Rechnung per E-Mail: was die DSGVO verlangt

Kurz: Für den Rechnungsversand per E-Mail brauchst du keine datenschutzrechtliche Einwilligung. Wer trotzdem ein Häkchen dafür setzt, hat zwei verschiedene Zustimmungen verwechselt — und sich damit ein Problem gebaut, das er ohne das Häkchen nicht hätte.

Der Rest dieses Beitrags beantwortet die Fragen, die danach kommen: Wie lange darf die Rechnung liegen bleiben, wenn der Kunde seine Löschung verlangt? Muss die Mail verschlüsselt sein? Und wer sieht eigentlich die Datei, wenn sie durch einen Prüfdienst läuft?

1. Die Rechtsgrundlage — und warum keine Einwilligung

Eine Rechnung an einen Kunden zu schicken verarbeitet personenbezogene Daten: Name, Anschrift, meistens die Leistungsbeschreibung. Die Rechtsgrundlage dafür steht in Art. 6 Abs. 1 DSGVO, und zwar zweimal:

• lit. b — Vertragserfüllung. Ohne Rechnung kommt der Kunde nicht zu seinem Vorsteuerabzug und du nicht zu deinem Geld. Die Verarbeitung ist für die Erfüllung des Vertrags erforderlich, und das genügt.
• lit. c — rechtliche Verpflichtung. Bei Leistungen an andere Unternehmer musst du ausstellen: § 14 Abs. 2 UStG, innerhalb von sechs Monaten. Etwas zu tun, wozu ein Gesetz verpflichtet, braucht keine Erlaubnis des Betroffenen.

Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist hier nicht nur unnötig, sie ist falsch. Sie ist nach Art. 7 Abs. 3 DSGVO jederzeit widerrufbar — der Kunde widerruft, und dann? Den Versand einstellen darfst du nicht, § 14 UStG gilt weiter. Du hättest ein Recht eingeräumt, das du nicht einhalten kannst, und damit gegen das Transparenzgebot aus Art. 5 Abs. 1 lit. a DSGVO verstoßen: Das Häkchen behauptet eine Wahl, die es nicht gibt.

Woher das Häkchen kommt

Es gibt in diesem Bereich tatsächlich eine Zustimmung — nur ist sie keine datenschutzrechtliche. Das Umsatzsteuerrecht verlangt für eine sonstige Rechnung in elektronischem Format, also für das gewohnte PDF im Mailanhang, die Zustimmung des Empfängers. Sie kann formlos und stillschweigend erfolgen, etwa indem der Empfänger die Rechnung widerspruchslos verarbeitet. Für die E-Rechnung im strukturierten Format nach EN 16931 braucht es sie seit 2025 nicht mehr; wer im B2B eine XRechnung oder ZUGFeRD-Datei schickt, muss niemanden fragen. Welches Format ab wann für wen gilt, steht in der Treppe bis 2028.

Diese umsatzsteuerliche Zustimmung wandert in Formularen regelmäßig in die Datenschutzerklärung und wird dort zur „Einwilligung in die Datenverarbeitung“. Damit ist beides falsch: Die Zustimmung, die das Steuerrecht meint, ist eine andere, und die Einwilligung, die im Formular steht, gibt es nicht zu erteilen.

Was dagegen wirklich eine Einwilligung braucht: Werbung an dieselbe Adresse. Ein Newsletter im Anschluss an die Rechnungsmail ist ein neuer Zweck mit eigener Grundlage (§ 7 UWG). Die Rechnung öffnet dafür keine Tür.

2. Löschpflicht gegen Aufbewahrungspflicht — wer gewinnt

Das ist der Konflikt, den die Ratgeber auslassen. Der Kunde verlangt Löschung nach Art. 17 Abs. 1 DSGVO, gleichzeitig verlangt das Steuerrecht Aufbewahrung. Beides gleichzeitig geht nicht.

Die Aufbewahrungspflicht gewinnt. Art. 17 Abs. 3 lit. b DSGVO nimmt die Löschpflicht ausdrücklich zurück, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Für Rechnungen sind das:

Die Frist beginnt nicht am Rechnungsdatum, sondern mit dem Schluss des Kalenderjahres (§ 147 Abs. 4 AO, § 14b Abs. 1 UStG). Eine Rechnung vom März 2026 ist deshalb bis zum 31. Dezember 2034 aufzubewahren und erst ab Januar 2035 löschbar — nicht acht Jahre nach dem März.

Aber nur für die Rechnung, nicht für alles Drumherum

Hier wird der zweite Fehler gemacht, und er ist der teurere: Aus „ich muss die Rechnung behalten“ wird „ich muss den Kunden behalten“. Das ist falsch. Die Aufbewahrungspflicht schützt den Beleg, nicht die Kundenkartei.

Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) muss also getrennt werden, was verschiedenen Zwecken dient:

• Bleibt: die Rechnung selbst mit den Angaben aus § 14 UStG — Name, Anschrift, Leistungsbeschreibung, Beträge, Nummer, Datum. Und der Zahlungsvorgang dazu.
• Geht: die Newsletter-Anmeldung, Notizen im Kundenstamm, alte Lieferadressen, Gesprächsprotokolle, das Angebot, aus dem nichts wurde, Nutzungs- und Zugriffsdaten. Für all das endet der Zweck mit der Geschäftsbeziehung, und dann ist zu löschen.

Praktisch heißt das: Der Datensatz wird nicht gelöscht, sondern eingeschränkt — er steht nur noch für Buchhaltung, Steuer und die Abwehr von Ansprüchen zur Verfügung, nicht mehr für Vertrieb und Auswertung (Art. 18 DSGVO). Und die Antwort auf die Löschanfrage lautet nicht „wir müssen alles zehn Jahre behalten“, sondern nennt nach Art. 12 Abs. 4 DSGVO, was bleibt, warum und bis wann. Diese Antwort ist in zwei Sätzen zu schreiben, wenn man vorher weiß, welche Daten in welchem Topf liegen — und in keinem, wenn nicht.

3. Verschlüsselung: Transport genügt

Art. 32 Abs. 1 DSGVO verlangt keine bestimmte Technik, sondern Maßnahmen, die dem Risiko angemessen sind. Für den gewöhnlichen Rechnungsversand ist das nach der Orientierungshilfe der Datenschutzkonferenz zum Mailversand die obligatorische Transportverschlüsselung: Die Verbindung zwischen den Mailservern läuft über TLS, und zwar erzwungen und nicht nur „wenn es klappt“. Praktisch stellt das der Postausgang ein, nicht der Absender.

Ende-zu-Ende-Verschlüsselung ist nicht gefordert — sie wird erst bei hohem Risiko verlangt, insbesondere bei besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Eine Rechnung über eine Tischlerarbeit ist das nicht.

Damit ist die Rechnung aber genau das, was sie zu sein scheint: eine unverschlüsselte Datei in einem Postfach. Transportverschlüsselung schützt den Weg, nicht die Ablage. Am Ziel liegt das PDF im Klartext im Postfach, in dessen Sicherung und in jeder Weiterleitung. Drei Folgen daraus:

1. Das Postfach ist die eigentliche Schutzstelle. Ein starkes Passwort und ein zweiter Faktor auf dem Rechnungspostfach wirken mehr als jede Diskussion über Verschlüsselung. Und Rechnungen mit Personenbezug gehören nicht in eine Sammeladresse, die das halbe Büro liest.
2. In die Rechnung gehört nicht mehr, als hineingehört (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Eine Leistungsbeschreibung wie „Erstgespräch Suchtberatung“ oder eine Diagnose macht aus der Rechnung ein Gesundheitsdatum nach Art. 9 DSGVO — dann kippt die Einschätzung oben, und es braucht Ende-zu-Ende oder ein Abholverfahren. Bei Berufsgeheimnisträgern kommt § 203 StGB hinzu; das ist eine eigene Frage und nicht mit Art. 32 DSGVO beantwortet.
3. Ein Passwort auf dem PDF, das in derselben Mail steht, ist keine Maßnahme. Wer den Anhang lesen kann, liest auch den Satz darüber.

4. Wer sieht die Datei, wenn sie geprüft wird

Diese Frage kann ein Ratgeberportal nicht beantworten, weil sie nicht vom Recht abhängt, sondern davon, wie das benutzte Programm gebaut ist. Bei einem Prüfwerkzeug oder einer Anzeige für E-Rechnungen lädt man eine vollständige Rechnung mit allen Kundendaten hoch. Die drei Fragen dazu lauten: Wer verarbeitet sie? Wo steht der Server? Wie lange bleibt sie liegen?

Läuft die Prüfung bei einem fremden Anbieter, ist sie eine Auftragsverarbeitung und braucht einen Vertrag nach Art. 28 DSGVO — und steht dessen Server außerhalb der EU, zusätzlich eine Grundlage für die Drittlandübermittlung nach Art. 44 ff. DSGVO. Das gilt auch dann, wenn niemand die Datei liest.

