Mitarbeiter-PIN im Kassensystem statt gemeinsamem Login (2026)

Sechs Kellner, eine Kasse, ein Login namens "Personal". Wenn am Samstagabend 180 € fehlen, liefert dir dieses Setup genau einen Verdächtigen: alle.

Die Kurzfassung: Jeder, der an der Kasse steht, braucht seinen eigenen Mitarbeiter-PIN. Nie geteilt, am Tag der Kündigung abgeschaltet. Ein Sammel-Login ist keine kleine Abkürzung. Er löscht den Namen aus jedem Storno, jedem Rabatt, jeder Retoure und jedem Kassensturz — und in Deutschland ist das nicht nur unpraktisch, sondern ein Problem mit dem Finanzamt. Einzelne PINs kosten bei fast jedem modernen Kassensystem nichts, sind in rund 20 Minuten eingerichtet und kosten beim Schichtwechsel etwa zwei Sekunden.

Und der Teil, den kaum jemand auf dem Zettel hat: Am meisten schadet ein geteilter Login meistens der Schichtleitung. Auf dem Papier steht ihr Name unter allem, was sie nie gemacht hat.

Gehen wir durch, was ein Sammel-Login wirklich kostet — und wie du das bis Freitag reparierst.

Was ein gemeinsamer Kassen-Login dich wirklich kostet

Es sieht harmlos aus. Ein Konto, ein PIN unter der Kasse festgeklebt, alle sind schnell. Dann kommen die Probleme leise um die Ecke.

Du verlierst das "wer". Deine Kasse zeichnet weiter jeden Storno, jeden Rabatt und jede Retoure auf. Sie stempelt nur immer denselben Namen darauf. Am Ende hast du eine schöne Auswertung über eine Person, die es gar nicht gibt.

Deine Schichtleitung trägt die Schuld. Wenn die Schichtleitung die Kasse um 16 Uhr aufschließt und sie bis zum Feierabend offen bleibt, gehört ihr auf dem Papier jede Buchung des Abends. Vierzig Stornos, drei Retouren, 90 € Rabatt — alles unter einem Namen. Das ist nicht nur unfair. Es macht ausgerechnet die Person, der du am meisten vertraust, unentlastbar.

Du kannst mit keinem Fund etwas anfangen. Sagen wir, deine Rabattsumme verdoppelt sich in einem Monat. Mit eigenen PINs sind das zehn Minuten Auswertung und ein Gespräch mit einer Person. Mit einem Sammel-Login bleibt ein Rätsel, das du entweder ignorierst oder mit einem Generalverdacht behandelst. Genau so verlierst du gute Leute.

Eine Kündigung wird riskant. Wenn du dich wegen Geld von jemandem trennen musst, ist "das Sammelkonto war's" kein Beweis. Vor dem Arbeitsgericht zählt Dokumentation. Ein Protokoll mit einem einzigen anonymen Konto ist schlechter als gar keins — es beweist nämlich, dass du ein System hattest und es nicht funktioniert hat.

Und das Finanzamt sieht es auch. Dazu gleich mehr, aber die Kurzform: Die GoBD verlangen, dass ein Dritter nachvollziehen kann, wer was gebucht hat.

Nichts davon ist Theorie. Es ist überall dasselbe Gespräch: In den Zahlen stimmt etwas nicht, und keiner kann irgendetwas beweisen — in keine Richtung.

In Deutschland entscheidet das nicht der Chef, sondern § 146a AO

In den USA ist das eine Management-Frage. Hier ist sie weitgehend geregelt.

Jede elektronische Kasse in Deutschland braucht seit Jahren eine zertifizierte technische Sicherheitseinrichtung (TSE) — § 146a AO. Die TSE protokolliert jede Transaktion mit echter Uhrzeit und macht sie unveränderbar. Dazu kommen die GoBD mit drei Wörtern, die für dieses Thema alles entscheiden: Einzelaufzeichnung, Unveränderbarkeit, Nachvollziehbarkeit.

Nachvollziehbarkeit heißt konkret: Ein sachverständiger Dritter — also der Prüfer — muss sich in angemessener Zeit einen Überblick verschaffen können. Über die Geschäftsvorfälle und darüber, wer sie ausgelöst hat.

Und genau da wird der Sammel-Login zum Problem:

• Der DSFinV-K-Export, den du bei einer Prüfung herausgeben musst, hat ein Feld für den Bediener. Mit einem gemeinsamen Login steht auf jedem einzelnen Bon derselbe erfundene Name.
• Stornos, Rabatte und Änderungen dürfen nie gelöscht werden. Sie müssen protokolliert und einer Person zuzuordnen sein. Ohne PIN ist die Zuordnung eine Behauptung.
• 10 Jahre Aufbewahrung, maschinell auswertbar. Ein Protokoll ohne Namen ist zehn Jahre lang wertlos.
• Elektronische Kassen müssen außerdem über ELSTER gemeldet werden (§ 146a Abs. 4 AO, seit 1.1.2025; neue Systeme innerhalb eines Monats).

