GoBD und Odoo: Was das System leisten muss

Was die GoBD sind

Die „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“ (GoBD) sind ein Schreiben des Bundesfinanzministeriums vom 28. November 2019, geändert am 11. März 2024 und am 14. Juli 2025. Die Pflichten selbst folgen aus den §§ 145 bis 147 AO: Die Buchführung muss einem sachverständigen Dritten in angemessener Zeit einen Überblick geben und die Geschäftsvorfälle in Entstehung und Abwicklung verfolgen lassen (§ 145 Abs. 1 AO). Buchungen sind einzeln, vollständig, richtig, zeitgerecht und geordnet vorzunehmen (§ 146 Abs. 1 AO), und sie dürfen nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist (§ 146 Abs. 4 AO). Die GoBD legen diese Vorschriften für elektronische Systeme aus.

Wer verantwortlich ist

Für Ordnungsmäßigkeit und eingesetzte Verfahren ist allein der Steuerpflichtige verantwortlich, auch wenn er Aufgaben auf einen Steuerberater oder ein Rechenzentrum auslagert (Rz. 21). Ob die Software im eigenen Rechenzentrum oder in der Cloud läuft, ändert nichts (Rz. 20). Die Odoo-Dokumentation sagt dasselbe aus Herstellersicht: Der Anbieter stelle nur die Werkzeuge bereit und könne nicht für die richtige Dokumentation der Geschäftsvorfälle seiner Nutzer verantwortlich gemacht werden.

Die Dokumentation nennt Odoo außerdem GoBD-zertifiziert. Das hilft bei der Auswahl, bindet die Finanzbehörde aber nicht: Positivtestate werden weder in der Außenprüfung noch in einer verbindlichen Auskunft erteilt (Rz. 180, 181).

Anforderung für Anforderung: Odoo-Funktion und Zuständigkeit

Die Spalte „Geltung“ nennt, wofür Edition und Hosting belegt sind. „Community-Quellcode“ heißt: Die Funktion steht in den öffentlichen Zweigen 19.0 und 20.0 (Modul account oder l10n_de). Für Enterprise und für einzelne Hostingmodelle gilt nur, was die Dokumentation ausdrücklich nennt. Die Dokumentation beider Versionen ist an diesen Stellen im Wortlaut gleich.

GoBD-Anforderung	Odoo 19.0 und 20.0	Geltung	Wer dokumentiert und prüft
Nachvollziehbarkeit, Protokollierung von Änderungen (Rz. 30 bis 35, 59, 111)	Jeder Datensatz trägt Ersteller, Erstellungs- und Änderungsdatum und den Ändernden; buchhaltungsrelevante Feldänderungen stehen im Chatter und im Bericht „Audit Trail“ (Accounting ‣ Review ‣ Audit Trail) mit Zeitpunkt, Benutzer, altem und neuem Wert.	Community-Quellcode (Audit-Trail-Bericht und Feld am Buchungssatz); Dokumentation ohne Edition; Hosting nicht unterschieden	Sie beschreiben in der Verfahrensdokumentation, wie Änderungen nachvollzogen werden (Rz. 59, 153).
Unveränderbarkeit: Löschen (Rz. 58, 107 bis 112)	Der „restriktive Audit Trail“ verhindert das Löschen verfolgter Datensätze; sie lassen sich nur stornieren oder archivieren. Für Unternehmen in Deutschland ist er erzwungen und beim Anlegen des Kontenrahmens gesetzt.	Community-Quellcode (account, l10n_de); Dokumentation ohne Edition	Sie dokumentieren die Einstellung; Änderungen an Stammdaten und Einstellungen sind selbst zu protokollieren (Rz. 111).
Unveränderbarkeit: Hash-Sicherung je Journal (Rz. 110)	Optionale Einstellung „Secure Posted Entries with Hash“ je Verkaufs-, Einkaufs- oder Sonstiges Journal (SHA-256, Verkettung). Nach der ersten Buchung in einem so gesicherten Journal lässt sich die Option nicht mehr abschalten und gesicherte Buchungen sind nicht mehr änderbar. Ohne Voreinstellung ist sie aus; l10n_de ändert das nicht.	Community-Quellcode (account); Dokumentation ohne Edition	Sie entscheiden, welche Journale gesichert werden, und halten das fest.
Unveränderbarkeit: Sicherung bis zu einem Datum (Rz. 110)	Der Assistent „Secure Entries“ sichert alle Buchungen aller Journale bis zu einem gewählten Datum, unabhängig von den Journaleinstellungen; danach sind sie nicht mehr änderbar. Der Bericht „Data Inalterability Check“ prüft die Verkettung.	Community-Quellcode (account); Dokumentation ohne Edition	Sie legen Datum und Rhythmus fest und dokumentieren sie.
Zeitgerechte, geordnete Erfassung (Rz. 45 bis 57)	Sperrdaten: „Lock Everything“ verhindert Änderungen an gebuchten Einträgen bis zum Sperrdatum, neue Buchungen mit früherem Datum erhalten das Datum des Folgetags; Ausnahmen legen nur Administratoren an, sie werden im Chatter protokolliert; das „Hard Lock“-Datum ist nach der Dokumentation unumkehrbar. Rechnungen werden bei der Bestätigung gebucht.	Community-Quellcode (Sperrdatenfelder in account); Dokumentation ohne Edition	Sie erfassen Lieferantenrechnungen und sonstige Buchungen zeitnah; unbare Geschäftsvorfälle innerhalb von zehn Tagen gelten als unbedenklich (Rz. 47).
Vollständigkeit, lückenlose Folge (Rz. 36 bis 43)	Nach der Dokumentation gibt es keine Lücken in der Nummerierung der Finanztransaktionen.	Dokumentation ohne Edition und Hosting	Sie erfassen alle Belege vollständig; die Vollständigkeit der eingegebenen Daten bleibt Ihre Aufgabe.
Datensicherheit (Rz. 103 bis 106)	Odoo Online: Datensicherungen sind nach der Dokumentation Teil des Dienstes und können zusätzlich heruntergeladen werden. Bei eigenem Server richten Sie die Sicherung selbst ein. Die Dokumentation weist darauf hin, dass Daten teils zehn Jahre oder länger aufzubewahren sind.	Odoo Online und eigener Server laut Dokumentation; Odoo.sh dort nicht genannt	Die Beschreibung der Datensicherung gehört in die Verfahrensdokumentation (Rz. 106).
Internes Kontrollsystem (Rz. 100 bis 102)	Zugriffsrechte der Buchhaltungs-App; Zugangskontrollen, Funktionstrennung, Erfassungs- und Abstimmungskontrollen nennt die Dokumentation als Aufgabe des Anwenders.	Dokumentation ohne Edition und Hosting	Sie richten die Kontrollen ein, führen sie aus und protokollieren sie (Rz. 100).
Verfahrensdokumentation (Rz. 151 bis 155)	Die Dokumentation weist die Verantwortung für Kontrollen und deren Dokumentation dem Anwender zu.	Dokumentation ohne Edition und Hosting	Sie schreiben sie, halten sie aktuell und versionieren Änderungen (Rz. 154); siehe Verfahrensdokumentation für Odoo.
Datenzugriff Z1 bis Z3 (Rz. 165 bis 167)	CSV- und XLS-Export der Finanzdaten.	Dokumentation ohne Edition und Hosting	Sie stellen auf Verlangen die Daten samt Strukturinformationen in maschinell auswertbarer Form bereit (Rz. 176).
Aufbewahrung (§ 147 AO)	Die Dokumentation nennt dazu die Datensicherung (siehe oben).	Dokumentation	Zehn Jahre für Bücher, acht Jahre für Buchungsbelege, für Kreditinstitute, Versicherer und Wertpapierinstitute nach altem Recht (§ 147 Abs. 3 AO, Art. 97 § 19a Abs. 3 EGAO); siehe Aufbewahrung in Odoo.

