Wer online verkauft, bucht nicht nur Umsätze. Jede Bestellung aus dem Shopify-Shop, jede Zahlungsbestätigung und jeder Marktplatz-Abrechnungsbericht ist ein Beleg, für den das Finanzamt klare Regeln zur Aufbewahrung und Nachvollziehbarkeit stellt. Diese Regeln heißen GoBD, und sie haben sich 2025 an einer entscheidenden Stelle geändert: Die Aufbewahrungsfrist für Buchungsbelege ist von zehn auf acht Jahre gesunken. Dieser Artikel erklärt, was die GoBD für Online-Händler konkret bedeuten, wie lange welche Unterlagen aufbewahrt werden müssen, wann eine TSE-Kasse Pflicht wird und wie eine Verfahrensdokumentation aussieht, die einer Betriebsprüfung standhält.
Was bedeutet GoBD?
GoBD steht für “Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff”. Das Bundesfinanzministerium veröffentlichte die GoBD erstmals am 14. November 2014 und löste damit zwei ältere Regelwerke ab, die GoBS und die GDPdU. Seitdem legen die GoBD fest, wie Unternehmen ihre Buchführung digital organisieren müssen, damit ein Betriebsprüfer sie nachvollziehen kann.
Die Vorschrift steht nicht still. Das BMF passte die GoBD am 11. März 2024 an und aktualisierte sie erneut mit Schreiben vom 14. Juli 2025, vor allem wegen der seit dem 1. Januar 2025 verpflichtenden E-Rechnung zwischen inländischen Unternehmern. Wer online mit älteren Artikeln zur GoBD arbeitet, arbeitet häufig mit einem veralteten Stand.
Wer muss die GoBD einhalten, und warum betrifft das Shopify-Händler?
Die GoBD gelten für jedes buchführungs- und aufzeichnungspflichtige Unternehmen, nicht nur für klassische Kaufleute nach § 238 HGB. Auch wer seinen Gewinn per Einnahmenüberschussrechnung ermittelt, muss seine Aufzeichnungen GoBD-konform führen, sobald sie elektronisch erfolgen. Eine Ausnahme gibt es kaum. Betroffen sind praktisch alle Online-Händler, vom Einzelunternehmer im Nebenerwerb bis zur Kapitalgesellschaft mit mehreren Shops.
Bei einem Shopify-Shop kommen mehrere Datenquellen zusammen, die alle unter die GoBD fallen. Bestelldaten aus dem Shop, Zahlungsbestätigungen des Payment-Anbieters, Abrechnungsberichte von Marktplätzen wie Amazon oder eBay und die Buchhaltungssoftware müssen zusammen ein lückenloses, unveränderbares Bild ergeben. Genau an dieser Schnittstelle zwischen mehreren Systemen entstehen die häufigsten GoBD-Verstöße im Online-Handel: eine Retoure wird im Shop storniert, taucht aber in der Buchhaltung nicht mehr auf, oder ein Marktplatz zahlt Gebühren direkt mit der Auszahlung, ohne dass dafür ein eigener Beleg archiviert wird.
Die sechs Grundsätze ordnungsmäßiger Buchführung nach GoBD
Die GoBD fassen die Anforderungen an eine ordnungsmäßige Buchführung in sechs Grundsätzen zusammen. Jeder Grundsatz betrifft einen Online-Shop an einer anderen Stelle im Tagesgeschäft, die folgende Übersicht zeigt alle sechs auf einen Blick.
- Nachvollziehbarkeit: Ein sachverständiger Dritter muss jeden Geschäftsvorfall nachvollziehen können, von der Bestellung bis zur Buchung, und zwar in angemessener Zeit.
- Zeitgerechte Buchung: Bareinnahmen gehören täglich in die Kasse, unbare Geschäftsvorfälle üblicherweise innerhalb von zehn Tagen in die Buchführung.
- Richtigkeit: Belege müssen den tatsächlichen Geschäftsvorfall widerspiegeln, keine geschätzten oder nachträglich geglätteten Werte.
- Unveränderbarkeit: Einmal erfasste Daten dürfen nicht mehr spurlos verändert werden. Ein Bestellstatus, der im System nachträglich verändert wird, braucht ein Änderungsprotokoll.
