Datenschutz in der Steuerkanzlei beginnt mit einer richtigen Rollenentscheidung: Steuerberater verarbeiten Mandantendaten im Rahmen ihrer Berufstätigkeit eigenverantwortlich. Sie werden nicht allein deshalb zum Auftragsverarbeiter, weil ein Mandant die Lohnbuchhaltung auslagert. Gleichzeitig muss die Kanzlei eigene IT-Dienstleister, Berufsgeheimnisse, Aufbewahrungspflichten und Betroffenenrechte miteinander vereinbaren.
Dieser Leitfaden erläutert die Entscheidungen vom Mandatsbeginn bis zur Löschung anhand der am 28. September 2026 geprüften Vorschriften. Im Mittelpunkt steht die Organisation der Kanzlei. Der ergänzende Beitrag über Steuerberater und Mandantendaten vertieft das Mandatsverhältnis; die allgemeinen DSGVO-Anforderungen liefern den übergreifenden Rahmen.
Steuerberater handeln auch bei der Lohnbuchhaltung eigenverantwortlich
§ 11 Absatz 2 StBerG bestimmt, dass die Verarbeitung durch die dort erfassten Personen und Gesellschaften unter Beachtung ihrer Berufspflichten weisungsfrei erfolgt. Für die Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten sind sie Verantwortliche im Sinne von Artikel 4 Nummer 7 DSGVO. Eine Vertragsüberschrift kann diese gesetzlich beschriebene Stellung nicht in eine bloße Weisungstätigkeit umwandeln.
Das Bayerische Landesamt für Datenschutzaufsicht erläutert in seiner Auslegungshilfe zur Steuerberatung ausdrücklich, dass dies auch für die Lohnbuchhaltung gilt. Steuerberater übernehmen dafür eigene fachliche Verantwortung. Die Beauftragung der Kanzlei ist deshalb von der Beauftragung eines rein weisungsgebundenen Abrechnungsdienstleisters zu unterscheiden.
Für den Mandanten bedeutet das: Er muss die Übermittlung der benötigten Daten rechtfertigen, während die Kanzlei ihre eigene Verarbeitung verantwortet. Der Austausch wird nicht dadurch rechtsfrei, dass beide Seiten Berufs- oder Unternehmenspflichten erfüllen. Die Kanzlei sollte erklären können, welche Daten sie benötigt, welche Informationen sie erteilt und wie Anfragen von Beschäftigten des Mandanten behandelt werden.
Andere Tätigkeiten sind nach ihrem tatsächlichen Inhalt zu beurteilen. Die eigene Personalverwaltung, die Kanzleiwebsite und ein externer Hostingvertrag sind unterschiedliche Verarbeitungsvorgänge. Ein IT-Unternehmen kann für bestimmte Dienste Auftragsverarbeiter der Kanzlei sein, obwohl die Kanzlei gegenüber ihren Mandanten Verantwortliche bleibt. Diese Rollen sollten in der Dokumentation nebeneinander erkennbar sein.
Rechtsgrundlagen anhand der Personen und Aufgaben prüfen
Artikel 6 Absatz 1 Buchstabe b DSGVO kommt für notwendige Verarbeitung zur Durchführung eines Vertrags mit der betroffenen natürlichen Person in Betracht. Bei einem privaten Steuerberatungsmandat kann dies wesentliche Mandatsdaten erfassen. Schließt dagegen eine Gesellschaft den Vertrag, sind ihre Geschäftsführer, Beschäftigten oder Kunden nicht allein dadurch persönlich Vertragsparteien. Ihre Daten benötigen eine passende Begründung, etwa einen sorgfältig geprüften berechtigten Interessenansatz.
Gesetzliche Pflichten können bestimmte Verarbeitung tragen, wenn sie die Kanzlei tatsächlich binden. Die steuerrechtliche Pflicht des Mandanten ist nicht automatisch eine identische Pflicht des Beraters. § 11 StBerG und die einschlägigen Berufsregeln sind deshalb gemeinsam mit der konkreten Aufgabe zu prüfen. Die Rechtsgrundlage sollte nicht pauschal für sämtliche Daten einer Kanzleisoftware festgelegt werden.