Wie die Finanzverwaltung zugreift

Bei einer Außenprüfung kann die Finanzbehörde Einsicht in die gespeicherten Daten nehmen und das System dazu nutzen (Z1), eine maschinelle Auswertung nach ihren Vorgaben verlangen (Z2) oder die Daten in einem maschinell auswertbaren Format überlassen bekommen (Z3), § 147 Abs. 6 AO. Eine Fernabfrage ist beim unmittelbaren Zugriff ausgeschlossen (Rz. 165). Wirtschaftlichkeit rechtfertigt keine Software, die diese Anforderungen nicht erfüllt (Rz. 177).

Was bei Mängeln droht

Werden Daten nicht ausreichend geschützt und können sie deshalb nicht mehr vorgelegt werden, ist die Buchführung formell nicht mehr ordnungsmäßig (Rz. 104). Eine fehlende oder ungenügende Verfahrensdokumentation ist dagegen kein formeller Mangel mit sachlichem Gewicht, solange Nachvollziehbarkeit und Nachprüfbarkeit nicht beeinträchtigt sind (Rz. 155). Eine den §§ 140 bis 148 AO entsprechende Buchführung ist der Besteuerung zugrunde zu legen; das gilt nicht, soweit nach den Umständen des Einzelfalls Anlass besteht, ihre sachliche Richtigkeit zu beanstanden (§ 158 Abs. 1 und Abs. 2 Nr. 1 AO).

Checkliste für Ihren Betrieb

1. Prüfen Sie, dass im Unternehmensdatensatz Deutschland als Land eingetragen ist; für solche Unternehmen erzwingt Odoo den restriktiven Audit Trail und blendet die Einstellung aus.
2. Entscheiden Sie, welche Journale mit Hash gesichert werden, und laden Sie den Bericht „Data Inalterability Check“ in festen Abständen herunter.
3. Setzen Sie nach jedem Abschluss ein Sperrdatum und legen Sie fest, wer Ausnahmen anlegen darf.
4. Vergeben Sie Zugriffsrechte nach Aufgaben und halten Sie die Funktionstrennung fest.
5. Richten Sie die Datensicherung ein, wenn Sie selbst hosten, und testen Sie die Wiederherstellung.
6. Schreiben Sie die Verfahrensdokumentation und führen Sie eine Änderungshistorie.
7. Üben Sie den Datenexport für den Fall der Außenprüfung und klären Sie mit Ihrer Steuerberatung das Format.