Das Änderungen vor der Fakturierung dokumentiert werden müssen ist mir neu. Das kann ggf. ein intern genutztes Leistungsmerkmal sein, aber das das von der GoBD gefordert wäre kann ich mir nicht vorstellen.
Nach der Fakturierung darf eine Rechnung generell nicht mehr geändert werden. Es wird eine Stornorechnung geschrieben, die im Grunde identisch mit der Rechnung ist, so dass sie den Rechnungsbetrag zu 100% wieder ausgleicht.
Danach wird eine neue Rechnung mit den Änderungen erzeugt.
So wird das auch vom Steuerberater oder der Buchhaltung gebucht und ist dann zu 100% nachvollziehbar.
Die Rechnung muss nicht zwingend als PDF gespeichert werden. Es muss lediglich sichergestellt sein, dass eine nachträgliche Veränderung durch den Benutzer ausgeschlossen ist (auch PDF's lassen sich ändern), oder eben, wenn dieser sich von "außen" an den Daten zu schaffen macht, diese Manipulation feststellbar ist. Ich löse diese mittels einer Checksumme und einem Hash über die kompletten Daten einer Rechnung.
Wichtig ist halt, dass du als Softwarehersteller über dein Programm dem Nutzer nicht die Möglichkeit der Manipulation fakturierter Rechnung in die Hand gibt's, und eben eine Manipulation ggf. feststellen kannst. Für die Sicherheit seiner Datenbank (o.ä.) ist der Nutzer selbst zuständig, in welcher Form (Zugriffsrechte etc.) er Manipulation durch Angestellte unterbindet.
Rechnungen lediglich als Datei (PDF oder DOC ist erstmal egal) halte ich für grob fahrlässig, da so immer ein Filezugriff für den Nutzer vorhanden sein muss und ich nicht spezifische Rechte auf Datensatzebene kontrollieren kann. Weiterhin schreibt die GoBD ja auch vor, dass die Software die Daten zwecks Steuerprüfung in digitaler Form zur Verfügung stellen muss. Das kann z.B. auch als
CSV geschehen. Solche Listen dann aber aus PDF oder DOC wieder auszulesen dürfte schwierig werden.
In wie weit allerdings die GoBD vorschreibt ob eine Rechnung auch in gedruckter Form vorzuliegen hat, bzw. ob da eine PDF-Datei-Ablage ausreicht, entzieht sich meiner Kenntnis. GGf. kann dort eine Dokumentenarchivierung zu Einsatz kommen, wobei auch dabei darauf zu achten ist, dass einen direkter Filezugriff Sicherheitsrisiken birgt.
Meine Kunden drucken ihre Ausgangsrechnungen ausnahmslos aus und archivieren herkömmlich in Ordner, wie sie das schon seit Jahren gewohnt sind und sich nicht bei einer Steuerprüfung in den Nesseln setzen wollen. Eine eindeutige Aussage vom Finanzamt oder vom Steuerberater ist, was die GoBD angeht, nicht zu kriegen (geschweige denn eine verbindliche).
Mit großen Unternehmen, die mit Sicherheit hier schon papierlos(er) arbeiten, habe ich keine Erfahrung.