Ob ein Sammel-Login für sich allein schon ein formeller Mangel ist, entscheidet am Ende der Prüfer im Einzelfall. Aber du willst diese Diskussion nicht führen. Formelle Mängel an der Kassenführung enden regelmäßig in einer Hinzuschätzung nach § 162 AO — und die tut deutlich mehr weh als zwei Sekunden pro Schichtwechsel. Verstöße gegen § 146a AO sind zusätzlich eine Ordnungswidrigkeit mit bis zu 25.000 € Geldbuße (§ 379 AO).

Die Technik selbst kostet wenig: Cloud-TSE 5–15 € im Monat, Hardware-TSE 200–350 € einmalig. Mitarbeiterkonten sind bei praktisch jedem System inklusive.

Was die Kassennachschau nach § 146b AO sehen will

Die Kassennachschau kommt unangekündigt. Kein Termin, kein Brief. Der Prüfer steht mitten im Service da, zeigt seinen Ausweis und darf sofort in die Kasse schauen.

Er will typischerweise: den DSFinV-K-Export, das TSE-Zertifikat, die Verfahrensdokumentation, den Kassensturz und die Bons des Tages. Wenn er dann fragt, warum an diesem Dienstag um 20:14 Uhr ein Tisch über 78 € storniert wurde, hast du zwei Möglichkeiten. Entweder du zeigst den Namen im Protokoll — oder du erklärst es mündlich. Mündliche Erklärungen sind bei der Kassennachschau die schlechteste Währung, die es gibt.

Kleiner, aber wichtiger Punkt: Die TSE stempelt immer die echte Uhrzeit. Ein "Geschäftstag bis 4 Uhr" ist deshalb reine Auswertungs-Einstellung, nie eine Änderung am Beleg.

Die Verfahrensdokumentation: hier gehören deine PINs hinein

Die Verfahrensdokumentation ist der Teil der GoBD, den fast alle vergessen — und der bei jeder Prüfung als Erstes verlangt wird. Sie beschreibt schriftlich, wie deine Kasse arbeitet.

Zum Thema PINs gehört da hinein:

• Welche Rollen es gibt (Aushilfe, Kellner, Schichtleitung, Inhaber) und welche Rechte jede Rolle hat.
• Wer PINs vergibt und wer sie entzieht — mit Namen, nicht mit "die Geschäftsführung".
• Dass jeder Beschäftigte einen eigenen Zugang bekommt und PINs nicht weitergegeben werden dürfen.
• Was beim Austritt passiert und in welcher Frist (Antwort: am selben Tag).
• Wie Stornos und Rabatte genehmigt und begründet werden.

Das sind zwei DIN-A4-Seiten. Du schreibst sie einmal, hältst sie aktuell und legst sie bei der Prüfung auf den Tisch. Dein Steuerberater hat dafür meistens eine Vorlage.

Was ein Mitarbeiter-PIN ist (und was nicht)

Ein Mitarbeiter-PIN ist ein kurzer Zahlencode — meist 4 bis 6 Ziffern — der eine Person an der Kasse identifiziert. Ziffern tippen, und alles, was du in den nächsten Minuten machst, trägt deinen Namen.

Es ist kein Passwort und will auch keins sein. Hier werden keine Staatsgeheimnisse geschützt. Ein PIN beantwortet genau eine Frage: Wer steht gerade vor diesem Bildschirm?

Die meisten Kassensysteme lösen das auf zwei Arten:

• PIN pro Aktion. Die Kasse bleibt auf einem allgemeinen Bildschirm, und die PIN-Eingabe kommt bei jeder Buchung, die einen Namen braucht — Bestellung senden, kassieren, Rabatt geben.
• Gerät entsperren plus Mitarbeiter-Sitzungen. Die Schichtleitung entsperrt die Kasse einmal zum Servicestart. Danach melden sich die Leute mit ihrem PIN in ihre eigene Sitzung an und ab, mit einer Sperren-Taste zum Weitergeben.

Beides funktioniert. Das zweite ist auf einer vollen Fläche meistens schneller, weil das Gerät seinen langsamen Start nur einmal am Tag macht.

Welches Modell du nimmst, ist nicht der Punkt. Der Punkt ist, dass hinter jeder Buchung ein echter, einzelner Mensch steht.

Die fünf Dinge, die du nur mit eigenen PINs bekommst

Das ist der praktische Teil. Mit einem Sammelkonto ist jeder einzelne Punkt unmöglich.

1. Storno- und Rabattmuster pro Person. Stornos sind normal. Hat jeder. Nicht normal ist, wenn eine Kellnerin im gleichen Revier viermal so oft storniert wie alle anderen. Sehen kannst du das nur, wenn Buchungen Namen haben.

2. Retouren, die jemandem gehören. Die Retoure ist die meistmissbrauchte Funktion in jeder Kasse. Der Klassiker ist uralt und geht immer noch: Rechnung bar abschließen, warten bis der Gast weg ist, Retoure buchen, Bargeld behalten. Die Zuordnung ist die ganze Verteidigung. Wenn du das sauber aufsetzen willst, steht der komplette Ablauf hier: Retouren und Rückerstattungen im Restaurant richtig abwickeln.

3. Klarheit in der Kassenlade. Wenn beim Kassensturz 40 € fehlen, macht ein PIN-Protokoll aus "irgendwer" drei Leute, die in dieser Schicht tatsächlich bar kassiert haben. Meistens ist es ein Zählfehler oder falsches Wechselgeld, und du findest ihn in fünf Minuten, statt eine Woche lang schlecht drauf zu sein.

