EBDD

Begriff und rechtliche Einordnung: EBDD

Die Abkürzung EBDD steht für „Europäische Datenbank für behördlich bestätigte Dokumente und Daten” und bezeichnet ein datenbankgestütztes Informationssystem, das von öffentlichen Stellen und bestimmten Behörden der Europäischen Union zur Verwaltung, Verifikation und zum Austausch offizieller Dokumente und Datensätze eingerichtet wird. Die EBDD findet insbesondere im Kontext der grenzüberschreitenden Zusammenarbeit, der Digitalisierung öffentlicher Verfahren sowie der Bekämpfung von Dokumenten- und Datenfälschung Anwendung.

Gesetzliche Grundlagen der EBDD

Rechtsrahmen auf EU-Ebene

Die rechtliche Grundlage für die Einrichtung und den Betrieb von EBDD-Systemen ergibt sich vorrangig aus dem europäischen Sekundärrecht, insbesondere aus Bestimmungen zum elektronischen Identitätsmanagement sowie den unionsweiten Datenschutzregelungen. Relevante Rechtsakte in diesem Zusammenhang sind beispielsweise:

• Verordnung (EU) Nr. 910/2014 – eIDAS-Verordnung: Die Verordnung über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt bildet die Basis für die grenzüberschreitende Anerkennung von elektronischen Identifikationsmitteln und Vertrauensdiensten. Die EBDD kann dabei als technische Infrastruktur dienen, um die Elektronifizierung hoheitlicher Dokumente unionsweit interoperabel zu ermöglichen.
• Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung (DSGVO): Die Verarbeitung von personenbezogenen Daten innerhalb der EBDD-Systeme unterliegt den strengen Vorgaben der DSGVO hinsichtlich Datensicherheit, Datenminimierung und Betroffenenrechten.
• Richtlinie (EU) 2019/1153: Die Richtlinie zur Nutzung von Finanzinformationen und die Stärkung der Zusammenarbeit zwischen Behörden greift Aspekte der Einsicht und Nutzung von Datenbanken wie der EBDD zur Prävention und Bekämpfung bestimmter Straftaten auf.

Daneben finden sich einzelne Erwähnungen und Definitionen in Durchführungserlassen auf nationaler Ebene sowie in weiteren unionsrechtlichen Instrumenten, etwa im Bereich der Justiz- und Verwaltungszusammenarbeit.

Nationale Umsetzungen und Spezialgesetze

Die Umsetzung und Anwendung der EBDD erfolgen in den Mitgliedsstaaten auf Grundlage nationaler Durchführungsgesetze. Diese regeln vor allem die Zuständigkeit der anbindenden Behörden, detaillierte Zulassungskriterien sowie den Schutz besonders sensibler Daten. Je nach Staat bestehen hierbei unterschiedliche Anbindungsmöglichkeiten für Behörden des Melde-, Pass- und Ausweiswesens, für Registerämter oder auch für die Justizverwaltung.

Anwendungsbereiche der EBDD

Verwaltung und Verifikation hoheitlicher Dokumente

Die EBDD wird hauptsächlich zur Absicherung, Speicherung und Echtheitsprüfung von Urkunden, Ausweisen, Führerscheinen, Registrierungsbescheinigungen und weiteren amtlichen Dokumenten verwendet. Behörden greifen auf die Datenbank zu, um zu prüfen, ob ein vorgelegtes Original- oder Ersatzdokument (z. B. bei Verlust oder Neuausstellung eines Ausweises) als rechtlich authentisch hinterlegt ist.

Grenzüberschreitende Verwaltungsverfahren

Im Rahmen grenzüberschreitender Verwaltungsverfahren – beispielsweise bei Anerkennung von Bescheinigungen, Zeugnissen oder Führerscheinen innerhalb der EU – ermöglicht die EBDD eine effiziente Übermittlung und Echtheitsprüfung entsprechender Nachweise. Dies unterstützt den Abbau bürokratischer Hürden und beschleunigt die Anerkennung von Rechtsakten und personenbezogenen Daten.

