Muster-Verfahrensdokumentation

1. Angaben zum Unternehmen und zu diesem Dokument

2. Eingesetzte Systeme

Welche Programme an Belegen und Buchhaltung beteiligt sind:

Paperarchive wird nach der "Systembeschreibung GoBD-Modus", Version 2.1, Stand 06.10.2026, betrieben (paperarchive.io/de/verfahrensdokumentation). Die zum Zeitpunkt dieses Dokuments gültige Fassung liegt als PDF bei (Anlage A).

3. Verantwortliche und Zuständigkeiten

4. Belegarten

Welche Belege anfallen, wie sie ankommen und wie Paperarchive sie einordnet. Die Frist ergibt sich in Paperarchive aus dem Typ des Ereignisses, das beim Verarbeiten erkannt wird.

Dokumente ohne erkannten Typ erhalten in Paperarchive 10 Jahre. Unterlagen, die nicht in Paperarchive liegen (z.B. Jahresabschlüsse, Buchungsdaten in der Buchhaltung, Kassendaten), und wo sie stattdessen aufbewahrt werden: [Beschreibung].

5. Erfassungswege

Kreuze an, welche Wege du nutzt, und beschreibe kurz den Ablauf.

• Upload in der Web-App (PDF, Bilder, Office-Dateien, XML-E-Rechnungen, höchstens 50 MB)
• Kamera-Erfassung in der Web-App oder den Apps (Paperarchive erzeugt daraus ein PDF; die Bilder werden dabei verkleinert und komprimiert)
• Weiterleitung per E-Mail an die persönliche Upload-Adresse (Anhänge als PDF, Bild oder XML-E-Rechnung; Office-Anhänge werden per E-Mail nicht übernommen)
• Import aus Google Drive oder Dropbox aus dem Ordner [Ordner]
• Upload über die API oder eine Automatisierung ([Beschreibung])

Ablauf: [z.B. Eingangsrechnungen per E-Mail kommen im Postfach rechnung@... an und werden am selben Tag an die Paperarchive-Adresse weitergeleitet. Papierbelege werden einmal pro Woche gescannt.]

E-Rechnungen

XRechnung-Dateien (XML) werden als XML-Original aufbewahrt, ZUGFeRD-Rechnungen als PDF mit der eingebetteten XML. E-Rechnungen werden unverändert weitergeleitet oder als Originaldatei hochgeladen und vorher nicht in einem anderen Programm geöffnet und neu gespeichert, sonst kann die XML verloren gehen. In einem GoBD-Space speichert Paperarchive bei E-Mail-Eingang zusätzlich die ursprüngliche E-Mail; bringt eine weitere E-Mail einen Anhang, der im Space schon vorhanden ist, entsteht kein neues Dokument, sondern die neue E-Mail wird als weitere Quell-E-Mail mit dem vorhandenen Dokument verknüpft. E-Mails, deren Absenderprüfung (SPF, DKIM, DMARC) fehlschlägt, verwirft der GoBD-Space nicht: Sie bleiben in Quarantäne mit einem Eingabe-nötig-Hinweis und werden von [Name] geprüft.

Zeitnahe Erfassung

Belege werden spätestens [Frist, z.B. innerhalb von 10 Tagen] nach Eingang erfasst. Bareinnahmen und -ausgaben: [Ablauf].

6. Scanverfahren und ersetzendes Scannen

Nur ausfüllen, wenn du Papierbelege digitalisierst. Ersetzendes Scannen heißt: Das Papier wird nach dem Scannen vernichtet. Das ist nur zulässig, wenn der Scanprozess hier beschrieben ist und eingehalten wird.

