Die Verfahrensdokumentation (VDU) ist das Herzstück jedes rechtssicheren Scanprozesses nach TR-RESISCAN. Ohne VDU keine belastbare Selbsterklärung, keine BSI-Zertifizierung — und im Zweifel kein Beweiswert vor Gericht. Dieser Leitfaden erklärt, was die BSI TR-03138 konkret verlangt, welche sieben Abschnitte in jeder VDU stehen müssen und wie Sie die Erstellung mit einer klaren Mustergliederung in unter einem Tag abschließen.
Praxis-Leitfaden
Verfahrensdokumentation für TR-RESISCAN: Vorlage, Pflichtinhalte & Praxis-Checkliste
Was gehört in eine VDU nach BSI TR-03138 — und wie Sie sie in unter einem Tag erstellen.
Was ist eine Verfahrensdokumentation für TR-RESISCAN?
Definition, Zweck und Abgrenzung zur GoBD-VDU
Eine Verfahrensdokumentation für ersetzendes Scannen beschreibt alle organisatorischen, technischen und prozessualen Abläufe, mit denen eine Organisation Papieroriginale digitalisiert und anschließend vernichtet. Sie ist die dokumentierte Antwort auf vier Fragen: Was wird gescannt? Wer ist verantwortlich? Wie läuft der Prozess ab? Wie wird er kontrolliert?
Die rechtliche Basis findet sich in der Anlage V der BSI TR-03138, die eine Muster-Verfahrensanweisung vorgibt. Daneben gelten je nach Dokumententyp ergänzende Regelwerke: GoBD für steuerrelevante Belege, § 371b ZPO für den Beweiswert, § 7 EGovG für Bundesbehörden.
Abgrenzung zur GoBD-VDU: Die GoBD-Verfahrensdokumentation beschreibt die gesamte digitale Buchführung — von der Rechnungseingang über die Archivierung bis zur Löschung. Die TR-RESISCAN-VDU ist enger gefasst und fokussiert auf den Scanprozess selbst. In der Praxis klammern viele Organisationen beide in einem Gesamtdokument zusammen, mit einem eigenen Kapitel pro Regelwerk.
Wann ist eine Verfahrensdokumentation Pflicht?
Drei Konformitätswege — eine VDU in allen drei Fällen
Die TR-RESISCAN kennt drei Wege zur Konformität, und in allen dreien ist die VDU unverzichtbar:
- Selbsterklärung: Die Organisation erklärt eigenverantwortlich die Einhaltung der Richtlinie. Die VDU ist der einzige Nachweis — fehlt sie, ist die Erklärung wertlos.
- TR-RESISCAN ready (VOI-CERT): Externe Zertifizierung durch den Verband Organisations- und Informationssysteme. Die VDU wird als Teil des Prüfverfahrens durch akkreditierte Prüfstellen bewertet.
- BSI-Zertifizierung: Die höchste Stufe, mit vollständiger Konformitätsprüfung nach Anlage P. Auch hier ist die VDU zentraler Prüfgegenstand.
Zusätzlich verlangen Finanzbehörden (GoBD), Aufsichtsbehörden (BaFin, KRITIS) und Gerichte (§ 371b ZPO) eine nachvollziehbare Dokumentation, sobald Papier vernichtet wurde. Kurzformel: Wer ersetzend scannt, braucht eine VDU — unabhängig davon, ob er zertifiziert ist oder nicht.
Die 7 Pflichtinhalte einer VDU nach Anlage V
Mustergliederung, die jede Prüfung übersteht
1. Scope und Geltungsbereich
Im ersten Abschnitt definieren Sie, welche Dokumente der VDU unterliegen. Typische Einträge: Eingangsrechnungen, Verträge, Personalakten, Bauakten, Akteneinträge. Grenzen Sie Sonderfälle klar ab — etwa notarielle Urkunden, Testamente und handschriftlich unterzeichnete Dokumente mit besonderer Urkundenqualität, die von der Vernichtung ausgenommen sind.
2. Rollen und Verantwortlichkeiten
Die TR-RESISCAN schreibt mindestens drei Rollen vor: den Scanoperator (führt den Scan durch), den Prüfer (übernimmt die Sichtkontrolle) und den Administrator (verwaltet Scanner, Software und Berechtigungen). Diese Rollen müssen personell getrennt sein — ein Vier-Augen-Prinzip bei erhöhtem Schutzbedarf. Dokumentieren Sie Namen (oder Funktionsbezeichnungen), Vertretungsregelungen und Schulungsnachweise.
3. Schutzbedarfsanalyse
Für jede Dokumentenart bewerten Sie den Schutzbedarf in den drei Zielen Integrität, Vertraulichkeit und Verfügbarkeit — jeweils auf einer Skala Normal / Hoch / Sehr Hoch. Die Einstufung entscheidet, ob das Basismodul der TR-RESISCAN genügt oder ob die Aufbaumodule Integrität und Vertraulichkeit zusätzlich anzuwenden sind. Begründen Sie jede Einstufung mit konkreten Schadensszenarien.
