Buchhaltung und Finanzteams: Rechnungen und Kontoauszüge anonymisieren

Bevor ein Finanzdokument Ihr Team verlässt, schwärzen Sie, was auf eine Person oder ein Geschäft verweist. Behalten Sie, was der Empfänger zum Prüfen der Zahlen braucht. Auf Rechnungen sind das Namen, Anschriften, Bankdaten und die Steuernummern von Einzelunternehmern. Auf Kontoauszügen kommen Namen und Verwendungszwecke jeder Umsatzzeile hinzu. Arbeiten Sie immer mit einer Kopie.

Dieser Leitfaden folgt der DSGVO mit Hinweisen aus Deutschland, Stand September 2026. Er ist keine Rechtsberatung.

Wer fragt nach Ihren Finanzdokumenten, und was braucht er wirklich?

Artikel 5 Absatz 1 Buchstabe c DSGVO beschränkt personenbezogene Daten auf das für den Zweck notwendige Maß. Stellen Sie also eine Frage: Was muss dieser Empfänger prüfen? Die Antwort ist bei jedem Empfänger anders.

Welche Kennungen stecken in Rechnungen, Auszügen und Lohnlisten?

Rechnungen enthalten Kennungen von Gesetzes wegen. Nach § 14 Absatz 4 UStG gehören der vollständige Name und die Anschrift des leistenden Unternehmers und des Leistungsempfängers auf die Rechnung. Dazu kommt die Steuernummer oder die Umsatzsteuer-Identifikationsnummer des Unternehmers. Artikel 226 der EU-Mehrwertsteuerrichtlinie sieht dieselben Kernangaben vor.

Sind Firmendaten personenbezogene Daten?

Grundsätzlich nicht. Nach Erwägungsgrund 14 DSGVO gilt die Verordnung nicht für Daten juristischer Personen, einschließlich Name, Rechtsform und Kontaktdaten. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit bestätigt: Informationen über juristische Personen sind keine personenbezogenen Daten. Die Daten eines konkreten Ansprechpartners sind es aber.

Vorsicht bei Einzelunternehmern. Die IHK Region Stuttgart erklärt, dass Angaben auf die Person dahinter „durchschlagen“ können, etwa bei der GmbH einer Einzelperson oder bei einer Einzelfirma. Nehmen Sie die Rechnung von Erika Mustermann, einer selbstständigen Buchhalterin. Ihr Name, ihre Steuernummer und ihre IBAN verweisen auf sie. Behandeln Sie diese Angaben als personenbezogene Daten.

Warum kann eine teilweise geschwärzte IBAN noch identifizieren?

Eine IBAN hat einen festen Aufbau. Laut Deutscher Bundesbank hat eine deutsche IBAN 22 Stellen: das Länderkennzeichen DE, eine zweistellige Prüfzahl, die achtstellige Bankleitzahl und die zehnstellige Kontonummer. Der Anfang nennt also die Bank. Das Ende enthält das Konto.

• Wer nur die Mitte schwärzt, lässt womöglich die Bank und einen Teil der Kontonummer sichtbar.
• Zwei Kopien, an verschiedenen Stellen geschwärzt, ergeben zusammen die ganze Nummer.
• Der Name des Kontoinhabers neben einer geschwärzten IBAN macht die Schwärzung wertlos.
• Dieselbe IBAN steht oft in Zahlungsbedingungen, Mahnungen und Auszügen. Schwärzen Sie jede Stelle.

Was sagt PCI DSS zur Maskierung von Kartennummern?

PCI DSS ist der Sicherheitsstandard der Kartenzahlungsbranche. Laut FAQ 1492 des PCI Security Standards Council (April 2024) erlaubt Anforderung 3.4.1 auf Bildschirmen und in Berichten höchstens die BIN und die letzten vier Ziffern, sofern nicht ein dokumentierter geschäftlicher Bedarf mehr rechtfertigt. Die BIN umfasst die ersten sechs Ziffern, bei manchen Kartenmarken acht, wie das Council 2021 erklärte.

