Amadeus I POS-System Version 5.1, GDPdU-Schnittstelle Version 1.2.4 Stand: 13. August 2014 Seite 1 von 8
Inhaltsverzeichnis 1. Maßnahmen zur Einhaltung der GoBs sowie der GDPdU (Deutschland)... 3 1.1 Datenzugriff... 3 1.2 Stammdatenänderung der Artikel... 4 1.3 Unveränderbarkeit der Daten... 4 Zugriff auf die Datenbank... 4 Eindeutige Schlüssel für Buchungen und Rechnungen... Fehler! Textmarke nicht definiert. Nachweis der Signatur... Fehler! Textmarke nicht definiert. Kombination der Maßnahmen... Fehler! Textmarke nicht definiert. 2. Systembeschreibung nach 131 BAO E131 (Österreich)... 5 2.1 Einleitung... 5 2.2 Beschreibung des technischen Aufbaus... 5 2.3 Erzeugen von Datensätzen... 5 2.4 Sicherung der Datensätze und Unveränderbarkeit... 6 2.5 Datensicherung... 7 2.6 Vorbereitung auf eine Prüfung durch die Finanzbehörden.... 7 Seite 2 von 8
1. Maßnahmen zur Einhaltung der GoBs sowie der GDPdU (Deutschland) Das Bundesministerium für Finanzen (BMF, Deutschland) hat mit Schreiben vom 16. Juli 2001 die Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen festgelegt (GDPdU). Diese beschreiben drei Zugriffsvarianten auf Daten, die originär digital erzeugt wurden, also mit Hilfe eines Datenverarbeitungssystems. Im Falle von Amadeus I fallen alle einzelnen Buchungen in diese Kategorie. 1.1 Datenzugriff Das BMF hat in oben genannten Schreiben drei Arten des Datenzugriffs definiert. Wie diese in Amadeus II abgebildet sind, wird im Folgenden beschrieben. Bei Auszügen aus dem oben genannten Schreiben (kursiv) ist mit Sie die Finanzbehörde gemeint. Z1, Unmittelbarer Lesezugriff: Sie hat das Recht, selbst unmittelbar auf das Datenverarbeitungssystem dergestalt zuzugreifen, dass sie in Form des Nur-Lesezugriffs Einsicht in die gespeicherten Daten nimmt und die vom Steuerpflichtigen oder von einem beauftragten Dritten eingesetzte Hard- und Software zur Prüfung der gespeicherten Daten einschließlich der Stammdaten und Verknüpfungen (Daten) nutzt (unmittelbarer Datenzugriff). Dabei darf sie nur mit Hilfe dieser Hard- und Software auf die elektronisch gespeicherten Daten zugreifen. Dies schließt eine Fernabfrage (Online-Zugriff) auf das Datenverarbeitungssystem des Steuerpflichtigen durch die Finanzbehörde aus. Der Nur-Lesezugriff umfasst das Lesen, Filtern und Sortieren der Daten gegebenen-falls unter Nutzung der im Datenverarbeitungssystem vorhandenen Auswertungs-möglichkeiten. Diese Art des Zugriffs entspricht bei Amadeus I dem Zugriff auf das Backoffice. Hier können alle in der Amadeus I Datenbank gespeicherten Daten abgerufen, aber nicht mehr verändert werden. Z2, Mittelbarer Lesezugriff: Sie kann vom Steuerpflichtigen auch verlangen, dass er an ihrer Stelle die Daten nach ihren Vorgaben maschinell auswertet oder von einem beauftragten Dritten maschinell auswerten lässt, um den Nur-Lesezugriff durchführen zu können (mittelbarer Datenzugriff). Es kann nur eine maschinelle Auswertung unter Verwendung der im Datenverarbeitungssystem des Steuerpflichtigen oder des beauftragten Dritten vorhandenen Auswertungsmöglichkeiten verlangt werden. Amadeus I stellt hierfür ebenfalls über das Backoffice csv-exporte für die meisten Berichte zur Verfügung. CSV ist ein gängiges maschinenlesbares Format und erfüllt somit die Anforderungen des