GoBD und Revisionssicherheit in der Personalabrechnung

GoBD steht für die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (BMF-Schreiben vom 28.11.2019, zuletzt geändert am 14.07.2025) und gilt für jedes Unternehmen, das nach den §§ 140 bis 147 der Abgabenordnung zur Buchführung verpflichtet ist. Für die Lohnabrechnung bedeutet das: Lohnkonten, Buchungsbelege und die dazugehörige Software müssen nachvollziehbar, vollständig, richtig, zeitgerecht, geordnet und unveränderbar geführt werden. Payroll- und HR-Systeme müssen zusätzlich eine schriftliche Verfahrensdokumentation vorhalten und der Finanzverwaltung im Prüfungsfall einen maschinell auswertbaren Datenexport ermöglichen.

Die Verfahrensdokumentation beschreibt, wie ein Unternehmen seine Lohn- und Buchhaltungsdaten technisch und organisatorisch erfasst, verarbeitet, aufbewahrt und schützt, damit ein sachverständiger Dritter den Prozess in angemessener Zeit nachvollziehen kann. Sie umfasst typischerweise eine Anwenderdokumentation, eine technische Systemdokumentation, eine Betriebsdokumentation sowie ein internes Kontrollsystem. Verantwortlich ist das Unternehmen selbst, nicht der Softwarehersteller, auch wenn viele Payroll-Anbieter Vorlagen liefern. Fehlt sie oder ist sie ungenügend, liegt nach Rn. 155 der GoBD ein formeller Mangel mit sachlichem Gewicht nur vor, wenn dadurch die Nachvollziehbarkeit und Nachprüfbarkeit beeinträchtigt ist. Dann kann die Beweiskraft der Buchführung nach § 158 AO gefährdet sein.

Unveränderbarkeit bedeutet, dass einmal erfasste Buchungen und Lohndaten nicht mehr rückwirkend gelöscht oder inhaltlich überschrieben werden dürfen, sondern jede nachträgliche Änderung durch eine dokumentierte Storno- oder Korrekturbuchung mit Zeitstempel und Benutzerkennung nachvollziehbar sein muss. Payroll-Software muss dafür eine lückenlose Änderungshistorie beziehungsweise ein Protokollierungssystem führen, das Wer, Wann und Was einer Änderung dokumentiert. Die GoBD lassen dafür technische, softwaregestützte und organisatorische Maßnahmen zu, etwa Sperren, Festschreibung, automatische Protokollierung und Versionierung. Die bloße Ablage von Daten in einem Dateisystem erfüllt die Anforderung regelmäßig nicht (Rn. 110). Reine Tabellenkalkulationen ohne Versionshistorie sind deshalb für Lohndaten kaum geeignet.

Der Datenzugriff der Finanzverwaltung nach § 147 Abs. 6 AO wird in der Praxis in drei Stufen unterschieden: Z1, der unmittelbare Nur-Lese-Zugriff der Prüferin auf das System, Z2, der mittelbare Zugriff über eigenes Personal, und Z3, die Überlassung der Daten auf einem Datenträger in einem maschinell auswertbaren Format. Die Finanzbehörde entscheidet nach pflichtgemäßem Ermessen, welche der drei gleichberechtigten Möglichkeiten sie nutzt, und kann sie auch kombinieren (Rn. 163 f.). Payroll- und HR-Software sollte daher alle drei bedienen können, besonders wichtig ist ein vollständiger Export von Lohnkonten, Buchungsbelegen und Stammdaten in einem auswertbaren Format. Fehlt eine solche Exportfunktion, kann das bei einer Lohnsteuer-Außenprüfung zu Beanstandungen führen.

Buchungsbelege, zu denen auch Lohn- und Gehaltsabrechnungen zählen, müssen seit dem 1. Januar 2025 grundsätzlich noch 8 statt zuvor 10 Jahre aufbewahrt werden (§ 257 Abs. 4 Satz 1 HGB, § 147 Abs. 3 Satz 1 AO, geändert durch das Vierte Bürokratieentlastungsgesetz). Das Lohnkonto selbst hat eine eigene, kürzere Frist: Es ist bis zum Ablauf des sechsten Kalenderjahres aufzubewahren, das auf die zuletzt eingetragene Lohnzahlung folgt (§ 41 Abs. 1 Satz 9 EStG). Handelsbücher, Inventare und Jahresabschlüsse bleiben unverändert bei 10 Jahren. Für Kreditinstitute, Versicherungsunternehmen und Wertpapierinstitute gilt für Buchungsbelege dauerhaft weiterhin die 10-Jahres-Frist.

Nein. § 257 Abs. 4 Satz 2 HGB sieht ausdrücklich vor, dass Institute im Sinne des § 1 Abs. 1b Kreditwesengesetz, Unternehmen, die der Aufsicht nach § 1 Abs. 1 Versicherungsaufsichtsgesetz unterliegen, sowie Wertpapierinstitute im Sinne des § 2 Abs. 1 Wertpapierinstitutsgesetz ihre Buchungsbelege weiterhin 10 Jahre aufbewahren müssen. Das ist keine befristete Übergangsregelung, sondern eine dauerhafte, im Gesetzestext selbst verankerte Sonderregel für den regulierten Finanzsektor. Ein häufiges Missverständnis ist, dass Banken und Versicherer bis 2026 auf 8 Jahre umstellen würden; richtig ist, dass Art. 95 Satz 2 des Einführungsgesetzes zum Handelsgesetzbuch für diese Unternehmen lediglich den technischen Anwendungszeitpunkt der neuen Gesetzesfassung auf den 1. Januar 2026 verschiebt, ohne die 10-Jahres-Frist selbst zu ändern.

