Kostenlose Tools für Geschäftsführer: Fristen und Kennzahlen selbst prüfen

Inhalt in Kürze

• Neun kostenlose Werkzeuge, mit denen eine Geschäftsführung Pflichten und die eigenen Zahlen prüft. Keines verlangt ein Konto.
• Drei haben wir bei Yupana gebaut, vier stammen von frag.hugo. Die frag.hugo Informationssicherheit GmbH betreibt auch Yupana, die Auswahl ist also nicht unabhängig.
• Ab dem 1. Januar 2027 müssen Unternehmen mit mehr als 800.000 € Vorjahresumsatz E-Rechnungen ausstellen, ab 2028 alle (§ 27 Abs. 38 UStG).
• Der Median deutscher DSGVO-Bußgelder liegt in der frag.hugo-Datenbank bei 62.500 € (Stand Oktober 2026). Millionenbeträge sind die Ausnahme.
• Der Kennzahlen-Check misst die eigenen Jahreszahlen an der Bundesbank-Statistik für 58 Wirtschaftszweige.

Ab dem 1. Januar 2027 müssen Unternehmen mit mehr als 800.000 € Vorjahresumsatz E-Rechnungen ausstellen, ein Jahr später alle. So steht es in § 27 Abs. 38 UStG, und es ist nur eine von mehreren Fristen bis Ende 2027.

Für diese Liste haben wir neun Werkzeuge ausgewählt, die Fragen zu Pflichten und Zahlen mit einer belegten Angabe beantworten. Drei davon haben wir selbst gebaut. Dazu kommen ein Test der niederländischen Regierung und eine Software der französischen Datenschutzbehörde.

Vier stammen von frag.hugo. Die frag.hugo Informationssicherheit GmbH betreibt auch Yupana, wir empfehlen hier also aus dem eigenen Haus. Sie stehen in der Liste, weil sie Fristen und Datenschutz abdecken, die wir nicht bauen.

Eine E-Rechnung ist eine Datei, die eine Maschine lesen muss

Eine E-Rechnung ist ein strukturierter Datensatz nach der europäischen Norm EN 16931; ein gewöhnliches PDF erfüllt die Pflicht nicht.

1. E-Rechnung prüfen (Yupana)

Ihr Rechnungsprogramm bekommt im Dezember ein Update für die E-Rechnung. Die erste echte Rechnung im neuen Format soll an einen Stammkunden gehen, und Sie wollen vorher sehen, was dort ankommt.

Dafür haben wir das Werkzeug XRechnung und ZUGFeRD prüfen gebaut. Es zeigt die Rechnung im Klartext, erkennt Format und Profil und prüft 11 Pflichtangaben, jede mit ihrer Nummer aus der Norm.

Dazu kommen 6 Rechenproben, etwa ob Netto plus Steuer den Bruttobetrag ergibt. Gerechnet wird in ganzen Cent. Mit Kommazahlen weicht eine Summe am Rechner gelegentlich um einen Cent ab, und das Werkzeug hätte korrekte Rechnungen als falsch gemeldet.

Wer an Behörden liefert, braucht außerdem die Leitweg-ID, die Empfängeradresse im Behördennetz. Auch sie fragt das Werkzeug ab. Es erkennt zudem die beiden ZUGFeRD-Profile MINIMUM und BASIC WL, die als Rechnung nicht ausreichen.

1. Datei exportieren Die Testrechnung als XML oder als PDF mit eingebettetem XML speichern.
2. Im Browser öffnen Die Datei bleibt auf Ihrem Rechner, das Werkzeug läuft auch ohne Netz.
3. Befunde weitergeben Jede fehlende Pflichtangabe und jede abweichende Summe geht an den Softwareanbieter.

Für die vollständige Konformitätsprüfung mit allen Schematron-Regeln, also den maschinenlesbaren Prüfregeln des Standards, ist der Validator der KoSIT zuständig. Unser Werkzeug macht eine schnelle Vorprüfung und erstellt selbst keine Rechnungen.

Was die Pflicht im Einzelnen verlangt, steht in unserem Beitrag zu E-Rechnung: Pflichten und Fristen.

Mit dem Rechnungsversand per Mail wird die Absenderdomain Teil der Rechnung

Wer Rechnungen als Mail-Anhang verschickt, braucht eine Absenderdomain, die moderne Standards gegen gefälschte Absender erfüllt.

2. internet.nl (Niederlande)

Die Kundin in der Buchhaltung Ihres größten Abnehmers soll eine echte Rechnung von Ihnen von einer gefälschten unterscheiden können. Das hängt weniger an der Rechnung als an der Domain, von der sie kommt.

Der Test internet.nl prüft Website und Mail-Domain gegen aktuelle Internetstandards und zeigt das Ergebnis in Prozent. Wer bei beidem 100 % erreicht, kommt in die Hall of Fame; dort standen am 21.10.2026 4.807 Domains.

