Verfahrensdokumentation – App „Fahrtenbuch“

Version 1.6 · Stand: 3. November 2026 · Codeo Solutions Limited

Dokument

Verfahrensdokumentation nach den GoBD (BMF-Schreiben vom 28.11.2019, Rz. 151 ff.)

Verfahren

Elektronisches Fahrtenbuch „Fahrtenbuch“ für iPhone und Android mit Konto und Server (Abschnitt 1.6)

Version

1.6

Stand

03.11.2026

Hersteller

Codeo Solutions Limited, Gallants Farm, Gallants Lane, East Farleigh, Maidstone ME15 0LF, Vereinigtes Königreich, info@codeo.com.tr

1 Allgemeine Beschreibung

1.1 Zweck

Fahrtenbuch ist ein elektronisches Fahrtenbuch für ein oder mehrere Kraftfahrzeuge. Es dient dem Nachweis, welcher Anteil der Fahrten geschäftlich, privat oder Fahrten zwischen Wohnung und erster Tätigkeitsstätte waren. Jede Fahrt wird einzeln aufgezeichnet oder nachgetragen und einer von drei Kategorien zugeordnet:

1.2 Bestandteile

• App für iPhone und Android. Sie zeichnet Fahrten auf, nimmt nachgetragene Fahrten, die Zuordnung und die Pflichtangaben auf und erstellt die Berichte. Sie speichert das Fahrtenbuch zuerst auf dem Gerät und funktioniert auch ohne Internetverbindung; die Einträge werden mit dem Server abgeglichen, sobald eine Verbindung besteht (Abschnitt 3.1). Die App setzt ein Konto voraus: Bei der Einrichtung und nach einer Abmeldung meldet sich der Nutzer mit Apple, mit Google oder mit E-Mail-Adresse und einmaligem Code an (Abschnitt 2.1).
• Server (Programmierschnittstelle und Datenbank PostgreSQL) bei Microsoft Azure in der EU (Region North Europe, Irland). Er speichert das Fahrtenbuch jedes Fahrzeugs, prüft jeden eingehenden Eintrag und vermerkt die Eingangszeit.
• Ausfüllen per Foto (optional): Ein Foto des Fahrzeugscheins, des Fahrzeugs, des Tachos oder des Bordcomputers bzw. Armaturenbretts wird über den Server an Azure OpenAI (Verarbeitung in der EU) gesendet, um Bezeichnung, Kennzeichen, Antrieb, Kilometerstand oder den Verbrauch einer Fahrt vorzuschlagen. Das Foto wird nicht gespeichert. Jeder vorgeschlagene Wert wird erst übernommen, wenn der Nutzer ihn bestätigt oder ändert. Höchstens 20 Fotos je Konto und Tag.

1.3 Grundprinzip: Protokoll, das nur wächst

Das Fahrtenbuch wird nicht als Tabelle geführt, deren Zeilen man ändert. Es ist ein Protokoll von Einträgen (Ereignissen), das nur ergänzt wird. Jedes Fahrzeug hat ein eigenes Protokoll. Jeder Eintrag erhält eine fortlaufende Nummer und ist über eine Prüfsumme mit dem vorhergehenden Eintrag verkettet (Abschnitt 3.2). Eine Änderung ist immer ein neuer, zusätzlicher Eintrag. Der Stand einer Fahrt ergibt sich aus allen Einträgen zu dieser Fahrt in ihrer Reihenfolge.

Alle Eintragsarten werden gleich behandelt: fortlaufende Nummer, Verkettung durch Prüfsumme, Gerätezeit und, nach dem Abgleich, Eingangszeit beim Server. „Verbrauch notiert“ ist kein Pflichtfeld des Fahrtenbuchs und unterliegt nicht der 7-Tage-Frist (Abschnitt 2.13).

1.4 Ausgaben

Die App erstellt je Fahrzeug für einen Kalendermonat, ein Kalenderjahr oder einen frei gewählten Zeitraum einen Bericht als PDF und als CSV-Datei (Abschnitt 2.12). Berichte sind immer auf Deutsch, unabhängig von der Sprache der App. Alle Zeiten werden in deutscher Ortszeit (MEZ/MESZ) ausgegeben; gespeichert werden sie in koordinierter Weltzeit (UTC, ISO 8601). Der Bericht wird auf dem Handy erstellt. Ist das Handy mit dem Server abgeglichen, stammen die Daten vom Server, und der Bericht enthält die Zeitvermerke des Servers (Abschnitt 3.4). Andernfalls (zum Beispiel ohne Internetverbindung) stammen sie aus dem Protokoll des Handys, und der Bericht ist als „Vorläufig – nicht synchronisiert“ gekennzeichnet: im PDF auf jeder Seite, in der CSV-Datei in der ersten Zeile (Abschnitt 2.12).

1.5 Nicht Bestandteil des Verfahrens

• Keine automatische Fahrterkennung: Jede Fahrt muss von Hand gestartet und beendet werden. Ohne „Fahrt starten“ zeichnet die App keinen Standort auf.
• Keine Erfassung von Kosten oder Belegen, keine DATEV-Schnittstelle, keine Fahrerangabe. Die optionale Verbrauchsnotiz je Fahrt (Abschnitt 2.13) hält nur eine Menge fest, keine Kosten.

1.6 Betriebsart

Die App arbeitet ausschließlich mit Konto und Server. Eine Betriebsart ohne Konto gibt es nicht; der Nutzer kann nichts umschalten. Für das Verfahren gilt:

Was das Handy verlässt. An den Server des Herstellers gehen die Einträge des Protokolls, die Fahrzeugdaten und, nur wenn der Nutzer „Ausfüllen per Foto“ verwendet, das jeweilige Foto zur Verarbeitung (Abschnitt 3.1). Der Adressdienst des Betriebssystems erhält die Koordinaten von Start und Ziel einer Fahrt, um daraus eine Straßenadresse zu ermitteln (unter iOS der Dienst von Apple, unter Android der Geocoder des Systems über die Google Play-Dienste). Das ist ein Dienst der Plattform, nicht des Herstellers. Berichte verlassen das Handy nur, wenn der Nutzer sie über das Teilen-Menü weitergibt. Eine Sicherung des Handys durch das Betriebssystem (iCloud oder Finder unter iOS, Android-Datensicherung unter Android) bleibt davon unberührt (Abschnitt 3.5).

Grenzen. Die Uhr des Handys gehört dem Nutzer und kann von ihm verstellt werden; die App kann das selbst nicht erkennen. Der Server vermerkt beim Abgleich Abweichungen der Geräteuhr und verspätet eingegangene Zuordnungen (Abschnitt 3.4), kann aber nur Einträge beurteilen, die ihn erreicht haben; bis zum Abgleich trägt ein Eintrag nur die Gerätezeit. Die Prüfsummen-Kette (Abschnitt 3.2) macht spätere Änderungen an gespeicherten Einträgen bei einer Nachrechnung sichtbar, kann aber für sich allein nicht beweisen, wann ein Eintrag gemacht wurde. Näheres in den Abschnitten 3.4 und 5.4.

2 Anwenderdokumentation

2.1 Einrichtung

1. Anmeldung mit Apple, mit Google oder mit E-Mail-Adresse und einmaligem Code. Hat das Konto bereits Fahrzeuge, bietet die App an, eines davon auf das Handy zu holen (Abschnitt 2.11); andernfalls wird ein neues Fahrzeug angelegt.
2. Angabe des Fahrzeugs: Bezeichnung, Kennzeichen, Nutzungsart und optional Antrieb (Abschnitt 2.2). Die Angaben können per Foto vorgeschlagen werden (Abschnitt 1.2) und werden vom Nutzer bestätigt oder geändert.
3. Optional: Adressen für Zuhause und Arbeit. Sie bleiben auf dem Gerät und dienen nur der Vorbelegung der Kategorie (Abschnitt 2.5).
4. Freigabe des Standorts „Beim Verwenden der App“ bzw. „Nur während der Nutzung der App“. Die Freigabe „Immer“ wird nicht angefragt und nicht benötigt (Abschnitt 2.3). Unter Android ab Version 13 fragt die App zusätzlich die Erlaubnis für Benachrichtigungen an, damit die Benachrichtigung während der Fahrt sichtbar ist.

