GoBD und Softwareentwicklung: Muss Quellcode zehn Jahre aufbewahrt werden?
Die Aussage klingt eindeutig: „Nach GoBD muss der komplette Quellcode zehn Jahre aufbewahrt werden.“ Sie ist in dieser Pauschalität falsch.
Die GoBD verlangen Nachvollziehbarkeit, Nachprüfbarkeit, Unveränderbarkeit, Verfügbarkeit und maschinelle Auswertbarkeit steuerlich relevanter Aufzeichnungen. Daraus können weitreichende Anforderungen an Software, Konfigurationen, Programmversionen und Dokumentation folgen. Eine allgemeine Pflicht, den vollständigen Quellcode jeder Unternehmenssoftware samt Compiler und historischer Build-Umgebung zehn Jahre zu archivieren, enthalten die geprüften Primärquellen jedoch nicht.
Die GoBD sind kein eigenständiges Gesetz
GoBD steht für „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“. Maßgeblich ist das BMF-Schreiben vom 28. November 2019, geändert 2024 und 2025.[1–3]
Die GoBD sind eine Verwaltungsanweisung. Die gesetzlichen Aufbewahrungs- und Mitwirkungspflichten folgen vor allem aus der Abgabenordnung und dem Handelsgesetzbuch. Deshalb darf man einzelne GoBD-Formulierungen nicht losgelöst von § 147 AO und § 257 HGB zu einer allgemeinen IT-Archivierungspflicht erweitern.[4][5]
2026 gelten mehrere Fristen
§ 147 Abs. 3 AO unterscheidet nach der Art der Unterlage:[4]
- Bücher, Inventare, Jahresabschlüsse sowie die zum Verständnis erforderlichen Arbeitsanweisungen und Organisationsunterlagen: zehn Jahre;
- Buchungsbelege: grundsätzlich acht Jahre. Die seit 1. Januar 2025 geltende Frist erfasst nach Art. 97 § 19a Abs. 2 EGAO grundsätzlich auch Unterlagen, deren bisherige Frist am 31. Dezember 2024 noch nicht abgelaufen war; für die in Art. 97 § 19a Abs. 3 EGAO genannten beaufsichtigten Unternehmen gilt die dort geregelte Ausnahme;[7]
- Handels- und Geschäftsbriefe sowie sonstige steuerlich relevante Unterlagen: sechs Jahre.
§ 257 HGB enthält für die dort genannten handelsrechtlichen Unterlagen ebenfalls zehn-, acht- und sechsjährige Fristen. Die Kategorien sind jedoch nicht deckungsgleich mit § 147 AO; insbesondere enthält § 147 Abs. 1 Nr. 5 AO zusätzlich sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind. Für bestimmte Institute, Versicherungsunternehmen und Wertpapierinstitute bleibt es nach § 257 Abs. 4 Satz 2 HGB bei zehn Jahren; Übergangsrecht enthält Art. 95 EGHGB.[5][8] Zudem können Fristen länger wirken, wenn Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist.
Die frühere pauschale Rede von „zehn Jahren für alles“ ist daher schon bei klassischen Buchführungsunterlagen nicht mehr richtig.
Entscheidend ist die Verfahrensdokumentation
Die GoBD verlangen eine aussagekräftige und vollständige Verfahrensdokumentation. Sie muss aktuelle und historische Verfahrensinhalte abbilden und dem tatsächlich eingesetzten DV-Verfahren entsprechen.[1, Rz. 34, 151–155]
Zum typischen Umfang gehören:
- allgemeine Beschreibung des Verfahrens,
- Anwenderdokumentation,
- technische Systemdokumentation,
- Betriebsdokumentation,
- Beschreibung von Entstehung, Verarbeitung, Speicherung und Wiederfinden der Daten,
- Sicherungs- und Wiederherstellungsprozesse,
- Versionierung und nachvollziehbare Änderungshistorie.