4. Trinkgeld, das beim Richtigen landet. Wenn Trinkgeld nach Umsatz aufgeteilt oder pro Bestellung erfasst wird, muss die Kasse wissen, wessen Bestellung das war. Ein geteilter Login macht aus dem Tronc jede Woche eine Diskussion.

5. Echte Leistungszahlen. Durchschnittsbon pro Kellner. Zusatzverkauf pro Kellner. Wer verkauft eigentlich das Dessert. Das ist der schöne Teil an PINs, den kaum jemand erwähnt: Es ist nicht nur Kontrolle, es ist der einzige Weg zu sehen, wer in deinem Team wirklich gut verkauft. Bau es in die Zahlen ein, die du sowieso montags anschaust: Kennzahlen für die Gastronomie.

Vier von diesen fünf Punkten haben nichts mit Diebstahl zu tun. Das ist die ehrliche Ansage an dein Team — und sie stimmt.

Rechte funktionieren nicht ohne PINs

Das ist der Teil, der am häufigsten übersehen wird.

Sagen wir, du hast das Vernünftige getan und Rollen sauber eingestellt: Kellner dürfen keine Retouren buchen, nur die Schichtleitung darf Rabatte geben, Rabatte sind gedeckelt. Sehr gut. Jetzt setz alle auf einen gemeinsamen Login und schau zu.

Dieser Login hat genau einen Satz Rechte. Ist es ein Konto auf Leitungsebene, hat plötzlich jede Aushilfe Chefrechte. Ist es ein Kellnerkonto, kann die Schichtleitung ihren Job nicht machen, ohne sich ab- und wieder anzumelden — und dann "erhöht" innerhalb einer Woche jemand die Rechte des Sammelkontos "nur kurz" und dreht es nie zurück.

Rechte und Identität sind ein System, nicht zwei. Jeder Schalter, den du setzt, ist nur so viel wert, wie deine Fähigkeit zu sagen, wer ihn umgelegt hat. Wenn die Schalter noch gar nicht stehen, ist das die Schwesteraufgabe: Kassenrechte: was Kellner dürfen sollten.

Rechte pro Rolle staffeln

Vier Rollen reichen in fast jedem Betrieb. Mehr macht es nur unübersichtlich.

Rolle	Darf	Darf nicht
Aushilfe / Minijob	Bestellen, bar und mit Karte kassieren, eigene Bons öffnen	Storno nach Bonabschluss, Rabatt, Retoure, Kassensturz, Tagesabschluss
Kellner / Kellnerin	Zusätzlich: Sofortstorno vor dem Bon, Tisch umbuchen und teilen, eigene Statistik sehen	Rabatt über einen festen Deckel, Retoure, Z-Bon, fremde Bons öffnen
Schichtleitung	Zusätzlich: Storno nach dem Bon mit Grund, Rabatt bis 100 %, Kassensturz, Z-Bon, fremde Bons übernehmen	Artikel und Preise ändern, Rechte vergeben, Mitarbeiter anlegen oder löschen
Inhaber / Geschäftsführung	Alles, inklusive Stammdaten, Rechtevergabe und DSFinV-K-Export	—

Zwei Regeln dazu. Vergib Rechte immer an die Rolle, nie an die Person — dann erbt die nächste Einstellung automatisch das Richtige. Und "Storno nach dem Bon" heißt nie löschen: Der ursprüngliche Vorgang bleibt stehen, die Korrektur wird als eigene Buchung protokolliert. Alles andere wäre ein Verstoß gegen die Unveränderbarkeit.

Betriebsrat, DSGVO und Trinkgeld: wo die Grenze liegt

Jetzt der Teil, den kein US-Artikel kennt und der dich richtig Geld kosten kann, wenn du ihn überspringst.

Sobald deine Kasse Buchungen einzelnen Personen zuordnet, entstehen Leistungsdaten. Wie viele Stornos, wie viel Umsatz, wie schnell, wie viel Trinkgeld. Das ist genau die Sorte Daten, für die es in Deutschland Spielregeln gibt.

Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Wenn es in deinem Betrieb einen Betriebsrat gibt, hat er ein echtes Mitbestimmungsrecht bei jeder technischen Einrichtung, die Verhalten oder Leistung überwachen kann. Nicht "soll" — kann. Kassen-PINs und Kellner-Statistiken fallen darunter, auch wenn du sie nie zur Kontrolle nutzen willst. Ohne Zustimmung darfst du die Auswertung nicht einführen. Ein Betriebsrat ist ab fünf ständigen wahlberechtigten Beschäftigten wählbar — das trifft mehr Gastrobetriebe, als die meisten denken.

Der saubere Weg heißt Betriebsvereinbarung. Darin steht, welche Daten die Kasse erfasst, wofür sie ausgewertet werden, wer sie sehen darf und wann sie gelöscht werden. Einmal geschrieben, ist die Diskussion für Jahre erledigt. Wenn du keinen Betriebsrat hast, schreib dasselbe trotzdem auf und informiere dein Team schriftlich — das kostet nichts und nimmt dem Thema die Luft.