2.2 Fahrzeuge

• Die App kann mehrere Fahrzeuge führen; ein Konto kann mehrere Fahrzeuge haben. Jedes Fahrzeug hat ein eigenes Protokoll mit eigener Verkettung, eigenen Fahrten, eigenen Kilometerständen und eigenen Berichten. Einträge eines Fahrzeugs werden nie in das Protokoll eines anderen Fahrzeugs übernommen.
• Das aktive Fahrzeug wird auf dem Startbildschirm gewählt; neue Fahrten werden für dieses Fahrzeug erfasst. Während eine Fahrt läuft, lässt sich das Fahrzeug nicht wechseln. Weitere Fahrzeuge werden unter „Einstellungen“ angelegt.
• Zu jedem Fahrzeug werden Bezeichnung, Kennzeichen, Nutzungsart und optional der Antrieb gespeichert: Benzin, Diesel, Elektro, Plug-in-Hybrid oder Sonstige. Der Antrieb steht, wenn angegeben, im Kopf von PDF und CSV („Antrieb: …“).
• Ein Fahrzeug wird nicht gelöscht. Ein nicht mehr genutztes Fahrzeug kann archiviert werden: Es wird nicht mehr zur Auswahl angeboten, sein Protokoll bleibt vollständig erhalten und kann weiter exportiert werden. Ein archiviertes Fahrzeug kann wieder in Gebrauch genommen werden. Mindestens ein Fahrzeug bleibt in Gebrauch. Ein Löschen von Fahrzeugen und Protokollen gibt es in der App nicht, außer zusammen mit dem Konto (Abschnitt 4.2).

2.3 Fahrt starten und beenden

• „Fahrt starten“ beginnt die GPS-Aufzeichnung. Die Aufzeichnung wird nur durch diese Handlung im Vordergrund gestartet. Sie läuft danach auch bei gesperrtem Bildschirm weiter: unter Android als Vordergrunddienst mit der dauerhaften Benachrichtigung „Fahrt läuft – Fahrt wird aufgezeichnet“, unter iOS mit der Standortanzeige des Systems. Eine Standortfreigabe „Immer“ (Zugriff im Hintergrund) wird nicht verwendet; unter Android ist diese Berechtigung in der App gesperrt.
• Die App speichert etwa alle 25 Meter einen Standortpunkt. Punkte mit einer Ungenauigkeit von mehr als 50 Metern werden nicht verwendet. Auch ein Punkt, den ein Fahrzeug vom zuletzt verwendeten Punkt aus nur mit mehr als 300 km/h erreichen könnte (Sprung über 100 Meter), wird nicht verwendet: Ein einzelner falscher Standort vergrößert die Strecke nicht. Stimmen drei aufeinanderfolgende Punkte untereinander überein, gelten sie als richtig; dann entfällt der Punkt davor, und ein verbleibender Sprung zählt weder zur Strecke noch als GPS-Lücke.
• „Fahrt beenden“ stoppt die Aufzeichnung. Die Strecke ist die Summe der Abstände zwischen den verwendeten Punkten. Beginn und Ende der Fahrt sind die Zeitpunkte des ersten und des letzten verwendeten Punkts.
• Fahrten unter 100 Metern werden nicht gespeichert. Liegen keine verwendbaren Punkte vor oder ist die Strecke kürzer als 100 Meter (z. B. versehentlich gestartet), wird keine Fahrt gespeichert und die App zeigt einen Hinweis.
• Start- und Zielort werden über den Adressdienst des Betriebssystems in eine Straßenadresse umgewandelt. Antwortet dieser nicht innerhalb von 3,5 Sekunden (z. B. ohne Netz), werden nur die Koordinaten gespeichert. Dabei erhält der Dienst des Betriebssystems die Koordinaten (unter iOS der Dienst von Apple, unter Android der Geocoder des Systems über die Google Play-Dienste); es ist ein Dienst der Plattform, nicht des Herstellers.
• Die Fahrt wird als Eintrag „Fahrt aufgezeichnet“ im Protokoll gespeichert. Erst danach löscht die App die einzelnen Standortpunkte. Der Streckenverlauf wird also nicht aufbewahrt; aufbewahrt werden Beginn, Ende, Start- und Zielort und die Strecke.
• Fortsetzung nach Neustart. Beendet das Betriebssystem die App während einer Fahrt, wird sie zwangsweise geschlossen oder das Handy neu gestartet, bleibt die Fahrt als laufend gespeichert, ebenso die bis dahin aufgezeichneten Punkte. Sobald die App wieder geöffnet wird, setzt sie die Aufzeichnung ohne erneute Nachfrage fort, solange die Standortfreigabe besteht. Für die Zeit dazwischen liegen keine Punkte vor.
• GPS-Lücke. Liegen zwischen zwei verwendeten Punkten mehr als 2 Minuten und zugleich mehr als 1.000 Meter Luftlinie, gilt das als Lücke der Aufzeichnung (App beendet, Neustart, kein Empfang). Die Strecke enthält für die Lücke die Luftlinie. Die Fahrt wird mit den überbrückten Metern gekennzeichnet; beim Beenden weist die App darauf hin. Im Bericht steht an der Fahrt „GPS-Lücke – km bitte mit Tacho prüfen“. Fehlende Kilometer zeigt der Abgleich mit dem nächsten Kilometerstand (Abschnitt 2.12).

2.4 Fahrt nachtragen

Eine Fahrt, die nicht aufgezeichnet wurde (Start vergessen, Akku leer, GPS ausgefallen), kann mit „Fahrt nachtragen“ von Hand erfasst werden. Sie wird als eigener Eintrag „Fahrt nachgetragen“ gespeichert.

• Pflichtfelder: Datum, Uhrzeit von Beginn und Ende, Start, Ziel, Strecke in km oder Kilometerstand Beginn und Ende, Kategorie; bei einer Geschäftsfahrt zusätzlich Reisezweck und Geschäftspartner. Das eingegebene Ziel ist die Zieladresse.
• Höchstens 31 Tage zurück: Die Fahrt muss höchstens 31 Tage vor dem Eintrag geendet haben. Das beurteilt die App nach der Uhr des Handys; der Server wiederholt die Prüfung nach der Gerätezeit des Eintrags (Abschnitt 5.2).
• Plausibilität: Ende nach Beginn und nicht in der Zukunft; Strecke über 0 und höchstens 1.500 km; Durchschnittsgeschwindigkeit höchstens 250 km/h; Kilometerstand Ende über Beginn; keine zeitliche Überschneidung mit einer anderen Fahrt desselben Fahrzeugs; eingegebene Kilometerstände nicht im Widerspruch zu den Ablesungen davor und danach. Andernfalls wird die Fahrt nicht gespeichert.
• Kennzeichnung: In PDF (Spalte „Bemerkungen“) und CSV (Spalte „Zeitprüfung“) steht an der Fahrt „Nachgetragen am ‹Datum, Uhrzeit› (von Hand, ohne GPS)“, bei eingegebenem Kilometerstand mit dem Zusatz „Km-Stand von Hand eingegeben“. Maßgeblich ist der Zeitpunkt des Eintrags nach der Uhr des Handys (Abschnitt 3.4). Weicht die Geräteuhr nach Feststellung des Servers ab, gilt die Eingangszeit beim Server.
• Nach 7 Tagen privat: Eine Geschäftsfahrt, die später als 7 Tage nach ihrem Ende nachgetragen wird, wird mit den eingegebenen Angaben gespeichert, im Bericht aber als privat gewertet („Nach Fristende nachgetragen – als privat gewertet“). Das ist eine Regel dieser App. Private Fahrten und Arbeitswege behalten ihre Kategorie. Die App weist bei der Eingabe darauf hin.
• Kilometerstände: Ein eingegebener Kilometerstand Beginn und Ende wirkt wie eine Ablesung (Abschnitt 2.10). Er geht in die Fortschreibung und in den Abgleich ein und kann eine Zeile „Nicht erfasste Fahrt(en)“ schließen; im Bericht ist er als „nachgetragene Fahrt“ bezeichnet.
• Danach gelten für die Fahrt dieselben Regeln wie für jede andere: Zuordnung innerhalb der Frist, danach nur Korrektur mit Begründung.

