E-Rechnung und Datenschutz: So bleibt Ihr Rechnungsversand per Mail DSGVO-konform

Was ist eine E-Rechnung – und warum ist sie ein Datenschutzthema?

E-Rechnungen sind strukturierte elektronische Rechnungen, die maschinenlesbar sind und bestimmten gesetzlichen Anforderungen entsprechen. Besonders relevant sind in Deutschland die Formate ZUGFeRD und XRechnung – verpflichtend etwa im B2G-Sektor (Business-to-Government).

Rechnungsdaten enthalten regelmäßig personenbezogene Daten – z. B. Name, Anschrift, Kundennummer oder Kontoverbindungen. Damit fällt ihre Verarbeitung unter die Bestimmungen der Datenschutz-Grundverordnung (DSGVO).

Die Einführung der E-Rechnungspflicht schreitet in Deutschland zügig voran. Bereits seit November 2020 ist die E-Rechnung im B2G-Bereich verpflichtend. Mit dem Wachstumschancengesetz plant der Gesetzgeber zudem, die E-Rechnungspflicht bis 2028 auch im B2B-Bereich flächendeckend umzusetzen. Ab dem 1. Januar 2025 müssen alle inländischen Unternehmen in der Lage sein, elektronische Rechnungen im strukturierten Format (z. B. XRechnung oder ZUGFeRD) zu empfangen. In weiteren Schritten ist vorgesehen, die Verpflichtung auch auf das Ausstellen von Rechnungen für Großunternehmen auszuweiten.

Für Unternehmen bedeutet das: Die Umstellung auf elektronische Rechnungsprozesse ist nicht mehr optional, sondern gesetzlich vorgegeben – und muss zwingend unter Berücksichtigung der DSGVO-Anforderungen erfolgen.

Wichtig: Datenschutz beginnt nicht erst bei sensiblen Gesundheitsdaten. Auch Rechnungsinformationen unterliegen hohen Anforderungen an Sicherheit, Transparenz und Zweckbindung. Dabei ist es entscheidend, technische und rechtliche Verantwortung klar zu trennen und professionell zu regeln: Beispielsweise liegt die technische Verantwortung bei der IT-Abteilung, die für die Implementierung von Verschlüsselungsmechanismen oder sicheren Archivierungssystemen zuständig ist. Die rechtliche Verantwortung hingegen liegt bei der Datenschutzorganisation, oder der Rechtsabteilung, die prüft, welche Rechtsgrundlage einschlägig ist, ob ein AV-Vertrag abgeschlossen wurde oder wie lange Daten gespeichert werden dürfen. Nur wenn beide Verantwortungsbereiche aufeinander abgestimmt sind, kann ein DSGVO-konformer Prozess sichergestellt werden.

DSGVO und GoBD: Diese Vorschriften gelten beim Rechnungsversand per Mail

Beim Versand von E-Rechnungen per E-Mail greifen mehrere gesetzliche Vorgaben:

• DSGVO: Erfordert unter anderem die angemessenen TOM, eine Rechtsgrundlage für die Verarbeitung, der Abschluss von Datenschutzverträgen und die Einhaltung von Transparenzpflichten.  

• GoBD (Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form): Bestimmen die Anforderungen an die Unveränderbarkeit, Nachvollziehbarkeit und Archivierung von Rechnungen.

Besonders kritisch ist der Versandweg: Nur bei Transportverschlüsselung (z. B. TLS) oder Ende-zu-Ende-Verschlüsselung gilt die Übertragung als DSGVO-konform.

Tipp: Unternehmen sollten die datenschutzrechtlichen Rollen (Verantwortlicher, Auftragsverarbeiter, gemeinsame Verantwortlichkeit/Joint Controllership) eindeutig bestimmen und vertraglich fixieren. So lassen sich Risiken klar zuordnen.