Maßstab ist nicht maximale Dokumentenmenge. Ein sachverständiger Dritter muss den steuerlich relevanten Verarbeitungsweg verstehen und prüfen können. Nach GoBD Rz. 155 führt eine unzureichende Verfahrensdokumentation nicht automatisch zur Verwerfung der Buchführung; erheblich wird der Mangel insbesondere dann, wenn Nachvollziehbarkeit und Nachprüfbarkeit beeinträchtigt sind.[1]
Was bei Programmen tatsächlich aufzubewahren ist
Für programmgenerierte Aufzeichnungen sind insbesondere relevante Einstellungen, Parameteränderungen und Steuerungsdaten zu dokumentieren. Programmidentität, eingesetzte Versionen und Änderungen müssen nachvollziehbar sein.[1, Rz. 88–89, 111, 154]
Je nach System können zur zweckgerechten Dokumentation beispielsweise die folgenden Informationen erforderlich sein; nicht jede Unterlage ist in jedem Fall oder unter genau dieser Bezeichnung vorgeschrieben:
- Identität und Version der eingesetzten Software,
- Konfigurationen und Parameterhistorien,
- Stamm-, Bewegungs- und Metadaten,
- Änderungs-, Test- und Freigabeprotokolle,
- Datenmodelle, Tabellen, Felder und Verknüpfungen,
- technische und fachliche Dokumentation,
- Export- und Auswertungsmöglichkeiten,
- bei Kassensystemen relevante Programmierprotokolle.
Der Bundesfinanzhof bestätigte, dass Organisationsunterlagen zur Kassenprogrammierung nach § 147 Abs. 1 Nr. 1 AO aufbewahrungspflichtig und auch elektronisch speicherbar sein können. Er billigte jedoch keine pauschale Einstufung ihres Fehlens als gravierenden formellen Mangel, sondern verlangte Feststellungen zum konkreten Gewicht des Mangels.[6] Diese fallbezogene Rechtsprechung ist kein Beleg für eine generelle Pflicht, den vollständigen Quellcode jeder Software aufzubewahren.
Wann Quellcode dennoch relevant werden kann
Die Primärquellen ordnen Quellcode nicht generell als aufzubewahrende Organisationsunterlage ein. Bei Individualsoftware kann im Einzelfall zu prüfen sein, ob bestimmte Codebestände oder daraus erzeugte Dokumentationen tatsächlich erforderlich sind, um steuerlich relevante Verarbeitungsschritte, Programmidentität oder Änderungen nachvollziehbar zu machen. Das kann etwa in Betracht kommen, wenn:
- steuerlich relevante Buchungen nur anhand der Programmlogik nachvollzogen werden können,
- eine eingesetzte Programmversion anders nicht identifizierbar ist,
- der Code selbst Teil eines dokumentierten Kontroll- und Änderungsverfahrens ist,
- oder er konkret als sonstige steuerlich relevante Unterlage benötigt wird.
Dann richtet sich die Aufbewahrung nach der konkreten Funktion und rechtlichen Einordnung. Das Ergebnis kann eine zehnjährige Frist als erforderliche Organisationsunterlage oder eine sechsjährige Frist als sonstige steuerlich relevante Unterlage sein. Diese Einordnung muss system- und prozessbezogen erfolgen. Sie lässt sich nicht pauschal auf sämtliche Repositories übertragen.
Müssen Compiler und Build-Werkzeuge archiviert werden?
Auch hier kommt es auf den Zweck an. Die GoBD verlangen, dass relevante Daten während der Aufbewahrungsfrist verfügbar, lesbar und maschinell auswertbar bleiben. Sie verlangen nicht allgemein, dass jede historische Anwendung jederzeit neu aus ihrem Quellcode gebaut werden kann.
GoBD Rz. 142–143 erlauben eine Systemmigration, ohne alte Hard- und Software weiter vorzuhalten, wenn die relevanten Daten vollständig und unverändert überführt wurden und im neuen System dieselben Auswertungsmöglichkeiten bestehen.[1] Nur wenn das nicht gewährleistet ist, kann die ursprüngliche Hard- oder Software weiter benötigt werden.
