Wer die Datenüberlassung vorbereitet, bestimmt den Umfang. Wer improvisiert, gibt am Ende zu viel heraus.
Zuletzt fachlich geprüft am 25. Juli 2026 · Rechtsstand 2026
Nach § 147 Abs. 6 AO darf die Finanzbehörde bei einer Prüfung auf steuerlich relevante digitale Daten zugreifen – in drei Formen: Z1 unmittelbarer Zugriff auf dein System, Z2 mittelbarer Zugriff durch Auswertung nach deinen Vorgaben, Z3 Überlassung eines Datenträgers. Die Wahl liegt bei der Behörde, das pflichtgemäße Ermessen begrenzt sie. Der Zugriff ist auf den Prüfungszeitraum und steuerlich relevante Daten beschränkt; besonders geschützte Daten Dritter sind auszusondern oder zu schwärzen. Seit 2025 gilt zudem die Pflicht zur Überlassung in einem einheitlichen digitalen Format.
Die drei Zugriffsformen
| Form | Was passiert – und worauf du achten musst |
|---|---|
| Z1 – unmittelbar | Der Prüfer arbeitet in deinem System mit Nur-Lese-Rechten. Achte auf ein eigenes, eng berechtigtes Prüferkonto ohne Zugriff auf Personal-, Kunden- oder Mandantendaten außerhalb des Prüfungszwecks. |
| Z2 – mittelbar | Du oder ein Dienstleister führt Auswertungen nach den Vorgaben des Prüfers durch. Vorteil: Du behältst die Kontrolle über den Datenausschnitt. |
| Z3 – Datenträger | Du überlässt maschinell auswertbare Daten. Sie dürfen nur für Zwecke der Prüfung verwendet und müssen nach Bestandskraft gelöscht bzw. zurückgegeben werden. |
Die Behörde entscheidet, welche Form sie wählt, und darf auch mehrere kombinieren. Sie muss dabei aber das Übermaßverbot beachten – ein unmittelbarer Zugriff auf ein komplettes Kanzlei- oder Personalsystem ist regelmäßig unverhältnismäßig.
Wie weit der Zugriff reicht – und wo er endet
Zwei Begrenzungen sind entscheidend: der Prüfungszeitraum und die steuerliche Relevanz. Daten außerhalb des Zeitraums oder ohne Bezug zur Besteuerung sind nicht vorzulegen. Das gilt insbesondere für private E-Mail-Postfächer, für Personalakten jenseits der Lohnsteuerrelevanz und für Aufzeichnungen, die einem Berufsgeheimnis unterliegen.
Bei Berufsgeheimnisträgern – Ärzte, Anwälte, Steuerberater – gilt ein besonderer Schutz: Mandanten- und Patientendaten dürfen nicht offenbart werden. Praxis: Umsätze werden anonymisiert oder pseudonymisiert dargestellt, Namen geschwärzt. Der Prüfer darf die Schwärzung nicht eigenmächtig aufheben.
Verlangt der Prüfer einen Gesamtexport, kannst du eine Beschränkung auf die tatsächlich benötigten Tabellen und Zeiträume anregen. Halte den Vorschlag schriftlich fest – das dokumentiert deine Mitwirkung und begrenzt den Umfang.
Datenschutz im Prüfungsalltag
Rechtsgrundlage für die Verarbeitung ist die Erfüllung einer rechtlichen Verpflichtung bzw. die Wahrnehmung einer öffentlichen Aufgabe (Art. 6 Abs. 1 Buchst. c und e DSGVO). Für dich als Unternehmen bedeutet das: Die Herausgabe ist erlaubt, aber sie muss dokumentiert und auf das Erforderliche begrenzt werden.
Praktisch heißt das: Vor der Überlassung prüfst du den Export auf Datenfelder, die niemand braucht – Bankverbindungen von Beschäftigten, Gesundheitsdaten, Religionszugehörigkeit über die Kirchensteuer hinaus, Bewerberdaten. Diese Felder werden entfernt oder unkenntlich gemacht.