Gesundheitsangaben, Religionszugehörigkeit oder bestimmte Angaben zu einer Behinderung können besondere Kategorien betreffen. § 11 Absatz 2 StBerG sieht innerhalb seines Rahmens die Verarbeitung solcher Daten nach Artikel 9 Absatz 2 Buchstabe g vor. Das ist kein Freibrief zur Sammlung zusätzlicher Informationen. Der Beitrag zu Artikel 9 DSGVO hilft, besondere Kategorien von anderen vertraulichen Finanzinformationen zu unterscheiden, die nicht allein wegen ihrer Sensibilität unter Artikel 9 fallen.
§ 26 BDSG betrifft Beschäftigungsdaten im entsprechenden Beschäftigungskontext. Die Kanzlei darf ihn nicht pauschal so verwenden, als wäre sie Arbeitgeberin sämtlicher Beschäftigter ihrer Mandanten. Für ihre eigenen Beschäftigten muss sie dagegen die arbeitsbezogene Erforderlichkeit, die tatsächlichen Zwecke und gegebenenfalls weitere Regeln prüfen. Freiwillige Einwilligungen sind ebenfalls keine universelle Lösung für fachlich notwendige Mandatsverarbeitung.
Verschwiegenheit und Datenschutz gelten nebeneinander
§ 57 StBerG verlangt unter anderem unabhängige, eigenverantwortliche, gewissenhafte und verschwiegene Berufsausübung. Hinzu kommt der strafrechtliche Geheimnisschutz. Daraus folgt eine besondere Sorgfalt beim Zugriff auf Mandatsinformationen, aber keine allgemeine Befreiung von der DSGVO. Auch eine zur Verschwiegenheit verpflichtete Kanzlei muss Daten minimieren, Zugriffe begrenzen und Betroffenenrechte bearbeiten.
Organisatorisch sollten Mandatszugriffe an Aufgaben und Vertretungen anknüpfen. Eine Person, die nur Rechnungen versendet, benötigt nicht automatisch Zugriff auf sämtliche medizinischen Belege eines Mandanten. Bei gemeinsamen Veranlagungen oder Familienmandaten muss klar sein, wer wofür bevollmächtigt ist und an wen Informationen herausgegeben werden dürfen. Eine bekannte Beziehung zwischen Personen ersetzt diese Prüfung nicht.
Für Beschäftigte und unterstützende Personen sind die einschlägigen Verschwiegenheitsregeln zu berücksichtigen. Die Kanzlei sollte außerdem zeigen können, wie Verpflichtungen praktisch umgesetzt werden: etwa durch Zugriffsprofile, sichere Kommunikationswege und geregelte Vertretung. Ein unterschriebenes Papier kann eine Maßnahme dokumentieren, verhindert aber allein weder Fehlversand noch einen unnötig breiten Datenzugriff.
Der Vergleich mit Mandatsgeheimnissen in Anwaltskanzleien macht die gemeinsame Grundfrage deutlich: Eine geschützte berufliche Beziehung verlangt eine differenzierte Prüfung des jeweiligen Empfängers und Zwecks. Die konkreten berufsrechtlichen Vorschriften bleiben dabei berufsspezifisch und sollten nicht ungeprüft übertragen werden.
DATEV, Cloud und weitere Dienstleister getrennt bewerten
Bei DATEV oder einer anderen Fachsoftware sollte die Kanzlei den konkret gebuchten Dienst betrachten. Lokale Software, gehostete Verarbeitung, Supportzugriffe und eigenständige Dienste können unterschiedliche Datenflüsse verursachen. Entscheidend sind der tatsächliche Leistungsumfang, die Verarbeitung im Auftrag und die jeweils gültigen Vertragsunterlagen. Der Markenname allein entscheidet weder über die Rolle noch über die ausreichende Absicherung.
