KI-Belegaufbewahrung und Löschkonzept für KMU

Kurz gesagt: KI kann die Belegaufbewahrung in KMU deutlich strukturierter machen. Sie darf Belegarten erkennen, Fristenkandidaten vorschlagen, Löschlisten vorbereiten und Ausnahmen markieren. Die finale fachliche Prüfung und die Löschfreigabe sollten aber nicht automatisiert an ein KI-System delegiert werden. Dafür sind die steuerlichen Aufbewahrungspflichten, die Anforderungen an Nachvollziehbarkeit und die DSGVO-Abwägung zu kontextabhängig.

Für Unternehmen in Österreich und Deutschland heißt das: Ein KI-gestütztes Löschkonzept ist sinnvoll, wenn es als kontrollierter Arbeitsablauf verstanden wird. Die KI liefert Vorarbeit. Buchhaltung, Geschäftsführung oder Steuerberatung entscheiden, ob ein Beleg tatsächlich gelöscht, weiter aufbewahrt oder gesperrt werden muss.

Dieser Beitrag zeigt, was KMU bei KI Belegaufbewahrung, Löschkonzept, GoBD und BAO sauber trennen sollten – mit Praxisbeispielen, Fehlerbildern und einer Checkliste.

1. Was KI in der Belegaufbewahrung leisten kann

In vielen KMU liegen Belege in gemischten Ablagen: Eingangsrechnungen, Ausgangsrechnungen, Kassenbons, Reisekosten, Verträge, Lieferscheine, Kontoauszüge und E-Mail-Anhänge. Ein Teil ist steuerlich relevant, ein Teil personenbezogen, ein Teil nur kurzfristig operativ nützlich. Genau hier kann KI helfen.

Typische zulässige Einsatzfelder sind:

Belegarten erkennen: Die KI klassifiziert Dokumente etwa als Rechnung, Angebot, Lieferschein, Zahlungsavis, Vertrag oder Reisekostenbeleg.
Metadaten extrahieren: Rechnungsdatum, Lieferdatum, Betrag, UID beziehungsweise USt-IdNr., Lieferant, Kundennummer oder Zahlungsziel werden ausgelesen.
Fristenkandidaten vorschlagen: Auf Basis von Belegart, Land und Datum schlägt das System eine mögliche Aufbewahrungsfrist vor.
Ausnahmen markieren: Die KI kann Hinweise setzen, wenn ein Beleg zu einem laufenden Verfahren, offenen Gewährleistungsfall, Grundstücksvorgang, Vertrag oder Streitfall gehören könnte.
Löschlisten vorbereiten: Dokumente, deren vorgeschlagene Aufbewahrungsfrist abgelaufen ist, werden für eine manuelle Prüfung gesammelt.

Wichtig ist die Rollenverteilung: KI trifft keine steuerliche Entscheidung. Sie kann Muster erkennen und Vorschläge machen. Ob ein Beleg wirklich gelöscht werden darf, hängt von Rechtslage, Unternehmenskontext, internen Vorgaben und laufenden Sachverhalten ab.

Wenn Sie Ihre Belegprozesse grundsätzlich digital strukturieren möchten, finden Sie eine Übersicht zu Claribill auf der Seite Funktionen. Fragen zur technischen und organisatorischen Sicherheit sollten dabei von Anfang an mitgedacht werden; einen Einstieg bietet die Seite Sicherheit.

2. Österreich und Deutschland: rechtliche Leitplanken sauber trennen

Aufbewahrungspflichten sind kein reines IT-Thema. Sie betreffen Steuerrecht, Unternehmensrecht, Datenschutz und interne Nachweispflichten. Für KMU in der DACH-Region ist besonders wichtig, Österreich und Deutschland nicht in einen Topf zu werfen.

Österreich: BAO § 132 und digitale Wiedergabe

In Österreich ist für steuerlich relevante Unterlagen insbesondere § 132 BAO maßgeblich. Danach sind Bücher, Aufzeichnungen sowie die zugehörigen Belege in der Regel sieben Jahre aufzubewahren. Die Frist kann sich verlängern, wenn Unterlagen für anhängige Verfahren von Bedeutung sind. Bei bestimmten Sachverhalten können zusätzlich besondere Fristen greifen.