Datenzugriffs Z2. Z3, Datenträgerüberlassung in verschiedenen Formaten: Sie kann ferner verlangen, dass ihr die gespeicherten Unterlagen auf einem maschinell verwertbaren Datenträger zur Auswertung überlassen werden (Datenträgerüberlassung). Der zur Auswertung überlassene Datenträger ist spätestens nach Bestandskraft der aufgrund der Außenprüfung ergangenen Bescheide an den Steuer-pflichtigen zurückzugeben oder zu löschen. In Amadeus I gibt es hierfür die IDEA-Schnittstelle (GDPdU-Schnittstelle nach Beschreibungsstandard, Zertifiziert durch den Hersteller der IDEA-Prüfsoftware, Audicon GmbH), die alle relevanten Daten in dem vom BMF empfohlen Format (Beschreibungsstandard) darstellt. Den IDEA-Export finden Sie im Amadeus I Backoffice unter dem Punkt Verwaltung Gdpdu Export. Die genaue Beschreibung dieser Funktion entnehmen Sie bitte dem Punkt IDEA-Schnittstelle weiter oben in dieser Dokumentation. Seite 3 von 8
Über Amadeus I können also alle drei Varianten des Datenzugriffs abgebildet werden. 1.2 Stammdatenänderung der Artikel Die Änderung der Artikelstammdaten kann im Amadeus I über das Buchungsjournal (*.jrn-dateien) verfolgt werden. Mit jeder Buchung werden neben dem Namen des Artikels der Verkaufspreis, die Anzahl, der Steuersatz, der entsprechende Kellner sowie weitere Daten gespeichert. Aus diesen Daten lässt sich jede Stammdatenänderung seit der Erstprogrammierung nachvollziehen. Ein separates protokollieren dieser Stammdatenänderungen ist auf Grund der vielen Möglichkeiten, die Amadeus I bietet nicht sinnvoll. Als Beispiel seinen hier eine Happy-Hour genannt, die täglich zwei mal die Stammdaten aller Artikel ändert (mindestens den Preis). Der in Amadeus I gewählte Weg, die Änderungen der Stammdaten über das Buchungsjournal zu protokollieren ist ein von den Finanzbehörden anerkanntes Verfahren. 1.3 Unveränderbarkeit der Daten Weiterhin verlangt die Vorschrift der GDPdU, dass originär digitale Daten unveränderbar abgelegt werden bzw. belegbar ist, dass die Daten nachträglich nicht mehr verändert werden. Die Unveränderbarkeit wird in Amadeus I über mehrere Mechanismen sichergestellt. Zugriff auf die Datenbank Die Datenbank in Amadeus I ist vor direktem Zugriff durch den Anwender geschützt. Die für den schreibenden und lesenden Zugriff nötigen Passwörter sind weder dem Anwender noch dem Kassentechniker bekannt, nur der Hersteller der Software und deren Mitarbeiter können direkt auf die Datenbank zugreifen. Der direkte Zugang zur Datenbank kann den Finanzbehörden auf Anfrage ermöglicht werden. Gleichzeitig muss festgehalten werden, dass eine auf einem lokalen Datenträger gehaltene Datenbank nach heutigem Stand der Technik nicht zu 100% abgesichert werden kann. Ablegen der Buchungsdaten in Journaldateien Alle Buchungen die im Kassensysteme Amadeus I getätigt werden, werden sowohl in der Datenbank abgelegt als auch beim Tagesabschluss in zwei Journaldateien im Dateisystem abgelegt. Die Journaldateien tragen die Endungen *.bill für die Rechnungsdaten und *.jrn für das Buchungsjournal. Beide Dateien sind im Format csv aufgebaut und können maschinell ausgewertet werden. Ablegen der Tagesabschlüsse im Papierformat Durch das tägliche Drucken der Tagesabschlüsse im Papierformat werden die Tagesendsummen unveränderbar