- Vollständigkeit: Jeder Geschäftsvorfall muss erfasst sein, inklusive Stornos, Retouren und Gutschriften.
- Ordnung: Belege müssen systematisch und auffindbar abgelegt sein, nicht verstreut über mehrere Tools ohne erkennbare Struktur.
Wie lange müssen Online-Händler Belege und Buchungsunterlagen aufbewahren?
Seit dem 1. Januar 2025 gilt für Buchungsbelege eine Aufbewahrungsfrist von acht statt zehn Jahren. Das Vierte Bürokratieentlastungsgesetz hat § 147 Abs. 1 Nr. 4 AO und § 257 Abs. 4 HGB entsprechend geändert. Für Bücher, Inventare, Jahresabschlüsse und Eröffnungsbilanzen bleibt es dagegen bei zehn Jahren, und Handels- und Geschäftsbriefe sind weiterhin nach sechs Jahren löschbar.
| Dokumenttyp | Aufbewahrungsfrist | Rechtsgrundlage |
|---|---|---|
| Buchungsbelege (Rechnungen, Kassenbons, Lieferscheine) | 8 Jahre (seit 1.1.2025, vorher 10 Jahre) | § 147 Abs. 1 Nr. 4 AO, § 257 Abs. 4 HGB |
| Bücher, Inventare, Jahresabschlüsse, Eröffnungsbilanz | 10 Jahre (unverändert) | § 147 Abs. 1 Nr. 1 AO |
| Verfahrensdokumentation | 10 Jahre (unverändert, solange die zugehörigen Bücher aufbewahrungspflichtig sind) | § 147 Abs. 1 Nr. 1 AO analog |
| Handels- und Geschäftsbriefe | 6 Jahre (unverändert) | § 147 Abs. 1 Nr. 2-3 AO |
Die Frist beginnt am Ende des Kalenderjahres, in dem der letzte Eintrag oder Beleg entstanden ist, nicht am Ausstellungsdatum selbst. Eine Rechnung aus 2016 zählt also erst ab Ende 2016. Nach der alten Zehn-Jahres-Regel wäre sie frühestens 2027 löschbar gewesen, nach der neuen Acht-Jahres-Regel darf sie bereits seit dem 1. Januar 2025 vernichtet werden. Eine Ausnahme betrifft von der BaFin beaufsichtigte Finanzunternehmen wie Banken und Wertpapierinstitute. Für sie hat der Gesetzgeber die Verkürzung im November 2025 wieder zurückgenommen, hier bleibt es bei zehn Jahren.
Für die Praxis heißt das: Ein pauschales Löschkonzept nach “zehn Jahre für alles” ist seit 2025 nicht mehr korrekt und kann dazu führen, dass du Belege zu lange oder Bücher zu kurz aufbewahrst. Zu kurze Aufbewahrung ist ein GoBD-Risiko, zu lange Speicherung ist zusätzlich ein datenschutzrechtliches Risiko, denn personenbezogene Kundendaten in Bestellbelegen dürfen nach der DSGVO nicht länger vorgehalten werden als für den jeweiligen Zweck erforderlich. Prüfe deshalb dein Löschkonzept nicht nur bei Einführung einer neuen Software, sondern mindestens einmal jährlich gegen die aktuellen Fristen. Die folgende Zeitleiste fasst den Wechsel zusammen.
Kassensysteme, TSE-Pflicht und DSFinV-K im Online-Handel
Diese Pflichten betreffen dich direkt, sobald dein Unternehmen neben dem Online-Shop auch bar oder über eine lokale Kasse kassiert, etwa auf Märkten, in einem Pop-up-Store oder an einer Abholstation. Für reine Online-Zahlungen ohne eigenes Kassensystem greifen sie nicht. Nutzt du dagegen Shopify POS, um persönlich auf Messen, Märkten oder in einer eigenen Filiale zu verkaufen, betreibst du damit ein elektronisches Kassensystem im Sinne der Kassensicherungsverordnung, TSE-Pflicht inklusive.
