DSGVO in Österreich für die Buchhaltung: was EPU und GmbH tun müssen und wann Sie löschen dürfen
Kurze Antwort
Für Ihre Buchhaltung brauchen Sie keine Einwilligung, weil die Aufzeichnung gesetzlich vorgeschrieben ist. Sie brauchen aber ein Verarbeitungsverzeichnis, einen Auftragsverarbeitungsvertrag mit Ihrer Software und einen Löschplan: Nach § 132 BAO bewahren Sie sieben Jahre auf, danach löschen Sie personenbezogene Daten. Bei einem ersten Verstoß verwarnt die Datenschutzbehörde in der Regel, statt zu strafen (§ 11 DSG).
Die vier Pflichten auf einen Blick
| Pflicht | Was sie für Ihre Bücher heißt | Grundlage |
|---|---|---|
| Rechtsgrundlage | Aufzeichnungen sind Pflicht, keine Einwilligung nötig | Art. 6 Abs. 1 lit. c DSGVO mit §§ 124 bis 132 BAO |
| Verarbeitungsverzeichnis | Zwecke, Personen, Daten, Empfänger, Löschfristen, Sicherheit | Art. 30 Abs. 1 DSGVO |
| AVV | mit Buchhaltungssoftware, Lohnverrechnung, Cloud-Speicher | Art. 28 DSGVO, was drinstehen muss |
| Löschen | nach sieben Jahren, außer ein Abgabenverfahren läuft noch | § 132 Abs. 1 BAO |
Die Ausnahme vom Verarbeitungsverzeichnis für Unternehmen unter 250 Beschäftigten (Art. 30 Abs. 5 DSGVO) gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Buchhaltung und Lohnverrechnung laufen jeden Monat; nach unserem Verständnis des Wortlauts braucht daher auch ein EPU mit laufender Buchhaltung das Verzeichnis. Für Bücher passt es auf eine halbe Seite.
Rechenbeispiel: Wann darf Anna löschen?
Anna ist Grafikerin in Graz, EPU mit E/A-Rechnung. Die Frist läuft nach § 132 Abs. 1 BAO für Bücher und Aufzeichnungen ab dem Schluss des Kalenderjahres der Eintragung, für Belege ab dem Schluss des Kalenderjahres, auf das sie sich beziehen.
| Unterlage | Frist beginnt | sieben Jahre enden | Löschen ab |
|---|---|---|---|
| Rechnungen und Kontoauszüge 2019 | 31.12.2019 | 31.12.2026 | Jänner 2027 |
| Rechnungen 2020 | 31.12.2020 | 31.12.2027 | Jänner 2028 |
| GmbH, Wirtschaftsjahr 1.7.2019 bis 30.6.2020 | 31.12.2020 (Jahr, in dem das Wirtschaftsjahr endet) | 31.12.2027 | Jänner 2028 |
Der Haken: Läuft für 2019 noch eine Beschwerde gegen den Einkommensteuerbescheid, bleiben die Unterlagen, solange sie für dieses Verfahren von Bedeutung sind. Anna setzt sich also für Jänner 2027 einen Termin: Belege 2019 prüfen, löschen, im Verzeichnis vermerken. Den Vergleich mit Deutschland (8 und 10 Jahre) finden Sie unter Aufbewahrung und Löschen.
Wenn etwas schiefgeht
- Erster Verstoß: Nach § 11 DSG wendet die Datenschutzbehörde Art. 83 DSGVO verhältnismäßig an und macht „insbesondere bei erstmaligen Verstößen“ von ihren Abhilfebefugnissen „insbesondere durch Verwarnen“ Gebrauch.
- Geldbußen: Für Verstöße gegen die DSGVO gilt Art. 83 DSGVO. Daneben straft § 62 DSG bestimmte Taten, etwa die vorsätzliche Verletzung des Datengeheimnisses, mit bis zu 50.000 Euro. Gegen eine GmbH verhängt die Datenschutzbehörde Geldbußen nach § 30 DSG, wenn eine Person in Führungsposition den Verstoß begangen oder durch mangelnde Überwachung ermöglicht hat.
- Beschwerde eines Kunden: Nach § 24 DSG kann sich jede betroffene Person bei der Datenschutzbehörde beschweren, binnen eines Jahres ab Kenntnis, längstens drei Jahre nach dem Ereignis. Die Eingabe ist von Verwaltungsabgaben des Bundes befreit (§ 69 Abs. 6 DSG).
Müssen die Server in Österreich stehen?
Nein. Nach § 131 Abs. 1 BAO dürfen Bücher und Aufzeichnungen auch im Ausland geführt werden; auf Verlangen der Abgabenbehörde bringen Sie sie innerhalb einer angemessenen Frist ins Inland. Den Vergleich mit Deutschland, wo Server außerhalb der EU eine Bewilligung brauchen: Serverstandort Deutschland, ist das Pflicht?
Wie Octobooks das handhabt
Octobooks ist Ihr Auftragsverarbeiter unter einem AVV. Ihre Bücher liegen auf Servern in Deutschland, die verschlüsselte Zweitsicherung in Finnland, beides in der EU. Lassen Sie Claude oder eine andere KI Ihre Bücher lesen, bestimmen Sie, wie viel sie sieht: Standard, Careful (Personen als Pseudonyme, Kontakt- und Bankdaten weggelassen) oder Private (keine personenbezogenen Daten an die KI). So stellen Sie es ein: Datenschutz und Ihre KI. Ob die KI selbst DSGVO-konform ist, Tarif für Tarif: Ist KI-Buchhaltung mit der DSGVO vereinbar? Allgemeine Information, keine Rechtsberatung.
Quellen
- Datenschutzgesetz (DSG), §§ 11, 24, 30, 62, 69, RIS, gelesen am 5. November 2026
- § 132 BAO: Aufbewahrung, RIS, gelesen am 5. November 2026
- § 131 BAO: Bücher im Ausland, RIS, gelesen am 5. November 2026
- DSGVO Art. 30 (Wortlaut geprüft auf legislation.gov.uk am 5. November 2026; amtliche Fassung auf EUR-Lex)