Produk­tion

Kurz gesagt: In produzierenden Betrieben passen vor allem drei Stellen: Rechnungseingang, Stammdatenpflege und Ausschreibungen, angebunden über Connectoren an SAP oder ein anderes ERP. Rechtlich steht dabei Art. 28 DSGVO im Vordergrund, weil in der Lieferkette Dienstleister, Logistiker und Portalbetreiber mitverarbeiten und jede Stufe einen eigenen Vertrag braucht. Lieferantendaten sind nicht schon deshalb frei von Personenbezug, weil der Lieferant eine juristische Person ist.

Ein produzierender Betrieb im Mittelstand führt Einkauf, Disposition und Kreditorenbuchhaltung in einem ERP, häufig in SAP. Die Vorgänge an der Schnittstelle zum Lieferanten wiederholen sich täglich und sind zugleich fehleranfällig, weil sie aus vielen kleinen Abgleichen bestehen.

Was hier liegen bleibt

• Eingangsrechnungen, abzugleichen gegen Bestellung und Wareneingang, oft mit Teillieferungen
• Wareneingangsbuchungen mit abweichender Menge, Einheit oder Preisstellung
• Lieferantenstammdaten in CRM und ERP, doppelt gepflegt und über Jahre auseinandergelaufen
• Reklamationen mit Frist, Beleg und Zuordnung zur Charge
• Ausschreibungen öffentlicher Auftraggeber auf mehreren Vergabeportalen
• Fragebögen von Kunden zu Lieferkette, Qualität und Informationssicherheit

Welche Stellen hier passen

Jonas (AI), AM-001, Rechnungseingang. Er liest Belege aus Postfach, sFTP-Eingang und ERP, erkennt Betrag, Steuersätze, Leistungszeitraum und Bestellbezug und gleicht gegen Bestellung und Wareneingang ab. Abweichungen oberhalb des vereinbarten Schwellenwerts legt er vor, ebenso unbekannte Lieferanten, Gutschriften und Stornos. Freigegeben wird von der Leitung Buchhaltung auf der Karte.

Hanna (AI), AM-008, Stammdatenpflege. Sie gleicht Kunden- und Lieferantensätze zwischen CRM und ERP ab und findet Dubletten über Firmierung, Anschrift, Umsatzsteuer-Identifikationsnummer und Bankverbindung. Die Umsatzsteuer-Identifikationsnummer prüft sie über das Bestätigungsverfahren beim Bundeszentralamt für Steuern und hält das Ergebnis am Satz fest. Eine Bankverbindung ändert sie nur nach Freigabe der Buchhaltung auf der Karte; die Karte markiert die neue IBAN eigens. Gelöscht wird kein Datensatz.

Piet (AI), AM-007, Ausschreibungen. Er durchsucht die abonnierten Vergabeportale täglich nach CPV-Codes und Regionen aus dem Suchprofil, liest die Vergabeunterlagen und zieht Fristen, Losaufteilung und Zuschlagskriterien heraus. Er prüft, ob die geforderten Eignungsnachweise im Haus vorliegen und wie alt sie sind. Eingereicht wird nichts, hochgeladen und signiert wird von einem Menschen.

Was in dieser Branche rechtlich dazukommt

Die Kette der Auftragsverarbeiter. In der Produktion hängen an einem Vorgang meist mehrere Dienstleister: Logistiker, Zolldienstleister, Portalbetreiber, Hoster, dazu wir mit der Stelle. Wer personenbezogene Daten weisungsgebunden verarbeitet, ist Auftragsverarbeiter nach Art. 28 DSGVO und braucht einen Vertrag mit den Inhalten aus Art. 28 Abs. 3 DSGVO.

Unterauftragsverarbeiter. Art. 28 Abs. 2 DSGVO lässt einen weiteren Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen zu. Bei allgemeiner Genehmigung ist über beabsichtigte Änderungen zu informieren, der Verantwortliche kann widersprechen. Art. 28 Abs. 4 DSGVO verlangt, dass die Pflichten aus dem Hauptvertrag weitergereicht werden und der erste Auftragsverarbeiter haftet.

Personenbezug in Lieferantendaten. Nach Art. 4 Nr. 1 DSGVO sind nur Angaben über natürliche Personen erfasst. Ansprechpartner, persönliche Durchwahlen, Mailadressen nach dem Muster vorname.nachname und unterzeichnete Lieferscheine sind personenbezogen, die Firmierung einer Kapitalgesellschaft ist es nicht. Rechtsgrundlage für die Kontaktdaten ist regelmäßig Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

Sicherheit und Nachweis. Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind. Für die Stelle heißt das: eigenes Dienstkonto, Rechte auf den Vorgang begrenzt, vollständige Protokollierung der Zugriffe. Die technischen und organisatorischen Maßnahmen liegen dem Vertrag als Anlage bei. Ihre Inhalte liegen in Deutschland: in unserer Cloud oder bei Ihnen im Haus. Zur Bearbeitung gehen sie zusätzlich an den KI-Anbieter, sensible Daten nur an einen Endpunkt in der EU, der nichts speichert.

Aufbewahrung. Bestellungen und Auftragsbestätigungen sind Handelsbriefe und nach § 147 AO sechs Jahre aufzubewahren. Buchungsbelege haben seit dem 1. Januar 2025 eine Frist von acht Jahren. Läuft die Festsetzungsfrist für eine Steuer noch, endet die Aufbewahrungsfrist nicht.

Für empfangene Lieferscheine gilt eine Ausnahme: haben sie keine Buchungsbelegfunktion, endet ihre Aufbewahrungsfrist nach § 147 Abs. 3 Satz 3 AO mit dem Erhalt der Rechnung. Dienen sie als Buchungsbeleg, bleibt es bei der Frist für Buchungsbelege.

Wie die Einrichtung hier abläuft

In SAP bekommt jede Stelle über den Connector einen eigenen technischen Benutzer mit einer eigenen Rolle. Die Rolle enthält nur die Berechtigungsobjekte, die der Vorgang verlangt. Freigegeben wird sie von der SAP-Basis und der Fachabteilung, dokumentiert wird sie in der Akte.

In der Aufnahme kommen Schwellenwerte, Toleranzen und Eskalationswege aus dem Haus. Danach folgt die Einarbeitung in fünf Stufen je Tätigkeitsart; den Aufstieg entscheidet ein Mensch anhand der Kennzahlen. Vor dem Start mit echten Daten wird Ihre Arbeitnehmervertretung beteiligt, bei jeder Stelle und auch im Schattenbetrieb; eine Vorlage für die Betriebsvereinbarung liefern wir mit. Das Verfahren steht unter Wie eine Stelle entsteht, der laufende Betrieb unter Betrieb.