§ 26 BDSG und Art. 5/6 DSGVO. Beschäftigtendaten darfst du nur verarbeiten, soweit es für das Arbeitsverhältnis nötig ist. Praktisch heißt das:

• Zweckbindung. PIN-Daten sind für Kassenführung und Abrechnung da. Nicht für eine wöchentliche Rangliste am Schwarzen Brett.
• Datenminimierung. Kein Dauer-Tracking, keine Videoüberwachung als Ergänzung "zur Sicherheit".
• Löschfristen. Die Bons musst du 10 Jahre aufbewahren, das ist Steuerrecht und geht der Löschpflicht vor. Die persönlichen Auswertungen daraus musst du nicht 10 Jahre behalten. Leg eine Frist fest, zum Beispiel 12 Monate, und schreib sie ins Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).
• Information der Beschäftigten. Art. 13 DSGVO: Sag deinen Leuten von Anfang an, was erfasst wird. Ein Absatz im Einarbeitungsbogen reicht.

Cloud-Kasse? Dann brauchst du einen AVV. Läuft dein Kassensystem in der Cloud, verarbeitet der Anbieter Beschäftigtendaten in deinem Auftrag. Dafür ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Pflicht. Jeder seriöse Anbieter hat ihn als PDF im Kundenkonto liegen. Wenn nicht, ist das ein Warnsignal, kein Detail.

Trinkgeld ist ein Sonderfall. Freiwilliges Trinkgeld, das der Gast direkt dem Beschäftigten gibt, ist nach § 3 Nr. 51 EStG steuer- und sozialabgabenfrei. Aber sobald deine Kasse Trinkgeld pro Kellner erfasst, ist das ebenfalls eine Leistungsauswertung — also wieder Betriebsrat und DSGVO. Und wenn Kartentrinkgeld über dein Konto läuft und du es verteilst, ist die steuerliche Einordnung nicht mehr selbstverständlich. Kläre das einmal mit dem Steuerberater, bevor du ein Tronc-Modell einführst.

Die Kartenregeln, über die keiner redet

Wenn dein Kassensystem in irgendeiner Form mit Kartendaten in Berührung kommt, gilt für dich der PCI DSS — der Sicherheitsstandard der Kartenindustrie. Das ist kein Gesetz, aber es steht in deinem Vertrag mit dem Zahlungsdienstleister, und die vollen Anforderungen der Version 4.0 gelten seit dem 31.3.2025.

Anforderung 8 ist da unmissverständlich: Jeder Nutzer mit Zugriff auf Systemkomponenten braucht eine eindeutige ID. Gemeinsame oder generische Konten sind nur in engen, dokumentierten Ausnahmefällen erlaubt. Ein Login namens "Personal", das neun Leute benutzen, ist genau das, wogegen diese Anforderung geschrieben wurde.

Zwei ehrliche Einschränkungen:

• Wenn dein Kartenterminal ein eigenes, verschlüsseltes Gerät ist und deine Kasse nie Kartendaten sieht, ist dein Geltungsbereich viel kleiner. Sehr viele kleine Gastrobetriebe sind in dieser Lage.
• Die Frage, was genau in den Geltungsbereich fällt, ist technisch und hängt an deinem konkreten Aufbau.

Nimm diese Seite also nicht als Compliance-Antwort. Frag deinen Zahlungsdienstleister, welcher Selbstauskunftsbogen für dich gilt und ob dein aktueller Login-Aufbau da durchkommt. Eine E-Mail, und du weißt es.

Und noch ein Punkt, der in Deutschland dazugehört: Arbeitszeit. Im Gastgewerbe musst du Beginn, Ende und Dauer der täglichen Arbeitszeit aufzeichnen — § 17 MiLoG in Verbindung mit § 2a SchwarzArbG, spätestens sieben Tage nach dem Arbeitstag, zwei Jahre aufbewahren. Dazu kommt die grundsätzliche Pflicht zur Arbeitszeiterfassung aus der Rechtsprechung des Bundesarbeitsgerichts (2022). Ein PIN-Login an der Kasse ist deshalb praktisch, aber nicht automatisch eine ordentliche Arbeitszeiterfassung — Pausen fehlen, und wer nur in der Küche steht, tippt nie einen PIN. Wenn du beides koppeln willst, lass es einmal vom Steuerberater oder der Lohnbuchhaltung absegnen. Der Zoll prüft das im Gastgewerbe regelmäßig.

Bremst das nicht den Service aus?

Das ist der echte Einwand, und er verdient eine echte Antwort statt einer Belehrung.

Ja, es kostet Zeit. Etwa zwei Sekunden pro Wechsel, wenn dein System richtig eingestellt ist. Zwanzig Wechsel in einer Schicht sind unter einer Minute am ganzen Abend.

Der Grund, warum viele etwas anderes glauben: Sie kennen Kassen, bei denen ein Benutzerwechsel volles Abmelden bedeutet, dazu ein Ladebildschirm und fünfzehn Sekunden Warten. Das ist kein PIN-Problem. Das ist eine schlechte Umsetzung, und sie ist die mit Abstand häufigste Ursache für geteilte Logins.