Liegt Auftragsverarbeitung nach Artikel 28 vor, braucht sie einen schriftlichen Vertrag oder einen anderen bindenden Rechtsakt der Union oder eines Mitgliedstaats, einschließlich elektronischer Form. Darin müssen unter anderem Gegenstand, Dauer, Art, Zweck, Datenarten und Betroffenengruppen konkret erfasst sein. Ebenso wichtig sind Weisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung und Nachweise. Eine bloße allgemeine Datenschutzerklärung ersetzt diese Regelung nicht.
Zusätzlich ist § 62a StBerG für Dienstleistungen zu prüfen, die Zugang zu Berufsgeheimnissen eröffnen. Er verlangt insbesondere sorgfältige Auswahl und grundsätzlich einen Vertrag in Textform mit den dort geregelten Verpflichtungen. Dazu gehören begrenzte Kenntnisnahme, Verschwiegenheit und Regeln für weitere eingeschaltete Personen. Die gesetzlichen Ausnahmen, etwa bei gesetzlicher Verschwiegenheit oder besonderen gesetzlichen Vorschriften, sind dabei zu beachten.
Für Leistungen, die unmittelbar einem einzelnen Mandat dienen, enthält § 62a Absatz 5 eine besondere Einwilligungsanforderung des Mandanten. Bei im Ausland erbrachten Dienstleistungen ist außerdem Absatz 4 zum vergleichbaren Geheimnisschutz zu prüfen. Diese berufsrechtlichen Fragen sind nicht mit der datenschutzrechtlichen Rolle oder einer DSGVO-Einwilligung für sämtliche Datenverarbeitung gleichzusetzen. Der Datenschutz bleibt nach Absatz 8 ausdrücklich unberührt.
Bei Drittlandbezügen ist zu klären, ob eine Übermittlung stattfindet und welcher Mechanismus nach Kapitel V sie trägt. Ein US-Mutterunternehmen führt nicht für jede Konstellation automatisch zu derselben Transferprüfung. Ein anwendbarer Angemessenheitsbeschluss unterscheidet sich von einem Transfer auf Grundlage von Standardvertragsklauseln, bei dem zusätzliche Bewertungen nötig sein können. Umgekehrt garantiert ein europäischer Serverstandort allein nicht, dass Zugriffe aus Drittländern ausgeschlossen sind.
Ein Verzeichnis nach Tätigkeiten statt nach Programmnamen
Das Verzeichnis der Verarbeitungstätigkeiten sollte Mandatsbearbeitung, Lohnabrechnung, Kanzleibuchhaltung, Personal, Bewerbungen und gegebenenfalls Marketing sinnvoll abbilden. Für jede Tätigkeit müssen die einschlägigen Angaben nachvollziehbar sein. Ein einziges Sammelfeld mit dem Namen der Fachsoftware erklärt weder Zwecke noch Empfänger und Löschfristen.
Die Ausnahme des Artikels 30 Absatz 5 für Organisationen mit weniger als 250 Beschäftigten ist an Bedingungen geknüpft. Sie greift nicht für nicht nur gelegentliche Verarbeitung, für Verarbeitung mit voraussichtlichem Risiko für Rechte und Freiheiten oder für Verarbeitung von Daten nach Artikel 9 beziehungsweise Artikel 10. Regelmäßige Mandatsbearbeitung ist nicht nur gelegentlich. Eine kleine Kanzlei kann ihre Dokumentation angemessen organisieren, aber nicht allein wegen ihrer Größe auf diese Pflicht verzichten.
Ein sinnvoller Abgleich verbindet das Verzeichnis mit den tatsächlich verwendeten Ablagen. E-Mail-Postfächer, Dokumentenmanagement, Mandantenportal, lokale Downloads und Papierakten sollten berücksichtigt werden. Sonst erscheint eine Löschroutine vollständig, obwohl dieselben Unterlagen in einem persönlichen Ordner oder einer alten Exportdatei fortbestehen.
