stattfindet.
Was in einer Rechnung steckt
| Datenkategorie | Beispiel | Schutzbedarf |
|---|---|---|
| Personenbezogen | Ansprechpartner, E-Mail, Telefon (BT-41 ff.), Einzelunternehmer als Partei | DSGVO |
| Finanzdaten | IBAN, Kreditoren-ID, Zahlungsbedingungen | DSGVO, Betrugsrisiko |
| Geschäftsgeheimnisse | Preise, Rabatte, Mengen, Kundenliste über viele Rechnungen | GeschGehG, Verträge (NDA) |
| Berufsgeheimnisse | Mandanten-/Patientenbezug (Kanzleien, Praxen) | § 203 StGB |
| Eingebettete Anhänge | Stundenzettel mit Namen, Verträge | DSGVO, Vertraulichkeit |
Was ein Upload-Dienst erfüllen müsste
- Rechtsgrundlage für die Weitergabe – meist berechtigtes Interesse oder Vertrag; bei Mandantendaten oft nicht gegeben.
- AV-Vertrag (Art. 28) mit dem Anbieter, inklusive Löschfristen und Subunternehmern.
- Drittland: Angemessenheitsbeschluss oder Standardvertragsklauseln plus Transfer-Folgenabschätzung.
- Information der Betroffenen (Art. 13/14), zumindest in der Datenschutzerklärung.
- Technische Sicherheit (Verschlüsselung, Zugriffskontrolle) – für Sie nicht prüfbar.
Viele kostenlose Validatoren erfüllen das nicht; ihre Datenschutzerklärung nennt oft Speicherung „zur Verbesserung des Dienstes“.
Lokale Verarbeitung als Lösung
Werkzeuge, die vollständig im Browser laufen, übertragen keine Dateien. Belegivo lädt Programmcode und Prüfregeln vom Server und verarbeitet die Rechnung im Arbeitsspeicher Ihres Geräts; Sie können das im Netzwerk-Tab prüfen (Verifikation). Damit entfällt die Weitergabe – und mit ihr AV-Vertrag, Transferprüfung und Informationspflicht für diesen Vorgang. Was bleibt: Ihre eigene Pflicht, die Dateien sicher aufzubewahren (Archivierung).
Beispiel
Eine Steuerkanzlei will 200 Mandantenrechnungen validieren. Upload auf einen Gratis-Dienst: Weitergabe von Mandantendaten ohne Auftrag, Verstoß gegen Berufsgeheimnis denkbar. Lokale Stapelprüfung im Browser oder mit dem KoSIT-Validator auf dem Kanzleirechner: keine Übertragung (Online-Validator oder lokal).
Häufige Fehler
- „Es sind nur Firmendaten“ – Ansprechpartner sind Personen.
- AV-Vertrag nur für die Buchhaltungssoftware, nicht für das Validierungstool daneben.
- Testdateien mit echten Daten auf Online-Dienste laden.
- Weiterleitung von Rechnungen an private Postfächer.
Grenzen
Keine Rechtsberatung. Ob im Einzelfall ein berechtigtes Interesse eine Weitergabe trägt, bedarf einer Abwägung; bei Berufsgeheimnisträgern gelten strengere Maßstäbe.
Passendes Werkzeug: E-Rechnung ansehen – lokal im Browser, ohne Datei-Upload.
Quellen
- DSGVO Art. 4 Nr. 1 (personenbezogene Daten), Art. 28 (Auftragsverarbeitung), Art. 44 ff. (Drittlandtransfer) (abgerufen 22.10.2026)
- § 203 StGB – Verletzung von Privatgeheimnissen (Berufsgeheimnisträger) (abgerufen 22.10.2026)