Entspricht die Buchführung nicht den §§ 140 bis 148 AO, entfällt die gesetzliche Vermutung der Beweiskraft nach § 158 AO, sodass die Finanzverwaltung die Besteuerungsgrundlagen ganz oder teilweise nach § 162 AO schätzen kann. In der Praxis drohen dadurch Steuernachzahlungen, Verzögerungen bei Betriebsprüfungen und ein erhöhtes Prüfungsrisiko für Folgejahre. Eine fehlende oder unvollständige Verfahrensdokumentation wird nach Rn. 155 der GoBD erst dann zum formellen Mangel mit sachlichem Gewicht, wenn sie die Nachvollziehbarkeit und Nachprüfbarkeit beeinträchtigt. Deshalb sollte die GoBD-Konformität der eingesetzten HR- und Payroll-Software vor der Einführung und danach regelmäßig überprüft werden.

Nein, die GoBD gelten spezifisch für buchführungs- und steuerrelevante Unterlagen wie Lohnkonten und Buchungsbelege, nicht für die vollständige Personalakte mit Bewerbungsunterlagen, Arbeitsverträgen oder Zeugnissen. Für die Personalakte gelten eigene, meist kürzere Aufbewahrungs- und Löschfristen aus DSGVO-Erwägungen und arbeitsrechtlichen Vorgaben, die unabhängig von den GoBD-Fristen zu prüfen sind. In der Praxis überschneiden sich beide Bereiche nur dort, wo Gehaltsbestandteile der Personalakte gleichzeitig Buchungsbelege sind.

Eine GoBD-konforme Payroll-Software benötigt mindestens eine lückenlose Änderungsprotokollierung mit Zeitstempel und Benutzerkennung, eine historisierte Verwaltung von Zugriffsrechten, eine Sperrfunktion für abgeschlossene Abrechnungsperioden, ein Z3-fähiges Exportmodul für die Finanzverwaltung sowie eine hinterlegte oder generierbare Verfahrensdokumentation. Ergänzend sollte das System regelmäßige, geprüfte Backups sowie eine nachvollziehbare Rollen- und Berechtigungsstruktur bieten. Bei Systemwechseln ist zusätzlich zu klären, wie Altdaten aus dem Vorsystem GoBD-konform migriert oder weiter vorgehalten werden.

Da sich sowohl gesetzliche Vorgaben als auch Softwareversionen ändern, empfiehlt sich mindestens eine jährliche interne Prüfung der Verfahrensdokumentation, der Protokollierungsfunktionen und des Datenexports, idealerweise vor dem Jahresabschluss. Zusätzlich sollte jede größere Software-Umstellung, jedes Modul-Update mit Auswirkung auf die Buchungslogik und jeder Anbieterwechsel Anlass für eine erneute GoBD-Prüfung sein. Viele mittelständische Unternehmen lassen diese Prüfung im Rahmen der jährlichen Abschlussprüfung durch Steuerberater oder Wirtschaftsprüfer mit abdecken.

Die Außenprüfung ist gesetzlich geregelt: Die Lohnsteuer-Außenprüfung liegt beim Betriebsstättenfinanzamt (§ 42f EStG), die Prüfung der Sozialversicherungsbeiträge bei der Rentenversicherung (§ 28p SGB IV). Ein Payroll-Audit ist dagegen keine gesetzlich definierte Prüfungsart. Der Begriff beschreibt interne Revisionen oder externe Prüfungen, die untersuchen, ob Kontrollen, Protokolle und Nachweise der Abrechnung vollständig und belegbar sind. Gut vorbereitete Audits erleichtern Außenprüfungen, ersetzen sie aber nicht.

Eine Risk-Control-Matrix ordnet jedem Risiko der Abrechnung eine Kontrolle, einen Rhythmus, eine verantwortliche Rolle und einen Nachweis zu. Vorgeschrieben ist diese Form nicht. Die GoBD verlangen in Rn. 100 aber, dass Kontrollen eingerichtet, ausgeübt und protokolliert werden, und dass deren Beschreibung Teil der Verfahrensdokumentation ist (Rn. 102). Kleine Payroll-Teams kommen mit einer kompakten Tabelle aus, größere Organisationen mit mehreren Ländern und Systemen profitieren von einer vollständigen Matrix.

Bei einem Systemwechsel dürfen Sie die alte Hard- und Software nur dann außer Betrieb nehmen, wenn die Daten einschließlich Metadaten, Stammdaten und Verknüpfungen quantitativ und qualitativ gleichwertig in das neue System oder ein Archiv überführt werden (GoBD Rn. 142). Bei der Migration darf nur das Format angepasst werden, nicht der Inhalt, und jede Änderung ist zu dokumentieren. Reine Berichte oder Datenextrakte genügen nicht, wenn nicht mehr alle Daten übernommen werden (Rn. 144). Ist das nicht möglich, muss das Altsystem weiter vorgehalten werden (Rn. 143).

Protokolle, Zugriffsberichte und Auswertungen können Verhalten oder Leistung von Beschäftigten erkennen lassen. Dann unterliegt die Einführung nach § 87 Abs. 1 Nr. 6 BetrVG der Mitbestimmung des Betriebsrats. Stimmen Sie Rollenkonzept, Protokollierung und Berichtslayouts daher früh ab. Datenschutzrechtlich gelten die Grundsätze der Integrität und Vertraulichkeit (Art. 5 Abs. 1 Buchst. f DSGVO) sowie die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Praxishinweise finden Sie unter Betriebsrat einbinden und DSGVO und HR-Software.