2.5 Zuordnung zu einer Kategorie

Beim Speichern einer aufgezeichneten Fahrt belegt die App die Kategorie vor:

• Liegen Start und Ziel jeweils höchstens 250 Meter von der Adresse Zuhause bzw. Arbeit entfernt (in einer der beiden Richtungen), wird „Arbeitsweg“ vorbelegt.
• Sonst entscheidet das in der App gewählte Profil: „Geschäftlich“ oder „Privat“.

Der Nutzer prüft die Vorbelegung und bestätigt oder ändert sie. Jede Bestätigung oder Änderung ist ein eigener Eintrag „Fahrt zugeordnet“.

2.6 Pflichtangaben bei Geschäftsfahrten

Bei einer geschäftlichen Fahrt fragt die App ab:

• Reisezweck
• Besuchter Geschäftspartner
• Zieladresse, wenn für den Zielort keine Straßenadresse ermittelt werden konnte. Die aufgezeichneten Koordinaten bleiben dabei unverändert.
• Optional: Umweg mit Begründung, wenn nicht die direkte Strecke gefahren wurde.

Die App erzwingt diese Angaben bei einer aufgezeichneten Fahrt nicht sofort. Fehlende Angaben zeigt sie an der Fahrt an („Reisezweck fehlt“, „Geschäftspartner fehlt“, „Zieladresse fehlt“, „Nicht zugeordnet“).

Fehlen die Angaben nach Ablauf der 7-Tage-Frist, wird die Fahrt im Bericht als privat gewertet. Das gilt für eine Geschäftsfahrt ohne Reisezweck, Geschäftspartner oder Zieladresse und für eine Fahrt ohne Kategorie. Der Bericht vermerkt „Pflichtangaben fehlen – als privat gewertet (zugeordnet: ‹Kategorie›, Frist bis ‹Datum, Uhrzeit›)“; in der CSV-Datei steht dies in der Spalte „Bewertung“. Maßgeblich ist das Protokoll zum Zeitpunkt der Berichtserstellung nach der Uhr des Handys. Eine rechtzeitig auf dem Handy erfasste, aber spät an den Server übertragene Zuordnung zählt; sie wird als „spät synchronisiert“ vermerkt (Abschnitt 3.4). Werden die Angaben später mit einer Korrektur (Abschnitt 2.8) vervollständigt, zählt die Fahrt ab dann wieder als geschäftlich; die Korrektur ist im Bericht sichtbar. Stornierte Fahrten werden nie umgewertet.

2.7 Frist von 7 Tagen

• Die Frist von 7 Tagen ist eine Regel dieser App. Ob eine Fahrt als zeitnah erfasst gilt, entscheidet das Finanzamt im Einzelfall.
• Innerhalb von 7 Tagen (7 × 24 Stunden) nach Fahrtende können Kategorie und Angaben frei geändert werden. Jede Änderung ist ein neuer Eintrag; der letzte gilt, die früheren bleiben im Protokoll erhalten.
• Danach ist die Fahrt gesperrt. Die App zeigt bis dahin „Änderbar bis …“ und bietet danach nur noch eine Korrektur mit Begründung an (Abschnitt 2.8). Der Server weist eine Zuordnung zurück, deren Gerätezeit nach dem Fristende liegt.
• Die App berechnet die Frist nach der Uhr des Handys: Eine Fahrt ist gesperrt, sobald die Uhr des Handys das Fristende (Fahrtende plus 7 × 24 Stunden) erreicht hat. Stellt der Nutzer die Uhr zurück, kann die App das nicht erkennen; erkennbar wird es nur, soweit der Server beim Abgleich eine Abweichung oder eine verspätet eingegangene Zuordnung vermerkt. Zur Frage, welche Uhr gilt, siehe Abschnitt 3.4.
• Die Frist gilt nicht für die Verbrauchsnotiz (Abschnitt 2.13).

2.8 Korrekturen nur als sichtbare Nachträge

• Eine gesperrte Fahrt kann nur mit „Korrektur erfassen“ geändert werden. Eine Begründung ist Pflicht; ohne Begründung wird die Korrektur von der App nicht angenommen (auch nicht vom Server).
• Eine Korrektur ist ein zusätzlicher Eintrag. Der ursprüngliche Eintrag bleibt unverändert im Protokoll. Eine Korrektur kann die Kategorie ändern oder bei gleicher Kategorie nur die Angaben (z. B. fehlende Pflichtangaben ergänzen). Felder, die der Nutzer nicht ändert, bleiben erhalten.
• Korrekturverlauf im Bericht: Für jede Korrektur stehen Zeitpunkt, jeder geänderte Wert in der Form „alt → neu“ und die Begründung, z. B. „Korrigiert ‹Zeitpunkt›: Kategorie Geschäftlich → Privat; Reisezweck „Termin“ → (leer) („‹Begründung›“)“. Ausgegeben werden Kategorie, Reisezweck, Geschäftspartner, Reiseziel und Umweg. Die alten Werte werden bei der Berichtserstellung aus den vorhergehenden Einträgen des Protokolls abgeleitet; das Format der gespeicherten Einträge ist dafür nicht geändert worden. Im PDF steht der Verlauf in der Spalte „Bemerkungen“, in der CSV-Datei in der Spalte „Korrekturen“.
• Änderungen innerhalb der 7-Tage-Frist stehen im Protokoll, erscheinen aber nicht im Bericht.
• Eine Korrektur vor Fristende wird zurückgewiesen; innerhalb der Frist wird die Fahrt neu zugeordnet.

2.9 Stornierung und überschneidende Fahrten

Ein Fahrzeug fährt immer nur eine Fahrt zur gleichen Zeit. Überschneiden sich zwei Fahrten zeitlich (z. B. weil zwei Handys desselben Kontos dieselbe Fahrt aufgezeichnet haben), zeigt die App „Überschneidende Fahrten“ und der Nutzer entscheidet:

• „Diese behalten“: Die andere Fahrt erhält den Eintrag „Fahrt storniert“ mit Begründung. Sie bleibt im Protokoll und im Bericht mit der Kategorie „Storniert“ sichtbar, zählt aber keine Kilometer.
• „Beide behalten“: Die Prüfung wird als eigener Eintrag festgehalten.

Nicht geklärte Überschneidungen werden im Bericht an beiden Fahrten vermerkt. Eine Stornierung ist in dieser Version nur über diese Prüfung möglich. Eine nachgetragene Fahrt, die sich mit einer vorhandenen Fahrt überschneidet, nimmt die App nicht an (Abschnitt 2.4).

2.10 Kilometerstand

• Der Nutzer liest den Kilometerstand vom Tacho ab und trägt ihn als ganze Zahl ein. Die App empfiehlt dies am Monatsanfang und am Monatsende. Der Wert kann per Foto des Tachos vorgeschlagen (Abschnitt 1.2) oder von Hand eingetragen werden; gespeichert wird nur die bestätigte Zahl, nicht das Foto.
• Ein Wert, der kleiner ist als der zuletzt erfasste, wird nicht angenommen. Ein erfasster Kilometerstand kann nicht geändert werden.
• Bei nachgetragenen Fahrten eingegebene Kilometerstände wirken wie Ablesungen (Abschnitt 2.4).