Unsere Antwort auf die drei Fragen: niemand außer uns, dieser Server, gar nicht. So ist es gebaut:

• Der Prüfdienst läuft in einem eigenen Container auf demselben Server wie die Anwendung. Er hängt in einem Netz, das ausdrücklich ohne Verbindung nach draußen angelegt ist — er kann keine ausgehende Verbindung aufbauen, und von außen ist er nicht erreichbar. Kein Konto, kein Schlüssel, keine Adresse, an die etwas abfließen könnte. Ein Netz ohne Route nach draußen lässt sich nicht überreden.
• Die hochgeladene Datei wird gelesen und verworfen. In der Anwendung existiert sie nur als Bytefolge für die Dauer der Anfrage; es gibt an dieser Stelle keinen Aufruf, der etwas ablegen würde. Der Prüfdienst schreibt sie in ein eigenes Arbeitsverzeichnis und löscht dieses unmittelbar nach dem Prüflauf — auch dann, wenn die Prüfung mit einem Fehler endet.
• Ins Protokoll geht nur die Regelkennung, also welche Prüfregel angesprochen hat. Kein Dateiname, kein Beteiligter, kein Betrag. Daraus entstehen die Fehlerseiten: welche Regeln in Deutschland wirklich anschlagen, weiß man nur aus echten Dateien — und dafür genügt die Kennung.

Was daraus folgt, ist unbequemer, als es klingt: Es gibt nichts herauszugeben und nichts zu löschen. Wer nach einer Auskunft nach Art. 15 DSGVO zu einer geprüften Datei fragt, bekommt keine Kopie, weil keine existiert. Genau das ist der Punkt.

5. Messen ohne Einwilligung findet nicht statt

Und die Frage, die ein Prüfer als nächstes stellt: Was wird gemessen, während man das Werkzeug benutzt? § 25 Abs. 1 TDDDG verlangt für Zugriffe auf das Endgerät — also für das Setzen von Zählcookies — eine Einwilligung.

Der üblich gebaute Weg lädt das Zählskript immer und fragt vor jedem Ereignis einen Schalter ab. Das funktioniert, solange die Abfrage an jeder Stelle steht. Eine vergessene Abfrage, ein falscher Wächter, eine neue Seite ohne den Aufruf — und es wird gemessen, ohne dass jemand zugestimmt hat. Still, ohne Fehlermeldung.

Bei uns gibt es die Sammelstelle vor der Zustimmung nicht. Das Zählskript wird erst geladen, nachdem im Einwilligungsfenster zugestimmt wurde; vorher existiert das Objekt nicht, an das ein Ereignis übergeben würde, und jeder Aufruf verpufft ins Leere. Der Unterschied ist kein Wortspiel: Im ersten Fall unterdrückt eine Abfrage die Messung, im zweiten gibt es nichts zu unterdrücken. Nur der zweite Fall lässt sich nicht durch eine vergessene Zeile aufheben.

Das Gegenstück im Mailversand ist das Lesebestätigungsbild in einer Rechnungsmail. Nach hiesiger Auffassung greift § 25 TDDDG dort nicht, weil beim Abruf eines Bildes nichts auf dem Gerät gespeichert und nichts von dort ausgelesen wird; Grundlage ist dann das berechtigte Interesse am Zugangsnachweis (Art. 6 Abs. 1 lit. f DSGVO). Weil diese Auffassung nicht unbestritten ist, bleibt die Funktion abschaltbar — und ist es als Vorgabe. Was im Einzelnen erhoben wird, steht in der Datenschutzerklärung.

Kurz zusammengefasst

• Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO. Keine Einwilligung — ein Häkchen dafür schafft ein Widerrufsrecht, das du nicht einhalten kannst.
• Die Zustimmung, die es wirklich gibt, ist umsatzsteuerlich und betrifft nur die sonstige Rechnung in elektronischem Format. Die E-Rechnung braucht sie nicht.
• Löschanfrage gegen Aufbewahrung: die Aufbewahrung gewinnt (Art. 17 Abs. 3 lit. b DSGVO), acht Jahre ab Ende des Kalenderjahres — aber nur für den Beleg, nicht für die Kundenkartei drumherum.
• Transportverschlüsselung genügt, Ende-zu-Ende nicht gefordert. Der Anhang liegt danach im Klartext im Postfach: Dort ist zu schützen, und in die Leistungsbeschreibung gehört nichts, was unter Art. 9 DSGVO fällt.
• Bei jedem Prüf- oder Anzeigewerkzeug sind drei Fragen zu stellen: wer verarbeitet, wo steht der Server, wie lange bleibt die Datei. Wer sie nicht beantwortet, beantwortet sie doch.
• Messung ohne Einwilligung verhindert man am besten, indem die Sammelstelle ohne Zustimmung nicht existiert — nicht durch eine Abfrage, die sich vergessen lässt.

Stand: August 2026. Genannt sind Art. 5, 6, 7, 9, 12, 15, 17, 18, 28, 32 und 44 ff. DSGVO, § 25 Abs. 1 TDDDG, § 14 Abs. 2 und § 14b Abs. 1 UStG, § 147 Abs. 3 und 4 AO, § 257 Abs. 4 HGB sowie die Orientierungshilfe der Datenschutzkonferenz zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail; zum Format das BMF-Schreiben vom 15. Oktober 2025. Fachlich recherchiert, aber keine Rechtsberatung — bei einer konkreten Löschanfrage oder einem Datenschutzvorfall gehört sie in anwaltliche Hände.