Bekämpfung von Daten- und Dokumentenfälschung

Durch die zentrale Erfassung behördlich bestätigter Dokumente in der EBDD können unrechtmäßig ausgestellte, gefälschte oder manipulierte Datensätze und Urkunden schneller erkannt und Behördenintern als ungültig markiert werden. Die EBDD erfüllt somit eine wichtige Präventionsfunktion gegen Identitätsmissbrauch, Urkundenfälschung und illegalen Zugang zu amtlichen Leistungen.

Beteiligte Akteure & Zugriffsrechte

Zugangsberechtigte Stellen

Zugang zur EBDD erhalten ausschließlich vorher definierte öffentliche Stellen, darunter nationale und europäische Behörden, Meldeämter, Justizbehörden, Registerstellen und Ministerien. Die Zugriffsrechte sind auf den jeweiligen Aufgabenbereich beschränkt, sodass beispielsweise nur bestimmte Behörden Zugriff auf bestimmte Dokumententypen oder Datensätze erhalten.

Rechte der betroffenen Personen

Gemäß DSGVO und einschlägigen Datenschutzregelungen haben betroffene Personen das Recht:

• auf Auskunft über die zu ihrer Person in der EBDD hinterlegten Datensätze,
• auf Berichtigung unzutreffender Daten,
• auf Löschung nicht mehr erforderlicher oder unrechtmäßig gespeicherter Informationen,
• auf Einschränkung der Verarbeitung unter bestimmten Voraussetzungen.

Die Wahrnehmung dieser Rechte erfolgt in der Regel über das zuständige Amt oder das nationale Datenschutz-Kontrollorgan.

Datenschutz und Datensicherheit in der EBDD

Technische und organisatorische Maßnahmen

Der Schutz der in der EBDD gespeicherten Daten wird durch umfangreiche technische und organisatorische Maßnahmen gewährleistet. Hierzu zählen:

• Verschlüsselte Datenübertragung (etwa übere sichere Kommunikationsprotokolle)
• Zugriffskontrollsysteme mit Authentisierungs- und Autorisierungsprüfungen
• Nachvollziehbarkeit und Protokollierung aller Zugriffe und Veränderungen
• Begrenzte Speicherfristen in Abhängigkeit von der Dokumentenart und dem zugrundeliegenden Verfahren
• Notfallmaßnahmen zur Wiederherstellung und zum Schutz gegen Datenverlust.

Datenschutz-Folgenabschätzung

Vor der Einführung oder Erweiterung der EBDD ist im Regelfall eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO durchzuführen. Dabei werden potenzielle Risiken für die Privatsphäre der betroffenen Personen identifiziert und entsprechende Gegenmaßnahmen definiert.

Rechtsfolgen und Rechtsbehelfe

Unrechtmäßiger Zugriff auf oder Missbrauch der EBDD-Daten kann verwaltungs-, zivil- und strafrechtliche Konsequenzen nach sich ziehen. Betroffene Personen haben die Möglichkeit, offizielle Beschwerden bei den zuständigen Datenschutzaufsichtsbehörden einzureichen und gegebenenfalls zivilrechtliche Ansprüche (z. B. Schadensersatz) geltend zu machen. Behörden, die die Vorgaben des Datenschutzrechts verletzen, müssen mit Bußgeldern nach DSGVO rechnen.

Fazit

Das EBDD-System ist ein zentrales Element für die digitale Verwaltung und grenzüberschreitende Zusammenarbeit im europäischen Rechtsraum. Die datenbankgestützte Sicherung und Authentifizierung hoheitlicher Dokumente trägt maßgeblich zur Verwaltungsmodernisierung, Verfahrensbeschleunigung und Missbrauchsprävention bei – steht jedoch unter Beachtung hoher datenschutzrechtlicher Anforderungen und klar geregelter Zugriffsrechte. Die stetige Weiterentwicklung der EBDD muss den rechtlichen Rahmenbedingungen auf Unionsebene sowie dem nationalen Datenschutz- und Verwaltungsrecht Rechnung tragen.