Drei Lösungen, nach Wirkung sortiert:

• Nutze eine Sperren-Taste, kein Abmelden. Sperren muss sofort zum PIN-Feld zurückspringen. Abmelden und neu anmelden gehört im normalen Service gar nicht vor.
• Stell eine automatische Sperre ein. 60 bis 120 Sekunden ohne Eingabe sind der ideale Bereich. Kurz genug, dass eine verlassene Kasse sich selbst sperrt, lang genug, dass sie nicht mitten in der Bestellung zumacht.
• Prüf den Schnellwechsel-Modus. Viele Systeme können mehrere Sitzungen parallel offen halten: Kellner A tippt seinen PIN, bucht, sperrt, Kellner B tippt und ist sofort in seinem eigenen Bon. Ohne Ladebildschirm, ohne Verlust der offenen Tische. Wenn dein System das kann, schalt es ein — das ist der eine Schalter, der die ganze Diskussion beendet.
• Mehr Kassen, bevor du mehr Reibung akzeptierst. Wenn eine Kasse 14 Tische bedient, ist die Schlange das Problem, nicht der PIN. Ein zweites Tablet kostet 250–450 € und damit weniger als eine Woche von dem, was ein Sammel-Login versteckt.

Der Test lohnt sich: Stopp einen echten Schichtwechsel an deiner Kasse. Dauert er länger als fünf Sekunden, reparier den Ablauf. Dauert er zwei, ist der Einwand erledigt.

PIN-Regeln, die wirklich halten

Die meisten PIN-Regeln scheitern, weil sie wie ein IT-Dokument klingen. Halt es bei sechs Sätzen, die sich jeder merken kann.

1. Lieber sechs Ziffern als vier. Vier Ziffern sind in vielen deutschen Kassensystemen der Standard und ergeben 10.000 Kombinationen. Sechs Ziffern ergeben eine Million. Bei einem Dutzend Leuten und einem Bildschirm, den alle sehen, ist dieser Unterschied den zusätzlichen Tipp wert. Kann dein System nur vier, ist das okay — dann müssen die anderen Regeln umso besser sitzen.

2. Kein Geburtsdatum, keine 1234, keine 0000. Das ist der Punkt, der Inhaber überrascht. Deine Kollegen kennen deinen Geburtstag. Er hängt am Dienstplan. Ein PIN aus dem Geburtsjahr ist in einem Gastrobetrieb praktisch öffentlich.

3. Nichts in der Nähe der Kasse aufschreiben. Keine Klebezettel, keine PIN-Liste in der Bürolade, keine PINs in der WhatsApp-Gruppe. Was aufgeschrieben ist, ist kein PIN mehr, sondern ein Schild.

4. Dreh den Bildschirm. PIN-Felder, die zum Gastraum zeigen, werden aus Versehen mitgelesen. Dreh die Kasse weg oder nutz ein System, das die Ziffern beim Tippen verdeckt.

5. Niemand tippt den PIN von jemand anderem. Nie. Auch nicht "nur schnell, wenn es voll ist". In dem Moment, in dem eine Person den Code einer anderen tippt, wird das ganze Protokoll zur Vermutung — und genau dieses Protokoll legst du bei der Kassennachschau vor. Sag diese Regel laut, sonst halten sie alle für eine Formalie.

6. Jeder darf seinen PIN jederzeit selbst ändern. Wenn jemand glaubt, dass sein Code mitgelesen wurde, muss das Ändern zehn Sekunden dauern und nicht die Schichtleitung brauchen. Mach es einfach, dann machen es die Leute auch.

Eine Regel obendrauf, wenn viel Bargeld läuft: Chef- und Leitungs-PINs alle paar Monate wechseln — und immer, wenn jemand aus dieser Rolle geht. Am Tag der Kündigung, nicht "nächste Woche im Büro".

Der Chef-PIN, den alle kennen

Dieses Problem bekommt jeder Betrieb irgendwann, und es fängt aus einem guten Grund an.

Ein Kellner braucht einen Storno. Der Chef ist im Kühlhaus. Der Laden ist voll. Also sagt der Chef den PIN einmal laut, um allen dreißig Sekunden zu sparen. Einen Monat später ist er Allgemeinwissen, und er bleibt es noch lange, nachdem diese Person gegangen ist.

Reparieren kannst du das nicht mit Ansagen. Nur damit, dass du den Grund wegnimmst.

• Mach die Freigabe schnell. Die Schichtleitung soll direkt am selben Bildschirm freigeben, in Sekunden. Wenn Freigabe heißt, ins Büro zu laufen, wird sie umgangen.
• Protokolliere beide Namen. Im Protokoll muss stehen, wer gefragt und wer freigegeben hat. Ein Name ist eine Vermutung. Zwei Namen sind ein Prüfpfad — und genau das will die Betriebsprüfung sehen.
• Gib die billigen Entscheidungen nach unten. Wenn die Schichtleitung 15 Mal pro Schicht für Kleinstornos gerufen wird, sind die Rechte zu eng. Lockere sie, verlang stattdessen einen Pflicht-Grund beim Storno und schau einmal die Woche drauf.
• Der Chef-PIN wird nie weitergegeben. Nicht an die Vertretung, nicht ans Wochenende, nicht "für heute". Wer regelmäßig freigeben muss, bekommt eine eigene Schichtleitungs-Rolle mit eigenem PIN. Behandle den Chef-PIN wie die Tresorkombination.