Die BAO erlaubt auch eine Aufbewahrung auf Datenträgern, sofern die vollständige, geordnete und inhaltsgleiche Wiedergabe bis zum Ablauf der Aufbewahrungsfrist gewährleistet ist. Praktisch bedeutet das: Ein digitales Archiv muss nicht nur Dateien speichern, sondern diese auch lesbar, auffindbar und nachvollziehbar halten. Zur Digitalisierung von Papierbelegen und zur Frage, wann Originale vernichtet werden können, passt ergänzend der Beitrag Papierbelege digitalisieren und Originale vernichten.

Deutschland: GoBD und Nachvollziehbarkeit

In Deutschland sind die GoBD für elektronische Bücher, Aufzeichnungen und Unterlagen zentral. Sie konkretisieren unter anderem Anforderungen an Nachvollziehbarkeit, Nachprüfbarkeit, Vollständigkeit, Richtigkeit, zeitgerechte Erfassung, Ordnung und Unveränderbarkeit. Die konkrete Dauer der Aufbewahrung ergibt sich je nach Unterlage insbesondere aus steuer- und handelsrechtlichen Vorschriften; die GoBD prägen vor allem, wie digitale Unterlagen geführt und aufbewahrt werden müssen.

Für KI-gestützte Prozesse ist das besonders relevant: Wenn eine KI Belege klassifiziert oder Löschlisten vorbereitet, muss nachvollziehbar bleiben, wie der Prozess funktioniert, welche Regeln angewendet wurden und wer die endgültige Entscheidung getroffen hat. Ein „schwarzer Kasten“, der Dokumente ohne Prüfspur löscht, passt nicht zu den Anforderungen an ordnungsgemäße digitale Aufbewahrung.

Eine vertiefende Einordnung zur digitalen Belegablage für beide Länder finden Sie im Beitrag Digitale Belegablage nach GoBD und BAO für KMU.

DSGVO: Aufbewahrungspflicht ist nicht gleich unbegrenztes Speichern

Die DSGVO verlangt unter anderem Zweckbindung, Datenminimierung, Speicherbegrenzung, angemessene Zugriffskontrollen und Sicherheit personenbezogener Daten. Gleichzeitig können steuerliche Aufbewahrungspflichten eine weitere Speicherung rechtfertigen. Entscheidend ist die saubere Trennung:

Aufbewahren müssen: Unterlagen, die für steuerliche, handelsrechtliche oder andere gesetzliche Nachweise erforderlich sind.
Nicht mehr aktiv nutzen: Daten, die zwar noch aufbewahrt werden müssen, aber nicht mehr für Marketing, Vertrieb oder operative Zwecke verwendet werden dürfen.
Löschen oder anonymisieren: Daten, für die kein Zweck und keine Pflicht zur Aufbewahrung mehr besteht.

Ein gutes Löschkonzept arbeitet deshalb nicht nur mit „löschen“ und „behalten“, sondern auch mit Sperrung, Zugriffsbeschränkung und dokumentierter Prüfung.

3. Vergleich: Was KI vorschlagen darf und was Menschen freigeben sollten

Die folgende Tabelle zeigt, wie KMU Aufgaben sinnvoll aufteilen können. Sie ersetzt keine Einzelfallprüfung, hilft aber bei der Gestaltung eines praxistauglichen Prozesses.

Aufgabe	KI-gestützt möglich	Menschliche Prüfung erforderlich
Belegart erkennen	Rechnung, Lieferschein, Vertrag, Reisekostenbeleg klassifizieren	Stichproben und Korrektur bei unklaren Dokumenten
Fristkandidat bilden	Vorschlag anhand von Belegart, Datum, Land und Regelwerk	Prüfung besonderer Fristen, Verfahren, Verträge oder Branchenregeln
DSGVO-Relevanz markieren	Personenbezogene Daten erkennen, sensible Felder hervorheben	Bewertung von Zweck, Rechtsgrundlage, Zugriff und Löschpflicht
Löschliste vorbereiten	Dokumente mit abgelaufenen Fristkandidaten bündeln	Freigabe durch zuständige Person, idealerweise mit Vier-Augen-Prinzip
Tatsächliche Löschung	Technisch nach Freigabe ausführen oder vorbereiten	Dokumentierte finale Löschfreigabe und Protokollierung

Für Deutschland sollte zusätzlich dokumentiert werden, wie die KI-Auswertung in die Verfahrensdokumentation eingebunden ist. Für Österreich sollte klar sein, wie die digitale Wiedergabe, Ordnung und Lesbarkeit während der gesamten Aufbewahrungsfrist sichergestellt werden.