Jedes elektronische Aufzeichnungssystem mit Kassenfunktion braucht seit dem 1. Januar 2020 eine vom BSI zertifizierte technische Sicherheitseinrichtung, kurz TSE. Seit dem 1. Januar 2025 musst du dein Kassensystem zusätzlich beim zuständigen Finanzamt über “Mein ELSTER” melden, für Bestandskassen galt dafür eine Frist bis zum 31. Juli 2025. Ab 2026 weitet sich die TSE-Pflicht auf zertifizierte EU-Taxameter und Wegstreckenzähler aus.
Kommt es zu einer Betriebsprüfung, kann das Finanzamt jederzeit einen Export nach der Digitalen Schnittstelle der Finanzverwaltung für Kassensysteme verlangen, kurz DSFinV-K. Dieser Export besteht aus rund 20 standardisierten CSV-Dateien mit einer Indexdatei und macht Kassendaten unterschiedlichster Systeme maschinell auswertbar. In der Praxis zeigt sich der Export erst im Ernstfall als Problem: Viele Kassensysteme wurden nie testweise exportiert, sodass fehlende Zahlungsarten oder unvollständige Stammdaten erst während der Prüfung auffallen. Ein Testexport pro Quartal beugt dieser bösen Überraschung vor.
Datenzugriff bei einer digitalen Betriebsprüfung: Z1, Z2 und Z3
Die GoBD führten 2014 die alten GDPdU-Regeln zum Datenzugriff fort und definieren drei Zugriffsarten, die ein Prüfer wählen kann. Beim unmittelbaren Zugriff, kurz Z1, arbeitet der Prüfer selbst lesend in deinem System und erstellt eigene Auswertungen. Beim mittelbaren Zugriff, Z2, gibst du oder ein von dir beauftragter Dritter die vom Prüfer gewünschten Auswertungen aus dem System aus. Am häufigsten kommt in der Praxis die Datenträgerüberlassung nach Z3 vor: Du stellst die steuerlich relevanten Daten maschinell auswertbar auf einem Datenträger bereit, üblicherweise als strukturierten Export, den der Prüfer mit spezieller Prüfsoftware auswertet.
Für einen Online-Shop bedeutet das, dass die Buchhaltungssoftware, das Shop-System und ein eventuelles Kassensystem jederzeit einen sauberen, vollständigen Export liefern können müssen, nicht nur eine Ansicht im Browser. Ein System, das Daten zwar speichert, aber nicht strukturiert exportieren kann, erfüllt die GoBD-Anforderungen an den Datenzugriff nicht. Wer für andere Pflichten im Online-Handel bereits Unterlagen dauerhaft aufbewahrt, etwa für die Produktsicherheit nach der EU-Produktsicherheitsverordnung, kennt das Prinzip bereits: Auch dort zählt nur, was im Ernstfall vollständig und geordnet vorgelegt werden kann.
Verfahrensdokumentation: der Pflichtbaustein, den viele Shops vergessen
Eine Verfahrensdokumentation beschreibt schriftlich, wie deine elektronische Buchführung im Detail abläuft, von der Belegerfassung bis zur Archivierung. Ihr Zweck ist es, dass sich ein sachverständiger Dritter, etwa ein Betriebsprüfer, in angemessener Zeit einen vollständigen Überblick verschaffen kann. Ohne dieses Dokument gilt eine Buchführung im Zweifel als nicht GoBD-konform, selbst wenn die einzelnen Belege korrekt sind. Die vier Pflichtbausteine im Überblick zeigt die folgende Grafik.
Eine vollständige Verfahrensdokumentation besteht aus vier Bausteinen. Dazu zählen eine allgemeine Beschreibung des Geschäftsprozesses, eine Anwenderdokumentation für die eingesetzte Software, eine technische Systemdokumentation der IT-Infrastruktur und eine Betriebsdokumentation, die Zugriffsrechte, Backups und Kontrollen festhält. Konkret für einen Online-Shop heißt das: Du hältst fest, wie eine Bestellung von Shopify über den Zahlungsdienstleister bis in die Buchhaltungssoftware fließt, wer dabei worauf Zugriff hat und wie die Daten revisionssicher archiviert werden. Scannst du Papierbelege und vernichtest das Original danach, kommt ein weiterer Pflichtteil dazu: Du musst zusätzlich beschreiben, wann gescannt wird, welche Belege betroffen sind und wie die Lesbarkeit kontrolliert wird.
