E-Rechnung, KI und NIS2: Warum 2027 auch ein datenschutzrechtlicher Wendepunkt wird

Die Einführung der E-Rechnung wird häufig als steuerrechtliches Digitalisierungsprojekt wahrgenommen. Tatsächlich steht Unternehmen jedoch ein deutlich umfassenderer Transformationsprozess bevor. Mit den kommenden E-Rechnungspflichten, den Anforderungen der europäischen KI-Verordnung (AI Act) und den neuen Cybersicherheitsvorgaben aus NIS2 verdichten sich regulatorische Anforderungen, die unmittelbar die Verarbeitung, Sicherheit und Nachweisbarkeit von Daten betreffen.

Aus datenschutzrechtlicher Sicht geht es dabei längst nicht mehr nur um die Frage, wie Rechnungen erstellt werden. Vielmehr rücken Datenqualität, Informationssicherheit, Governance-Strukturen und die Rechenschaftspflicht der Unternehmen in den Mittelpunkt.

E-Rechnungen verarbeiten personenbezogene Daten

Ab dem 1. Januar 2027 müssen Unternehmen mit einem Vorjahresumsatz von mehr als 800.000 Euro ihre inländischen B2B-Rechnungen grundsätzlich als strukturierte elektronische Rechnungen ausstellen. Ab 2028 gilt diese Verpflichtung nahezu flächendeckend.

Auch wenn die Regelungen steuerrechtlich motiviert sind, enthalten Rechnungen regelmäßig personenbezogene Daten – etwa Namen von Ansprechpartnern, dienstliche Kontaktdaten, Kundennummern oder projektbezogene Informationen. Die Einführung elektronischer Rechnungsprozesse führt daher zwangsläufig zu einer stärkeren Digitalisierung und Vernetzung von Datenflüssen innerhalb und außerhalb des Unternehmens.

Datenschutzrechtlich stellt sich damit die Frage, ob die eingesetzten Systeme und Prozesse den Anforderungen der DSGVO an Sicherheit, Transparenz und Nachweisbarkeit gerecht werden.

Die E-Rechnung ist kein PDF-Projekt

Viele Unternehmen konzentrieren sich derzeit auf die technische Umsetzung des Rechnungsformats. Die eigentliche Herausforderung liegt jedoch in den dahinterstehenden Daten- und Verarbeitungsprozessen.

Eine rechtskonforme E-Rechnung erfordert unter anderem:

• strukturierte und maschinenlesbare Rechnungsdaten,
• nachvollziehbare Verarbeitungs- und Freigabeprozesse,
• revisionssichere Archivierung,
• dokumentierte Änderungen und Versionsstände,
• belastbare Nachweise über Integrität und Authentizität,
• angemessene technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten.

Damit geraten ERP-Systeme, Buchhaltungsplattformen, Dokumentenmanagementsysteme und Archivlösungen nicht nur aus steuerrechtlicher, sondern auch aus datenschutzrechtlicher Sicht in den Fokus.

Rechenschaftspflicht und Dokumentation gewinnen an Bedeutung

Ein zentrales Prinzip der DSGVO ist die Rechenschaftspflicht. Unternehmen müssen nicht nur datenschutzkonform handeln, sondern dies gegenüber Aufsichtsbehörden auch nachweisen können.

Genau dieser Gedanke findet sich zunehmend auch in anderen Regulierungsbereichen wieder. Sowohl die E-Rechnung als auch die KI-Verordnung verlangen nachvollziehbare Prozesse, dokumentierte Entscheidungen und belastbare Nachweise über die Qualität und Integrität der zugrunde liegenden Daten.

Besonders relevant wird dies für Unternehmen, die bereits KI-Systeme zur Dokumentenverarbeitung, Rechnungsprüfung, Betrugserkennung oder Workflow-Automatisierung einsetzen. Die Qualität der verwendeten Daten, die Transparenz automatisierter Entscheidungen sowie die Dokumentation der eingesetzten Systeme werden künftig nicht mehr isoliert betrachtet werden können.

Datenschutz-, KI- und Compliance-Governance wachsen damit zunehmend zusammen.

NIS2 und Datenschutz: Informationssicherheit wird zum gemeinsamen Nenner

Parallel zur Einführung der E-Rechnung verschärfen sich die Anforderungen an die Cybersicherheit. Die NIS2-Richtlinie verpflichtet zahlreiche Unternehmen zur Einführung umfassender Sicherheits- und Risikomanagementmaßnahmen.

Aus Sicht des Datenschutzes ist dies besonders relevant, da die Sicherheit der Verarbeitung bereits heute zu den zentralen Anforderungen der DSGVO gehört.

Zu den künftig noch stärker in den Fokus rückenden Maßnahmen gehören insbesondere:

• Risikomanagement für IT-Systeme und Geschäftsprozesse,
• sichere Übertragung und Speicherung sensibler Daten,
• Zugriffskontrollen und Berechtigungskonzepte,
• Protokollierung sicherheitsrelevanter Vorgänge,
• Incident-Response- und Notfallprozesse,
• Meldeverfahren für Sicherheitsvorfälle.