4. Praxisbeispiele: Handwerksbetrieb und Agentur

Beispiel 1: Handwerksbetrieb mit Papier- und Digitalbelegen

Ein Handwerksbetrieb in Salzburg oder Bayern erhält Materialrechnungen per E-Mail, Kassenbons auf Baustellen, Lieferscheine in Papierform und Ausgangsrechnungen aus dem Fakturasystem. Ohne strukturierte Ablage entstehen typische Probleme: Belege werden mehrfach gespeichert, Kassenbons verblassen, Lieferscheine landen in Projektordnern und Rechnungen im E-Mail-Postfach.

Ein KI-gestützter Prozess kann hier zuerst Belegarten erkennen und Projektbezüge vorschlagen. Eine Materialrechnung wird etwa dem Lieferanten, dem Rechnungsdatum und einem Bauvorhaben zugeordnet. Ein Kassenbon wird als möglicher Betriebsausgabenbeleg markiert. Nach Ablauf eines Fristenkandidaten setzt die KI den Beleg auf eine Prüfliste.

Die Löschfreigabe bleibt beim Menschen. Warum? Ein älterer Lieferschein kann für einen Gewährleistungsfall noch relevant sein. Eine Rechnung kann in einem laufenden Abgabenverfahren benötigt werden. Ein Projekt mit Fördermitteln kann besondere Dokumentationspflichten auslösen. Die KI kann solche Ausnahmen markieren, aber nicht abschließend bewerten.

Beispiel 2: Agentur mit vielen personenbezogenen Daten

Eine Marketing- oder IT-Agentur in Wien oder Köln speichert Angebote, Kundenverträge, Subunternehmerrechnungen, Stundennachweise, Reisekosten und Projektkommunikation. Viele Unterlagen enthalten personenbezogene Daten: Namen von Ansprechpersonen, E-Mail-Adressen, Tätigkeitsnachweise, Bewerbungsunterlagen oder Zugangsinformationen.

Die KI kann Dokumente mit personenbezogenen Daten erkennen und Fristenkandidaten vorschlagen. Sie kann auch unterscheiden helfen, ob ein Dokument eher buchhalterisch relevant ist oder nur projektbezogene Arbeitsnotizen enthält. Für das Löschkonzept ist diese Trennung wertvoll: Eine Eingangsrechnung muss möglicherweise länger aufbewahrt werden als ein interner Entwurf oder eine alte Zugangsliste.

Die Agentur sollte aber festlegen, wer Löschlisten prüft, wie Kundenverträge mit laufenden Haftungsfragen behandelt werden und wann personenbezogene Daten gesperrt statt gelöscht werden. Besonders bei Daten aus Bewerbungen, Projektkommunikation oder Supportfällen ist eine pauschale KI-Löschung riskant.

5. Checkliste für ein KI-gestütztes Löschkonzept

Ein tragfähiges Löschkonzept muss fachliche Regeln, technische Umsetzung und Datenschutz zusammenbringen. Für KMU hat sich folgende Reihenfolge bewährt:

Belegarten inventarisieren: Welche Dokumenttypen gibt es im Unternehmen? Rechnungen, Verträge, Lieferscheine, Kassenbelege, Personalunterlagen, Bankdaten?
Rechtsräume trennen: Gelten österreichische BAO-Regeln, deutsche GoBD-Anforderungen oder beides?
Fristenlogik dokumentieren: Welche Fristenkandidaten werden je Belegart vorgeschlagen, und wer pflegt Änderungen?
Ausnahmen definieren: Laufende Prüfungen, Streitfälle, Gewährleistung, Förderungen, Grundstücksbezug, offene Forderungen und Vertragslaufzeiten gesondert behandeln.
DSGVO-Rollen klären: Zweckbindung, Speicherbegrenzung, Zugriff und Sicherheit dokumentieren.
Freigabeprozess festlegen: Keine automatische endgültige Löschung ohne verantwortliche Person; bei kritischen Beständen Vier-Augen-Prinzip nutzen.
Protokollierung sicherstellen: Löschvorschlag, Prüfung, Entscheidung, Datum und ausführende Person nachvollziehbar dokumentieren.
Regelmäßig prüfen: Mindestens jährlich kontrollieren, ob Fristen, Zuständigkeiten und technische Abläufe noch passen.

