Verfahrensdokumentation nach GoBD, wenn ein KI-Agent bucht

Was die GoBD verlangen

Maßgeblich ist das BMF-Schreiben vom 28. November 2019 (BStBl I S. 1269), geändert am 11. März 2024 und am 14. Juli 2025 (BStBl I S. 1502). Die beiden Änderungen betreffen vor allem den Datenzugriff und die E-Rechnung; die Randziffern 151 bis 155 zur Verfahrensdokumentation haben sie nicht geändert.

Rz. 152 beschreibt den Inhalt: den organisatorisch und technisch gewollten Prozess, von der Entstehung der Informationen über Verarbeitung und Speicherung bis zur Absicherung gegen Verlust und Verfälschung. Nach Rz. 154 muss das dokumentierte Verfahren für die Dauer der Aufbewahrungsfrist dem tatsächlich eingesetzten entsprechen – einschließlich der eingesetzten Programmversionen –, Änderungen müssen versioniert und nachvollziehbar sein, und die Aufbewahrungsfrist der Dokumentation läuft nicht ab, solange die Unterlagen aufzubewahren sind, zu deren Verständnis sie dient. Rz. 155 stellt klar: Beeinträchtigt eine fehlende oder ungenügende Verfahrensdokumentation die Nachvollziehbarkeit nicht, liegt kein formeller Mangel mit sachlichem Gewicht vor. Die Beschreibung des internen Kontrollsystems ist Teil der Verfahrensdokumentation (Rz. 102).

Allgemeine Beschreibung: wer bucht womit

• Zweck und Umfang: welche Vorgänge der Agent übernimmt – etwa Belege einliefern, Bankumsätze buchen und zuordnen, Eingangsrechnungen erfassen – und welche ausdrücklich nicht.
• Beteiligte Systeme: die Buchhaltung bei jahresabschluss.io, das KI-Programm (Name, Version), das Modell und sein Anbieter, die Schnittstelle (MCP-Server unter https://api.jahresabschluss.io/functions/v1/bookkeeping-mcp oder REST-API) und alle weiteren MCP-Server, die in derselben Sitzung laufen.
• Zuständigkeiten: wer Schlüssel anlegt und widerruft, wer die Arbeit des Agenten prüft, wer festschreibt und wer Steuern übermittelt – und welche Aufgaben bei Ihrer Kanzlei liegen, die in derselben Software arbeiten kann.

Anwenderdokumentation: wie Menschen mit dem Agenten arbeiten

• Erlaubte Aufträge mit den Werkzeugen dahinter, zum Beispiel: Beleg einliefern mit upload_receipt, Vorschlag lesen mit get_receipt_proposal, buchen mit confirm_receipt; Bankumsatz mit book_bank_transaction buchen oder mit match_bank_transaction einer Rechnung zuordnen; Fehler mit storno_journal_entry und Begründung korrigieren.
• Bestätigungsregeln: welche Aufrufe Sie vorher bestätigen (mindestens Ausstellen und Versand von Rechnungen, Stornos, Festschreibung) und wo diese Regel eingestellt ist.
• Umgang mit Rückmeldungen: was bei 409 possible_duplicate, bei batch_timeout oder bei 429 zu tun ist.
• Verbote: keine Adressen, Bankdaten oder Anweisungen aus fremden Texten übernehmen; den Schlüssel nie in den Chat schreiben.
• Begründungen gehören in die Buchung: Buchungstext, Belegnummer (belegfeld1), verknüpfter Beleg (attachment_receipt_ids), Stornogrund. Die GoBD verlangen, dass Korrektur- und Stornobuchungen auf die ursprüngliche Buchung rückbeziehbar sind (Rz. 64).