Wenn deine Leitungskräfte so dünn besetzt sind, dass niemand freigeben kann, ohne den Service aufzuhalten, ist das ein Personalproblem im Technik-Kostüm — und keins, das ein Kassensystem löst.

Mitarbeiter-PINs in einer Schicht einrichten

Vierzig Minuten, eine Vorbesprechung, fertig.

1. Schreib alle auf, die die Kasse anfassen. Auch den Koch, der ab und zu ein Außer-Haus-Essen abkassiert, und die Aushilfe, die nur sonntags da ist. Genau diese vergessenen Leute sind später die, die sich einen Zugang teilen.
2. Leg pro Person ein Mitarbeiterkonto an, mit echtem Namen und Rolle. Nicht "Kellner 1" und "Kellner 2" — echte Namen, sonst hast du dasselbe Problem mit Extraschritten nachgebaut. Der Name landet später im DSFinV-K-Export.
3. Vergib Rechte an die Rolle, nicht an die Person, damit die nächste Einstellung automatisch den richtigen Zugriff erbt.
4. Lass jeden seinen PIN selbst setzen. 30 Sekunden an der Kasse in der Vorbesprechung. Einen selbst gewählten PIN merkt man sich; einen zugeteilten schreibt man sich auf die Hand.
5. Schalt die automatische Sperre ein, 60 bis 120 Sekunden, und leg die Sperren-Taste dorthin, wo der Daumen ohnehin landet.
6. Lösch das Sammelkonto. Nicht deaktivieren — löschen, wenn dein System das erlaubt. Ein deaktiviertes Konto hat die Angewohnheit, an einem vollen Samstag zurückzukommen.
7. Sag in einer Minute, warum. Es geht um Klarheit, nicht um Verdacht. "Dein Umsatz und dein Trinkgeld werden ab jetzt dir zugerechnet, und auf deinem Namen landet nichts, was du nicht warst" ist ein Satz, den Leute tatsächlich mögen. Erwähn dabei kurz, welche Daten erfasst werden — das ist ohnehin deine Informationspflicht nach Art. 13 DSGVO.
8. Schreib es in die Verfahrensdokumentation. Rollen, Rechte, wer PINs vergibt, was beim Austritt passiert. Zwei Seiten, einmal.
9. Schau am dritten Tag ins Protokoll. Du suchst genau eine Sache: Landet immer noch alles unter einem Namen? Dann teilen sie sich Zugänge, und du hast ein Ablaufproblem — kein Disziplinproblem.

Dieser Blick am dritten Tag ist die eigentliche Einführung. Lässt du ihn weg, merkst du in sechs Monaten, dass das PIN-System seit Woche eins reine Dekoration war.

Der Tag, an dem jemand kündigt

Jeder Betrieb hat eine Austrittsliste für Schlüssel und Türcode. Die Kasse gehört auf dieselbe Liste, am selben Tag.

• Zugang deaktivieren, bevor die letzte Schicht endet — nicht "nächste Woche, wenn ich im Büro bin".
• Chef- oder Leitungs-PIN ändern, wenn die Person ihn hatte oder plausibel kannte. Noch am selben Tag.
• Offene Bons übergeben, damit nichts unter jemandem geparkt bleibt, der weg ist.
• Historie behalten. Login sperren, Datensatz nie löschen — der Umsatz des letzten Quartals muss richtig zugeordnet bleiben, und die Aufzeichnungen unterliegen ohnehin der 10-jährigen Aufbewahrung. Löschen wäre hier nicht nur unpraktisch, sondern ein GoBD-Verstoß.
• Fernzugriff prüfen, wenn deine Kasse im Browser läuft. Ein Backoffice-Login ist eine andere Tür als der PIN an der Kasse, und genau die wird vergessen.

Zugänge ehemaliger Beschäftigter machen mehr Ärger als aktive — gerade weil niemand hinschaut.

Mehr als eine Kasse, mehr als ein Standort

Ab der zweiten Kasse kommen zwei Regeln dazu.

Eine Person, ein PIN, überall. Ein Kellner darf an der Bar keinen anderen Code haben als im Gastraum. Gleiche Identität überall, sonst musst du deine Auswertungen von Hand zusammenrechnen — und der DSFinV-K-Export pro Kasse passt nicht mehr zusammen.

Weis Leute ihrem Standort zu. Wer in einem Betrieb arbeitet, soll nicht im anderen Bons öffnen können. Die meisten Systeme lösen das über eine Standortzuweisung im Mitarbeiterdatensatz — einstellen, und immer wieder prüfen, wenn jemand aushilfsweise woanders arbeitet. Vorübergehender Zugriff wird sonst gerne dauerhaft.

Und halt die PIN-Länge über alle Standorte gleich. Gemischte Regeln heißen, dass sich niemand merkt, welcher Betrieb sechs Ziffern will — und genau in dieser Verwirrung fängt das Teilen an.

Was du dir nach zwei Wochen anschaust

Wenn die PINs laufen, steckt der Gewinn in den Auswertungen. Zehn Minuten, pro Person:

1. Stornos und gelöschte Positionen — Anzahl und Wert
2. Rabatte — Anzahl, Wert und durchschnittlicher Prozentsatz
3. Retouren und Gutschriften — jede einzelne, mit Grund
4. Bar abgeschlossene Bons, die später geändert wurden — sollte nahe null sein
5. Sitzungen, die lange offen standen — ein Zeichen für geteilte Zugänge, nicht für Diebstahl

Dann vergleich Leute miteinander, nicht mit null. Stornos hat jeder. Das Signal ist eine Person, die in denselben Schichten, im selben Revier, bei denselben Gästen viermal so oft storniert wie die Kollegen.

