Wer darf welche Rechnung sehen? Rollen sauber trennen

Kurzantwort: Nicht jede Person im Unternehmen sollte jede Rechnung sehen dürfen. Rechnungen enthalten regelmäßig personenbezogene Daten, Geschäftsgeheimnisse und steuerlich relevante Informationen. Für KMU bedeutet das: Rollen und Berechtigungen müssen so gestaltet sein, dass Mitarbeitende nur jene Rechnungen öffnen, bearbeiten oder freigeben können, die sie für ihre Aufgabe benötigen.

Das klingt nach IT-Detail, ist aber ein organisatorisches Kernthema. Wer Kundendaten, Lieferantendaten, Bankverbindungen, Leistungsbeschreibungen oder interne Kostenstellen ohne sachlichen Grund einsehen kann, erhöht Datenschutz- und Missbrauchsrisiken. Gleichzeitig braucht die Buchhaltung ausreichend Zugriff, damit Rechnungen korrekt verarbeitet, geprüft und aufbewahrt werden können. Der sinnvolle Weg liegt daher nicht in möglichst strengen Einzelsperren, sondern in einem nachvollziehbaren Rollenmodell.

Der Suchbegriff Rechnungen Rollen Berechtigungen beschreibt genau diese Aufgabe: Sie definieren, welche Funktion im Unternehmen welche Rechnung sehen, erstellen, ändern, freigeben, bezahlen oder exportieren darf. Dieser Beitrag zeigt einen umsetzbaren Ablauf für Inhaberinnen und Inhaber, Geschäftsführung und Buchhaltung in KMU in Österreich und Deutschland.

Warum Rechnungszugriff mehr ist als eine Komfortfrage

Eine Rechnung ist selten nur ein Zahlungsdokument. Sie kann Namen, Adressen, UID oder USt-IdNr., Leistungsdetails, Preise, Rabatte, Bankverbindungen, Zahlungsziele, Projektbezüge und interne Buchungsvermerke enthalten. Bei Einzelunternehmen oder kleinen Betrieben sind Kundendaten oft unmittelbar personenbezogen. Auch bei Geschäftskunden können Kontaktpersonen, E-Mail-Adressen oder direkte Durchwahlen betroffen sein.

Die österreichische Datenschutzbehörde beschreibt Datenschutz im Kern als Schutz personenbezogener Daten und der betroffenen Personen. Für Unternehmen folgt daraus: Zugriff auf solche Daten braucht einen sachlichen Zweck und eine angemessene Absicherung. Der Europäische Datenschutzausschuss weist für kleine Unternehmen ebenfalls darauf hin, personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen zu sichern, etwa durch Zugriffsbeschränkungen, sichere Passwörter und klare Zuständigkeiten.

Für Österreich und Deutschland gilt auf EU-Ebene die Datenschutz-Grundverordnung. Die Grundlogik ist daher gleich: Personenbezogene Daten sollen nicht unkontrolliert offengelegt werden. Unterschiede ergeben sich eher aus nationalen Buchführungs-, Steuer- und Aufbewahrungsvorgaben, etwa aus BAO und UGB in Österreich sowie AO, HGB und GoBD in Deutschland. Diese Vorgaben betreffen vor allem Nachvollziehbarkeit, Aufbewahrung, Ordnungsmäßigkeit und Unveränderbarkeit steuerlich relevanter Unterlagen. Sie ändern aber nichts daran, dass der Zugriff intern begrenzt werden sollte.

In der Praxis entstehen Risiken oft nicht durch böse Absicht, sondern durch historisch gewachsene Zugänge: Eine frühere Assistenz hat noch Administratorrechte. Vertriebsteams sehen Eingangsrechnungen mit Einkaufskonditionen. Externe Dienstleister erhalten einen Vollzugriff, obwohl ein Export reichen würde. Oder jede Person nutzt denselben Sammelzugang für das Faktura-System. Solche Lösungen sind kurzfristig bequem, aber schwer zu kontrollieren.

Rollenmodell: Wer braucht welche Berechtigung?

Ein gutes Berechtigungskonzept beginnt nicht im System, sondern auf Papier oder in einer einfachen Tabelle. Entscheidend ist die Frage: Welche Aufgabe muss erledigt werden, und welcher Zugriff ist dafür erforderlich? Daraus ergeben sich Rollen. Personen können eine oder mehrere Rollen haben, die Rolle selbst sollte aber klar beschrieben sein.