Was passiert bei Verstößen gegen die GoBD?
Erkennt ein Betriebsprüfer, dass Bücher nicht vorgelegt werden, unvollständig sind oder erkennbar nicht den GoBD entsprechen, darf das Finanzamt die Besteuerungsgrundlagen nach § 162 AO schätzen. Diese Zuschätzung, oft als Sicherheitszuschlag bezeichnet, orientiert sich in der Regel nach oben und trifft besonders bargeldintensive Geschäftsmodelle, wenn Z-Bons fehlen, Stornos nicht nachvollziehbar sind oder Programmierprotokolle der Kasse lückenhaft sind.
Zusätzlich zur Schätzung drohen Bußgelder nach § 379 AO wegen Steuergefährdung. Der Betrieb eines Kassensystems ohne gültige TSE kann mit einem Bußgeld von bis zu 25.000 Euro geahndet werden. Eine fehlende Meldung des Kassensystems ans Finanzamt oder fehlerhaft ausgestellte Belege ziehen Bußgelder von bis zu 5.000 Euro nach sich. Diese Zahlen sind Höchstgrenzen, keine Pauschalstrafen. Das tatsächliche Bußgeld richtet sich nach Schwere und Vorsatz des Verstoßes.
Für einen Online-Händler zählt vor allem die Kombination beider Risiken. Eine Zuschätzung erhöht zunächst die Steuerlast rückwirkend für mehrere Jahre, das Bußgeld kommt separat dazu. Wer eine lückenlose Verfahrensdokumentation und vollständige Belege vorlegen kann, entzieht dem Prüfer bereits die Grundlage für eine Schätzung, unabhängig davon, wie die einzelnen Zahlen am Ende ausfallen.
GoBD-konforme Software für Shopify-Shops: worauf achten?
Eine offizielle Zertifizierung “GoBD-konform” gibt es für Software nicht, jeder Anbieter ist für die eigenen Prozesse selbst verantwortlich. Diese Nuance geht in vielen Kaufentscheidungen unter, ist aber wichtig: Ein Siegel im Marketing-Material ersetzt keine funktionierende Verfahrensdokumentation. Klar ist dagegen, welche Programme grundsätzlich ausscheiden. Word- oder Excel-Dateien sind für die laufende Buchführung nicht GoBD-konform, weil Änderungen dort ohne Protokoll jederzeit möglich sind und eine revisionssichere Archivierung so nicht gelingt.
Für einen Shopify-Shop sollte die Software folgende Punkte erfüllen:
- Unveränderbare Speicherung gebuchter Belege inklusive nachvollziehbarem Änderungsprotokoll
- Automatischer, lückenloser Import von Bestell- und Zahlungsdaten aus Shop und Zahlungsdienstleister
- DSFinV-K-Export, falls ein Kassensystem im Einsatz ist
- Getrennte Aufbewahrungslogik für Buchungsbelege, Bücher und Geschäftsbriefe entsprechend der aktuellen Fristen
- Unterstützung bei der Verfahrensdokumentation, etwa durch automatisch protokollierte Systemänderungen
Wer diese Punkte prüft, statt sich auf ein Werbeversprechen zu verlassen, reduziert das Risiko einer Beanstandung in der nächsten Betriebsprüfung erheblich. Genauso wichtig wie die Softwareauswahl ist eine dokumentierte, jährlich wiederholte Kontrolle. Prüfe einmal im Jahr, ob Shop, Zahlungsdienstleister, Kassensystem und Buchhaltung noch dieselben Daten in derselben Struktur austauschen, besonders nach jedem Wechsel eines Anbieters in dieser Kette. Eine GoBD-konforme Verfahrensdokumentation ist damit kein einmaliges PDF, sondern ein Dokument, das mit jeder Systemumstellung mitgepflegt werden muss. Wer produktseitig ohnehin schon andere EU-Pflichtangaben wie eine technische Dokumentation oder eine gerichtsfeste Audit-Trail-Lösung für die Produktsicherheit pflegt, kann dieselbe Sorgfalt und oft auch dieselbe Ablagestruktur für die steuerliche Verfahrensdokumentation nutzen.