Bevor du jemanden beschuldigst, prüf die langweiligen Erklärungen. Viele Stornos heißen meistens: unübersichtliches Artikelraster, drei Gerichte, die auf dem Bildschirm gleich aussehen, oder schwache Einarbeitung. Damit liegst du in den meisten Fällen richtig — und behältst eine gute Kellnerin, die du sonst verloren hättest.

Fehler, die ein PIN-System killen

• Das Sammelkonto "für Notfälle" behalten. Nach einem Monat ist es wieder das Hauptkonto.
• PINs zuteilen, statt sie wählen zu lassen. Zugeteilte Codes landen auf Bons und Unterarmen.
• Den Benutzerwechsel langsam lassen. Die häufigste Ursache fürs Teilen. Repariere den Ablauf, nicht die Leute.
• Keine automatische Sperre. Eine offene Kasse über den ganzen Abend macht jeden PIN im Haus wertlos.
• Fortlaufende PINs wie 1001, 1002, 1003. Wer einen Code sieht, rät den Rest.
• Den PIN eines Ausgeschiedenen an eine neue Kraft geben. Das vermischt deine Historie und macht die Auswertung unbrauchbar.
• So viel sperren, dass ständig die Leitung gerufen wird. Die Umgehung kommt garantiert.
• Einrichten und nie ins Protokoll schauen. Rechte und PINs ohne Kontrolle sind Theater.
• Es als Diebstahl-Razzia verkaufen. Dann verbringst du einen Monat damit, Vertrauen zu reparieren, das du nicht hättest verlieren müssen.
• Die Verfahrensdokumentation weglassen. Die beste Rechtestruktur nützt nichts, wenn bei der Prüfung niemand erklären kann, wie sie funktioniert.

FAQ

Warum braucht jeder Beschäftigte einen eigenen Kassen-PIN? Weil ein PIN den Namen an jede Buchung hängt. Stornos, Rabatte, Retouren, Zahlungen und Bargeld werden einer Person zuzuordnen statt einem anonymen Konto. Das gibt dir echte Auswertungen pro Person, schützt Leute, die nichts falsch gemacht haben, und verhindert, dass der Name deiner Schichtleitung unter Dingen steht, die sie nie gemacht hat. In Deutschland kommt dazu, dass die GoBD Nachvollziehbarkeit verlangen.

Ist ein gemeinsamer Kassen-Login wirklich ein Problem, wenn ich meinem Team vertraue? Ja, und Vertrauen ist die falsche Kategorie. Ein Sammel-Login heißt, dass du niemandem etwas beweisen kannst — auch nicht das Gegenteil. Er zerstört die Umsatzdaten pro Kellner, macht die Trinkgeldverteilung zur Diskussion, kollidiert mit der Nachvollziehbarkeit nach GoBD und verstößt sehr wahrscheinlich gegen die Kartenregel, dass jeder Nutzer eine eindeutige ID braucht.

Verlangt das deutsche Recht wirklich einzelne Zugänge an der Kasse? Direkt steht "jeder braucht einen PIN" in keinem Gesetz. Aber § 146a AO und die GoBD verlangen Einzelaufzeichnung, Unveränderbarkeit und Nachvollziehbarkeit, und der DSFinV-K-Export hat ein Feld für den Bediener. Mit einem Sammel-Login steht dort bei jedem Bon derselbe Name — das ist bei einer Kassennachschau schwer zu erklären und kann zu einer Hinzuschätzung führen. Praktisch läuft es also auf einzelne Zugänge hinaus.

Wie viele Ziffern soll ein Mitarbeiter-PIN haben? Sechs sind der praktische Idealwert. Vier Ziffern ergeben nur 10.000 Kombinationen und werden von Kollegen erraten, die den Geburtstag kennen. Sechs ergeben eine Million und kosten eine halbe Sekunde mehr. Wenn dein Kassensystem nur vier zulässt, ist das vertretbar — dann aber bitte kein Geburtsdatum und keine fortlaufenden Codes.

Bremsen Mitarbeiter-PINs den Service? Kaum — rund zwei Sekunden pro Benutzerwechsel, wenn das System richtig eingestellt ist. Dauert es länger, liegt es meistens an einem vollen Abmelde-Ablauf statt einer schnellen Sperren-Taste, an einem fehlenden Schnellwechsel-Modus oder schlicht an zu wenigen Kassen für die Anzahl der Tische.

Was ist der Unterschied zwischen Gerät entsperren und Mitarbeiter-PIN? Das Entsperren öffnet die Kasse für den Tag, meist durch die Schichtleitung. Der Mitarbeiter-PIN sagt, wer sie gerade benutzt. In diesem Modell melden sich die Leute mit ihrem PIN in ihre eigene Sitzung an und ab und drücken Sperren, um die Kasse weiterzugeben.