Ein bewährtes Prinzip ist Need-to-know: Zugriff erhält nur, wer ihn für eine konkrete Aufgabe benötigt. Ergänzend hilft das Prinzip der Funktionstrennung. Wer eine Rechnung erstellt, sollte nicht zwingend auch Zahlung und endgültige Freigabe allein auslösen können. Gerade in kleinen Unternehmen ist vollständige Trennung nicht immer realistisch. Dann sollten zumindest Kontrollen dokumentiert werden, etwa eine regelmäßige Durchsicht durch Geschäftsführung oder Steuerberatung.

Rolle	Typische Aufgabe	Sinnvolle Berechtigung
Geschäftsführung	Überblick, Freigaben, Ausnahmen	Lesen, freigeben, Berichte einsehen, Rollen prüfen
Buchhaltung	Rechnungen erfassen, prüfen, buchen, archivieren	Erstellen, bearbeiten, exportieren, Zahlungsstatus pflegen
Vertrieb oder Projektleitung	Ausgangsrechnungen vorbereiten, Leistungsdaten prüfen	Eigene Kunden oder Projekte lesen, Entwürfe anlegen
Einkauf	Eingangsrechnungen sachlich prüfen	Lieferantenrechnungen lesen und sachlich bestätigen
Externe Steuerberatung	Kontrolle, Meldungen, Jahresabschluss	Lesen, exportieren, Auswertungen abrufen; keine operativen Zahlungen
IT-Administration	Benutzer verwalten, technische Hilfe	Technische Verwaltung; Rechnungsinhalte nur wenn erforderlich

Diese Tabelle ist bewusst allgemein gehalten. Ein Produktionsbetrieb, eine Agentur und ein Handelsunternehmen brauchen unterschiedliche Zuschnitte. Wichtig ist, dass Sie Rollen nicht nach Hierarchie vergeben, sondern nach Aufgaben. Eine Abteilungsleitung braucht nicht automatisch Zugriff auf alle Eingangsrechnungen. Umgekehrt kann eine Buchhaltungskraft sehr weitgehende Leserechte benötigen, ohne Zahlungen freigeben zu dürfen.

Bei besonders sensiblen Rechnungen kann eine zusätzliche Einschränkung sinnvoll sein. Beispiele sind Honorare, Rechtsberatung, Personalberatung, medizinische Leistungen, M&A-Beratung oder Rechnungen im Zusammenhang mit arbeitsrechtlichen Themen. Solche Belege sollten nicht im allgemeinen Rechnungseingang für viele Personen sichtbar sein.

Umsetzbarer Ablauf für KMU

Der folgende Ablauf eignet sich für KMU, die ihre Rechnungen, Rollen und Berechtigungen erstmals strukturiert prüfen oder nach einer Wachstumsphase neu ordnen möchten. Er funktioniert unabhängig davon, ob Sie Claribill, ein anderes Faktura-System oder mehrere Werkzeuge parallel einsetzen.

1. Rechnungsarten erfassen: Unterscheiden Sie Ausgangsrechnungen, Eingangsrechnungen, Gutschriften, Stornos, wiederkehrende Rechnungen und interne Auswertungen. Prüfen Sie auch, ob Angebote, Lieferscheine oder Zahlungsdaten im selben System liegen.
2. Dateninhalte bewerten: Notieren Sie, welche personenbezogenen Daten und vertraulichen Geschäftsdaten vorkommen. Dazu gehören Namen, Adressen, Kontaktdaten, Bankverbindungen, Leistungsbeschreibungen, Preise und interne Kommentare.
3. Aufgaben festlegen: Beschreiben Sie die tatsächlichen Arbeitsschritte: erstellen, prüfen, ändern, versenden, mahnen, bezahlen, exportieren, archivieren, löschen oder sperren.
4. Rollen definieren: Bündeln Sie Aufgaben in Rollen. Vermeiden Sie Rollen wie „alle Rechte“ für den Alltag. Administratorrechte sollten nur wenige Personen erhalten und nicht für normale Buchhaltungsarbeit genutzt werden.
5. Berechtigungen zuordnen: Legen Sie je Rolle fest, ob Lesen, Erstellen, Bearbeiten, Löschen, Exportieren, Freigeben oder Benutzerverwaltung erlaubt ist. Exportrechte sind besonders zu prüfen, weil Daten damit das System verlassen.
6. Vier-Augen-Prinzip prüfen: Definieren Sie, ab wann eine zweite Person freigeben soll. Das kann nach Betrag, Lieferant, Projekt oder Kostenart erfolgen. Wenn Ihr System dafür keine eigene Funktion bietet, dokumentieren Sie den manuellen Kontrollschritt.
7. Externe Zugriffe begrenzen: Steuerberatung, IT-Dienstleister oder freie Mitarbeitende sollten nur jene Daten erhalten, die sie benötigen. Zeitlich befristete Zugänge sind oft sinnvoller als dauerhafte Vollzugriffe.
8. Regelmäßig kontrollieren: Prüfen Sie mindestens anlassbezogen, ob Zugänge noch passen: bei Neueintritten, Rollenwechseln, Austritten, Wechsel der Steuerberatung oder Einführung eines neuen Systems.

