GoBD und Shopify: Aufbewahrung von Shop-Daten in der Praxis

“Die Daten liegen doch alle in Shopify.” Dieser Satz fällt in fast jedem Gespräch über Buchhaltung und Betriebsprüfung, und er ist der Anfang eines teuren Missverständnisses. Ein Shop-System ist eine operative Datenbank. Es ist darauf ausgelegt, Bestellungen abzuwickeln, nicht darauf, sie zehn Jahre lang unveränderbar vorzuhalten und einem Betriebsprüfer maschinell auswertbar zu übergeben.

Die Aufbewahrungspflichten der Abgabenordnung interessiert es nicht, welches System Sie einsetzen. Sie verlangen, dass bestimmte Unterlagen über Jahre verfügbar, lesbar und unverändert bleiben, und dass Sie nachvollziehbar dokumentieren, wie Ihre Daten entstehen und wohin sie fließen. Wer das dem Shop überlässt, verlässt sich auf ein System, dessen Anbieter genau diese Zusage nirgends gibt.

Dieser Artikel ordnet ein, welche Shopify-Daten überhaupt aufbewahrungspflichtig sind, wie lange, wo sie liegen dürfen und an welchen Stellen der typische Shopify-Stack die Aufbewahrung still unterläuft. Er zeigt außerdem, was die GoBD-Änderung vom Juli 2025 für Rechnungen konkret geändert hat.

Was überhaupt aufbewahrungspflichtig ist

§ 147 Abs. 1 AO listet die Kategorien auf: Bücher und Aufzeichnungen, Inventare, Jahresabschlüsse und Eröffnungsbilanzen samt Arbeitsanweisungen, empfangene Handels- und Geschäftsbriefe, Wiedergaben der abgesandten Handels- und Geschäftsbriefe, Buchungsbelege sowie sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind.

Handelsrechtlich steht dieselbe Systematik in § 257 HGB. Übersetzt auf einen Shop heißt das grob: Ausgangs- und Eingangsrechnungen sind Buchungsbelege. Bestellbestätigungen, Versand- und Stornomitteilungen und die Korrespondenz mit Kunden sind Handels- oder Geschäftsbriefe. Auswertungen, Umsatzlisten und Zahlungsabgleiche können als sonstige steuerlich relevante Unterlagen dazukommen. Die saubere Zuordnung im Einzelfall trifft Ihr Steuerberater; für die Architektur-Entscheidung reicht die Erkenntnis, dass nicht nur die Rechnung zählt, sondern auch das, was drumherum entsteht.

Wichtig ist der zweite Halbsatz der Norm: aufbewahrungspflichtig ist, was für die Besteuerung Bedeutung hat. Ein Newsletter-Klick ist es nicht. Der Beleg über eine Rückerstattung ist es.

Acht, zehn oder sechs Jahre, und wann die Frist überhaupt beginnt

Die Fristen stehen in § 147 Abs. 3 AO. Für Rechnungen gilt zusätzlich § 14b Abs. 1 UStG mit acht Jahren. Die Verkürzung der Belegfrist von zehn auf acht Jahre ist eine der wenigen Entlastungen der letzten Jahre, sie gilt aber nicht für alle Kategorien. Die folgende Tabelle zeigt die drei Gruppen, die im Shop-Alltag praktisch relevant sind.

Für Kredit-, Versicherungs- und Wertpapierinstitute gelten bei Buchungsbelegen abweichend weiterhin zehn Jahre (§ 257 Abs. 4 HGB); für Handel und Fertigung ist die Acht-Jahres-Zeile die richtige.

Der zweite, oft übersehene Teil ist der Fristbeginn. Nach § 147 Abs. 4 AO beginnt die Frist mit dem Schluss des Kalenderjahres, in dem der Buchungsbeleg entstanden, der Geschäftsbrief empfangen oder abgesandt oder die letzte Eintragung gemacht wurde. Eine Rechnung aus dem März 2026 läuft also ab dem 31. Dezember 2026 und ist frühestens Ende 2034 aus der Pflicht. Frühestens deshalb, weil § 147 Abs. 3 Satz 5 AO den Ablauf hemmt: Die Frist läuft nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für die die Festsetzungsfrist noch nicht abgelaufen ist. Wer beim Systemwechsel rechnet “das ist doch acht Jahre her”, verrechnet sich regelmäßig, und zwar in die falsche Richtung.