Der Vorgang gehört in dein Verzeichnis der Verarbeitungstätigkeiten und in die Verfahrensdokumentation nach GoBD. Beides gehört ohnehin zu den Unterlagen, die eine Prüfung erwartet.
Nach der Prüfung: Löschung verlangen
Überlassene Daten dürfen ausschließlich für die Prüfung verwendet werden. Nach Abschluss – spätestens mit Bestandskraft der auf die Prüfung ergehenden Bescheide – sind sie zu löschen oder zurückzugeben. Das gilt auch für Kopien auf Prüfernotebooks.
Ein kurzes Schreiben genügt: Bitte um Bestätigung der Löschung unter Verweis auf § 147 Abs. 6 AO und Art. 5 Abs. 1 Buchst. e DSGVO (Speicherbegrenzung). Kommt keine Reaktion, hilft die Vorlage für Löschung und Widerspruch.
Deine Checkliste
Hak ab, was du erledigt hast – dein Fortschritt wird automatisch gespeichert.
Datenüberlassung vorbereiten
0 von 7 erledigt- Prüfungsanordnung lesenZeitraum, Steuerarten und Umfang exakt erfassen.
- Zugriffsform klärenZ1, Z2 oder Z3 – schriftlich abstimmen.
- Prüferkonto einrichtenNur-Lese-Rechte, eng begrenzt, protokolliert.
- Export bereinigenNicht relevante personenbezogene Felder entfernen.
- Berufsgeheimnis sichernMandanten- und Patientendaten pseudonymisieren.
- Verfahrensdokumentation aktualisierenGoBD-Dokumentation und Verarbeitungsverzeichnis ergänzen.
- Löschung nachhaltenNach Bestandskraft Bestätigung anfordern.
Häufige Fragen (FAQ)
Darf der Prüfer mein E-Mail-Postfach durchsuchen?
Nur soweit E-Mails steuerlich relevante Aufzeichnungen sind – etwa Rechnungen oder Verträge im Anhang. Ein pauschales Durchsuchen des Postfachs, das auch private und nicht relevante Korrespondenz enthält, ist unverhältnismäßig.
Muss ich einen Datenträger herausgeben?
Wenn die Behörde Z3 verlangt, ja – im Rahmen des Prüfungszeitraums und der steuerlich relevanten Daten. Du darfst und sollst den Export dabei auf das Erforderliche begrenzen und nicht relevante personenbezogene Daten aussondern.
Wie lange darf das Finanzamt die Daten behalten?
Nur bis zum Abschluss der Prüfung bzw. bis zur Bestandskraft der darauf beruhenden Bescheide. Danach sind die Daten zu löschen oder zurückzugeben.
Was gilt für Steuerkanzleien als Geprüfte?
Mandantendaten unterliegen § 203 StGB und der berufsrechtlichen Verschwiegenheit. Der Zugriff muss so gestaltet werden, dass Mandantenidentitäten nicht offenbart werden – in der Praxis über pseudonymisierte Auswertungen.
Was ändert das einheitliche digitale Schnittstellenformat?
Die Datenüberlassung wird standardisiert: Buchführungs- und Lohndaten sind in einem vorgegebenen, maschinell auswertbaren Format bereitzustellen. Das reduziert Rückfragen, macht aber eine saubere Vorbereitung der Exporte umso wichtiger.
Quellen & Rechtsgrundlagen
Alle Angaben wurden am 25. Juli 2026 anhand der folgenden Quellen geprüft. Rechtsstand: 2026.
- § 147 AO – Ordnungsvorschriften für die Aufbewahrung von Unterlagen.
- GoBD – Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff.
- Art. 6 DSGVO – Rechtmäßigkeit der Verarbeitung.
Wir übersetzen Steuer- und Datenschutzrecht in verständliche Sprache und prüfen jede Aussage gegen die Primärquelle. Dieser Beitrag ersetzt keine individuelle Beratung durch Steuerberater, Rechtsanwalt oder Lohnsteuerhilfeverein.