Muss ich den Betriebsrat fragen, bevor ich PINs einführe? Wenn es einen Betriebsrat gibt: ja. Nach § 87 Abs. 1 Nr. 6 BetrVG hat er mitzubestimmen bei jeder technischen Einrichtung, die Verhalten oder Leistung überwachen kann — Kassen-PINs und Kellner-Statistiken gehören dazu, auch wenn du sie nie zur Kontrolle nutzen willst. Der saubere Weg ist eine Betriebsvereinbarung, die Zweck, Auswertungen, Zugriffsrechte und Löschfristen festhält. Ein Betriebsrat ist ab fünf ständigen wahlberechtigten Beschäftigten wählbar.

Und wenn ich keinen Betriebsrat habe? Dann gelten trotzdem § 26 BDSG und Art. 5, 6 und 13 DSGVO: Zweckbindung, Datenminimierung, festgelegte Löschfristen und Information der Beschäftigten. Schreib in zwei Absätzen auf, welche Daten die Kasse erfasst, wofür sie ausgewertet werden und wie lange du sie behältst, und nimm das ins Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) auf. Läuft deine Kasse in der Cloud, brauchst du zusätzlich einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter.

Wie oft müssen PINs gewechselt werden? Mitarbeiter-PINs brauchen keinen Routinewechsel, solange niemand sie teilt. Chef- und Leitungs-PINs solltest du alle paar Monate ändern und sofort, wenn jemand aus dieser Rolle geht. Wer glaubt, dass sein PIN mitgelesen wurde, muss ihn in Sekunden selbst ändern können, ohne zu fragen.

Was mache ich mit dem Kassenzugang, wenn jemand kündigt? Zugang noch am selben Tag deaktivieren, bevor die letzte Schicht endet. Chef-PIN ändern, falls die Person ihn kannte. Offene Bons übergeben. Backoffice- oder Browser-Zugang getrennt prüfen. Den Mitarbeiterdatensatz selbst behältst du — Login sperren, Historie nie löschen, sonst stimmt die Zuordnung vergangener Umsätze nicht mehr und du verstößt gegen die Aufbewahrungspflicht.

Kann ich PINs für die Arbeitszeiterfassung nutzen? Viele Systeme können das, und bequem ist es. Aber ein Kassenprotokoll ist nicht automatisch eine ordentliche Arbeitszeiterfassung: Pausen fehlen, und Küchenpersonal tippt oft nie einen PIN. Im Gastgewerbe musst du nach § 17 MiLoG Beginn, Ende und Dauer der täglichen Arbeitszeit aufzeichnen, spätestens nach sieben Tagen, zwei Jahre aufbewahren. Kläre die Kopplung vorher mit der Lohnbuchhaltung oder dem Steuerberater — der Zoll prüft das in der Gastronomie regelmäßig.

Braucht ein Café mit drei Leuten wirklich eigene PINs? Ja, und es dauert 15 Minuten. In kleinen Teams richtet eine einzige Lücke den größten Schaden an, weil nichts sie auffängt. Eigene PINs, Retouren und Gutschriften nur beim Inhaber, und einmal die Woche zehn Minuten auf die Zahlen schauen — das ist das ganze Setup. Und die GoBD gelten für drei Leute genauso wie für dreißig.

Was, wenn mein Kassensystem nur einen Login unterstützt? Dann ist es für einen Gastrobetrieb mit Beschäftigten das falsche Werkzeug. Einzelne Mitarbeiterkonten mit PIN sind Standard, auch bei kostenlosen Systemen. Fehlt die Funktion, hast du keine Auswertung pro Person, keine Rechtesteuerung, ein Problem mit den Kartenregeln — und einen Bediener-Namen im DSFinV-K-Export, der nichts bedeutet.

Kann ich sehen, wer eine bestimmte Zahlung angenommen hat? Mit eigenen PINs ja — im Zahlungsdatensatz steht die Person, die kassiert hat. Genau das brauchst du bei einer Kartenrückbelastung, einer Kassendifferenz oder einer Beschwerde. Mit einem Sammel-Login ist dieses Feld bedeutungslos.

Wie verhindere ich, dass die Leute ihre PINs trotzdem teilen? Mach den ehrlichen Weg schneller als die Abkürzung. Sofortiges Sperren, schneller Wechsel, genug Kassen, und Rechte locker genug, dass niemand einen Leitungs-PIN borgen muss. Dann prüf am dritten Tag, ob im Protokoll mehr als ein Name auftaucht — und behandle Teilen erst als Ablauffehler, bevor du es als Disziplinfall behandelst.

---

Ein gemeinsamer Kassen-Login fühlt sich an, als würde er Zeit sparen. Tatsächlich löscht er die Antwort auf jede Frage, die du später stellen willst: zum Geld, zum Trinkgeld, dazu, wer von deinen Kellnern im Stillen dein bester Verkäufer ist. Und in Deutschland löscht er sie auch für die Person, die eines Tages unangekündigt mitten im Service vor deiner Kasse steht.

Mach diese Woche eine Sache. Öffne die Mitarbeiterliste in deiner Kasse und zähl die Konten. Sind es weniger Konten als Menschen, hast du deine Aufgabe für Samstagnachmittag gefunden — und es ist eine kurze. Zwanzig Minuten, ein Gespräch vor der Schicht, und ab diesem Tag kommt jede Zahl aus deinem Betrieb mit einem Namen.