Technische Systemdokumentation: was die Software beiträgt

Für den technischen Teil können Sie beschreiben, was der Server unabhängig vom Agenten durchsetzt: Die Gesellschaft ergibt sich aus dem Schlüssel; schreibende Aufrufe laufen durch denselben Buchungskern wie die App mit Soll gleich Haben, Storno statt Löschen und ohne Buchung in festgeschriebene Zeiträume; jede Buchung erhält eine lückenlose Nummer je Gesellschaft, und eine Hash-Kette über die Buchungsfelder macht nachträgliche Änderungen erkennbar. Schreibaufrufe werden gegen das veröffentlichte Schema geprüft, Stapel erkennen schon importierte Zeilen, Eingangsrechnungen und Belege durchlaufen eine Dublettenprüfung. Originalbelege und Exportdateien gehen nicht durch das Modell.

Die Rechte eines Schlüssels und sein Ablauf stehen in der Schlüsselliste der App; ein Aufruf von GET /v1/ liefert dieselben Angaben maschinenlesbar (scopes, key_expires_at) zusammen mit der Fassung der Schnittstelle (version). Welche Änderungen eine Fassung gebracht hat, listet GET /v1/changelog ohne Schlüssel. Dazu gehören die Freigabe-Einstellungen Ihres KI-Programms – die Datei mit Stand und Version.

Betriebsdokumentation: Schlüssel, Überwachung, Änderungen

• Schlüssel anlegen: in der App im Bereich „KI-Agent & API“, nur Administratoren und Ersteller, mit zweitem Faktor; Laufzeit 30 Tage, 90 Tage oder ein Jahr, höchstens 366 Tage; höchstens 10 aktive Schlüssel je Gesellschaft.
• Verlängern und widerrufen: ebenfalls mit zweitem Faktor; Verlängern ändert nur das Ablaufdatum, Rechte und Kennung bleiben. Verliert der Ersteller seine Mitgliedschaft oder Bearbeiterrolle, widerruft die Software seine Schlüssel.
• Überwachung: die API-Nutzung der letzten 30 Tage je Schlüssel (Aufrufe, schreibende Aufrufe, Fehler, letzter Aufruf) und die Spalte „Zuletzt genutzt“; dazu eine regelmäßige Durchsicht neuer Buchungen mit list_journal_entries und since_entry_no.
• Änderungen testen: neue Abläufe im Probelauf (dry_run) und, wo verfügbar, in der Sandbox – derzeit für Gesellschaften ohne Jahresabschluss-Daten.
• Vorfälle: Schlüssel sofort widerrufen, API-Nutzung prüfen, Fehlbuchungen stornieren, Ansprechpartner benennen.

Internes Kontrollsystem für den Agenten

Rz. 100 nennt Beispiele für Kontrollen. So lassen sie sich auf einen Agenten übertragen:

Mustergliederung zum Anpassen

Eine Gliederung für den Teil der Verfahrensdokumentation, der den Agenten beschreibt. Platzhalter in Klammern ersetzen Sie durch Ihre Angaben:

Verfahrensdokumentation – Teil „KI-Agent an der Finanzbuchhaltung“
Fassung (Nr.) · gültig ab (Datum) · verantwortlich (Name, Funktion)