dokumentiert. Kombination der Sicherungsmechanismen Die oben genannten Mechanismen zur Sicherstellung der Unveränderbarkeit wirken nur in Kombination aller Mechanismen. Durch den beschränkten Zugriff auf die Datenbank und die interne Struktur der Datenbank, die im Falle eines Umgehens der Sicherungsmechanismen die Manipulation der Daten extrem erschwert wird die Unveränderbarkeit der Daten im Rahmen des auf PC-Systemen zumutbaren Aufwandes hergestellt. Zusammen mit den Journaldateien und den gedruckten Tagesabschlüssen ist jedoch eine Manipulation ausgeschlossen. Die in der Datenbank abgelegten Daten müssen den Daten der Journaldateien entsprechen. Beide Datensätze für sich aufsummiert müssen wiederum den Daten des Tagesabschlusses in Papierform entsprechen. Die Kombination dieser drei Datenbestände (originär aus der verschlüsselten Datenbank, maschinenlesbar in den Journaldateien und ausgedruckt auf den Tagesabschlüssen) stellt jedoch sicher, dass die Daten nicht verändert werden können. Seite 4 von 8
2. Systembeschreibung nach 131 BAO E131 (Österreich) 2.1 Einleitung Die Systembeschreibung nach 131 BAO E131 richtet sich an Finanzbehörden, Steuerberater und interessierte Gastronomen. Es wird beschrieben, wie das Kassensystem Amadeus I Buchungsdaten speichert und welche Auswertungen den oben genannten Zielgruppen aus diesen Daten zur Verfügung gestellt werden. 2.2 Beschreibung des technischen Aufbaus Das Kassensystem Amadeus I setzt sich aus mehreren Komponenten zusammen. Laut der Einteilung des BMF (Österreich) für Kassensysteme (gemäß Schreiben vom 28.12.2011, BMF, MF-010102/0007- IV/2/2011) ist Amadeus I ein Kassensystem des Typs 3 (Kassensysteme bzw. PC-Kassen). Die Hauptbestandteile sind: - Amadeus I Anwendungsprogramm (Server) - Verschlüsselte Access-Datenbank - Optional einer oder mehrerer Instanzen der Anwendung ATouch-Bonierung. - Amadeus I Backoffice Dabei ist die gesamte Businesslogik in einer Anwendung (Amadeus I Server) implementiert. Über diese Anwendung werden alle Interaktionen mit der Datenbank gesteuert, nur diese Anwendung hat schreibenden Zugriff auf die Datenbank. Die Access-Datenbank ist über die von Microsoft vorgesehene Zugangskontrolle gesichert. Nur der Entwicklungsabteilung des Herstellers sind die Zugangsdaten für den Schreibenden Zugriff auf die Datenbank bekannt. Weder der Endkunde (Gastronom) noch ein Kassentechniker können direkt auf die Datenbank zugreifen. Das Ändern von Stammdaten sowie das Auswerten der Buchungsdaten erfolgt über das Amadeus I Backoffice. Eine Veränderung von Buchungsdaten ist nicht möglich. 2.3 Erzeugen von Datensätzen Jede Eingabe eines Kellners (Nutzers) an einem Endgerät erzeugt in Amadeus I einen auf den Eingaben basierenden Datensatz. Dabei werden die folgenden Eingaben unterschieden: Bonieren Unter dem Bonieren versteht man den Vorgang, mit dem ein Kellner einen in der Kasse angelegten Verkaufsartikel auf einen zuvor geöffneten Tisch boniert. Jeder dieser Vorgänge wird in den Tabellen tabledata und tableheader fortlaufend nummeriert abgelegt. Dabei bekommen sowohl die Kopfdaten des Tisches (Nummer des Tisches, Z-Zähler, Geschäftsdatum, Kellnerzuordnung, ) eine fortlaufende Nummer, als auch jeder Datensatz eines bonierten Artikels eine fortlaufende Nummer. Für jeden Artikel werden alle steuerlich relevanten Daten direkt mit jedem Artikel gespeichert: Artikelnummer, Artikelname, Steuersatz, Originalpreis des Artikels, Verkaufspreis des Artikels, Anzahl der Verkauften Artikel, Verantwortlicher Kellner, Bondruck. Alle bonierten Artikel erhalten den Finanzweg 1. Seite 5 von 8