Prüfung der Bildqualität

Paperarchive prüft die Bildqualität eines Scans nicht. Die hochgeladene Datei ist das archivierte Original. Deshalb wird jeder Scan vor dem Hochladen oder direkt danach in der Vorschau geprüft:

• Alle Seiten vollständig und in der richtigen Reihenfolge
• Text, Beträge, Datum und Steuernummern gut lesbar, nichts abgeschnitten
• Farbe erhalten, wo sie eine Bedeutung hat (z.B. Stempel, Unterschriften, Markierungen)
• Bei der Kamera-Erfassung: scharf, ohne Schatten oder Spiegelungen, ganzer Beleg im Bild
• Thermobelege rechtzeitig scannen, bevor sie verblassen

Ist ein Scan mangelhaft: neu scannen und das mangelhafte Dokument [löschen, solange es nicht archiviert ist / mit dem Tag "Neu gescannt" kennzeichnen]. Im GoBD-Space wird ein Dokument nach der Verarbeitung archiviert (bei offenem Eingabe-nötig-Hinweis nach der Prüfung, spätestens 10 Tage nach dem Hochladen) und lässt sich dann bis Fristende nicht mehr löschen; bis dahin lässt es sich löschen, aufteilen und zusammenführen, und jeder Schritt steht im Änderungsprotokoll.

Umgang mit dem Papier

• Papierbelege werden nach erfolgreicher Prüfung [sofort / nach X Monaten / nach Abschluss des Jahres] vernichtet. [Oder: Papier wird zusätzlich aufbewahrt.]
• Ausgenommen sind Unterlagen, deren Papieroriginal aufbewahrt werden muss oder sollte, z.B. [Zollbelege, notariell beurkundete Dokumente, Urkunden; mit der Steuerberatung abstimmen].
• Belege, die nicht vernichtet werden, liegen in [Ort].

7. Benennung und Ordnung

• Spaces: [z.B. "Business" im GoBD-Modus für alle betrieblichen Unterlagen, "Privat" ohne GoBD-Modus]. Betriebliche Belege gehören immer in den GoBD-Space.
• Kategorien und Tags: [z.B. Kategorien nach Kostenart, Tag pro Projekt oder Kunde]
• Dateinamen: Paperarchive vergibt Titel nach dem in den Einstellungen gewählten Benennungsmuster: [Muster]. Der Titel ist nach der Archivierung gesperrt.
• Verbindung zur Buchhaltung: [z.B. Rechnungsnummer als Belegfeld 1 im DATEV-Export, Übergabe an die Steuerberatung monatlich per DATEV-Export].

8. Paperarchive als eingesetztes System

Für die technische Seite gilt die Systembeschreibung GoBD-Modus, Version 2.1, Stand 06.10.2026. Kurzfassung der Punkte, auf die sich diese Verfahrensdokumentation stützt:

• Der GoBD-Modus ist für den Space [Name] seit [Datum] eingeschaltet. Seit dem Einschalten hat jedes Dokument des Spaces eine Aufbewahrungsfrist; solange Dokumente in der Aufbewahrung liegen oder eine Löschsperre aktiv ist, lässt sich der GoBD-Modus nicht ausschalten. Löschen lässt sich der Space nur ohne archivierte Dokumente und ohne aktive Löschsperre.
• Paperarchive archiviert ein Dokument im GoBD-Space, sobald seine Verarbeitung abgeschlossen ist und der SHA-256-Hash des Originals vorliegt; direkt davor prüft es das gespeicherte Original gegen diesen Hash (bei einer Abweichung keine Archivierung und ein Hinweis an den Inhaber). Dokumente mit offenem Eingabe-nötig-Hinweis werden erst nach der Prüfung archiviert, spätestens 10 Tage nach dem Hochladen. Nachträglich in den Space verschobene Dokumente erhalten die vorläufige Frist und werden von einem stündlichen Lauf archiviert, sobald sie fertig verarbeitet und 6 Stunden alt sind. Achtung: Fehlgeschlagene Uploads und Dokumente, deren Verarbeitung fehlgeschlagen ist oder die nach 10 Tagen noch nicht verarbeitet sind, werden nicht automatisch archiviert; sie brauchen eine Entscheidung (siehe Abschnitt 9). Jede Archivierung steht mit ihrem Grund im Änderungsprotokoll, auch die Archivierung durch einen DATEV-Export. Bis zur Archivierung lassen sich Dokumente löschen, aufteilen, zusammenführen und aus dem Space verschieben; jeder Schritt steht im Änderungsprotokoll, das Verschieben mit altem und neuem Space.
• Nach der Archivierung sind Datei, Titel, Dokumentdatum, Absender, Kategorie, Referenznummer, erkannte Angaben und beim Ereignis Betrag, Währung, Fälligkeit, Referenznummer und Typ gesperrt. Der Status (z.B. bezahlt) bleibt änderbar. Indexdaten korrigieren nur der Inhaber oder ein Admin des Spaces über die Korrekturfunktion mit Pflichtbegründung: Dokumentdatum, Absender, Kategorie, Referenznummer, strukturierte Angaben und die Werte des Ereignisses (Betrag, Währung, Fälligkeit, Referenznummer, Typ, Zeitraum, Skonto); ein fehlendes Ereignis lässt sich ergänzen. Alter Wert, neuer Wert und Begründung bleiben im Änderungsprotokoll. Nie korrigierbar sind die Datei und ihre abgeleiteten Dateien, die Hashes, der Erfassungszeitpunkt, Archivierungsdatum und -grund, das Fristende, der Space und wer hochgeladen hat.
• Die Aufbewahrungsfrist richtet sich nach dem Ereignistyp (6, 8 oder 10 Jahre) und endet am 31. Dezember des Jahres "Dokumentdatum + Frist". Sie wird nie verkürzt. Vor der Archivierung gilt eine vorläufige Frist (Ende des Upload-Jahres plus 10 Jahre). Vor Fristende kann ein archiviertes Dokument nicht gelöscht werden. Für eine Ablaufhemmung setzen Inhaber oder Admin eine Löschsperre (siehe Abschnitt 10).
• Jede Änderung steht mit Zeitpunkt, Person, altem und neuem Wert im Änderungsprotokoll. Die Einträge sind in einer Hash-Kette verknüpft (manipulationserkennbar). Lesezugriffe von Mitgliedern werden nicht protokolliert; jede Datei, die ein Prüfer öffnet oder herunterlädt, und jeder DATEV-Export stehen im Änderungsprotokoll. Protokollierte Werte werden nur nach festen Löschregeln entfernt, und jedes Entfernen wird selbst protokolliert.
• Zu jeder Datei wird beim Upload ein SHA-256-Hash gespeichert. Paperarchive prüft archivierte Dateien und die Hash-Kette einmal im Monat; die Prüfung lässt sich für ein Dokument jederzeit selbst starten.
• XRechnung-Dateien bleiben als XML-Original erhalten, ZUGFeRD als PDF mit eingebetteter XML, E-Mails als .eml. Aufgeteilte Teile verweisen auf ihr Ausgangsdokument, das im Papierkorb bleibt, solange ein Teil archiviert ist. Duplikate erkennt Paperarchive im GoBD-Space je Space: Eine Kopie in einem anderen Space ist kein Duplikat.
• Für Prüfungen gibt es den befristeten Prüfer-Zugang, den GDPdU-Export und den DATEV-Export. Der Inhaber kann den Space an ein Mitglied mit der Rolle Admin übergeben (Space übergeben); die Übergabe steht im Änderungsprotokoll.

Was Paperarchive nicht übernimmt und deshalb in dieser Dokumentation geregelt ist: Vollständigkeit der Erfassung, Prüfung der Scans und erkannten Angaben, Abstimmung der Fristen, eigene Datensicherung, Vergabe von Zugriffen, Löschentscheidung nach Fristende.

9. Kontrolle der erkannten Angaben

Paperarchive erkennt Datum, Absender, Betrag und Typ automatisch. Im GoBD-Space sind diese Angaben ab der Archivierung gesperrt (nach der Verarbeitung, bei offenem Eingabe-nötig-Hinweis nach der Prüfung, spätestens 10 Tage nach dem Hochladen). Maßgeblich bleibt immer die Originaldatei.