Typische Datenschutzrisiken bei der E-Rechnung

Die Praxis zeigt, dass E-Rechnungen häufig nicht rechtskonform versendet werden. Zu den typischen Fehlern zählen:

• Unverschlüsselte Übertragung  

• Fehlende Transparenz ggü. der Betroffenen  

• Unzulässige oder zu lange Speicherung von Rechnungsdaten

• Nutzung von Drittanbietertools ohne AV-Vertrag oder ausreichende Sicherheitsstandards

Diese Versäumnisse können zu erheblichen Compliance Risiken führen – etwa zu einer meldepflichtigen Datenschutzverletzung nach Art. 33, 34 DSGVO oder zu Vertrauens- und Reputationsschäden bei Kunden und Geschäftspartnern.

So versenden Sie DSGVO-konforme Rechnungen per E-Mail

Ein DSGVO-konformer Rechnungsversand erfordert sowohl technische Schutzmaßnahmen als auch organisatorische Vorkehrungen:

Technisch:

• TLS-Verschlüsselung beim Mailversand

• Ende-zu-Ende-Verschlüsselung  

• Lösch- und Berechtigungskonzept

• Sichere Archivierung  

Interne Datenschutzrichtlinie:

• Rollen- und Rechtekonzept für Rechnungsempfänger

• Verankerung von Rechnungsprozessen im Datenschutzmanagementsystem

• Schulungen für Mitarbeitende

Ob als Rechtsgrundlage eine Einwilligung der Empfänger erforderlich ist oder ein berechtigtes Interesse ausreicht, hängt vom Einzelfall ab – insbesondere bei Privatkunden (B2C) ist Vorsicht geboten.

Checkliste: E-Rechnungen Datenschutz-konform erstellen und versenden

1. Rechtliche Mindestanforderungen prüfen (UStG, DSGVO, GoBD)

2. Technische Schutzmaßnahmen implementieren (TLS, Löschkonzept)

3. Empfänger prüfen & dokumentieren

4. Verarbeitungsverzeichnis aktualisieren

5. Datenschutzerklärung & sonstige Datenschutzinformationen anpassen, falls sich Zwecke oder Verarbeitung ändern

6. AV-Verträge prüfen – insbesondere bei Cloud-Lösungen oder externen Dienstleistern

Wie Datenschutz-Dienstleister Unternehmen bei der E-Rechnung unterstützen können

Gerade für mittelständische Unternehmen mit Verbundstrukturen und mehreren Standorten lohnt sich die Zusammenarbeit mit externen Experten:

• Externe Datenschutzbeauftragte stellen die laufende Überwachung sicher

• Datenschutz-Folgenabschätzungen (DSFA) identifizieren Risiken frühzeitig

• AV-Verträge, Tools & Anbieter werden professionell auditiert und bewertet

• Beratung zur Einbindung in bestehende ISMS- oder Compliance-Strukturen

Unsere Expert*innen bei Datenschutzexperte kombinieren tiefes juristisches Fachwissen mit technischer Umsetzungskompetenz – auf Wunsch auch integriert in Ihre Compliance-Management-Systeme.

Fazit: Datenschutz bei der E-Rechnung – Pflicht und Chance zugleich

Die datenschutzkonforme Gestaltung des E-Rechnungsprozesses ist kein überflüssiger Aufwand, sondern ein wesentlicher Baustein professioneller Unternehmensführung. Unternehmen, die hier richtig aufgestellt sind, automatisieren rechtskonforme Dokumentationsprozesse und sparen hierdurch Zeit und Kosten. Zudem werden  

• Risiken reduziert und operative Störungen vermieden

• Kundenbeziehungen und interne Abläufe geschützt

• ihre Position gegenüber Geschäftspartnern gestärkt

Jetzt DSGVO-Check durchführen lassen: Unsere Beratung zeigt, wie Sie Ihre Prozesse rechtssicher und effizient gestalten. Kontaktieren Sie uns für ein unverbindliches Erstgespräch – und machen Sie Ihre E-Rechnungen fit für die Zukunft.