Das Ergebnis ist technisch formuliert und braucht Ihre IT zur Umsetzung. Was in den Postfächern selbst passiert, sieht der Test nicht.

Die eigenen Zahlen brauchen einen Maßstab

Ob eine Personalquote hoch oder niedrig ist, zeigt erst der Median der eigenen Branche.

3. Kennzahlen-Check (Yupana)

In der Gesellschafterversammlung liegt der Jahresabschluss auf dem Tisch. Jemand fragt, ob die Personalquote für die Branche normal ist, und niemand im Raum hat eine Vergleichszahl.

Der Kennzahlen-Check rechnet aus sechs Jahreszahlen, von der Gesamtleistung bis zum Eigenkapital, fünf Kennzahlen. Jede steht danach neben Median und Quartilen Ihrer Branche.

Der Maßstab ist die Jahresabschlussstatistik der Deutschen Bundesbank, Berichtsjahr 2024, mit 58 Wirtschaftszweigen und 54.316 erfassten Firmen. Wählbar sind vier Größenklassen nach Umsatz und die Branche insgesamt.

Die Statistik ist zu großen Unternehmen und Kapitalgesellschaften hin verzerrt. Ein Einzelunternehmer ohne Geschäftsführergehalt liegt bei der Personalquote deshalb systematisch unter dem Median. Wie man solche Abweichungen deutet, erklärt der Beitrag Branchenkennzahlen richtig lesen.

Wer die Kennzahlen jeden Monat statt einmal im Jahr sehen will, braucht ein laufendes Controlling aus der BWA.

4. BWA-Werkbank (Yupana)

Sie haben eine zweite Geschäftsführerin berufen, die aus der Technik kommt. Ab dem nächsten Monat soll sie die BWA mitlesen, die betriebswirtschaftliche Auswertung der Kanzlei, und sie hat noch nie eine gesehen.

Die BWA-Werkbank zeigt eine vollständige Muster-BWA mit 32 Zeilen, davon 9 Summenzeilen. Jede Zeile klappt auf und erklärt, was sie bedeutet. Eigene Zahlen lassen sich eintippen, die Summen rechnen mit.

Unter jeder Zeile steht, was sie nicht aussagt, weil dort die meisten Fehldeutungen entstehen. Eine Sammlung davon steht im Beitrag zu BWA-Zeilen, die oft falsch gelesen werden.

Die Werkbank liest keine Datei ein und zeigt nur einen Monat, ohne Verlauf und ohne Planung. Die Kennzahlen mit Formel sammelt die Übersicht BWA verstehen.

Der Data Act erreicht ab 2027 auch Verträge, die längst unterschrieben sind

Ab dem 12. September 2027 gelten die Regeln des Data Act gegen unfaire Datenklauseln auch für Verträge, die vor diesem Tag geschlossen wurden.

5. Fristenkalender (frag.hugo)

Ein Maschinenlieferant will den Wartungsvertrag verlängern. Im alten Vertrag von 2021 steht, dass alle Betriebsdaten der Anlage ihm gehören.

Der Fristenkalender von frag.hugo zeigt Pflichten aus DSGVO, NIS2, Data Act, E-Rechnung und weiteren Gesetzen auf einem Zeitstrahl. 27 Fristen gelten schon, 18 kommen noch (Stand Oktober 2026).

Jedes Datum trägt ein wörtliches Zitat aus der Primärquelle. Für den Vertrag von 2021 folgt daraus, dass er ab September 2027 an denselben Maßstäben gemessen wird wie ein neuer.

Ob die Datenklausel in Ihrem Wartungsvertrag unfair ist, sagt der Kalender nicht. Er sagt nur, ab wann die Regel greift.

Millionenbußgelder sind in Deutschland die Ausnahme

In der DSGVO-Bußgeld-Datenbank liegt der Median deutscher Bußgelder bei 62.500 €, der Durchschnitt bei 1,5 Mio. € (Stand Oktober 2026).

6. DSGVO-Bußgeld-Datenbank (frag.hugo)

Beim Unternehmerstammtisch erzählt jemand von einem Autohaus, das wegen Datenschutz zahlen musste. Am nächsten Morgen wollen Sie wissen, ob das ein Einzelfall war.

Die Datenbank sammelt 101 belegte Fälle von 2018 bis 2026, 62 davon aus Deutschland. Den Abstand zwischen Median und Durchschnitt erklärt ein einziger Fall: Vodafone zahlte 45 Mio. €, das sind 47 % der deutschen Summe (laut Datenbank).

Teuer wird es in Deutschland vor allem, wenn die Rechtsgrundlage fehlt. Dazu gibt es 9 Fälle mit einem Median von 300.000 € (laut Datenbank). Gerichte haben drei Bescheide nachträglich auf je 900.000 € gesenkt.

Wer seine Branche filtert, findet oft nur zwei, drei Fälle. Für einen Median ist das zu dünn.