Handakten: zehn Jahre mit einem bestimmten Fristbeginn
§ 66 Absatz 1 StBerG verlangt Handakten, die ein geordnetes und zutreffendes Bild der Auftragsbearbeitung ermöglichen. Die Aufbewahrungsdauer beträgt zehn Jahre. Sie beginnt mit Ablauf des Kalenderjahres, in dem der Auftrag beendet wurde. Für einen im Jahr 2026 beendeten Auftrag ergibt sich bei unverändertem Sachverhalt damit grundsätzlich eine Aufbewahrung bis Ende 2036.
Absatz 2 regelt die Herausgabe bestimmter erhaltener Dokumente an den Auftraggeber und deren Aufbewahrung, wenn keine Herausgabe verlangt wird. Für diese Dokumentenpflicht besteht eine Ausnahme, wenn der Auftraggeber einer Aufforderung zur Entgegennahme innerhalb von sechs Monaten nach Zugang nicht nachkommt. Die dortigen Ausnahmen für Korrespondenz, bereits erhaltene Urschriften oder Abschriften und interne Arbeitspapiere beziehen sich auf diese Regelung. Sie sollten nicht als pauschale Abschaffung der Handaktenpflicht gelesen werden.
Elektronische Führung ändert an der Anwendbarkeit nichts; Absatz 4 erfasst sie ausdrücklich. Andere gesetzliche Aufbewahrungspflichten bleiben unberührt. Praktisch muss die Kanzlei deshalb dokumentieren, wann ein Auftrag beendet wurde und welche Dokumentenkategorie vorliegt. Ein Mandantenwechsel oder eine Softwaremigration ist nicht automatisch der Beginn einer neuen zehnjährigen Frist für jedes gespeicherte Dokument.
Steuerliche Fristen nicht mit der Handakte verwechseln
§ 147 AO unterscheidet insbesondere zehnjährige Fristen für bestimmte Bücher und Abschlussunterlagen, acht Jahre für Buchungsbelege und sechs Jahre für weitere erfasste Unterlagen. Der Beginn richtet sich nach dem jeweiligen Ereignis und dem Schluss des betreffenden Kalenderjahres. Die Frist läuft außerdem nicht ab, soweit und solange die Unterlagen für Steuern relevant sind, deren Festsetzungsfrist noch nicht abgelaufen ist, unter den gesetzlichen Bedingungen.
§ 257 HGB enthält ebenfalls abgestufte Aufbewahrungsregeln. Für Buchungsbelege bestimmter regulierter Finanzunternehmen sieht Absatz 4 weiterhin zehn Jahre vor. Eine allgemeine Aussage, dass seit der Verkürzung jede Rechnung nach acht Jahren gelöscht werden darf, wäre deshalb unzutreffend. Bei Mandantenunterlagen muss außerdem klar sein, wen die jeweilige Aufbewahrungspflicht trifft und welche Leistung die Kanzlei übernommen hat.
Für Lohnkonten bestimmt § 41 Absatz 1 EStG die Aufbewahrung bis zum Ablauf des sechsten Kalenderjahres nach der zuletzt eingetragenen Lohnzahlung. Das ist eine konkrete Dokumentenregel mit eigenem Auslöser. Sie ist nicht gleichbedeutend mit sechs Jahren für sämtliche Bewerbungsunterlagen, Personalakten und Mandatsdaten einer Lohnabrechnung.
Die Übersicht der Aufbewahrungsfristen kann bei der Einordnung helfen. Die Kanzlei sollte für jede Kategorie Rechtsgrund, Ereignis, Frist und gegebenenfalls einen begründeten Aufschub festhalten. Dazu gehören tatsächliche Rechtsstreitigkeiten oder fortbestehende Pflichten. Eine hypothetische spätere Nachfrage rechtfertigt dagegen nicht ohne Weiteres ein unbegrenztes Gesamtarchiv.