Der Shop ist kein Archiv, und Shopify verspricht auch keins

Das ist der Kern des Problems, und er lässt sich an drei dokumentierten Punkten festmachen.

Erstens die Store-Deaktivierung. Wer seinen Shopify-Store schließt, kann ihn laut Shopify-Dokumentation innerhalb von zwei Jahren reaktivieren; die Store-Informationen sind für diesen Zeitraum zugesichert. Danach ist eine Reaktivierung nicht mehr möglich. Zwei Jahre sind weniger als acht. Shopify empfiehlt in derselben Anleitung ausdrücklich, vor der Deaktivierung CSV-Exporte zu ziehen. Das ist keine Nachlässigkeit des Anbieters, sondern die richtige Rollenverteilung: Das Archiv ist Ihre Aufgabe, nicht die des Shop-Systems.

Zweitens die Apps. Wenn Sie eine App deinstallieren, sendet Shopify dem App-Anbieter 48 Stunden später den Webhook shop/redact, damit dieser die Shop-Daten aus seinen Systemen löscht. Das ist datenschutzrechtlich richtig und für Ihre Aufbewahrung eine Falle, wenn genau diese App Ihre Rechnungen erzeugt und vorgehalten hat. Die Regeln dazu stehen in der Shopify-Dokumentation zu Datenschutz-Webhooks.

Drittens das Zeitfenster für Bestellungen. Apps sehen standardmäßig nur Bestellungen der letzten 60 Tage; für den Zugriff auf die vollständige Bestellhistorie braucht eine App den gesondert freizugebenden Scope read_all_orders. Das betrifft Sie in dem Moment, in dem ein Buchhaltungs-Konnektor rückwirkend Daten holen soll und feststellt, dass er sie nicht sieht.

Die Konsequenz aus allen drei Punkten ist dieselbe: Das aufbewahrungspflichtige Material muss den Shop verlassen und in einem System landen, das Sie kontrollieren.

Unveränderbarkeit: warum Korrigieren nicht Überschreiben heißen darf

§ 146 Abs. 4 AO formuliert es knapp: Eine Buchung oder Aufzeichnung darf nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist. Auch Veränderungen, bei denen unklar bleibt, ob sie ursprünglich oder erst später vorgenommen wurden, sind unzulässig.

Im Shop-Alltag kollidiert das mit einer Selbstverständlichkeit: Bestellungen werden korrigiert, Adressen nachgepflegt, Positionen storniert, Rückerstattungen gebucht. Solange diese Vorgänge im Shop stattfinden und der buchhalterische Beleg unabhängig davon im Archiv liegt, ist das unproblematisch. Kritisch wird es, wenn der Shop selbst als Beleg-Ablage gilt und eine nachträgliche Korrektur die einzige vorhandene Version überschreibt.

Deshalb ist die Trennung, die wir für Vaultskin gezogen haben, eher banal als raffiniert: Der Shop ist die operative Wahrheit für den laufenden Betrieb, das Buchhaltungssystem ist die unveränderbare Wahrheit für die Vergangenheit. Wer beide Rollen einem System zuweist, bekommt am Ende keine von beiden sauber.

Was die GoBD-Änderung vom Juli 2025 für Rechnungen geändert hat

Die GoBD sind das BMF-Schreiben vom 28. November 2019, geändert am 11. März 2024 und zuletzt durch das 2. Änderungsschreiben vom 14. Juli 2025, das mit Wirkung vom 14. Juli 2025 anzuwenden ist. Anlass war die obligatorische elektronische Rechnung zwischen inländischen Unternehmen. Drei Punkte daraus sind für Shops praktisch relevant.