Häufig gestellte Fragen

Welche rechtlichen Voraussetzungen müssen für die Implementierung eines EBDD-Systems in Deutschland erfüllt sein?

Für die Einführung eines EBDD-Systems (Elektronisches Beleg- und Dokumentenmanagementsystem) in Deutschland sind zahlreiche rechtliche Voraussetzungen zu beachten. Zunächst muss das System den Anforderungen des Handelsgesetzbuches (HGB) und der Abgabenordnung (AO) entsprechen, insbesondere im Hinblick auf die Grundsätze ordnungsmäßiger Buchführung (GoB) und der Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD). Dies beinhaltet unter anderem, dass alle Dokumente und Belege unveränderbar, nachvollziehbar und vollständig archiviert werden müssen. Darüber hinaus ist die datenschutzrechtliche Komponente nach der Datenschutz-Grundverordnung (DSGVO) zu berücksichtigen, insbesondere hinsichtlich der Speicherung, Verarbeitung und Löschung personenbezogener Daten. Weiterhin ist sicherzustellen, dass das System Integrität, Vertraulichkeit und Verfügbarkeit der Daten gewährleistet und ein geeignetes Berechtigungskonzept vorhanden ist. Abschließend ist eine Verfahrensdokumentation zwingend erforderlich, die den gesamten Lebenszyklus der Belege und Dokumente beschreibt.

Wie lange müssen elektronische Belege und Dokumente in einem EBDD-System rechtlich aufbewahrt werden?

Nach den gesetzlichen Vorgaben in Deutschland, insbesondere § 147 Abgabenordnung (AO) und § 257 Handelsgesetzbuch (HGB), müssen elektronische Belege und Dokumente grundsätzlich für sechs bzw. zehn Jahre aufbewahrt werden. Rechnungen, Buchungsbelege, Inventare und Jahresabschlüsse unterliegen hierbei in der Regel einer zehnjährigen Aufbewahrungsfrist, während empfangene Handels- und Geschäftsbriefe für sechs Jahre aufzubewahren sind. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem das Dokument entstanden ist oder empfangen wurde. Während der gesamten Aufbewahrungsdauer müssen die Belege jederzeit lesbar, verfügbar und maschinell auswertbar sein. Das Löschen oder Verändern der Daten vor Ablauf der Frist ist nicht zulässig; etwaige Änderungen oder Ergänzungen sind dokumentationspflichtig.

Welche rechtlichen Anforderungen bestehen an die Nachvollziehbarkeit und Unveränderbarkeit von Dokumenten im EBDD?

Die rechtlichen Anforderungen an die Nachvollziehbarkeit und Unveränderbarkeit sind primär in den GoBD geregelt. Dies bedeutet, dass sämtliche Einspeisungs-, Verarbeitungs- und Auslesevorgänge lückenlos und revisionssicher dokumentiert werden müssen. Änderungen an gespeicherten Dokumenten sind nur in Form einer neuen Version unter eindeutiger Protokollierung zulässig; das Überschreiben oder Löschen der originären Dokumente ist unzulässig. Darüber hinaus muss jede Verfahrensweise – von der indexbasierten Zuordnung über die Benutzerauthentifizierung bis zur Vergabe von Lese- und Schreibrechten – in einer Verfahrensdokumentation nachvollziehbar festgehalten werden. Die Systemumgebung muss zudem gegen unbefugten Zugriff gesichert werden, beispielsweise durch Verschlüsselung und Zugriffskontrollsysteme, um die Integrität der gespeicherten Informationen sicherzustellen.

Was ist bei einer Betriebsprüfung hinsichtlich des EBDD-Systems rechtlich zu beachten?