4. Technische Spezifikation
Listen Sie alle eingesetzten Geräte und Softwarekomponenten auf: Scannermodell mit Seriennummer, Firmware-Version, Scanprofile (Auflösung, Farbtiefe, PDF/A-Variante), verwendete Software mit Version, Schnittstellen zu DMS oder Archiv. Ergänzen Sie die Scannerqualifizierung: Testscans mit definierten Vorlagen, die nachweisen, dass das Gerät die geforderte Bildqualität liefert.
5. Prozessbeschreibung (End-to-End)
Beschreiben Sie den Ablauf vom Eingang des Papierdokuments bis zur Vernichtung — idealerweise mit Flussdiagramm und Verantwortlichen je Schritt: Annahme, Klassifizierung, Vorbereitung, Scan, Sichtkontrolle, Transfervermerk-Erstellung, Integritätssicherung (Hash/Signatur), Archivierung im PDF/A, Freigabe zur Vernichtung, Vernichtung mit Protokoll.
6. Qualitätssicherung und Sichtkontrolle
Legen Sie fest, wie die Sichtkontrolle erfolgt (Stichprobe oder 100 %, am Gerät oder am Bildschirm), welche Kriterien geprüft werden (Vollständigkeit, Lesbarkeit, Farbwiedergabe, Ausrichtung, Artefakte) und wie das Ergebnis dokumentiert wird. Der Transfervermerk ist der zentrale Nachweis — mit Scandatum, Operator, Scanparametern, Prüfergebnis, Hash-Wert und Scanner-Identifikation.
7. Fehler- und Notfallverfahren
Der Abschnitt, der in der Praxis am häufigsten fehlt und bei Prüfungen am meisten Punkte kostet. Dokumentieren Sie: Was passiert bei einem fehlerhaften Scan (Rescan-Verfahren)? Was, wenn der Scanner ausfällt? Wie werden Dokumente wiederhergestellt, wenn ein Archiv-Speicher defekt ist? Wer wird im Störungsfall informiert, und wie wird das Vorgehen protokolliert?
Mustergliederung für Ihre VDU
Eine kopierfertige Struktur aus der Praxis
Die folgende Gliederung orientiert sich an Anlage V der TR-RESISCAN und hat sich in Audits bewährt:
- Einleitung, Zweck, Geltungsbereich
- Begriffsdefinitionen und Referenzen (TR-RESISCAN, GoBD, § 371b ZPO, § 7 EGovG)
- Rollen, Verantwortlichkeiten, Vertretungsregelung
- Schutzbedarfsanalyse (Matrix nach Dokumentenart)
- Technische Infrastruktur (Scanner, Software, Schnittstellen)
- Prozessbeschreibung mit Flussdiagramm
- Qualitätssicherung und Sichtkontrolle
- Transfervermerk: Pflichtfelder und Format
- Integritätssicherung (Hash, Signatur, Zeitstempel)
- Archivierung und Aufbewahrungsfristen
- Vernichtungsverfahren
- Fehler- und Notfallverfahren
- Schulung und Awareness
- Änderungshistorie
- Anhänge: Musterprotokolle, Testscan-Ergebnisse, Scannerqualifizierung
Tipp: Beginnen Sie nicht auf dem leeren Blatt. Unser Praxis-Leitfaden zum kostenlosen Download enthält die fertige Gliederung inklusive Schutzbedarf-Matrix, Transfervermerk-Vorlage, Fallbeispiel und Prüfprotokoll — direkt verwendbar für Ihre VDU.
Wie Docuflair TR-RESISCAN Ihre VDU unterstützt
Die technisch-prozessualen Bausteine liefert die Software — automatisiert
Die VDU ist ein Text-Dokument, aber ihre Belastbarkeit hängt an den Nachweisen aus dem Live-Betrieb. Genau hier setzt Docuflair TR-RESISCAN an: Die Software erzeugt die Evidenz, die in der VDU referenziert wird, vollständig automatisiert.
- Transfervermerk: Pflichtfelder (Scandatum, Operator, Scanparameter, Hash, Gerätekennung) werden bei jedem Scan ohne manuellen Eingriff dokumentiert.
- Audit-Trail: Jeder Schritt im Prozess ist lückenlos protokolliert — Anmeldung, Scan, Sichtkontrolle, Freigabe, Signatur.
- Rollentrennung: Scanoperator, Prüfer und Administrator sind technisch getrennt; Vier-Augen-Prinzip bei hohem Schutzbedarf konfigurierbar.