Erstens: Werden Buchungsbelege oder Geschäftsbriefe als strukturierter Datensatz empfangen, genügt abweichend von § 147 Abs. 2 Nr. 1 AO die inhaltliche statt der bildlichen Übereinstimmung. Zweitens: Bei E-Rechnungen im Sinne des § 14 Abs. 1 Satz 3 und 6 UStG reicht es, wenn der strukturierte Teil aufbewahrt wird. Der menschenlesbare Teil einer hybriden Rechnung, also etwa das PDF einer ZUGFeRD-Datei, ist nur dann zusätzlich aufzubewahren, wenn er abweichende oder zusätzliche steuerlich bedeutsame Informationen enthält, zum Beispiel Buchungsvermerke. Drittens, und für Shops besonders praktisch: Der Nachweis eines Zahlungsabwicklungsdienstes über die technische Abwicklung einer elektronischen Zahlung ist nicht aufbewahrungspflichtig, solange er nicht selbst als Buchungsbeleg dient, nicht die einzige Form der Abrechnung ist und nicht nur mit ihm die Abgrenzung zwischen baren und unbaren Geschäftsvorfällen gelingt.

Gleichzeitig bleibt es dabei, dass eingehende elektronische Belege in dem Format aufzubewahren sind, in dem sie empfangen wurden. Eine XML-Rechnung wird nicht dadurch archiviert, dass jemand sie ausdruckt oder in ein PDF wandelt. Wie das im Shop-Kontext aufgesetzt wird, haben wir in E-Rechnung 2025, XRechnung und ZUGFeRD beschrieben.

Wo die Daten liegen dürfen

§ 146 Abs. 2 AO enthält den Grundsatz, dass Bücher und Aufzeichnungen im Inland zu führen und aufzubewahren sind. Abs. 2a erlaubt abweichend davon, elektronische Bücher und Aufzeichnungen in einem oder mehreren Mitgliedstaaten der EU zu führen. Für Drittstaaten sieht Abs. 2b eine Bewilligung auf schriftlichen oder elektronischen Antrag vor, an die die Norm mehrere Bedingungen knüpft, unter anderem den vollständigen Datenzugriff.

Ob und in welchem Umfang Ihre Shop-Daten in diesem Sinne “elektronische Bücher und sonstige erforderliche Aufzeichnungen” sind, hängt davon ab, was Ihre Buchführung aus ihnen macht. Das ist eine Frage an Ihren Steuerberater, keine, die eine Agentur beantwortet. Der pragmatische Weg, der die Frage weitgehend entschärft, ist derselbe wie oben: Das steuerlich relevante Archiv liegt in einem Buchhaltungssystem mit klarem Speicherort, und der Shop ist die operative Vorstufe.

Datenzugriff in der Betriebsprüfung

Im Rahmen einer Außenprüfung kann die Finanzbehörde nach § 147 Abs. 6 AO in die mit einem Datenverarbeitungssystem erstellten Unterlagen Einsicht nehmen und das System zur Prüfung nutzen, eine maschinelle Auswertung nach ihren Vorgaben verlangen oder die Daten in einem maschinell auswertbaren Format angefordert bekommen. Die drei Varianten sind als Z1, Z2 und Z3 bekannt. Die GoBD in der Fassung vom Juli 2025 haben die Beschreibung des mittelbaren Zugriffs Z2 präzisiert: Die Behörde kann verlangen, dass der Steuerpflichtige oder ein beauftragter Dritter die Daten nach ihren Vorgaben maschinell auswertet und das Ergebnis in maschinell auswertbarem Format bereitstellt oder anschließend einen Nur-Lesezugriff ermöglicht.

Der Praxistest dafür ist unspektakulär und wird trotzdem selten gemacht: Erzeugen Sie einmal für ein abgeschlossenes Geschäftsjahr die Auswertung, die ein Prüfer sehen will, und schauen Sie, wie lange es dauert und wie viele Systeme Sie dafür anfassen müssen. Wenn die Antwort “wir müssten die App-Lizenz reaktivieren” lautet, haben Sie das Ergebnis.