Häufige Fragen zur GoBD im Online-Handel
Gilt die GoBD auch für Kleinunternehmer?
Ja, die GoBD gelten unabhängig von der Kleinunternehmerregelung nach § 19 UStG, denn sie knüpfen an die Buchführungs- und Aufzeichnungspflicht an, nicht an die Umsatzsteuerbehandlung. Auch ein Kleinunternehmer mit Einnahmenüberschussrechnung muss seine elektronischen Aufzeichnungen GoBD-konform führen.
Muss ich Bestelldaten aus Shopify separat aufbewahren, wenn sie auch in der Buchhaltungssoftware landen?
Nein, eine doppelte Aufbewahrung ist nicht vorgeschrieben, solange die Daten vollständig, unveränderbar und für die gesamte Frist abrufbar in mindestens einem System archiviert sind. Wichtig ist, dass die Verfahrensdokumentation genau beschreibt, wo welche Daten letztlich liegen.
Reicht ein PDF-Export meiner Buchhaltungssoftware als Verfahrensdokumentation?
Nein, ein reiner Datenexport beschreibt keinen Prozess. Die Verfahrensdokumentation muss zusätzlich erklären, wie Belege erfasst, geprüft, gebucht und archiviert werden, inklusive der eingesetzten Systeme und Zugriffsrechte.
Was passiert mit Belegen, deren alte Zehn-Jahres-Frist 2025 noch nicht abgelaufen war?
Die verkürzte Acht-Jahres-Frist gilt auch für bereits bestehende Buchungsbelege, deren Frist unter altem Recht am 31. Dezember 2024 noch nicht abgelaufen war. In der Praxis dürfen dadurch ab 2025 auf einen Schlag mehrere Jahrgänge an Belegen vernichtet werden, sofern kein anderer Grund für eine längere Aufbewahrung besteht, etwa ein laufendes Prüfungs- oder Rechtsbehelfsverfahren.
Brauche ich eine TSE-Kasse, wenn ich ausschließlich über Shopify verkaufe?
Nein, die TSE-Pflicht betrifft elektronische Aufzeichnungssysteme mit Kassenfunktion. Ein reiner Online-Checkout ohne physisches Kassensystem fällt nicht darunter. Sobald du zusätzlich bar oder über eine lokale Kasse verkaufst, etwa bei einem Popup-Store, greift die Pflicht auch für diesen Kanal.
Kann ein Betriebsprüfer meine Kundendaten aus Shopify direkt einsehen?
Ja, im Rahmen des unmittelbaren Zugriffs nach Z1 darf der Prüfer lesend auf die steuerlich relevanten Daten in deinem System zugreifen, sofern diese digital vorliegen. In der Praxis wird jedoch meist die Datenträgerüberlassung nach Z3 gewählt, bei der du einen strukturierten Export bereitstellst, statt den Prüfer direkt im Live-System arbeiten zu lassen. Shopify selbst bietet dafür die kostenlose App “Data Exporter - Tax Compliance” an, die von Audicon für den GoBD-Datenzugriff in Deutschland zertifiziert wurde und Bestellungen, Produkte und Kundendaten vollständig und unverändert als strukturierten Export bereitstellt. So sieht die App im Shopify App Store aus:
Muss ich für jede Zahlungsart eine eigene Verfahrensdokumentation erstellen?
Nein, eine einzige Verfahrensdokumentation kann mehrere Zahlungsarten und Systeme abdecken, solange sie für jede Datenquelle, vom Zahlungsdienstleister bis zur Kasse, den vollständigen Weg vom Beleg bis zur Archivierung beschreibt. Getrennte Dokumente sind erst sinnvoll, wenn einzelne Prozesse völlig unabhängig voneinander laufen.
Die GoBD sind kein einmaliges Projekt, sondern ein laufender Prozess, der mit jeder neuen Zahlungsart, jedem neuen Marktplatz und jeder Gesetzesänderung mitwächst. Wer die aktuellen Fristen kennt, seine Kassensysteme korrekt anmeldet und eine Verfahrensdokumentation pflegt, die tatsächlich beschreibt, was im Unternehmen passiert, übersteht eine Betriebsprüfung ohne böse Überraschung.