FAQ 1146 trennt zwei Begriffe. Maskieren verbirgt Ziffern bei der Anzeige; eine maskierte Nummer ließe sich wieder aufdecken. Kürzen entfernt Ziffern endgültig. FAQ 1091 warnt: Wer verschiedene gekürzte Formate derselben Kartennummer hat, kann sie deutlich leichter rekonstruieren. Zeigen Sie also nur die Ziffern, die der Empfänger braucht, oft keine, und überall im selben Format.

Wie bleibt ein geschwärztes Dokument brauchbar?

1. 1Kopieren Sie die Datei. Schwärzen Sie die Kopie, nie das Original.
2. 2Fragen Sie den Empfänger, was er prüfen muss: Summen, Umsatzsteuer, Daten oder Layout.
3. 3Schwärzen Sie, was Personen identifiziert: Namen, Anschriften, IBAN, Karten- und Steuernummern.
4. 4Behalten Sie Beträge, Daten, Steuersätze und Zeilenstruktur, wenn der Empfänger nachrechnet.
5. 5Ersetzen Sie Geschäftspartner durch feste Bezeichnungen wie Lieferant A.
6. 6Ist ein Betrag selbst vertraulich, schwärzen Sie ihn überall, wo er sich errechnen lässt.
7. 7Exportieren Sie eine gerasterte Kopie, etwa ein reines Bild-PDF, und versuchen Sie dann, Text aus den geschwärzten Bereichen zu kopieren.

Achten Sie auf die Umsatzsteuerzeile. Sie schwärzen den Nettobetrag, lassen aber 19 % und 9.262,50 € Umsatzsteuer stehen. Jeder kann den Nettobetrag ausrechnen: 48.750 €. Ein Vertragspreis steht oft auch in einer Summe, einer Zahlung und einer Mahnung. Schwärzen Sie jede Stelle.

Bewahren Sie das Original trotzdem auf. Nach § 147 Absatz 3 AO gelten zehn Jahre für Bücher und Jahresabschlüsse und acht Jahre für Buchungsbelege. Eine geschwärzte Kopie ersetzt diese Pflicht nicht. Einmal exportiert, lässt sie sich nicht in das Original zurückverwandeln.

Welche Werkzeuge schwärzen Finanzdokumente richtig?

Ein schwarzer Kasten über einem PDF entfernt den Text nicht. Der Landesbeauftragte für den Datenschutz Niedersachsen hält das Überdecken mit einem schwarzen Kasten auch bei PDFs für ungeeignet (Stand Juli 2025). Laut Adobe entfernt das Schwärzen-Werkzeug in Acrobat Pro, Premium oder Studio Inhalte dauerhaft und kann auch verborgene Daten wie Metadaten entfernen. Für Lohnlisten in Excel schreibt Microsoft, dass die Dokumentprüfung ausgeblendete Zeilen und Spalten entfernt, außer in einer Tabellen- oder Listenüberschrift oder PivotTable: Diese blendet sie stattdessen ein. Besser: Löschen Sie nicht benötigte Spalten.

ONYRI Sanitize ist eine Möglichkeit für PDFs, Word-Dateien und Scans. Erkennung und Schwärzung laufen im Browser: Die Datei wird nicht hochgeladen, und der Export besteht immer nur aus Bildern, ohne Textebene. Das Werkzeug sucht nach IBAN, BIC, per Luhn-Algorithmus geprüften Kartennummern, USt-IdNr. und Steuernummern sowie Beträgen mit Währung. Der Pro-Tarif bietet zusätzlich den Token-Modus mit festen Bezeichnungen. Für Firmennamen oder Gehälter als solche gibt es keinen Detektor: Tragen Sie diese Begriffe selbst ein und prüfen Sie dann die Vorschau.