2.11 Mehrere Handys und Gerätewechsel

• Ein Konto kann dasselbe Fahrzeug auf mehreren Handys nutzen.
• Ein Fahrzeug des Kontos, das noch nicht auf dem Handy ist, wird mit „Auf dieses Handy holen“ übernommen. Die App lädt das vollständige Protokoll des Fahrzeugs vom Server, prüft die Verkettung und übernimmt es nur, wenn die Prüfung bestanden ist. Ist die Kette beschädigt, wird nichts übernommen und die App nennt den betroffenen Eintrag.
• Ein Handy übernimmt ein Fahrzeug nur, solange es für dieses Fahrzeug keine eigenen Einträge hat.

2.12 Bericht (PDF und CSV)

Unter „Exportieren & senden“ wählt der Nutzer Format (PDF oder CSV), Zeitraum (Monat, Jahr oder von–bis, ganze Kalendertage in deutscher Ortszeit; eine Fahrt zählt zu dem Tag, an dem sie beginnt) und, bei mehreren Fahrzeugen, das Fahrzeug. Berichte über mehr als einen Monat enthalten zusätzlich eine Monatsübersicht der Kilometer je Kategorie. Die Datei wird über das Teilen-Menü des Handys gesendet oder gespeichert. Vor dem Erstellen gleicht die App das Fahrtenbuch mit dem Server ab (siehe „Offizieller und vorläufiger Bericht“ unten).

PDF-Bericht je Fahrzeug für einen Monat, ein Jahr oder einen frei gewählten Zeitraum: im Kopf Fahrzeugbezeichnung, Kennzeichen und, wenn angegeben, Antrieb; je Fahrt Datum und Uhrzeit von Beginn und Ende, Start, Ziel, Kilometer, Kilometerstand Beginn und Ende (aus der letzten Ablesung fortgeschrieben, vor der ersten Ablesung leer), Kategorie, Reisezweck, Geschäftspartner und Bemerkungen (Umweg, Korrekturverlauf, Stornierung, Umwertung als privat, „Nachgetragen am …“, „GPS-Lücke – km bitte mit Tacho prüfen“, Zeitvermerke des Servers (nur im Bericht aus den Daten des Servers), Überschneidungen, Hinweise zum Kilometerstand); Zusammenfassung nach Kategorien mit geschäftlichem Anteil; Tacho-Abgleich; Erstellungszeitpunkt und die Prüfsumme des letzten Protokolleintrags. Die Verbrauchsnotiz (Abschnitt 2.13) steht nicht im PDF. Eine Tabellenzeile wird nicht auf zwei Seiten geteilt; der Tabellenkopf wird auf jeder Seite wiederholt.

CSV-Datei je Fahrzeug für einen Monat, ein Jahr oder einen frei gewählten Zeitraum: vor den Spaltenüberschriften eine Zeile mit Fahrzeug, Kennzeichen und, wenn angegeben, Antrieb; dieselben Zeilen wie im PDF, Trennzeichen Semikolon, Dezimalkomma, Spalten Beginn, Ende, Startadresse, Zieladresse, km, Km-Stand Beginn, Km-Stand Ende, Tacho-Abgleich, Kategorie, Bewertung, Reisezweck, Geschäftspartner, Umweg, Verbrauch, Korrekturen, Zeitprüfung. Die Spalte „Zeitprüfung“ enthält die Vermerke zu Nachtrag („Nachgetragen am …“), GPS-Lücke und ungeklärter Überschneidung sowie, nur in einem Bericht aus den Daten des Servers, die Zeitvermerke des Servers. Die Spalte „Verbrauch“ enthält die zuletzt notierte Menge mit Einheit (z. B. „4,2 l“), sonst bleibt sie leer (Abschnitt 2.13).

Privatfahrten ohne Adressen. Bei Fahrten, die im Bericht als privat gelten (auch nach Umwertung), werden statt Start und Ziel „Privatfahrt“ und „–“ ausgegeben, Reisezweck, Geschäftspartner und Umweg bleiben leer. Ausgegeben werden Datum, Uhrzeit, Kilometer und Kilometerstand. Im Protokoll bleiben die Orte gespeichert.

Kilometerstand Beginn und Ende je Fahrt.

• Kilometerstand Beginn und Ende jeder Fahrt werden fortgeschrieben: vom zuletzt erfassten Kilometerstand aus werden die Kilometer der Fahrten in zeitlicher Reihenfolge addiert. Ab jeder neuen Ablesung wird vom abgelesenen Stand weitergezählt. Stornierte Fahrten zählen nicht. Fahrten vor der ersten Ablesung haben keinen Kilometerstand („–“).
• Bei jeder Ablesung vergleicht die App den abgelesenen Stand mit dem fortgeschriebenen. Toleranz ist der größere Wert von 1 km und 3 % der Strecke seit der vorigen Ablesung.
• Zeigt der Tacho um mehr als die Toleranz mehr an, wird die Differenz als eigene Zeile „Nicht erfasste Fahrt(en)“ ausgegeben, mit Kilometerstand Beginn und Ende, Kategorie Privat, ohne Orte. Die Zeile steht zwischen den zwei Fahrten, zwischen denen das Fahrzeug nachweislich unaufgezeichnet bewegt wurde (Ende der einen und Beginn der nächsten Fahrt liegen im selben Monat mehr als 1.000 Meter Luftlinie auseinander, und nur eine solche Stelle kommt in Frage), sonst unmittelbar vor der Ablesung. Diese Kilometer werden in der Zusammenfassung als privat gezählt; der geschäftliche Anteil wird dann auf alle gefahrenen und auf die erfassten Kilometer angegeben.
• Liegt eine Ablesung um mehr als die Toleranz unter dem fortgeschriebenen Stand, erscheint eine Warnung, nie eine Zeile mit negativen Kilometern. Abweichungen innerhalb der Toleranz werden an der folgenden Fahrt vermerkt.
• Für die Fortschreibung wird keine zusätzliche Eingabe im Fahrtablauf verlangt; das Format der gespeicherten Einträge ist unverändert.

Offizieller und vorläufiger Bericht. Vor dem Export gleicht die App das Fahrtenbuch mit dem Server ab. Stimmt der letzte Eintrag des Servers (laufende Nummer und Prüfsumme) mit dem letzten Eintrag des Handys überein, wird der Bericht aus den Daten des Servers erstellt, einschließlich der Zeitvermerke des Servers. Andernfalls (offline, abgemeldet, keine Antwort nach 15 Sekunden, nicht alle Einträge übertragen) wird der Bericht aus dem Protokoll des Handys erstellt und deutlich als „Vorläufig – nicht synchronisiert (Stand …)“ gekennzeichnet: im PDF als Kasten über dem Titel und als Wasserzeichen auf jeder Seite, in der CSV-Datei als erste Zeile. Ein solcher Bericht enthält alle Einträge des Handys, auch Zuordnungen, Korrekturen und Fahrten, die der Server noch nicht kennt, aber keine Zeitvermerke des Servers. Vor dem Erstellen weist die App darauf hin und bietet „Zuerst synchronisieren“ oder „Trotzdem exportieren“ an. Nur der nicht gekennzeichnete Bericht ist zur Weitergabe bestimmt.

