Dürfen wir Lieferantenrechnungen fürs ERP von einer KI auslesen lassen?
Ein pauschales Verbot gibt es nicht. Ob es in Ihrem Unternehmen passt, hängt davon ab, wer die Daten verarbeitet und wo, ob das Original unverändert archiviert bleibt und ob Ihre Buchhaltung jeden Vorschlag prüft. Dazu gehören passende Verträge, etwa zur Auftragsverarbeitung. Die verbindliche Einordnung geben Datenschutzbeauftragte oder Rechtsberatung.
In Kürze
- Rechnungen enthalten oft personenbezogene Daten, etwa Namen von Ansprechpersonen oder Einzelunternehmern.
- Für den Dienstleister, der ausliest, braucht es in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
- Das Original muss nach § 132 BAO unverändert aufbewahrt werden, die KI arbeitet nur mit einer Kopie.
- Gebucht wird erst nach Prüfung durch einen Menschen.
Ein pauschales Verbot gibt es nicht, eine pauschale Erlaubnis auch nicht. Ob es in Ihrem Unternehmen passt, hängt davon ab, wer die Daten verarbeitet, ob das Original erhalten bleibt und wer am Ende prüft. Technisch läuft es so: Die KI liest eine Kopie der Rechnung und schlägt Lieferant, Rechnungsnummer, Beträge und Positionen vor. Das Original bleibt unverändert im Archiv, und gebucht wird erst, wenn Ihre Buchhaltung den Vorschlag geprüft hat. Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.
Sind auf einer Lieferantenrechnung überhaupt personenbezogene Daten?
Öfter, als man denkt. Die Rechnung einer GmbH an Ihre GmbH wirkt unpersönlich, nennt aber meist eine Ansprechperson, eine Durchwahl oder eine persönliche Mailadresse. Bei Einzelunternehmern, etwa dem Elektriker aus dem Ort oder dem freien Konstrukteur, ist schon der Firmenname ein Personenname.
Damit gilt die Datenschutz-Grundverordnung (DSGVO). Das heißt nicht, dass Sie nichts tun dürfen. Es heißt, dass Sie wissen müssen, wer die Daten verarbeitet, wo und wozu.
Was verlangt die DSGVO, wenn ein Dienstleister die Rechnungen ausliest?
Liest ein externer Dienstleister Ihre Rechnungen aus, verarbeitet er Daten in Ihrem Auftrag. Dafür braucht es in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Darin steht, was der Dienstleister mit den Daten tun darf, welche weiteren Anbieter er einsetzt und wie die Daten geschützt sind.
Drei Fragen sollten Sie jedem Anbieter stellen, bevor die erste Rechnung durchläuft:
- In welchem Land werden die Rechnungen gespeichert und ausgelesen?
- Welche weiteren Dienste sind beteiligt, etwa für Texterkennung oder Sprachmodell?
- Werden Ihre Rechnungen verwendet, um ein KI-Modell zu trainieren?
Bei Goma-IT laufen die Automatisierungen mit n8n auf Servern in der EU, die Goma-IT selbst betreibt (Hostinger). Welche Dienste darüber hinaus beteiligt sind, sollten Sie vor dem Start schriftlich bekommen, bei uns genauso wie bei jedem anderen Anbieter.
Was sagt die Bundesabgabenordnung zur Aufbewahrung?
Nach § 132 BAO sind Bücher, Aufzeichnungen und Belege grundsätzlich sieben Jahre aufzubewahren. Elektronisch aufbewahrte Belege müssen in dieser Zeit vollständig, geordnet, inhaltsgleich und urschriftgetreu wiedergegeben werden können.
Für die KI heißt das: Sie darf das Original nicht verändern, umbenennen oder ersetzen. Der Ablauf ist deshalb so aufgebaut, dass die eingegangene Datei unverändert in Ihrem Archiv oder Ihrer Belegablage landet und die KI mit einer Kopie arbeitet. Die ausgelesenen Daten sind ein Hilfsmittel, nicht der Beleg.
Eine E-Rechnung, die in einem strukturierten Format eingeht, bewahren Sie in genau dieser Form auf. Ein PDF-Ausdruck davon ersetzt sie nicht.
Darf die KI auch entscheiden, ob eine Rechnung stimmt?
Sie darf vorschlagen und auf Auffälligkeiten hinweisen, etwa einen Preis, der nicht zur Bestellung passt, oder eine Bankverbindung, die sich geändert hat. Die Entscheidung bleibt bei Menschen. Das ist kein Formalismus: Rechnungen mit geänderter Kontonummer sind eine bekannte Betrugsmasche, und eine Software, die so etwas still übernimmt, wäre ein Risiko.
Praktisch heißt das: Die Buchhaltung bekommt den Vorschlag mit Verweis auf das Original, prüft und gibt frei. Ein Lesefehler fällt dabei auf, bevor er im ERP steht.
Was ist mit dem AI Act?
Das Auslesen von Rechnungen gehört nach unserer Einschätzung nicht zu den Hochrisiko-Anwendungen im Sinne des AI Act. Die Pflichten dort betreffen vor allem andere Bereiche, etwa Personalauswahl. Mehr dazu im Beitrag Gilt der AI Act für uns, wenn wir KI rund ums ERP nutzen?.
Wie gehen Sie vor?
Klären Sie zuerst intern, wer bei Ihnen für Datenschutz zuständig ist, und holen Sie diese Person früh dazu. Danach lohnt ein Blick auf die eigenen Rechnungen: Wie viele kommen, als PDF, Scan oder E-Rechnung? Wie das Auslesen, der Abgleich mit Bestellung und Wareneingang und die Freigabe zusammenspielen, beschreibt der Anwendungsfall Belege automatisch verarbeiten.
Häufige Fragen
Muss ich meine Lieferanten informieren?
Über die Verarbeitung personenbezogener Daten informieren Sie in Ihrer Datenschutzinformation. Ob dort ein Hinweis auf die automatische Belegverarbeitung nötig ist, klären Sie am besten mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung.
Darf die KI die Rechnung gleich buchen?
Technisch lässt sich vieles einrichten, empfehlenswert ist es nicht. Bei Goma-IT entstehen Entwürfe, die Ihre Buchhaltung prüft und freigibt. Die Verantwortung für die Buchung bleibt bei Ihnen.
Was ist mit Rechnungen, die schon als E-Rechnung kommen?
Strukturierte E-Rechnungen enthalten die Daten bereits maschinenlesbar, ein Auslesen per KI ist dann oft gar nicht nötig. Aufzubewahren ist die E-Rechnung in der Form, in der sie eingegangen ist.