- Scannerqualifizierung: Testscan-Ergebnisse werden dokumentiert und bei Firmware-Änderungen zur Wiederholung markiert.
- Anlage-V-konform: Exportierbare Protokolle, die sich direkt als Anhang zur VDU verwenden lassen.
Fünf häufige Fehler bei der VDU — und wie Sie sie vermeiden
Was in Audits regelmäßig bemängelt wird
- Zu allgemein formuliert: „Die Dokumente werden regelmäßig kontrolliert" ist keine Prozessbeschreibung. Prüfer wollen konkrete Häufigkeiten, Zuständigkeiten und Kriterien sehen.
- Veraltet: Die VDU beschreibt einen Scanner, der vor zwei Jahren ausgetauscht wurde. Pflegen Sie die VDU bei jeder Infrastrukturänderung — oder mindestens jährlich.
- Keine Rollenbesetzung: Der Prozess ist beschrieben, aber niemand ist benannt. Führen Sie mindestens Funktionsbezeichnungen mit Vertretungsregelung.
- Fehlender Notfallplan: Was passiert bei fehlerhaftem Scan, defektem Scanner, Archiv-Ausfall? Ohne Antwort ist die VDU nur eine Schönwetter-Dokumentation.
- Keine Verzahnung mit GoBD: Die TR-RESISCAN-VDU endet oft beim Scan. Für steuerrelevante Belege muss die Kette bis zur Archivierung und Löschung weiterlaufen — das erfordert den Bezug zur GoBD-VDU.
Ihre VDU in unter einem Tag — mit Leitfaden und Software
Kombinieren Sie unseren kostenlosen Praxis-Leitfaden mit Docuflair TR-RESISCAN: Die Software liefert automatisiert die Nachweise, der Leitfaden die Gliederung. Vereinbaren Sie eine 15-minütige Demo.
Häufig gestellte Fragen
Antworten auf die wichtigsten Fragen zur Verfahrensdokumentation
Ist eine Verfahrensdokumentation bei einer Selbsterklärung zu TR-RESISCAN Pflicht?
Ja. Die Selbsterklärung ist keine Abkürzung um die VDU herum, sondern ihr Kern: Ohne dokumentierten Prozess ist die Erklärung nicht belastbar. Auch ohne BSI-Zertifizierung müssen Sie gegenüber Prüfern, Gerichten und Finanzbehörden nachweisen, wie Ihr Scanprozess abläuft und wer verantwortlich ist.
Wie oft muss die Verfahrensdokumentation aktualisiert werden?
Mindestens jährlich und bei jeder wesentlichen Änderung: neuer Scanner, Software-Update mit Funktionsänderungen, neue Dokumentenarten, geänderte Verantwortlichkeiten oder eine neue TR-RESISCAN-Version. Die BSI-Richtlinie wurde zuletzt im Dezember 2024 auf Version 1.5 aktualisiert — ein typischer Anlass für eine VDU-Revision.
Was ist der Unterschied zwischen einer VDU nach GoBD und nach TR-RESISCAN?
Die GoBD-Verfahrensdokumentation beschreibt die ordnungsmäßige Buchführung und den Umgang mit steuerrelevanten Daten. Die TR-RESISCAN-VDU ist enger gefasst und beschreibt konkret den Scanprozess zum ersetzenden Scannen: Schutzbedarf, Scannerqualifizierung, Transfervermerk, Sichtkontrolle, Vernichtung. In vielen Organisationen existieren beide als eigenständige Dokumente; sie lassen sich aber auch in einer gemeinsamen VDU mit getrennten Kapiteln verklammern.
Muss die VDU extern geprüft werden?
Bei der BSI-Zertifizierung und bei TR-RESISCAN ready (VOI-CERT) ist eine externe Prüfung der VDU durch akkreditierte Stellen Bestandteil des Verfahrens. Bei der Selbsterklärung ist keine externe Prüfung vorgeschrieben — die Verantwortung liegt vollständig bei der Organisation. In der Praxis empfiehlt sich auch bei der Selbsterklärung ein interner oder externer Audit, um die Belastbarkeit im Streitfall sicherzustellen.
Was passiert bei einer Betriebsprüfung, wenn die VDU fehlt?
Fehlt die VDU, kann die Finanzverwaltung die Ordnungsmäßigkeit der Buchführung anzweifeln (§ 146 AO, GoBD). Zivilrechtlich kann der Beweiswert ersetzend gescannter Dokumente vor Gericht angreifbar werden (§ 371b ZPO setzt eine nachvollziehbare Durchführung voraus). Praktisch führt das zu Hinzuschätzungen, Verwerfung als Beweismittel oder zur Rekonstruktionspflicht über Papieroriginale, die bereits vernichtet wurden — das teuerste Szenario.
Weiterführende Artikel
Vertiefen Sie Ihr Wissen zu TR-RESISCAN