Löschung technisch und organisatorisch umsetzen
Speicherbegrenzung erfordert Entscheidungen über das Ende der Erforderlichkeit. Während einer Aufbewahrungspflicht darf die Kanzlei die betreffenden Daten behalten, sollte deren weitere Verwendung aber am Zweck ausrichten. Ein steuerlich aufzubewahrender Beleg wird dadurch nicht für eine neue Werbekampagne freigegeben. Nach Ablauf muss geprüft werden, ob ein anderer tragfähiger Grund besteht; ansonsten folgt die Löschung oder wirksame Anonymisierung.
Ein Löschkonzept sollte neben dem führenden System auch Kopien, Exporte und Sicherungen erfassen. Technische Sicherungen lassen sich nicht immer wie einzelne Produktionsdatensätze bearbeiten. Dann braucht es begrenzte Aufbewahrungszyklen, gesperrte gewöhnliche Nutzung und Regeln, die bei einer Wiederherstellung bereits ausgeführte Löschungen erneut wirksam machen. Die bloße Existenz eines Backups rechtfertigt keine dauerhafte Speicherung.
Bei einem Dienstleisterwechsel sind Datenrückgabe, Löschung vorhandener Kopien und Nachweisführung abzustimmen. Artikel 28 enthält für die Rückgabe- und Löschpflicht die Ausnahme gesetzlicher Aufbewahrung nach Unions- oder Mitgliedstaatenrecht. Die Kanzlei sollte konkret wissen, welche Daten ein Anbieter gegebenenfalls aus welchem Rechtsgrund behält. Eine unbestimmte Klausel über alle künftigen Geschäftszwecke ist dafür keine ausreichende Erklärung.
Auskunft und Mandatsgeheimnis im Einzelfall auflösen
Ein Auskunftsverlangen nach Artikel 15 kann vom Mandanten oder von einer anderen betroffenen Person kommen, deren Daten die Kanzlei verarbeitet. Die Tatsache, dass jemand nicht selbst Mandant ist, schließt den Anspruch nicht automatisch aus. Umgekehrt erhält eine Person dadurch keinen uneingeschränkten Anspruch auf sämtliche Informationen anderer Beteiligter in der Akte.
§ 29 BDSG enthält Einschränkungen für Informationen, die nach einer Rechtsvorschrift oder ihrem Wesen nach geheim gehalten werden müssen, insbesondere wegen überwiegender berechtigter Interessen Dritter. Die Kanzlei muss prüfen, welche konkreten Informationen davon betroffen sind. Teilweise Auskunft, Schwärzung oder eine verständliche Zusammenstellung können erforderlich sein, statt die gesamte Anfrage pauschal mit der Berufsverschwiegenheit abzulehnen.
Artikel 12 verlangt Information über die ergriffenen Maßnahmen ohne unangemessene Verzögerung und grundsätzlich innerhalb eines Monats nach Eingang. Eine notwendige Verlängerung um bis zu zwei weitere Monate berücksichtigt Komplexität und Anzahl der Anträge und muss im ersten Monat mit Gründen mitgeteilt werden. Wird nicht tätig geworden, sind spätestens innerhalb eines Monats die Gründe sowie Beschwerde- und gerichtliche Rechtsschutzmöglichkeiten mitzuteilen. Die Prüfung eines Geheimnisses beseitigt diese Kommunikationspflicht nicht pauschal.
Auch bei Löschungsanträgen nach Artikel 17 sind die verbleibenden Daten und jeweiligen Ausnahmen zu unterscheiden. Der Mandant sollte erfahren, weshalb bestimmte Unterlagen noch gespeichert werden und welcher Zeitraum oder welches Kriterium gilt. Hinweise auf das Beschwerderecht nach Artikel 77 gehören zu einem nachvollziehbaren Umgang mit ablehnenden Entscheidungen.