Ein einfaches Beispiel: Eine Projektleiterin soll prüfen, ob die Leistung an einen Kunden korrekt abgerechnet wurde. Dafür braucht sie Zugriff auf Entwürfe oder Rechnungen ihrer Projekte. Sie braucht aber keinen Zugriff auf alle offenen Eingangsrechnungen, keine Bankverbindungen anderer Kunden und keine Benutzerverwaltung. Die Buchhaltung wiederum benötigt den vollständigen Rechnungslauf, muss aber nicht zwingend allein Zahlungsfreigaben auslösen.

Ein zweites Beispiel betrifft externe Steuerberatung. Für laufende Umsatzsteuervoranmeldungen oder Auswertungen kann ein Lese- und Exportzugriff ausreichen. Operative Rechte zum Ändern von Stammdaten oder zum Versenden von Rechnungen sollten nur vergeben werden, wenn dies ausdrücklich Teil der Zusammenarbeit ist.

Österreich und Deutschland: gleiche Datenschutzlogik, unterschiedliche Nachweise prüfen

Beim Datenschutz ist die Grundrichtung in Österreich und Deutschland aufgrund der DSGVO gleich: Unternehmen müssen personenbezogene Daten angemessen schützen und den Zugriff begrenzen. Die österreichische Datenschutzbehörde ist für Österreich eine zentrale Anlaufstelle für Informationen zu Rechten und Pflichten. Für Deutschland sind je nach Bundesland die Datenschutzaufsichtsbehörden zuständig; bei übergreifenden Fragen sind die offiziellen Informationsangebote der deutschen Datenschutzkonferenz hilfreich zu prüfen.

Unterschiede zeigen sich vor allem in der steuerlichen und buchhalterischen Nachweiswelt. In Österreich sind unter anderem BAO und UGB relevant, in Deutschland AO, HGB und die GoBD. Für die Rollenvergabe heißt das: Sie müssen einerseits den Zugriff beschränken, andererseits sicherstellen, dass steuerlich relevante Rechnungsdaten nachvollziehbar, vollständig und geordnet verfügbar bleiben. Ein Berechtigungskonzept darf also nicht dazu führen, dass zuständige Personen Rechnungen nicht mehr prüfen, buchen oder im Prüfungsfall bereitstellen können.

Besonders sorgfältig sollten Sie mit Löschrechten umgehen. Rechnungen und Buchungsbelege unterliegen in der Regel Aufbewahrungspflichten. Ob und wann ein Dokument gelöscht, gesperrt oder nur der Zugriff eingeschränkt werden darf, hängt vom Einzelfall und vom nationalen Recht ab. Prüfen Sie hier die aktuellen Vorgaben oder stimmen Sie sich mit Ihrer Steuerberatung ab.

Auch Protokolle sind wichtig. Wenn ein System nachvollziehen kann, wer eine Rechnung erstellt, geändert, freigegeben oder exportiert hat, hilft das bei internen Kontrollen. Gleichzeitig sind Protokolldaten selbst wieder personenbezogene Daten. Sie sollten daher ebenfalls zweckgebunden genutzt und nicht beliebig ausgewertet werden.

Typische Fehler und Checkliste für die nächste Prüfung

Die meisten Berechtigungsprobleme entstehen schleichend. Ein Unternehmen startet mit drei Personen, später kommen Vertrieb, Projektleitung, externe Buchhaltung und mehrere Standorte hinzu. Was anfangs überschaubar war, wird unklar. Spätestens dann sollten Rechnungen, Rollen und Berechtigungen neu geprüft werden.