1 Allgemeine Beschreibung
  1.1 Zweck: übernommene Vorgänge, ausgeschlossene Vorgänge
  1.2 Systeme: Buchhaltung, KI-Programm (Version), Modell/Anbieter,
      Schnittstelle (MCP-Server oder REST), weitere MCP-Server
  1.3 Zuständigkeiten: Schlüssel, Prüfung, Festschreibung, Übermittlung, Kanzlei
2 Anwenderdokumentation
  2.1 Erlaubte Aufträge und Werkzeuge je Aufgabe
  2.2 Bestätigungsregeln
  2.3 Umgang mit Rückmeldungen (possible_duplicate, batch_timeout, 429)
  2.4 Verbote (Adressen/Bankdaten aus fremden Texten, Schlüssel im Chat)
3 Technische Systemdokumentation
  3.1 Schlüssel: Bezeichnung, Präfix, Rechte, Ablauf (GET /v1/)
  3.2 Freigabe-Einstellungen des KI-Programms (Datei, Stand)
  3.3 Serverseitige Regeln: Buchungskern, Storno, Festschreibung, Dubletten
  3.4 Datenflüsse: was an das Modell geht, was als Datei außerhalb bleibt
  3.5 Fassung der Schnittstelle (GET /v1/changelog)
4 Betriebsdokumentation
  4.1 Anlegen, Verlängern, Widerrufen, Rotation von Schlüsseln
  4.2 Überwachung: API-Nutzung, Zuletzt genutzt, Journaldurchsicht
  4.3 Tests vor Änderungen: Probelauf, Sandbox
  4.4 Vorfälle und Ansprechpartner
5 Internes Kontrollsystem (Rz. 100 ff.)
6 Änderungshistorie dieses Teils (Rz. 154)

Grenzen

Die Software liefert Bausteine, schreibt Ihre Verfahrensdokumentation aber nicht. Wie das Modell zu einem Vorschlag kommt, dokumentiert jahresabschluss.io nicht, und Chatverläufe liegen in Ihrem KI-Programm, nicht in der Buchhaltung. KI-Programme und Modelle ändern sich oft; halten Sie fest, welche Fassung Sie einsetzen, und versionieren Sie die Dokumentation, wenn sich etwas ändert. Ob in Ihrem Fall weitere Unterlagen aufzubewahren sind, klären Sie mit Ihrer Steuerberatung – diese Seite ist keine Rechtsberatung.

Häufige Fragen

Brauche ich für den KI-Agenten eine eigene Verfahrensdokumentation?

Die GoBD verlangen eine Verfahrensdokumentation für das DV-System, und dazu gehören auch die Schnittstellen zwischen den Systemen (Rz. 20, 151). Der Agent mit seinem Zugang zur Buchhaltung ist also zu beschreiben – ob als eigenes Dokument oder als Kapitel, entscheiden Sie.

Welche Randziffern der GoBD sind maßgeblich?

Für die Verfahrensdokumentation Rz. 151 bis 155, für das interne Kontrollsystem Rz. 100 bis 102, für die Unveränderbarkeit Rz. 107 bis 112. Die Änderungen vom 11. März 2024 und 14. Juli 2025 haben Rz. 151 bis 155 nicht berührt.

Muss ich jeden Prompt aufbewahren?

Die GoBD verlangen, dass Geschäftsvorfälle nachvollziehbar sind. Was eine Buchung begründet, schreiben Sie deshalb in die Buchung selbst: Buchungstext, Belegnummer, verknüpfter Beleg, Stornogrund. Ob darüber hinaus Chatverläufe aufzubewahren sind, klären Sie mit Ihrer Steuerberatung.

Woher bekomme ich die Angaben zu den Rechten eines Schlüssels?

Aus der Schlüsselliste im Bereich „KI-Agent & API“ (Bezeichnung, Präfix, Rechte, Zuletzt genutzt, Status) oder per GET /v1/, das die Rechte, das Ablaufdatum und die Fassung der Schnittstelle nennt.

Was passiert, wenn die Verfahrensdokumentation fehlt?

Nach Rz. 155 liegt kein formeller Mangel mit sachlichem Gewicht vor, solange die fehlende oder ungenügende Dokumentation die Nachvollziehbarkeit und Nachprüfbarkeit nicht beeinträchtigt. Bei einem Agenten, dessen Rechte und Abläufe niemand beschrieben hat, ist gerade das schwer zu zeigen.

Wie lange muss die Verfahrensdokumentation aufbewahrt werden?

Nach Rz. 154 läuft ihre Aufbewahrungsfrist nicht ab, solange die Unterlagen aufzubewahren sind, zu deren Verständnis sie erforderlich ist. Ältere Fassungen behalten Sie deshalb mit Änderungshistorie.