• Aktionshinweise "Braucht deine Eingabe" werden [täglich / wöchentlich] von [Name] bearbeitet.
• Gebucht wird anhand der Originaldatei, nicht anhand der erkannten Werte.
• Fällt nach der Archivierung eine falsch erkannte Angabe auf (Dokumentdatum, Absender, Kategorie, Referenznummer, strukturierte Angaben oder Werte des Ereignisses wie Betrag, Fälligkeit oder Typ), korrigiert [Name] (Inhaber oder Admin) sie in Paperarchive über die Korrekturfunktion mit Pflichtbegründung; alter Wert, neuer Wert und Begründung bleiben im Änderungsprotokoll. Datei, Hashes, Erfassungszeitpunkt und Archivierungsangaben lassen sich nie korrigieren.
• Ein falsch erkannter Typ oder ein falsches Datum kann zu einer falschen Frist führen. Bei Zweifeln: Frist laut Steuerberatung beachten und das Dokument nicht vor Ablauf der längeren Frist löschen.
• Fehlgeschlagene Uploads und Dokumente, die nach 10 Tagen noch nicht verarbeitet sind, archiviert Paperarchive nicht automatisch; der Inhaber erhält dazu wöchentlich einen Hinweis in der App. [Name] entscheidet [wöchentlich], ob die Verarbeitung erneut gestartet oder das Dokument ausdrücklich mit schriftlicher Begründung archiviert wird.

10. Aufbewahrung und Löschung

• Fristen: siehe Abschnitt 4. Abweichungen nach Rücksprache mit der Steuerberatung: [keine / Beschreibung].
• Die Frist endet nicht, solange die Unterlagen für eine noch offene Steuerfestsetzung von Bedeutung sind (§ 147 Abs. 3 Satz 5 AO). Paperarchive erkennt das nicht automatisch; vor jeder Löschung wird das geprüft. Ist das der Fall, setzt [Name] in der Web-App eine Löschsperre (Ablaufhemmung) für den Space oder das Dokument, mit Begründung und optionalem Enddatum. Solange sie aktiv ist, wird kein erfasstes Dokument endgültig gelöscht, die Werte im Änderungsprotokoll bleiben, und der Space lässt sich weder löschen noch aus dem GoBD-Modus nehmen. Setzen und Aufheben stehen mit Begründung im Änderungsprotokoll.
• Paperarchive löscht nach Fristende nicht automatisch. Gelöscht wird nur nach Prüfung durch [Name], frühestens [z.B. einmal im Jahr im Januar].
• 60 Tage vor dem Ende der Aufbewahrungsfrist archivierter Belege zeigt Paperarchive dem Inhaber einen Hinweis in der App. Wird ein nie archiviertes Dokument aus dem GoBD-Space gelöscht, bleiben seine protokollierten Werte bis zum Ende des Erfassungsjahres plus 10 Jahre im Änderungsprotokoll.
• Vor einer Kündigung oder Kontolöschung werden alle Unterlagen mit laufender Frist exportiert (GDPdU-Export oder Datenexport) und in [Ort] aufbewahrt. Archivierte Belege, die Mitglieder in diesen Space hochgeladen haben, bleiben bei deren Kontolöschung erhalten und gehen mit Tags, Absender und Kategorie an den Inhaber des Spaces über; IP-Adresse und Browser der gelöschten Person werden aus dem Änderungsprotokoll entfernt. Die Kontolöschung ist der einzige Weg an den Sperren vorbei; eine aktive Löschsperre blockiert sie, bis die Sperre aufgehoben oder der Space übergeben ist. Scheidet der Inhaber aus, übergibt er den Space vorher an einen Admin (Space übergeben).

11. Zugriffsrechte

• Zwei-Faktor-Anmeldung ist für alle Personen mit Zugriff [eingerichtet / geplant bis Datum].
• Zugriffe werden [halbjährlich] überprüft; Personen, die keinen Zugriff mehr brauchen, werden sofort entfernt.