Die regulatorische Perspektive verschiebt sich damit zunehmend von der Frage, ob ein Prozess funktioniert, hin zur Frage, ob Unternehmen jederzeit nachweisen können, dass personenbezogene Daten angemessen geschützt und Verarbeitungsvorgänge kontrolliert werden.

Neue Risiken durch vernetzte Datenflüsse

Die Einführung strukturierter E-Rechnungen erhöht regelmäßig die Zahl der Schnittstellen zwischen Unternehmen, Dienstleistern und öffentlichen Plattformen. Dienste wie bspw. PEPPOL fördern zwar die Interoperabilität, erweitern aber zugleich die technischen Datenflüsse.

PEPPOL (Pan-European Public Procurement OnLine) ist ein von der Non-Profit-Organisation OpenPeppol betriebenes internationales Netzwerk sowie ein Satz technischer Standards für den sicheren und automatisierten Austausch elektronischer Geschäftsdokumente. Ursprünglich für die öffentliche Beschaffung entwickelt, hat sich PEPPOL inzwischen als europaweit und zunehmend auch international genutzte Infrastruktur für den elektronischen Dokumentenaustausch etabliert. Über das Netzwerk können Unternehmen und Behörden E-Rechnungen sowie weitere Dokumente wie Bestellungen oder Lieferscheine medienbruchfrei und interoperabel zwischen unterschiedlichen IT- und ERP-Systemen austauschen. Im Gegensatz zum Versand per E-Mail ermöglicht PEPPOL eine direkte Maschine-zu-Maschine-Kommunikation (M2M), wodurch auch große Mengen an Dokumenten automatisiert verarbeitet werden können. Einheitliche Spezifikationen (Peppol Business Interoperability Specifications – BIS) sorgen dafür, dass Dokumente unabhängig von den eingesetzten Softwarelösungen in einem standardisierten Format erstellt, übertragen und verarbeitet werden können. Dies erhöht nicht nur die Effizienz und reduziert Fehlerquellen, sondern verbessert auch die Nachvollziehbarkeit der Prozesse sowie die Sicherheit der Datenübertragung. Vor dem Hintergrund der verpflichtenden Einführung der E-Rechnung gewinnt PEPPOL als interoperabler und zukunftssicherer Übertragungskanal zunehmend an Bedeutung und bildet eine technische Grundlage für den digitalen Rechnungsaustausch zwischen Unternehmen und öffentlichen Auftraggebern. PEPPOL ist jedoch nicht der einzige Übertragungsweg für E-Rechnungen. Für den Versand stehen – je nach Empfänger – verschiedene Möglichkeiten zur Verfügung.

Unternehmen sollten deshalb frühzeitig prüfen,

• welche personenbezogenen Daten über welche Systeme verarbeitet werden,
• welche Dienstleister eingebunden sind,
• ob Auftragsverarbeitungsverträge erforderlich sind,
• wie lange Daten gespeichert werden,
• und ob bestehende Verzeichnisse von Verarbeitungstätigkeiten sowie Löschkonzepte angepasst werden müssen.

Die Einführung der E-Rechnung kann somit Anlass sein, bestehende Datenschutz- und Informationssicherheitsstrukturen insgesamt zu überprüfen.

Handlungsempfehlungen für Datenschutzverantwortliche

Datenschutzbeauftragte und Compliance-Verantwortliche sollten die Einführung der E-Rechnung nicht als isoliertes Finanzprojekt betrachten. Sinnvoll ist vielmehr ein ganzheitlicher Blick auf die zugrunde liegenden Datenverarbeitungen.

Besondere Aufmerksamkeit verdienen:

• die Analyse der betroffenen Verarbeitungstätigkeiten,
• die Überprüfung eingesetzter Dienstleister und Auftragsverarbeitungsverhältnisse,
• die Aktualisierung von Verzeichnissen der Verarbeitungstätigkeiten,
• die Abstimmung von Datenschutz-, KI- und Informationssicherheits-Governance,
• die Überprüfung von Archivierungs- und Löschkonzepten,
• die Bewertung bestehender Sicherheitsmaßnahmen,
• die Etablierung belastbarer Melde- und Incident-Response-Prozesse.

Fazit

Die E-Rechnung ist weit mehr als ein neues Rechnungsformat. Sie führt zu einer stärkeren Digitalisierung und Vernetzung geschäftlicher Datenflüsse und berührt damit zentrale Anforderungen des Datenschutzes und der Informationssicherheit.

Mit dem zeitgleichen Inkrafttreten weiterer Regulierungen wie dem AI Act und NIS2 steigt der Druck auf Unternehmen, Datenverarbeitung, Dokumentation und Sicherheitsmaßnahmen ganzheitlich zu organisieren. Wer die Einführung der E-Rechnung frühzeitig mit Datenschutz- und Governance-Prozessen verzahnt, schafft nicht nur regulatorische Sicherheit, sondern stärkt auch die digitale Resilienz des Unternehmens.Governance gemeinsam betrachten, schaffen die Grundlage für die nächste Phase der digitalen Regulierung.