Stornieren und Sofortstornos Amadeus I unterschiedet zwei Arten von Stronos: Sofortstornos und Nachträgliche Stornos. Sofortstornos werden erzeugt, wenn der Kellner einen Boniervorgang durchgeführt hat, die aktuelle Aufrechnung aber noch nicht abgeschlossen hat, also die entsprechenden Bons noch nicht gedruckt wurde. Ein Sofortstorno entspricht also der Korrektur nach vertippen. Jeder Sofortstorno wird wie jeder Boniervorgang in der Datenbank mit einer fortlaufenden Nummer versehen und mit allen Daten des Artikels gespeichert (Siehe Bonieren ), aber mit dem Finanzweg 10 versehen. Nachträgliche Stornos werden erzeugt, wenn ein Artikel nach dem Absenden der Aufrechnung storniert wird. Dies kann zum Beispiel durch eine Reklamation des Gastes, einer zu spät aufgefallenen Fehlbonierung oder dem Bonieren eines Artikels, der nicht mehr in ausreichender Stückzahl verfügbar ist nötig werden. Nachträgliche Stornos werden ebenfalls in der Datenbank als zusätzlicher Datensatz abgelegt (siehe Bonieren ), aber mit dem Finanzweg 11. Rechnungsabschluss Beim Rechnungsabschluss wird nach auswählen eines Finanzweges (Bar, Kreditkarte, EC, Gutschein) ebenfalls ein Datensatz mit fortlaufender Nummer in der Datenbank erzeugt. Dieser enthält den Finanzweg, auf den der Tisch abgeschlossen wurde. Rabattierung Rabatte reduzieren die entsprechenden Zahlungsverpflichtung der Rechnung und sind entsprechend der Rabatt Regel auf der Rechnung gekennzeichnet. Der Rabattbetrag wird auf der Rechnung ausgewiesen. Die Rabattabfolge wird im Buchungsjournal detailliert dargestellt, so dass eine jede Rabattierung genau verfolgt werden kann. Tagesabschluss Beim Tagesabschluss, der entweder manuell oder automatisch durchgeführt werden kann, werden alle Daten aus den beiden oben genannten Tabellen in Archivtabellen verschoben und der Z-Zähler um eins erhöht. Das Geschäftsdatum kann, muss aber zwangsläufig geändert werden. Auch das abschließen aller offenen Tische ist optional. Werden oder sind alle Tische abgeschlossen, so müssen sich alle Soll-Buchungen (Boniert, Storno, Sofortstorno) mit den Haben-Buchungen (Rechnungsabschluss) eines Z-Zählers auf Null auflösen. Die Unveränderbarkeit der einzelnen Buchungsdaten wir in Echtzeit sichergestellt (jeder Geschäftsvorfall wird direkt in der Datenbank abgelegt) und kann somit unabhängig vom Zeitpunkt des Tagesabschlusses garantiert werden. Beim Tagesabschluss werden die beiden Jouranldateien im Dateisystem abgelegt. 2.4 Sicherung der Datensätze und Unveränderbarkeit Amadeus II stellt die Unveränderbarkeit der in der Datenbank abgelegten Datensätze in mehreren Stufen sicher: Technische Voraussetzungen: Die Zugangsdaten für die eingesetzte Access-Datenbank sind nur dem Hersteller bekannt. Diese werden weder an Kassenfachhändler, Techniker noch Endkunden (Gastronomen, Kellner) herausgegeben. Lediglich ein Nur-Lesender Zugriff kann von Finanzbehörden erfragt werden. Der Zugriff auf die Datenbank kann also nur über die oben beschriebene Architektur erfolgen. Manipulationsmöglichkeiten sind über diesen Weg nicht gegeben. Amadeus I verfügt nur über die beiden oben beschrieben Tabellen zum Speichern von Umsatzdaten. Auch können über diesen Weg keine Daten aus den Tabellen gelöscht werden, Stornos oder Rabatte sind zusätzliche Buchungen und werden nicht durch das Ändern vorhandener Daten abgebildet. Seite 6 von 8