2.13 Verbrauch je Fahrt

• Der Nutzer kann zu einer Fahrt notieren, wie viel Kraftstoff oder Strom sie verbraucht hat: Menge in Litern (l) oder Kilowattstunden (kWh), größer als 0 und höchstens 500, auf zwei Nachkommastellen gerundet. Die Menge wird getippt oder aus einem Foto des Bordcomputers bzw. Armaturenbretts vorgeschlagen und vom Nutzer bestätigt (Abschnitt 1.2); im Protokoll steht, ob sie getippt oder aus einem Foto übernommen wurde.
• Jede Notiz ist ein eigener Eintrag „Verbrauch notiert“ im verketteten Protokoll wie jeder andere Eintrag (Abschnitt 1.3). Die letzte Notiz zu einer Fahrt gilt; der Nutzer kann sie auch zurücknehmen. Frühere Notizen bleiben im Protokoll erhalten. Der Server weist eine Notiz zu einer unbekannten Fahrt oder mit einer unzulässigen Menge zurück (Abschnitt 5.2).
• Keine Frist, keine Pflichtangabe. Die Verbrauchsnotiz unterliegt nicht der 7-Tage-Frist: Sie kann auch nach Ablauf der Frist gesetzt, geändert oder zurückgenommen werden, ohne Korrektur und ohne Begründung. Sie ist kein Pflichtfeld des Fahrtenbuchs. Sie hat keinen Einfluss auf Kategorie, Umwertung als privat (Abschnitt 2.6), Kilometerstand oder Tacho-Abgleich; eine Fahrt ohne Notiz gilt nicht als unvollständig.
• Im Bericht. Die CSV-Datei enthält die zuletzt notierte Menge mit Einheit in der Spalte „Verbrauch“, auch bei Fahrten, die im Bericht als privat gelten; bei Zeilen „Nicht erfasste Fahrt(en)“ bleibt die Spalte leer. Das PDF enthält keinen Verbrauch. Änderungen der Notiz erscheinen nicht im Korrekturverlauf (Abschnitt 2.8) und erhalten keine Zeitvermerke (Abschnitt 3.4); der Verlauf steht im Protokoll.

2.14 Belege

• Der Nutzer kann je Fahrzeug Belege erfassen: Belegdatum, Art (Tanken, Laden, Werkstatt, Versicherung, Kfz-Steuer, Sonstiges), Betrag brutto in Euro über 0 und höchstens 100.000, bei Tanken optional Liter, bei Laden optional kWh, optional eine Notiz. Die Angaben werden getippt oder aus einem Foto des Belegs vorgeschlagen; gespeichert wird nur, was der Nutzer prüft und übernimmt, nicht das Foto. Den Beleg selbst bewahrt der Nutzer auf.
• Ein Beleg ist ein eigener Eintrag im verketteten Protokoll. Er wird nie geändert oder gelöscht: Ein falscher Beleg wird mit Begründung storniert und neu erfasst. Er bleibt in der Liste und im Bericht sichtbar und zählt in keiner Summe.
• Die App zeigt Summen je Jahr, Monat und Art. Das PDF enthält den Abschnitt „Belege und Kosten“ mit allen Belegen des Zeitraums und den Summen; als CSV gibt es eine eigene Datei („Belege“).
• Für die Fahrtenbuch-Methode muss die Gesamtsumme der Kosten belegt sein. Die App erfasst nur, was der Nutzer einträgt, und prüft nicht, ob die Kosten vollständig sind (z. B. Abschreibung, Leasing).

2.15 Fahrer

• Zu jedem Fahrzeug kann ein Standardfahrer angegeben werden (Stammdaten wie das Kennzeichen, außerhalb des Protokolls). Neue Fahrten übernehmen diesen Namen in ihren Eintrag. Je Fahrt kann ein anderer Name gewählt werden, auch einer der früher verwendeten. Der Name ist eine Angabe im Bericht, kein eigenes Konto.
• Bis zum Ablauf der 7-Tage-Frist lässt sich der Name ändern; danach nur mit Begründung, und der Bericht zeigt alt → neu mit der Begründung.
• Haben alle Fahrten des Zeitraums denselben Fahrer, steht er im Kopf des PDF, sonst bei der jeweiligen Fahrt. Die CSV-Datei hat dann die zusätzliche letzte Spalte „Fahrer“. Ohne angegebenen Fahrer bleibt der Bericht wie bisher.

2.16 Fahrt teilen

• Enthält eine Fahrt einen Halt, etwa einen privaten, kann der Nutzer sie in zwei Fahrten teilen. Er gibt Uhrzeit und Kilometer des Halts, den Ort des Halts, die Kategorie beider Teile und eine Begründung an. Bei einer Geschäftsfahrt genügt beim Ort eine allgemeine Angabe, wenn der Halt privat war; sie steht aber im Bericht.
• Es wird nichts überschrieben: Die ursprüngliche Fahrt bleibt im Protokoll und im Bericht mit der Kategorie „Geteilt“, dem Halt und der Begründung sichtbar und zählt keine Kilometer. Beide Teile tragen den Vermerk „Teil 1 von 2 einer geteilten Fahrt“ bzw. „Teil 2 von 2“. Zusammen ergeben die Teile Beginn, Ende und Kilometer der ursprünglichen Fahrt.
• Es gilt die Regel der Korrekturen: Eine Begründung ist immer nötig. Anders als eine Korrektur ist das Teilen auch vor Ablauf der Frist möglich, weil sich Kilometer und Zeiten sonst nicht ändern lassen. Die Frist verlängert sich dadurch nicht: Die Frist eines Teils beginnt mit seinem eigenen Ende und endet nie später als die der ursprünglichen Fahrt. Nach Ablauf der Frist geteilte Fahrten ergeben Teile, die nur noch mit Begründung korrigiert werden können.
• Eine Teilung kann nicht rückgängig gemacht werden. Haben zwei Handys dieselbe Fahrt geteilt, gilt die erste beim Server eingegangene Teilung; die Teile der zweiten erscheinen als storniert.

2.17 Steuerhilfen (nicht Bestandteil des Verfahrens)

Die App zeigt unverbindliche Schätzungen: 1 %-Regelung gegenüber Fahrtenbuch, Reisekosten, Ladestrom und Arbeitswegtage. Sie werden auf dem Handy aus dem Protokoll und den Belegen errechnet, sind keine Steuerberatung, verändern das Fahrtenbuch nicht und stehen in keinem Bericht. Listenpreis, Kaufdatum und einfache Strecke zum Arbeitsplatz sind Stammdaten außerhalb des Protokolls.

3 Technische Systemdokumentation

3.1 Aufbau und Datenfluss

Datenfluss:

Handy (App, SQLite-Datenbank, Protokoll je Fahrzeug) → HTTPS → Server (Prüfung, Eingangszeit) → TLS → PostgreSQL-Datenbank (Protokoll je Fahrzeug)

Berichte (PDF/CSV) werden auf dem Handy erstellt (Abschnitt 2.12) und über das Teilen-Menü an einen vom Nutzer gewählten Empfänger gegeben, z. B. die Steuerberatung.

1. Jeder Eintrag wird zuerst auf dem Handy in dessen Protokoll gespeichert, verkettet und mit der Gerätezeit versehen. Das gilt auch ohne Netz.
2. Beim Abgleich sendet das Handy die noch nicht übertragenen Einträge in der Reihenfolge ihrer Nummern an den Server, zusammen mit der aktuellen Gerätezeit.
3. Der Server prüft Verkettung und Regeln (Abschnitt 5), vermerkt Eingangszeit und Zeitprüfung und speichert die Einträge. Nimmt er einen Eintrag nicht an, wird der ganze Stapel abgewiesen und nichts gespeichert.
4. Hat ein anderes Handy desselben Kontos inzwischen Einträge gesendet, weist der Server den Stapel ab. Das Handy lädt die fehlenden Einträge, hängt seine eigenen, noch nicht übertragenen Einträge mit gleichem Inhalt, gleicher Kennung und gleicher Gerätezeit dahinter neu an und sendet erneut. Einträge, die der Server bereits angenommen hat, werden dabei nie verändert.