• Sammelkonten: Wenn mehrere Personen denselben Zugang nutzen, ist nicht nachvollziehbar, wer was getan hat.
• Zu viele Administratorrechte: Administrationsrechte werden oft aus Bequemlichkeit vergeben, obwohl normale Bearbeitungsrechte reichen würden.
• Keine Austrittsroutine: Zugänge früherer Mitarbeitender oder externer Dienstleister bleiben aktiv.
• Ungeprüfte Exportrechte: Wer Rechnungen exportieren kann, kann häufig große Datenmengen außerhalb des Systems speichern.
• Vermischung privater und geschäftlicher Geräte: Rechnungsdaten auf privaten Geräten erhöhen Kontroll- und Sicherheitsrisiken.
• Fehlende Dokumentation: Niemand kann erklären, warum eine Person bestimmte Rechte hat.

Nutzen Sie die folgende Checkliste als pragmatischen Einstieg:

• Gibt es eine aktuelle Liste aller Personen mit Zugriff auf Rechnungen?
• Ist je Person erkennbar, welche Rolle sie hat?
• Sind Lese-, Bearbeitungs-, Freigabe-, Export- und Administrationsrechte getrennt?
• Werden Zugänge bei Austritt oder Rollenwechsel zeitnah angepasst?
• Haben externe Personen nur den notwendigen Zugriff?
• Werden besonders sensible Rechnungen eingeschränkt sichtbar gemacht?
• Ist dokumentiert, wer Rechnungen freigibt und wer Zahlungen anstößt?
• Werden Berechtigungen regelmäßig oder zumindest anlassbezogen überprüft?
• Sind Passwörter, Mehr-Faktor-Verfahren und Geräteschutz angemessen umgesetzt?
• Ist geklärt, welche Nachweise Österreich oder Deutschland für Ihre Buchhaltung verlangen?

Für Claribill und jedes andere Faktura- oder Buchhaltungssystem gilt: Prüfen Sie nicht nur, ob eine Funktion vorhanden ist, sondern ob Ihr organisatorischer Prozess dazu passt. Ein sauberes Rollenmodell ist nur wirksam, wenn Mitarbeitende wissen, welche Aufgaben sie haben und wann eine Freigabe erforderlich ist.

FAQ: Rechnungen, Rollen und Berechtigungen

Darf die Geschäftsführung alle Rechnungen sehen?

In vielen KMU wird die Geschäftsführung einen umfassenden Überblick benötigen. Dennoch sollte auch hier der Zweck klar sein. Besonders sensible Rechnungen können organisatorisch eingeschränkt und nur bei Bedarf offengelegt werden.

Muss die Steuerberatung einen eigenen Zugang bekommen?

Das ist nicht zwingend. Ein eigener, nachvollziehbarer Zugang ist aber oft besser als ein geteilter Zugang oder unstrukturierte E-Mail-Weiterleitungen. Welche Rechte erforderlich sind, hängt vom vereinbarten Leistungsumfang ab.

Darf der Vertrieb Eingangsrechnungen sehen?

Nur wenn es dafür einen sachlichen Grund gibt. Für Kundengespräche reichen meist Ausgangsrechnungen oder projektbezogene Informationen. Einkaufskonditionen, Rechtsberatung oder interne Kosten müssen nicht automatisch sichtbar sein.

Was ist bei kleinen Teams realistisch?

Kleine Teams können Aufgaben nicht immer vollständig trennen. Dann sind einfache Kontrollen wichtig: dokumentierte Freigaben, regelmäßige Durchsicht durch die Geschäftsführung und klare Austrittsprozesse.

Wie oft sollten Berechtigungen geprüft werden?

Eine anlassbezogene Prüfung ist besonders wichtig: bei Neueintritten, Austritten, Rollenwechseln, Systemwechseln oder Wechsel der Steuerberatung. Zusätzlich ist eine regelmäßige interne Durchsicht sinnvoll.

Dieser Beitrag ersetzt keine individuelle Steuerberatung oder Rechtsberatung. Für Ihre konkrete Situation wenden Sie sich bitte an Ihre Steuerberaterin, Ihren Steuerberater oder eine rechtlich qualifizierte Stelle.

So unterstützt ein klarer digitaler Ablauf

Wer Zuständigkeiten, Stammdaten und Prüfschritte einheitlich abbildet, reduziert Rückfragen und Medienbrüche. Die passenden Claribill-Funktionen bündeln die dafür relevanten Arbeitsschritte an einem Ort.

Passende Beiträge im Claribill-Blog

• Digitale Belegablage: GoBD und § 132 BAO praktisch zusammendenken
• Belegkette prüfen: Vom Angebot zur Rechnung ohne Brüche

Quellen und weiterführende Informationen

• EDPB: Secure personal data for small business
• Österreichische Datenschutzbehörde: Was ist Datenschutz?