Datenbankintegrität: Die von Amadeus I verwandten Datenbankstrukturen basieren wie bei jeder relationalen Datenbank auf internen eindeutigen IDs. Das verändern einzelner Datensätze würde die Integrität dieser Daten gefährden, wodurch es für eine Person, die im Umfeld von relationalen Datenbanken nicht sehr spezifisches Fachwissen aufweist unmöglich ist, einzelne Datensätze zu manipulieren, ohne die Integrität der Daten zu gefährden. Außerdem würde eine solche Manipulation beim Auswerten der Daten sehr schnell auffallen. Durch die oben beschriebenen Sicherungsmaßnahmen wird der manipulative Eingriff in die Journaldaten des Kassensystems Amadeus I so weit erschwert, dass der Nutzen eines solchen Eingriffs in keinem Verhältnis zum Aufwand steht. Durch die Kombination aus gedruckten Tagesabschlüssen (Z-Berichten), Journaldateien und Journaltabellen in der verschlüsselten Datenbank ist eine nachträgliche Manipulation des Kassensystems nach unserem derzeitigen Wissensstand nicht möglich. 2.5 Datensicherung Da handelsübliche Festplatten (oder andere Massenspeicher) defekte aufweisen können, die das Auslesen der Daten unmöglich machen, ist der Anwender der Amadeus I Kassensoftware dazu verpflichtet, regelmäßige Backups der Datenbank durchzuführen. Es wird empfohlen, tägliche Backups der Datenbank durchzuführen und auf ein externes Medium (außerhalb des Kassenservers) zu speichern. Eine Monatssicherung sollte über einen längeren Zeitraum hinweg aufbewahrt werden (z.b.: 4 Jahre, Prüfungszeitraum). Um alle prüfungsrelevanten Daten des Amadeus II Kassensystems zu sichern ist das Sichern der Datenbank ausreichend, da alle anderen Komponenten keine Datenbestände enthalten. 2.6 Vorbereitung auf eine Prüfung durch die Finanzbehörden. Diese Dokumentation dient als Ablaufdokumentation des Kassensystems Amadeus II. Um einen reibungslosen einer Betriebsprüfung zu gewährleisten sollten die folgenden Punkte durch den Endkunden beachtet werden. - Täglicher Ausdruck des Z-Berichtes und Archivierung dieses Ausdrucks. - Täglicher Ausdruck des Finanzwegeberichtes, der Finanzwegeberichte pro Kellner sowie der Hausparten- oder Feinspartenberichte. - Tägliches Backup der Datenbank, monatliches Backup der Datenbank aufbewahren. - Monatlicher GDPdU-Export (Beschreibungsstandard) der Daten aus der Kasse und überprüfen der Vollständigkeit der Daten. Dieser Export sollte in Regelmäßigen Abständen auch mit dem Steuerberater besprochen werden, da dieser die Daten auf Vollständigkeit und ordnungsgemäße Formatierung prüfen kann. Die Amadeus Softwareentwicklung passt alle Softwarekomponenten ständig den gesetzlichen Vorgaben an. Sollten dennoch besondere Anforderungen während einer Prüfung oder während der Vorbereitung auf eine Prüfung auftreten hilft die Support-Team der Amadeus Software Entwicklung gerne weiter. Seite 7 von 8
Seite 8 von 8