GeBüV einfach erklärt: Was die Geschäftsbücherverordnung verlangt

Worum es geht

Die Verordnung über die Führung und Aufbewahrung der Geschäftsbücher (Geschäftsbücherverordnung, GeBüV, SR 221.431) konkretisiert die Buchführungsvorschriften des Obligationenrechts (OR Art. 957 bis 958f). Sie hat nur zwölf Artikel. Wer buchführungspflichtig ist und seine Unterlagen elektronisch aufbewahren will, muss sie einhalten. Auch die Mehrwertsteuer verweist für die Aufbewahrung auf das OR und die GeBüV.

Der Kern steht in Art. 3. Unterlagen müssen so geführt und aufbewahrt werden,

«dass sie nicht geändert werden können, ohne dass sich dies feststellen lässt.»

Das Gesetz verlangt also nicht, dass eine Änderung technisch unmöglich ist. Es verlangt, dass jede Änderung auffällt. Eine bestimmte Technologie schreibt es nicht vor.

Unveränderbare und veränderbare Datenträger

Art. 9 unterscheidet zwei Arten von Informationsträgern. Als unveränderbar nennt die Verordnung «namentlich Papier, Bildträger und unveränderbare Datenträger» (Art. 9 Abs. 1 Bst. a). Als veränderbar gelten Informationsträger, wenn die darauf gespeicherten Informationen geändert oder gelöscht werden können, ohne dass die Änderung oder Löschung auf dem Datenträger nachweisbar ist; die Verordnung nennt als Beispiele Magnetbänder, Disketten, Fest- oder Wechselplatten und Solid-State-Speicher (Art. 9 Abs. 2).

Für Cloud-Speicher hält das KMU-Portal des Bundes fest, dass sie die Bedingung «unveränderbar» nicht erfüllen und den strengeren Anforderungen für veränderbare Datenträger unterliegen. Wer in der Cloud archiviert, sollte deshalb Art. 9 Abs. 1 Bst. b einhalten. Dieser verlangt vier Dinge:

Integrität: Technische Verfahren gewährleisten die Integrität der gespeicherten Informationen (Ziff. 1). In der Praxis heisst das: eine kryptografische Prüfsumme pro Dokument, die selbst gegen stille Änderungen geschützt ist.
Zeitpunkt: Der Zeitpunkt der Speicherung ist unverfälschbar nachweisbar, zum Beispiel durch Zeitstempel (Ziff. 2).
Regeln des Verfahrens: Die zum Zeitpunkt der Speicherung geltenden Vorschriften für das eingesetzte Verfahren werden eingehalten (Ziff. 3).
Dokumentation und Protokolle: Abläufe und Verfahren sind festgelegt und dokumentiert, und die Hilfsinformationen wie Protokolle und Logfiles werden ebenfalls aufbewahrt (Ziff. 4).

Was die GeBüV sonst noch verlangt

Artikel	Anforderung
Art. 4	Organisation, Zuständigkeiten, Abläufe und Infrastruktur sind in Arbeitsanweisungen dokumentiert (Verfahrensdokumentation), je nach Art und Umfang des Geschäfts.
Art. 5	Unterlagen werden sorgfältig, geordnet und vor schädlichen Einwirkungen geschützt aufbewahrt.
Art. 6	Berechtigte Personen können die Unterlagen innert angemessener Frist einsehen und prüfen. Auf Verlangen müssen sie auch ohne Hilfsmittel lesbar gemacht werden.
Art. 7	Archivierte Informationen sind von aktuellen getrennt oder als archiviert gekennzeichnet. Die Verantwortung für das Archiv ist geregelt und dokumentiert.
Art. 8	Die Informationen sind systematisch inventarisiert und vor unbefugtem Zugriff geschützt. Zugriffe werden aufgezeichnet; diese Aufzeichnungen sind gleich lange aufzubewahren.
Art. 10	Integrität und Lesbarkeit werden regelmässig geprüft. Wer Daten auf einen anderen Datenträger überträgt, protokolliert das und bewahrt das Protokoll mit auf.

Was die GeBüV nicht verlangt

Keine digitale Signatur. Art. 9 nennt Signaturverfahren nur als Beispiel. Der Bundesrat hat in seiner Stellungnahme zur Motion 22.3004 festgehalten, dass die GeBüV keine Pflicht zur Verwendung einer digitalen Signatur kennt, auch nicht einer qualifizierten. Die frühere Sonderverordnung der Mehrwertsteuer (ElDI-V) wurde auf den 1. Januar 2018 aufgehoben.
Kein qualifizierter Zeitstempel. Entscheidend ist, dass die Zeitquelle unabhängig ist. Die ESTV hat 2018 in einer Einzelauskunft ausgeführt, ein Zeitstempel der eigenen Computeruhr dürfte nicht genügen.
Keine Zertifizierung. Die GeBüV sieht weder eine Zertifizierung noch eine Zulassungsstelle vor. «GeBüV-konform» ist immer eine Selbsteinschätzung, die eine Revisionsstelle nachprüfen kann.
Kein Datenstandort Schweiz. OR und GeBüV enthalten keine Vorschrift zum Speicherort. Speicherung in der Schweiz erspart aber Fragen zum Datenschutz bei der Bekanntgabe ins Ausland.

Was bei dir bleibt

Ein grosser Teil der GeBüV ist Organisation und liegt beim Unternehmen: die Verfahrensdokumentation nach Art. 4, die klare Zuständigkeit für das Archiv nach Art. 7, die vollständige und zeitnahe Ablage der Belege und die Buchführung selbst. Eine Software kann das nur einfach machen. Geschäftsbericht und Revisionsbericht müssen ausserdem schriftlich und unterzeichnet aufbewahrt werden (OR Art. 958f Abs. 2); die digitale Kopie ersetzt das Original nicht.

Wie Magic Heidi Archiv die Anforderungen umsetzt

Magic Heidi Archiv ist auf die Regeln für veränderbare Datenträger gebaut. Beim Eingang berechnet der Server für jedes Dokument eine SHA-256-Prüfsumme und hält sie in einem Protokoll fest, dessen Einträge miteinander verkettet sind. Nach jeder Archivierung, mindestens aber täglich, holt er für den neuesten Protokolleintrag einen Zeitstempel nach RFC 3161 bei einer unabhängigen Zeitstempelstelle ein. Zusätzlich liegt jedes Dokument bis zum Fristende mit einer Aufbewahrungssperre im Speicher. Jede Nacht werden alle Dokumente gegen ihre Prüfsummen geprüft, jeder Zugriff wird protokolliert, und der Export lässt sich ohne unsere Software nachprüfen.

Die Zuordnung Artikel für Artikel findest du auf der Startseite und in der Verfahrensdokumentation. Wie lange du aufbewahren musst, steht im Ratgeber zur Aufbewahrungspflicht.