Im Rahmen von steuerlichen Betriebsprüfungen ist sicherzustellen, dass Prüfer innerhalb einer angemessenen Frist vollständigen Zugriff auf sämtliche relevanten Belege und Dokumente erhalten, die elektronisch verwaltet werden. Dies umfasst nach GoBD das unmittelbare Datenzugriffsrecht (unmittelbarer Zugriff auf das System), das mittelbare Datenzugriffsrecht (Bereitstellung von Auswertungen durch das Unternehmen) sowie das Recht auf Datenträgerüberlassung. Das EBDD-System muss daher in der Lage sein, alle gespeicherten Daten im geforderten Format und in maschinell auswertbarer Form zur Verfügung zu stellen. Die Nichtbeachtung dieser Zugriffsrechte kann im schlimmsten Fall zur Verwerfung der Buchführung und zu empfindlichen steuerlichen Nachteilen führen.

Welche Bedeutung hat die Verfahrensdokumentation aus rechtlicher Sicht bei einem EBDD-System?

Die Verfahrensdokumentation spielt aus rechtlicher Sicht eine zentrale Rolle für den Betrieb eines EBDD-Systems. Sie ist nach GoBD verpflichtend und dient als Nachweis dafür, dass das eingesetzte System den Grundsätzen ordnungsmäßiger Buchführung entspricht. In der Verfahrensdokumentation müssen alle Abläufe, Zuständigkeiten, Systemarchitekturen und Kontrollen detailliert beschrieben werden – von der Entstehung eines Dokuments bis zu dessen Archivierung und gegebenenfalls Löschung. Fehlt eine solche Dokumentation oder ist sie nicht aktuell, drohen erhebliche rechtliche Konsequenzen im Rahmen von Betriebsprüfungen, einschließlich der Verwerfung der elektronischen Buchführung.

Welche rechtlichen Risiken bestehen beim Outsourcing von EBDD-Systemen (z.B. Cloud-Lösungen)?

Beim Outsourcing von EBDD-Systemen, insbesondere bei Nutzung von Cloud-Diensten, ergeben sich spezifische rechtliche Anforderungen und Risiken. Insbesondere ist zu prüfen, ob der Speicherort der Daten den Vorgaben der DSGVO und den Regelungen zur steuerlichen Aufbewahrung entspricht. Daten, die außerhalb Deutschlands oder der EU/EWR gespeichert werden, unterliegen hohen rechtlichen Hürden und müssen mit entsprechenden Vereinbarungen (z.B. Standardvertragsklauseln) und technischen Maßnahmen geschützt werden. Es ist zudem zu gewährleisten, dass jederzeit ein vollständiger Datenzugriff für das Unternehmen selbst sowie für Prüfer besteht. Der Cloud-Anbieter muss nachweislich angemessene technische und organisatorische Maßnahmen zum Datenschutz und zur Datensicherheit implementiert haben. Das Unternehmen bleibt trotz Auslagerung rechtlich für die Einhaltung aller gesetzlichen Vorgaben verantwortlich (sogenanntes „Auftragsverarbeitungsverhältnis” gemäß Art. 28 DSGVO).

Wie ist der Datenschutz bei der Nutzung eines EBDD-Systems rechtlich zu gewährleisten?

Der Datenschutz ist bei der Nutzung eines EBDD-Systems umfassend zu berücksichtigen und rechtlich zwingend nach den Maßgaben der DSGVO umzusetzen. Dies betrifft sowohl die rechtmäßige Erhebung, Verarbeitung und Speicherung personenbezogener Daten als auch deren Schutz vor unbefugtem Zugriff. Unternehmen sind verpflichtet, technische und organisatorische Maßnahmen (TOMs) zum Schutz der Daten zu ergreifen, hierzu gehören unter anderem Verschlüsselung, Pseudonymisierung und Zugriffsbeschränkungen. Weiterhin sind Betroffenenrechte wie Auskunft, Löschung und Berichtigung zu gewährleisten. Für die Verarbeitung durch externe Dienstleister, beispielsweise beim Einsatz von Cloud-Lösungen, ist zwingend ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abzuschließen. Verstöße gegen diese Anforderungen können zu erheblichen Bußgeldern und Reputationsschäden führen.