Wann abgeglichen wird. Der Abgleich läuft automatisch, ohne Zutun des Nutzers, solange die App geöffnet ist:

• sofort nach jeder aufgezeichneten oder nachgetragenen Fahrt;
• nach Zuordnungen, Korrekturen, Stornierungen und Kilometerständen, sobald 3 Sekunden lang keine weitere Änderung erfolgt ist (mehrere Änderungen kurz hintereinander werden in einem Abgleich übertragen);
• beim Öffnen der App, nach der Anmeldung und bei jeder Rückkehr in die App, außer es gab in der letzten Minute bereits einen erfolgreichen Abgleich;
• zusätzlich, wenn der Nutzer in den Einstellungen „Synchronisieren“ wählt, und vor jedem Export.

Ohne Netz oder bei einer vorübergehenden Störung des Servers wiederholt die App den Abgleich mit wachsendem Abstand von 5 Sekunden bis 5 Minuten, solange die App geöffnet ist, und erneut bei der nächsten Rückkehr in die App. Abgleiche laufen nie gleichzeitig, sondern nacheinander. Übertragen werden die Einträge des aktiven Fahrzeugs und noch nicht übertragene Einträge der anderen Fahrzeuge auf dem Handy. Vor Abschluss der Einrichtung findet kein Abgleich statt. Ist die App geschlossen, wird nicht abgeglichen.

Übertragen werden: die Einträge nach Abschnitt 1.3 (darunter Koordinaten und Adressen von Start und Ziel, Zeiten, Strecke, Kategorie, Reisezweck, Geschäftspartner, Kilometerstände, Verbrauchsnotizen) sowie die Fahrzeugdaten Bezeichnung, Kennzeichen, Nutzungsart, Antrieb und Archivierung. Nicht übertragen werden: die einzelnen Standortpunkte einer Fahrt, die Adressen Zuhause und Arbeit, die E-Mail-Adresse der Steuerberatung. Nur zur Verarbeitung übertragen, nicht gespeichert: Fotos für das Ausfüllen per Foto (Abschnitt 1.2); der Server speichert nur die Anzahl der Anfragen je Konto und Tag.

3.2 Hash-Kette

• Jeder Eintrag erhält eine Prüfsumme nach SHA-256. Sie wird berechnet aus der Prüfsumme des vorhergehenden Eintrags und dem Eintrag selbst (Kennung, Fahrzeug, laufende Nummer, Gerätezeit, Inhalt) in einer festgelegten Schreibweise mit sortierten Feldern. Der erste Eintrag eines Fahrzeugs wird an einen festen Startwert (64 Nullen) angehängt. Jedes Fahrzeug hat seine eigene Kette.
• Wird ein gespeicherter Eintrag nachträglich verändert, entfernt oder umgestellt, passt seine Prüfsumme oder die Verkettung zum Nachfolger nicht mehr. Die Prüfung nennt dann die Nummer des ersten betroffenen Eintrags. Das Entfernen der letzten Einträge am Ende des Protokolls beschädigt die Kette nicht. Bereits vom Server bestätigte Einträge kann die Datenbank des Handys nicht löschen (Abschnitt 3.3); bei noch nicht übertragenen Einträgen wäre ein Entfernen nur im Vergleich mit früher exportierten Berichten erkennbar (Abschnitt 4.5).
• Geprüft wird: vom Server bei jedem eingehenden Stapel; von der App beim Übernehmen eines Fahrzeugs auf ein Handy und beim Abgleich mit Einträgen anderer Handys. Der Server hat außerdem eine Prüffunktion, die die gespeicherte Kette eines Fahrzeugs vollständig nachrechnet; sie ist nur über die Programmierschnittstelle erreichbar, nicht in der App.
• Der PDF-Bericht nennt die Prüfsumme des letzten Protokolleintrags zum Zeitpunkt der Erstellung.

3.3 Unveränderbarkeit

• Server: Die Datenbank verhindert durch eine Regel (Trigger) jedes Ändern, Löschen und Leeren der Tabelle mit den Einträgen. Die einzige Ausnahme ist das Löschen des Kontos durch den Nutzer (Abschnitt 4.2); dabei wird die Ausnahme nur für diesen einen Löschvorgang freigegeben. Für einzelne Fahrzeuge gibt es keine Löschfunktion, nur die Archivierung (Abschnitt 2.2).
• Handy: Die Datenbank des Handys verhindert jedes Ändern von Einträgen und das Löschen von Einträgen, die der Server bestätigt hat. Noch nicht übertragene Einträge können nur beim Abgleich mit anderen Handys neu angehängt werden (Abschnitt 3.1, Schritt 4); Inhalt, Kennung und Gerätezeit bleiben dabei gleich, laufende Nummer und Prüfsumme ändern sich. Dieser Vorgang läuft in einer einzigen Datenbanktransaktion. Die App selbst bietet keine Funktion zum Ändern oder Löschen von Einträgen. Ein Eingriff außerhalb der App, etwa durch Zugriff auf die Datenbankdatei des Handys, wird für noch nicht übertragene Einträge durch die Kette nur teilweise erkennbar (Abschnitt 3.2).
• Beim Löschen des Kontos werden auch die Daten auf dem Handy gelöscht, auf dem das Konto gelöscht wird.

3.4 Zeitstempel und Serverzeit

Grenzen. Die Uhr des Handys kann vom Nutzer verstellt werden (z. B. durch Zurückstellen des Datums). Die App kann das selbst nicht erkennen. Der Server vermerkt beim Abgleich Abweichungen von mehr als 10 Minuten und verspätet eingegangene Zuordnungen (unten), beurteilt aber nur Einträge, die ihn erreicht haben; bis zum Abgleich trägt ein Eintrag nur die Gerätezeit. Die Prüfsummen-Kette macht spätere Änderungen an gespeicherten Einträgen bei einer Nachrechnung sichtbar, kann aber für sich allein nicht beweisen, wann ein Eintrag gemacht wurde. Der Steuerpflichtige soll deshalb die Uhr des Handys automatisch einstellen lassen und die Berichte zeitnah exportieren und weitergeben (Abschnitt 4.5): Ein Bericht, der zeitnah an die Steuerberatung oder an einen Dritten übergeben wurde, belegt den Stand der Aufzeichnung zu diesem Zeitpunkt.

• Jeder Eintrag trägt die Gerätezeit seiner Entstehung. Sie ist Teil der Prüfsumme.
• Beim Eingang vermerkt der Server zusätzlich, außerhalb der Prüfsumme: Eingangszeit nach Serveruhr, Abweichung der Geräteuhr von der Serveruhr beim Senden sowie zwei Kennzeichen. Diese Angaben werden einmal beim Speichern geschrieben und sind danach wie der Eintrag selbst gegen Änderung geschützt.
• „Zeit nachträglich“ wird vermerkt, wenn die Geräteuhr beim Senden um mehr als 10 Minuten von der Serveruhr abweicht, wenn die Gerätezeit eines Eintrags mehr als 10 Minuten nach seiner Eingangszeit liegt oder wenn sie mehr als 10 Minuten vor der Gerätezeit des vorhergehenden Eintrags derselben Übertragung liegt. Bei einer nachgetragenen Fahrt mit diesem Vermerk gilt die Eingangszeit beim Server als Zeitpunkt des Eintrags (Abschnitt 2.4).
• „spät synchronisiert (nach Fristende eingegangen)“ wird vermerkt, wenn eine Zuordnung erst nach Ablauf der 7-Tage-Frist beim Server eingeht, auch wenn ihre Gerätezeit innerhalb der Frist liegt.
• Aus Zeitgründen wird kein Eintrag abgewiesen; es wird nur vermerkt (die Fristprüfung nach der Gerätezeit des Eintrags, Abschnitt 2.7, bleibt davon unberührt). So bleibt eine ehrlich offline erfasste Zuordnung erhalten, und zugleich erscheint keine nach Fristende eingegangene Zuordnung im Bericht als rechtzeitig.
• Beide Vermerke stehen im PDF-Bericht in der Spalte „Bemerkungen“ (bei Kilometerständen unter „Tacho-Abgleich“), in der CSV-Datei in der Spalte „Zeitprüfung“, jeweils mit Gerätezeit und Eingangszeit beim Server, und nur in einem Bericht aus den Daten des Servers (Abschnitt 2.12).
• Für die Verbrauchsnotiz (Abschnitt 2.13) und die Bestätigung einer Überschneidung (Abschnitt 2.9) werden die Vermerke nicht in die Berichte übernommen; der Server speichert auch für diese Einträge die Eingangszeit.