Häufige Fehlerbilder

Belegdatum mit Fristbeginn verwechseln: Fristen beginnen nicht immer mit dem sichtbaren Dokumentdatum. Je nach Regel kann das Jahresende oder ein anderer Bezugspunkt relevant sein.
Aufbewahrung als Nutzungserlaubnis missverstehen: Nur weil ein Beleg aufbewahrt werden muss, dürfen personenbezogene Daten daraus nicht automatisch weiterverwendet werden.
Alle Dokumente gleich behandeln: Rechnungen, Verträge, Projektmails und Bewerbungsunterlagen haben unterschiedliche Zwecke und Risiken.
KI-Vorschläge ungeprüft löschen: Klassifikationsfehler sind möglich, besonders bei eingescannten, fremdsprachigen oder schlecht lesbaren Belegen.
Keine Verfahrensdokumentation: Gerade in Deutschland muss nachvollziehbar sein, wie digitale Prozesse organisiert sind.

Takeaways

KI kann Belege vorsortieren, Fristenkandidaten vorschlagen und Löschlisten vorbereiten.
Die finale Fach- und Löschfreigabe sollte beim Menschen bleiben.
Österreichische BAO-Anforderungen und deutsche GoBD-Anforderungen sind getrennt zu betrachten.
DSGVO-konforme Speicherbegrenzung bedeutet nicht, steuerliche Aufbewahrungspflichten zu ignorieren.
Ein dokumentierter Prozess ist wichtiger als eine möglichst schnelle Löschung.

FAQ

Darf KI Belege automatisch löschen?

Technisch ist vieles möglich, organisatorisch und rechtlich ist eine vollautomatische Löschung aber riskant. Sinnvoller ist ein Prozess, bei dem KI Löschkandidaten vorbereitet und eine zuständige Person die finale Freigabe dokumentiert.

Was ist der Unterschied zwischen Aufbewahrung und Löschung?

Aufbewahrung bedeutet, dass Unterlagen für einen bestimmten Zweck und Zeitraum verfügbar bleiben müssen. Löschung bedeutet, dass Daten entfernt oder anonymisiert werden, wenn kein Zweck und keine Pflicht zur weiteren Speicherung mehr besteht. Dazwischen kann eine Zugriffsbeschränkung oder Sperrung sinnvoll sein.

Gilt in Österreich immer sieben Jahre Aufbewahrung?

§ 132 BAO sieht für viele steuerlich relevante Unterlagen grundsätzlich sieben Jahre vor. Es gibt aber Konstellationen, in denen Unterlagen länger relevant sein können, etwa bei anhängigen Verfahren oder besonderen Sachverhalten. Prüfen Sie solche Fälle gesondert.

Was verlangen die GoBD bei KI-gestützten Belegprozessen?

Die GoBD verlangen unter anderem Nachvollziehbarkeit, Nachprüfbarkeit, Ordnung und Unveränderbarkeit elektronischer Unterlagen. Wenn KI eingesetzt wird, sollten Regeln, Zuständigkeiten, Prüfungen und Freigaben dokumentiert werden.

Welche Rolle spielt die DSGVO?

Die DSGVO verlangt, personenbezogene Daten nur zweckgebunden, angemessen gesichert und nicht länger als erforderlich zu speichern. Gesetzliche Aufbewahrungspflichten können eine weitere Speicherung rechtfertigen, aber nicht jede weitere Nutzung.

Quellen

Dieser Beitrag ersetzt keine individuelle Steuerberatung. Für Ihre konkrete Situation wenden Sie sich bitte an Ihre Steuerberaterin oder Ihren Steuerberater.

KI für Aufbewahrung und Löschung von Belegen im KMU