Für kritische Individualsoftware kann eine reproduzierbare Build-Umgebung aus Betriebs-, Resilienz-, Beweis- oder Vertragsgründen trotzdem sinnvoll sein. Das ist dann eine begründete Kontrollmaßnahme. Sie sollte aber nicht fälschlich als allgemeine GoBD-Quellcodepflicht dargestellt werden.
Praktische Prüffragen
Unternehmen sollten für jedes steuerlich relevante System klären:
- Welche Aufzeichnungen und Daten sind steuerlich relevant?
- Welche Dokumentation braucht ein sachverständiger Dritter zum Verständnis?
- Wie werden Programmversion, Parameter und Änderungen nachgewiesen?
- Bleiben Daten verfügbar, lesbar und maschinell auswertbar?
- Welche Softwarefunktion wird zur Reproduktion oder Auswertung benötigt?
- Ist eine Migration vollständig und nachweisbar getestet?
- Ist Quellcode im konkreten System wirklich eine erforderliche Verständnisunterlage?
Fazit
Die GoBD verlangen keine pauschale zehnjährige Archivierung des vollständigen Quellcodes jeder Software. Sie verlangen die Erhaltung der steuerlichen Nachvollziehbarkeit, Nachprüfbarkeit und Auswertbarkeit. Welche Programme, Versionen, Konfigurationen und Dokumente dafür benötigt werden, hängt vom jeweiligen System und seiner steuerlichen Funktion ab.
Fachliche Abgrenzung: Die konkrete Einordnung von Unterlagen und Fristen sollte bei wesentlichen Systemen gemeinsam mit Steuerberatung, Verfahrensverantwortlichen, IT und gegebenenfalls Rechtsberatung erfolgen.
Quellen
[1] Bundesministerium der Finanzen. Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD). BMF-Schreiben vom 28.11.2019, IV A 4 – S 0316/19/10003 :001, BStBl I 2019, 1269, insb. Rz. 34, 88–89, 111, 126–129, 142–143, 151–155, 159–160. Der hier zugrunde gelegte Stand ergibt sich aus diesem im Bundessteuerblatt veröffentlichten Basisschreiben zusammen mit den Änderungen vom 11.03.2024 und 14.07.2025; zitiert wird kein amtlich konsolidierter Gesamttext.
[2] Bundesministerium der Finanzen. Änderung der GoBD. BMF-Schreiben vom 11.03.2024. https://www.bundesfinanzministerium.de/Content/DE/Downloads/BMF_Schreiben/Weitere_Steuerthemen/Abgabenordnung/AO-Anwendungserlass/2024-03-11-aenderung-gobd.html.
[3] Bundesministerium der Finanzen. Zweite Änderung der GoBD. BMF-Schreiben vom 14.07.2025. https://www.bundesfinanzministerium.de/Content/DE/Downloads/BMF_Schreiben/Weitere_Steuerthemen/Abgabenordnung/2025-07-14-GoBD-2-aenderung.html.
[4] Bundesrepublik Deutschland. Abgabenordnung, § 147. https://www.gesetze-im-internet.de/ao_1977/__147.html.
[5] Bundesrepublik Deutschland. Handelsgesetzbuch, § 257. https://www.gesetze-im-internet.de/hgb/__257.html.
[6] Bundesfinanzhof. Beschluss vom 23.02.2018, X B 65/17. https://www.bundesfinanzhof.de/de/entscheidung/entscheidungen-online/detail/STRE201850053/.
[7] Bundesrepublik Deutschland. Einführungsgesetz zur Abgabenordnung, Art. 97 § 19a. https://www.gesetze-im-internet.de/aoeg_1977/art_97__19a.html.
[8] Bundesrepublik Deutschland. Einführungsgesetz zum Handelsgesetzbuch, Art. 95. https://www.gesetze-im-internet.de/hgbeg/art_95.html.