Online-Validator mit Upload oder lokale Prüfung im Browser?
Direkte Antwort: Technisch können beide dasselbe Ergebnis liefern, wenn sie dieselben Regelwerke verwenden. Der Unterschied liegt im Datenfluss: Ein Online-Validator mit Upload sieht Ihre Rechnung – mit Kundendaten, Preisen, Bankverbindung – und speichert sie möglicherweise. Eine lokale Prüfung im Browser (oder mit dem KoSIT-Validator auf dem eigenen Rechner) lässt die Datei bei Ihnen. Für vertrauliche Rechnungen ist deshalb lokal die Regel; ein Upload ist vertretbar, wenn der Anbieter vertraglich gebunden ist (Auftragsverarbeitung) oder die Daten synthetisch sind.
Gegenüberstellung
| Aspekt | Upload-Validator | Lokale Prüfung im Browser | KoSIT-Validator (Java, lokal) |
|---|---|---|---|
| Datenfluss | Datei geht an den Anbieter | bleibt im Browser | bleibt auf dem Rechner |
| Datenschutz | AV-Vertrag nötig, wenn personenbezogene Daten (fast immer: Namen, Adressen) | keine Übermittlung | keine Übermittlung |
| Installation | keine | keine | Java + Konfiguration |
| Regelwerke | je Anbieter, oft nicht versioniert | KoSIT/CEN/Factur-X, versioniert | Referenz |
| Geschwindigkeit | Upload + Serverlauf | erster Start lädt Regeln (einmalig), dann Sekunden | Sekunden |
| Stapel | je nach Tarif | 50 Dateien je Sitzung | unbegrenzt, skriptbar |
| Automatisierung | API (meist kostenpflichtig) | keine | Kommandozeile, Daemon |
Wann ein Upload vertretbar ist
- Der Anbieter ist Ihr Auftragsverarbeiter (Vertrag nach Art. 28 DSGVO), z. B. als Teil Ihrer Buchhaltungssoftware.
- Die Datei enthält keine schutzwürdigen Daten (Testdateien, anonymisierte Muster).
- Ihr Kunde hat der Weitergabe zugestimmt oder der Dienst ist der vereinbarte Übertragungsweg (Behördenportal).
In allen anderen Fällen prüfen Sie lokal. Das gilt besonders für Steuerberatungen, Rechtsanwaltskanzleien, Gesundheitsberufe und alle, die Geheimhaltungsvereinbarungen unterschrieben haben.
Wie die lokale Prüfung im Browser funktioniert
Die Prüfregeln (XML-Schemata, Schematron-Regelwerke) werden einmalig vom Server geladen – wie jede andere Programmdatei. Danach läuft die Prüfung in einem Web Worker auf Ihrem Gerät. Dass dabei keine Datei übertragen wird, haben wir mit Netzwerkprotokollen verifiziert (Über uns); Sie können es in den Entwicklerwerkzeugen Ihres Browsers selbst beobachten. Die Grenze: Was lokal nicht geht (etwa eine vollständige PDF/A-Prüfung mit veraPDF), meldet der Bericht als „Nicht geprüft“ – anstatt es stillschweigend auf einen Server zu verlagern.
Beispiel
Eine Kanzlei prüft Eingangsrechnungen ihrer Mandanten. Ein Upload-Dienst wäre eine Weitergabe von Mandantendaten an Dritte ohne Auftrag – unzulässig. Die lokale Prüfung liefert denselben Bericht mit Regel-IDs; die Kanzlei legt ihn zum Beleg.
Häufige Fehler
- „Es ist ja nur eine Rechnung“: Eine Rechnung enthält regelmäßig personenbezogene Daten.
- Anbieter im Drittland ohne Angemessenheitsbeschluss oder Standardvertragsklauseln nutzen.
- Lokale Prüfung für weniger gründlich halten: Entscheidend ist das Regelwerk, nicht der Ort.
- Testdateien mit echten Daten auf Upload-Dienste laden.
Grenzen
Keine Rechtsberatung zu DSGVO-Fragen im Einzelfall. Die Aussagen zu Belegivo beziehen sich auf den dokumentierten Stand; prüfen Sie den Netzwerkverkehr selbst.
Passendes Werkzeug: E-Rechnung prüfen – lokal im Browser, ohne Datei-Upload.
Quellen
- Art. 28 DSGVO – Auftragsverarbeitung (abgerufen 22.10.2026)
- KoSIT Validator (Open Source, lokal oder als Daemon betreibbar) (abgerufen 22.10.2026)