Verifactu-Anforderungen: Hash-verkettete Datensätze, QR-Codes und die SIF-Checkliste

Verifactu betrifft nicht die Rechnung, die Ihr Kunde sieht. Es betrifft das, was Ihre Fakturierungssoftware in dem Moment tut, in dem eine Rechnung entsteht. Das königliche Dekret RD 1007/2023 definiert die technischen Anforderungen an jedes Sistema Informático de Facturación (SIF), das in Spanien eingesetzt wird. Erfüllt Ihre Software sie nicht, zahlen Sie: bis zu 50.000 EUR pro Geschäftsjahr für die Nutzung eines nicht konformen Systems.

Was ein konformes SIF leisten muss

1. Einen unveränderlichen Registrierungsdatensatz pro Rechnung erzeugen

Jede ausgestellte Rechnung muss im Moment der Ausstellung einen Registrierungsdatensatz (registro de facturación) erzeugen. Der Datensatz enthält die Rechnungsdaten: Aussteller, Empfänger, Nummer, Datum, Beträge, Steueraufschlüsselung. Einmal geschrieben, darf der Datensatz nicht verändert werden. Korrekturen erfolgen über neue Datensätze, nie durch Bearbeiten des Originals.

2. Datensätze mit einem kryptografischen Hash verketten

Jeder Registrierungsdatensatz enthält den Hash des vorherigen Datensatzes. Die Kette macht Manipulation erkennbar: Jede Änderung eines historischen Datensatzes bricht alle nachfolgenden Hashes. Es ist dasselbe Anti-Betrugs-Prinzip wie ATCUD in Portugal.

3. Die fünf Eigenschaften garantieren

RD 1007/2023 nennt sie: Integrität, Aufbewahrung, Zugänglichkeit, Lesbarkeit und Nachverfolgbarkeit (integridad, conservación, accesibilidad, legibilidad, trazabilidad). Datensätze müssen unverändert gespeichert, auf Anforderung abrufbar, menschenlesbar und durchgehend nachverfolgbar sein.

4. Einen QR-Code auf jede Rechnung drucken

Jede Rechnung muss einen QR-Code tragen, der zum Verifikationsdienst der AEAT führt. Beim Scannen kann der Kunde (oder ein Prüfer) die Rechnung gegen die Daten der Steuerbehörde verifizieren. Die QR-Pflicht gilt für die gedruckte oder PDF-Darstellung, einschließlich vereinfachter Rechnungen und Tickets.

5. Ein Ereignisprotokoll führen

Das SIF muss wesentliche Systemereignisse protokollieren: Starts, Abschaltungen, Fehler, Konfigurationsänderungen. Das Protokoll gehört zu dem, was ein Prüfer verlangen kann.

6. Den AEAT-Abfragedienst unterstützen

Datensätze müssen im von der AEAT spezifizierten Format exportierbar und abfragbar sein. Eine Betriebsprüfung ist nicht der Moment, um festzustellen, dass Ihr Export nicht funktioniert.

Verifactu-Modus oder Nicht-Verifactu-Modus

Ein SIF kann in zwei Modi betrieben werden:

• Verifactu-Modus (sendend): Jeder Registrierungsdatensatz wird nahezu in Echtzeit an die AEAT übermittelt. In diesem Modus ausgestellte Rechnungen tragen die Markierung "VERI*FACTU" und gelten vor der Steuerbehörde als vermutlich korrekt.
• Nicht-Verifactu-Modus (nur Datensatz): Datensätze werden lokal gehalten, verkettet und unveränderlich, verfügbar auf Anforderung.

Die Übermittlung ist optional. Unveränderlichkeit, Verkettung und QR-Code sind es nicht.

Der Incidencia-Modus

Verifactu enthält einen formalisierten Störungsmodus: Fällt die Verbindung aus, darf das SIF offline weiter Rechnungen ausstellen und die ausstehenden Datensätze synchronisieren, sobald die Verbindung zurückkehrt. Das unterscheidet es von TicketBAI, dessen Design konstante Konnektivität für die Echtzeit-Übermittlung an die Provinzbehörde voraussetzt.

Wer konform sein muss

• Alle Gesellschaften (körperschaftsteuerpflichtig), die im gemeinsamen Territorium Spaniens Rechnungen ausstellen: ab 1. Januar 2027
• Selbständige (IRPF), Personengemeinschaften und Nichtansässige mit Betriebsstätte: ab 1. Juli 2027
• Software-Anbieter: Konforme Versionen mussten seit 29. Juli 2025 verfügbar sein

Befreit: im SII eingeschriebene Steuerpflichtige (sie melden bereits nahezu in Echtzeit) und Unternehmen unter TicketBAI im Baskenland. Navarra wird durch NaTicket geregelt.

Die Falle Eigenentwicklung

Die Pflicht umfasst Eigenentwicklungen, Tabellen mit Fakturierungs-Makros und ungepflegte Altsysteme. Es gibt keine Bestandsschutz-Klausel für Software, die Ihr Unternehmen selbst geschrieben hat. Wenn Sie über ein zehn Jahre altes internes Werkzeug fakturieren, muss dieses Werkzeug vor Ihrer Frist neu gebaut oder ersetzt werden. Ein Konzern, der ein internes System über mehrere Gesellschaften teilt, braucht eine Konformitätsstrategie, nicht fünf parallele Reparaturen.

Die Bußgelder

Konformitäts-Checkliste

1. Ihr SIF identifizieren. Jedes System zählt, das eine Rechnung ausstellen kann, einschließlich des Zweitwerkzeugs, an das niemand denkt.
2. Konformitätsstatus des Anbieters schriftlich einholen. Konform, auf der Roadmap, oder still. Schweigen ist eine Entscheidung zur Migration.
3. Den QR-Code Ende zu Ende testen. Rechnung drucken, Code scannen, prüfen, ob er gegen den AEAT-Dienst auflöst.
4. Den Export testen. Den Datensatz-Export erzeugen, den ein Prüfer verlangen würde. Prüfen, ob er sich öffnen lässt.
5. Die Kette prüfen. Bestätigen lassen, dass Ihre Software Datensätze hasht und verkettet; den Anbieter fragen, wie eine Änderung erkannt wird.
6. Das Ereignisprotokoll dokumentieren. Wissen, wo es ist und wer es lesen kann.
7. Den Modus festlegen. Verifactu-Modus (sendend) oder nur Datensatz. Nur Datensatz erfordert trotzdem alles oben Genannte.

Dieses Material dient der allgemeinen Information und stellt keine Rechts- oder Steuerberatung dar. Prüfen Sie im Einzelfall die aktuellen Regelungen oder konsultieren Sie einen qualifizierten Berater.