12. Datenzugriff bei einer Außenprüfung

Unmittelbarer Zugriff (Z1)

Die Prüferin oder der Prüfer erhält auf Anforderung einen Lesezugang mit der Rolle "Prüfer (nur lesen, befristet)" für den Space [Name]: Einladung per E-Mail durch [Name], Enddatum höchstens ein Jahr nach der Einladung, in der Regel das voraussichtliche Ende der Prüfung. Die Person braucht ein Paperarchive-Konto. Der Prüfer kann Dokumente, Dateien, Ereignisse und Verlauf lesen und durchsuchen und den GDPdU-Export erstellen, aber nichts ändern. Der Zugriff endet automatisch; Erteilen, Ändern und Entfernen stehen im Änderungsprotokoll. Jede Datei, die der Prüfer öffnet oder herunterlädt (Web-App, Apps, API, MCP), steht vor der Auslieferung im Änderungsprotokoll; direkt aus dem Dateispeicher kann er nichts lesen. Beenden können den Zugang nur Inhaber oder Admins; nach der Prüfung entfernt [Name] den Zugang.

Mittelbarer Zugriff (Z2)

[Name] wertet die Daten nach Vorgabe der Prüfung in Paperarchive aus (Suche, Filter, Download, Export des Änderungsprotokolls) und stellt die Ergebnisse bereit.

Datenträgerüberlassung (Z3)

Über "GDPdU-Export (Betriebsprüfung)" erstellt [Name] ein ZIP-Archiv für den angeforderten Zeitraum mit index.xml nach dem Beschreibungsstandard, den Tabellen Dokumente, Ereignisse und Änderungsprotokoll (jeder Eintrag des Space im Zeitraum) und den Originaldateien, dazu Visualisierungen, Quell-E-Mails und die Ursprungsdateien von Zusammenführungen. Archivierte Dokumente, die nach Fristende im Papierkorb liegen, sind enthalten (Spalte Papierkorb); Dateien, die fehlen, nennt fehlende_dateien.csv. Große Exporte bestehen aus mehreren ZIP-Dateien. Jeder Export wird im Änderungsprotokoll vermerkt. Daten der Buchhaltung kommen aus [Buchhaltungsprogramm].

Übergabe an die Steuerberatung

[Monatlich / quartalsweise] per "Export für Steuerberater (DATEV)" (Buchungsstapel, Belegübersicht, Originale) oder [anderer Weg]. Aus dem GoBD-Space archiviert der DATEV-Export jedes exportierte Dokument und steht im Änderungsprotokoll; Dokumente mit offenem Eingabe-nötig-Hinweis werden nicht exportiert, sondern in belege.csv mit Hinweis aufgeführt.

13. Datensicherung

Paperarchive sichert die Datenbank täglich (7 Tage), aber die Dateien haben derzeit keine vom System unabhängige Kopie. Deshalb gilt zusätzlich:

• [Name] erstellt [monatlich / quartalsweise] einen GDPdU-Export des GoBD-Space (oder den Datenexport des Kontos) und speichert ihn in [Ort, z.B. verschlüsselte externe Festplatte, zweiter Cloud-Speicher].
• Die Exporte werden [X Jahre / bis Fristende] aufbewahrt.
• Die Lesbarkeit eines Exports wird [jährlich] stichprobenhaft geprüft.

14. Kontrollen (internes Kontrollsystem)

15. Änderungshistorie

Jede Fassung wird mit Datum aufbewahrt (z.B. als PDF im GoBD-Space). Änderungen am Ablauf, an den eingesetzten Systemen oder an den Zuständigkeiten werden hier eingetragen.

Anlagen

• Anlage A: Systembeschreibung GoBD-Modus von Paperarchive, Version 2.1, Stand 06.10.2026 (paperarchive.io/de/verfahrensdokumentation, als PDF gespeichert)
• Anlage B: Vertrag zur Auftragsverarbeitung mit Paperarchive (paperarchive.io/avv), falls personenbezogene Daten Dritter verarbeitet werden
• Anlage C: [Dokumentation der Buchhaltungssoftware, Kassensystem]
• Anlage D: [Arbeitsanweisung Scannen, falls separat]