Löschen wollen, aufbewahren müssen

Der häufigste Konflikt im Tagesgeschäft ist nicht die Betriebsprüfung, sondern ein Kunde, der die Löschung seiner Daten verlangt. Die Aufbewahrungspflicht gewinnt hier nicht automatisch, aber sie verschwindet auch nicht. Das Recht auf Löschung nach Art. 17 DSGVO gilt nach Art. 17 Abs. 3 Buchst. b DSGVO nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Steuerliche Aufbewahrungspflichten sind genau so eine Verpflichtung. Praktisch heißt das nicht “wir behalten alles”, sondern: Was aus steuerlichen Gründen aufzubewahren ist, bleibt für diesen Zweck erhalten, alles andere wird gelöscht.

Auf der Shopify-Seite hat das eine konkrete Entsprechung. Fordert ein Händler die Löschung von Kundendaten an, sendet Shopify den Webhook customers/redact zehn Tage später, sofern der Kunde in den letzten sechs Monaten keine Bestellung aufgegeben hat. Andernfalls wartet Shopify, bis sechs Monate seit der letzten Bestellung vergangen sind. Diese Wartezeit ersetzt keine steuerliche Aufbewahrung, sie zeigt aber, dass die Plattform selbst zwischen Löschwunsch und Nachlaufzeit unterscheidet. Ihre Rechnungen im Buchhaltungssystem bleiben davon ohnehin unberührt, weil sie dort aus einem anderen Rechtsgrund liegen.

Verfahrensdokumentation, das Dokument, das fast niemand hat

Der Maßstab dahinter steht in § 145 Abs. 1 AO: Die Buchführung muss so beschaffen sein, dass sie einem sachverständigen Dritten innerhalb angemessener Zeit einen Überblick über die Geschäftsvorfälle und die Lage des Unternehmens vermitteln kann, und die Geschäftsvorfälle müssen sich in ihrer Entstehung und Abwicklung verfolgen lassen. Für eine DV-gestützte Buchführung übersetzen die GoBD das in die Verfahrensdokumentation (Rz. 151 ff.): eine Beschreibung, wie steuerlich relevante Daten entstehen, erfasst, verarbeitet, aufbewahrt und wieder auffindbar gemacht werden.

Für einen Shopify-Stack heißt das keine hundert Seiten, sondern eine belastbare Systemlandkarte: Welche Systeme sind beteiligt, welche Apps erzeugen oder verändern steuerlich relevante Daten, wie kommen Bestellungen in die Buchhaltung, wer darf was ändern, wie und wohin wird exportiert, wie lange liegt was wo. Diese Karte zu schreiben dauert einen halben Tag und deckt in der Regel mindestens eine Lücke auf, die vorher niemand auf dem Schirm hatte. Bei uns war es die Frage, was mit den Rechnungen passiert, wenn die Rechnungs-App gewechselt wird.

Ein Aufbau, der eine Prüfung übersteht

Die nüchterne Reihenfolge für Shops, die das sauber aufsetzen wollen, ist kurz. Erstens: festlegen, welches System das steuerliche Archiv ist, und zwar bevor die nächste App installiert wird. Zweitens: den Weg jeder Rechnung vom Shop in dieses Archiv beschreiben und einmal durchspielen, inklusive Gutschriften und Rückerstattungen. Drittens: prüfen, welche Daten heute ausschließlich im Shop oder in einer App liegen, und diese Abhängigkeit auflösen. Viertens: die Verfahrensdokumentation schreiben, solange die Antworten noch frisch sind. Fünftens: den Export einmal jährlich testen, nicht erst, wenn die Prüfungsanordnung im Briefkasten liegt.

Keiner dieser fünf Schritte kostet viel Zeit. Aufwendig wird es, wenn diese Fragen zum ersten Mal in einer Betriebsprüfung gestellt werden oder wenn ein Shop-Wechsel ansteht und die Historie an einem Vertrag hängt, den man gerade gekündigt hat.

Wie viel davon in Ihrem Setup schon steht und wo Lücken sind, sehen Sie in einem strukturierten Durchgang; wir machen das als Formal-Check im Rahmen unserer Compliance-Care, ohne juristische oder steuerliche Bewertung des Einzelfalls. Wenn Sie zuerst wissen wollen, wo Ihr Shop generell steht, ist der Compliance-Check der schnellere Einstieg. Für eine konkrete Bestandsaufnahme Ihrer Datenflüsse schildern Sie uns Ihren Stack über das Kontaktformular.