7. DSGVO-Bußgeldrechner (frag.hugo)

Eine Mitarbeiterin hat eine Kundenliste an den falschen Verteiler geschickt, die Meldung an die Aufsichtsbehörde ist raus. Für die Planung der nächsten Monate wollen Sie wissen, mit welcher Größenordnung zu rechnen wäre.

Aus Jahresumsatz, Art des Verstoßes, Schweregrad und Umständen errechnet der DSGVO-Bußgeldrechner einen Korridor von–bis. Grundlage ist das Bußgeldmodell der Datenschutzkonferenz, gegengeprüft mit den EDSA-Leitlinien 04/2022.

Der Schweregrad multipliziert den Grundbetrag, bei einem sehr schweren materiellen Verstoß mit 12 bis 16. Die Obergrenze 16 setzt frag.hugo selbst, das Modell lässt sie offen (laut Rechner).

Ein Urteil nimmt der Rechner nicht vorweg. Den Betrag tragen Sie deshalb als Szenario in die Liquiditätsplanung ein, nicht als feste Größe.

Neue Software und neue Überwachung brauchen vorher eine Prüfung

Bei einer Verarbeitung mit voraussichtlich hohem Risiko verlangt Art. 35 DSGVO eine Datenschutz-Folgenabschätzung, bevor die Verarbeitung beginnt.

8. DSGVO-Prüfstand (frag.hugo)

Die Buchhaltung will Mahntexte mit ChatGPT schreiben, mit Namen und offenen Beträgen der Kunden.

Im Prüfstand für verbreitete Software hat frag.hugo sieben Programme an zehn Kriterien gemessen, belegt mit 172 Zitaten. Alle sieben bekamen das Urteil „Mit Auflagen“. ChatGPT ist mit personenbezogenen Daten nur in den Tarifen Business oder Enterprise einsetzbar.

Ihre Buchhaltungssoftware steht nicht auf der Liste der sieben, und ein Urteil ersetzt keinen Vertrag zur Auftragsverarbeitung.

9. PIA-Software der CNIL (Frankreich)

Im Lager häufen sich Inventurdifferenzen, und es soll eine Videoüberwachung geben. Ihre Datenschutzbeauftragte bittet vorher um eine Folgenabschätzung.

Die französische Datenschutzbehörde CNIL bietet dafür die freie PIA-Software an. Sie führt Schritt für Schritt durch die Abschätzung und läuft unter Windows, Linux und macOS, ohne Konto.

Das Programm ordnet die Arbeit; bewerten muss weiter jemand, der die Verarbeitung im eigenen Haus kennt.

Neun Werkzeuge und wofür Sie sie brauchen

Die Übersicht ordnet jedem Werkzeug die Pflicht oder den Anlass zu, auf den es antwortet.

Die Zahlen stammen von den Werkzeugseiten, Stand Oktober 2026.

Wer weiter in den Datenschutz einsteigen will, findet bei frag.hugo 18 kostenlose Datenschutz-Werkzeuge, nach Frage sortiert.

Der Preis ist weder ein Konto noch eine E-Mail-Adresse

Bei vielen Gratis-Angeboten zahlt man mit Kontaktdaten. Wer das erwartet, öffnet solche Werkzeuge oft gar nicht erst.

Wir haben lange nach dem richtigen Werkzeug gesucht und irgendwann gemerkt, dass wir zuerst eine andere Frage beantworten mussten: Wer entscheidet das eigentlich bei uns?

Jens Hagel, Mitgründer der frag.hugo Informationssicherheit GmbH

Was je nach Umsatz und Anlass zuerst dran ist

Ihr Vorjahresumsatz liegt über der Schwelle. Die Ausstellpflicht beginnt am 1. Januar 2027. Schicken Sie die erste Testrechnung jetzt durch die Vorprüfung, und sehen Sie im Fristenkalender nach, was danach kommt.

Ihr Umsatz liegt darunter. Ihre Pflicht beginnt am 1. Januar 2028, Sie haben also ein Jahr mehr. Nutzen Sie es für die Absenderdomain und für den Wechsel des Rechnungsprogramms, solange niemand drängt.

Der Jahresabschluss ist gerade fertig. Sechs Zahlen in den Kennzahlen-Check, bevor die Gesellschafter fragen. Wer neu in der Geschäftsführung ist, liest vorher eine Stunde in der BWA-Werkbank.

Eine neue Software soll Kundendaten bekommen. Erst in den Prüfstand sehen, dann den Vertrag unterschreiben. Geht es um Kameras oder andere Überwachung, gehört die Folgenabschätzung davor.

Eine Datenpanne ist passiert. Vergleichbare Fälle in der Datenbank suchen, den Korridor im Rechner bestimmen, danach mit der Datenschutzbeauftragten sprechen.

Wer vor einer Entscheidung den Branchenmedian, das Datum der Pflicht und den Median vergleichbarer Bußgelder kennt, braucht keine Schlagzeile als Maßstab.