3.5 Datensicherung

• Die Datenbank des Servers wird von Microsoft Azure automatisch gesichert; die Sicherungen erlauben eine Wiederherstellung zu einem beliebigen Zeitpunkt der letzten 7 Tage (Point-in-Time) und werden 7 Tage aufbewahrt.
• Jedes Handy, auf dem ein Fahrzeug genutzt wird, hält eine vollständige Kopie des Protokolls dieses Fahrzeugs; auf einem neuen Handy lässt sich ein Fahrzeug aus dem Konto holen (Abschnitt 2.11).
• Eine Sicherung des Handys durch das Betriebssystem (iCloud oder Finder unter iOS, Android-Datensicherung unter Android; die App schließt sie nicht aus) gehört dem Nutzer; der Hersteller hat keinen Zugriff darauf und sagt nicht zu, dass sie vollständig oder wiederherstellbar ist.
• Eine Langzeitarchivierung über die Laufzeit des Kontos hinaus bietet der Hersteller nicht an. Die Aufbewahrung über die gesetzliche Frist erfolgt durch den Nutzer über die exportierten Berichte (Abschnitt 4.2).

3.6 Hosting und Sicherheit

• Server und Datenbank laufen bei Microsoft Azure in der Region North Europe (Irland, EU). Der Versand der Anmeldecodes per E-Mail erfolgt über Azure Communication Services mit Datenspeicherort Europa. Das Ausfüllen per Foto nutzt Azure OpenAI mit Verarbeitung in der EU.
• Die Verbindung zwischen App und Server ist mit HTTPS verschlüsselt, die Verbindung zur Datenbank mit TLS.
• Nur das Konto, dem ein Fahrzeug gehört, kann dessen Protokoll lesen oder ergänzen. Anmeldecodes und Anmeldeschlüssel speichert der Server nur als Prüfwerte.
• Auf dem Handy liegt das Fahrtenbuch in der Datenbank der App im geschützten Speicherbereich der App; die Anmeldedaten liegen im sicheren Speicher des Betriebssystems (Keychain bzw. Keystore). Der Schutz des Handys (Gerätesperre, Betriebssystem) liegt beim Nutzer. Der Standort wird nur während einer aufgezeichneten Fahrt und nur auf dem Handy aufgezeichnet; an den Server gehen die Koordinaten von Start und Ziel, nicht der Streckenverlauf. Der Adressdienst des Betriebssystems erhält die Koordinaten von Start und Ziel (Abschnitt 2.3); das ist ein Dienst der Plattform, nicht des Herstellers.

3.7 Programmänderungen

• Server: Änderungen am Datenbankaufbau werden als nummerierte Migrationen beim Start des Servers in fester Reihenfolge angewendet, jede in einer eigenen Transaktion. Eine bereits angewendete Migration ist durch eine Prüfsumme gegen nachträgliche Änderung gesichert; der Server startet sonst nicht.
• Programmänderungen der App erscheinen als App-Aktualisierungen über den App Store bzw. Google Play; Änderungen am Server spielt der Hersteller ein. Die Datenbank der App kann dabei in ihrem Aufbau angepasst werden; Inhalt und Prüfsummen gespeicherter Einträge bleiben unverändert.
• Gespeicherte Einträge werden durch Programmänderungen nicht umgeschrieben. Neue Eintragsarten (z. B. „Fahrt nachgetragen“, „Verbrauch notiert“) kommen hinzu, ohne dass sich die Auswertung älterer Protokolle ändert. Berichte werden bei jedem Export aus dem Protokoll neu berechnet.
• Diese Verfahrensdokumentation wird bei Änderungen des Verfahrens mit neuer Version und neuem Datum fortgeschrieben.

4 Betriebsdokumentation

4.1 Aufgabenteilung

4.2 Aufbewahrung (§ 147 AO) und Löschen des Kontos

• Steuerliche Aufzeichnungen sind aufzubewahren; die Frist richtet sich nach § 147 AO und beträgt je nach Unterlage 6, 8 oder 10 Jahre. Was für den Steuerpflichtigen gilt, klärt seine Steuerberatung. Diese Pflicht trifft den Steuerpflichtigen; der Hersteller bewahrt für ihn nichts auf.
• Solange das Konto besteht, bleibt das Protokoll jedes Fahrzeugs auf dem Server gespeichert, auch für archivierte Fahrzeuge. Eine automatische Löschung nach Zeitablauf gibt es nicht.
• Beim Löschen des Kontos (in der App unter Einstellungen → Konto löschen) löscht der Server sofort und in einem Vorgang alle Einträge, Fahrzeuge und Kontodaten; auf dem Handy werden die lokalen Daten ebenfalls gelöscht. In den automatischen Datensicherungen (Abschnitt 3.5) sind sie danach noch bis zu 7 Tage enthalten. Der Hersteller kann ein gelöschtes Fahrtenbuch nicht wiederherstellen. Das Löschen setzt eine Verbindung zum Server voraus; ist der Server nicht erreichbar, bleibt alles unverändert.
• Die App weist vor dem Löschen auf die Aufbewahrungspflicht hin und bietet „Erst exportieren“ an. Der Export ist nicht verpflichtend und erfolgt je Fahrzeug für einen Monat, ein Jahr oder einen frei gewählten Zeitraum.
• Der Nutzer muss deshalb vor dem Löschen des Kontos für jedes Fahrzeug die Berichte für seinen ganzen Zeitraum als PDF und als CSV exportieren (nicht als „Vorläufig“ gekennzeichnet) und diese Dateien selbst für die Dauer der Aufbewahrungsfrist aufbewahren. Nach dem Löschen sind die Aufzeichnungen nur noch in diesen Dateien vorhanden.

4.3 Datenzugriff der Finanzverwaltung

Die Finanzverwaltung erhält die Aufzeichnungen über die exportierten Berichte: die CSV-Datei als maschinell auswertbaren Datenträger, das PDF zur Ansicht. Ein unmittelbarer Lesezugang für Prüfer zur App oder zum Server ist nicht vorgesehen.

4.4 Störungen und Geräteverlust

• Einträge, die noch nicht mit dem Server abgeglichen wurden, liegen nur auf dem Handy. Geht das Handy vorher verloren, wird es zurückgesetzt oder wird die App gelöscht, sind diese Einträge verloren, soweit keine Sicherung des Betriebssystems (Abschnitt 3.5) und keine exportierten Berichte vorhanden sind. Der automatische Abgleich (Abschnitt 3.1) verkürzt diese Zeit, setzt aber eine geöffnete App mit Netzverbindung voraus. Bereits abgeglichene Einträge liegen auf dem Server und lassen sich auf einem neuen Handy übernehmen (Abschnitt 2.11).
• Ist der Server nicht erreichbar, arbeitet die App weiter; Berichte sind dann als „Vorläufig – nicht synchronisiert“ gekennzeichnet (Abschnitt 2.12), und der Abgleich wird wiederholt (Abschnitt 3.1).
• Beendet das Betriebssystem die App während einer Fahrt oder wird das Handy neu gestartet, bleiben die bis dahin aufgezeichneten Punkte erhalten; die Aufzeichnung wird beim nächsten Öffnen der App fortgesetzt (Abschnitt 2.3). Die Zeit dazwischen ist als GPS-Lücke gekennzeichnet, wenn sie die Bedingungen in Abschnitt 2.3 erfüllt.
• Stromsparfunktionen des Herstellers oder eine entzogene Standortfreigabe können die Aufzeichnung unterbrechen. Fehlende Kilometer zeigen die Kennzeichnung „GPS-Lücke“ und der Abgleich mit dem Kilometerstand („Nicht erfasste Fahrt(en)“).

4.5 Ergänzungen durch den Steuerpflichtigen

Der Steuerpflichtige ergänzt diese Dokumentation um seine eigenen Festlegungen, insbesondere:

• welche Fahrzeuge (Kennzeichen) mit der App geführt werden und ab wann,
• wer das Fahrzeug fährt und die App bedient,
• wann der Kilometerstand abgelesen wird (z. B. am ersten und letzten Tag jedes Monats),
• wann und wie nachgetragene Fahrten erfasst werden,
• wann und wie oft exportiert wird,
• wo und wie die exportierten Berichte für die Dauer der Frist nach § 147 AO aufbewahrt werden.

Zusätzlich empfohlene organisatorische Maßnahmen. Weil die Fristen auf der Uhr des Handys beruhen und der Server Abweichungen nur beim Abgleich vermerkt, sollte der Steuerpflichtige folgende Maßnahmen festlegen und einhalten:

• Den Monatsbericht (PDF und CSV) jedes Fahrzeugs zeitnah nach Monatsende exportieren und an die Steuerberatung übergeben, am besten auf einem Weg, der selbst einen Zeitpunkt festhält (z. B. per E-Mail). Der Zeitpunkt der Übergabe belegt den Stand der Aufzeichnung zu diesem Zeitpunkt und damit die Zeitnähe. Dabei einen nicht als „Vorläufig“ gekennzeichneten Bericht weitergeben; ein vorläufiger Bericht sollte nach dem Abgleich neu erstellt werden.
• Alle exportierten Berichte für die Dauer der Frist nach § 147 AO unverändert aufbewahren (je nach Unterlage 6, 8 oder 10 Jahre; die für ihn geltende Frist klärt der Steuerpflichtige mit seiner Steuerberatung). Die im PDF genannte Prüfsumme des letzten Protokolleintrags erlaubt es, einen späteren Stand des Fahrtenbuchs mit dem Stand zum Zeitpunkt des Exports zu vergleichen.
• Die Uhr des Handys auf automatische Einstellung (Datum und Uhrzeit vom Netz) stellen und Datum und Uhrzeit nicht von Hand ändern; die App berechnet die 7-Tage-Frist und die 31-Tage-Grenze nach dieser Uhr.
• Das Handy mit einer Gerätesperre schützen.

5 Internes Kontrollsystem (automatische Prüfungen)

5.1 In der App

5.2 Auf dem Server

Überschneidungen nachgetragener Fahrten und deren Kilometerstände gegenüber Ablesungen prüft nur die App: Einträge eines anderen Handys können vorher beim Server eingehen, und ein bereits verketteter Eintrag kann nicht mehr abgewiesen werden. Solche Überschneidungen erscheinen als „Überschneidende Fahrten“ (Abschnitt 2.9).

5.3 Im Bericht

• Tacho-Abgleich: Für den gewählten Zeitraum werden die Kilometer laut Tacho (erste bis letzte Ablesung) mit den per GPS erfassten Kilometern verglichen und die Abweichung ausgewiesen. Zusätzlich wird jede Ablesung mit dem fortgeschriebenen Stand verglichen (Abschnitt 2.12). Als unauffällig gilt eine Abweichung bis zum größeren Wert von 1 km und 3 % der Tacho-Strecke (Festlegung des Herstellers, kein gesetzlicher Wert).
• Mehr-Kilometer über der Toleranz erscheinen als Zeile „Nicht erfasste Fahrt(en)“ und werden als privat gezählt; eine Ablesung unter dem fortgeschriebenen Stand erzeugt eine Warnung.
• Geschäftsfahrten ohne Pflichtangaben nach Fristablauf und nach Fristablauf nachgetragene Geschäftsfahrten werden als privat gezählt und gekennzeichnet.
• Fahrten mit GPS-Lücke und nachgetragene Fahrten werden gekennzeichnet.
• Korrekturen werden mit allen geänderten Werten alt → neu und Begründung ausgegeben.
• Stornierte und geteilte Ursprungsfahrten werden aufgeführt, aber nicht gezählt; ebenso stornierte Belege.
• Ungeklärte Überschneidungen werden an der jeweiligen Fahrt ausgegeben, Zeitvermerke des Servers nur im Bericht aus den Daten des Servers (Abschnitt 2.12).
• Die Prüfsumme des letzten Protokolleintrags wird ausgegeben.
• Die Verbrauchsnotiz steht nur in der CSV-Datei (Abschnitt 2.13).

5.4 Bekannte Grenzen dieser Version

• Fahrten werden nur aufgezeichnet, wenn der Nutzer sie startet. Vergessene Fahrten zeigen sich im Tacho-Abgleich und können innerhalb von 31 Tagen gekennzeichnet nachgetragen werden (Abschnitt 2.4); ältere fehlende Kilometer bleiben in der Zeile „Nicht erfasste Fahrt(en)“ und zählen als privat.
• Die Strecke einer Fahrt mit GPS-Lücke enthält für die Lücke nur die Luftlinie und kann daher zu kurz sein.
• Fahrzeugdaten (Bezeichnung, Kennzeichen, Nutzungsart, Antrieb, Archivierung) sind Stammdaten außerhalb des verketteten Protokolls. Sie können geändert werden; der Bericht gibt den Stand zum Zeitpunkt der Erstellung aus.
• Berichte gibt es je Fahrzeug; einen Export des vollständigen Protokolls gibt es in der App nicht.
• Die Prüfung der gesamten Kette ist nur über die Programmierschnittstelle des Servers aufrufbar, nicht in der App.
• Fotos (Tacho, Fahrzeugschein, Bordcomputer, Beleg) werden nicht gespeichert; erfasst werden nur die bestätigten Zahlen und Angaben.
• Der automatische Abgleich findet nur statt, solange die App geöffnet ist; ein Abgleich bei geschlossener App findet nicht statt.
• Zeit. Der Zeitpunkt eines Eintrags, die 7-Tage-Frist und die 31-Tage-Grenze beruhen in der App auf der Uhr des Handys. Der Nutzer kann die Uhr verstellen, die App erkennt das nicht. Der Server vermerkt Abweichungen („Zeit nachträglich“, „spät synchronisiert“) nur für Einträge, die ihn erreicht haben, nur ab 10 Minuten Abweichung, und weist deswegen keinen Eintrag ab.
• Die Kette beweist keinen Zeitpunkt. Die Prüfsummen-Kette macht spätere Änderungen an gespeicherten Einträgen bei einer Nachrechnung sichtbar, belegt aber allein nicht, wann ein Eintrag gemacht wurde. Zeitnähe belegen vor allem die Eingangszeit des Servers und zeitnah exportierte und weitergegebene Berichte (Abschnitte 3.4, 4.5).
• Vorläufige Berichte. Ein Bericht aus dem Protokoll des Handys enthält keine Zeitvermerke des Servers und ist als „Vorläufig – nicht synchronisiert“ gekennzeichnet (Abschnitt 2.12).
• Noch nicht abgeglichene Einträge. Sie liegen nur auf dem Handy (Abschnitt 4.4). Die Datenbank des Handys sperrt das Löschen nur für vom Server bestätigte Einträge (Abschnitt 3.3).
• Verbrauchsnotiz. Sie ist eine freiwillige Zusatznotiz ohne Frist (Abschnitt 2.13); im Bericht erscheint nur die zuletzt notierte Menge, und nur in der CSV-Datei.