Sicherheitsvorfälle, Aufsicht und Verantwortung
Für Mandatsdaten sind Maßnahmen nach Artikel 32 DSGVO risikogerecht auszuwählen. Dazu können Mehrfaktorauthentifizierung, abgestufte Rechte, verschlüsselte Übertragung, aktuelle Systeme und geprüfte Wiederherstellung gehören. Ein Kennwort am Anhang oder Transportverschlüsselung allein beantworten nicht jede Sicherheitsfrage. Empfängerprüfung, Schlüsselverteilung und die Sensibilität des Inhalts müssen ebenfalls berücksichtigt werden.
Ein Fehlversand oder kompromittiertes Konto kann eine Verletzung personenbezogener Daten darstellen. Nach Artikel 33 ist die Aufsicht ohne unangemessene Verzögerung und möglichst binnen 72 Stunden nach Bekanntwerden zu benachrichtigen, sofern die Verletzung nicht voraussichtlich ohne Risiko für Rechte und Freiheiten bleibt. Eine spätere Meldung braucht Gründe. Jede Verletzung ist zu dokumentieren; bei voraussichtlich hohem Risiko kommt die gesonderte Benachrichtigung betroffener Personen nach Artikel 34 hinzu, mit den dortigen Ausnahmen.
Die Meldepraxis bei Datenpannen sollte deshalb Vertretungen und schnelle Informationswege vorsehen. Die Kanzlei braucht nicht erst einen vollständigen forensischen Abschlussbericht, um die erste Entscheidung zu treffen. Berufsgeheimnisse müssen bei der Übermittlung an die Aufsicht geschützt werden; § 29 Absatz 3 BDSG begrenzt bestimmte Untersuchungsbefugnisse unter seinen Voraussetzungen, schafft jedoch keine allgemeine Immunität vor Datenschutzaufsicht.
Ein Datenschutzbeauftragter wird nicht automatisch für jede Kanzlei erforderlich. § 38 BDSG erfasst grundsätzlich mindestens 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind. Unabhängig davon nennt er insbesondere Verarbeitung mit Pflicht zur Datenschutz-Folgenabschätzung sowie geschäftsmäßige Verarbeitung für Übermittlung, anonymisierte Übermittlung oder Markt- und Meinungsforschung. Artikel 37 erfasst daneben etwa umfangreiche regelmäßige und systematische Überwachung als Kerntätigkeit oder umfangreiche Verarbeitung von Daten nach Artikel 9 oder 10 als Kerntätigkeit. Schwellen und Tätigkeiten sind konkret zu prüfen. Ein möglicher Schadensersatz nach Artikel 82 ist von Aufsichtsmaßnahmen und berufsrechtlichen Folgen zu unterscheiden.
Geeignete Werkzeuge anhand der Arbeit auswählen
Bei der Auswahl von Datenschutzsoftware für Kanzleien sind nachvollziehbare Rollen, Fristen, Versionen und Exporte hilfreicher als ein pauschales Konformitätsversprechen. Die Kanzlei sollte einen konkreten Fall durchspielen: Eine Mitarbeiterin verlässt das Team, ein Mandat endet oder ein Betroffener verlangt Auskunft. Entscheidend ist, ob die Informationen auffindbar sind und die vorgesehenen Maßnahmen tatsächlich ausgeführt werden können.
Benötigt die Kanzlei einen AV-Vertrag mit jedem Mandanten?
Nicht für die eigenverantwortliche Steuerberatung einschließlich der entsprechend ausgeübten Lohnbuchhaltung. § 11 StBerG und die tatsächliche berufliche Tätigkeit sind maßgeblich. Die Rechtsgrundlage der Datenübermittlung und Verträge mit eigenen Auftragsverarbeitern bleiben gesondert zu prüfen.
Gelten für alle Kanzleiunterlagen zehn Jahre?
Nein. Die Handaktenregel, steuerliche und handelsrechtliche Dokumentenfristen sowie andere Zwecke haben unterschiedliche Voraussetzungen und Auslöser. Die Kanzlei muss die Unterlagen zuordnen und weitergehende Speicherung konkret begründen.
Darf die Kanzlei wegen Verschwiegenheit jede Auskunft verweigern?
Nein. Sie muss den Antrag, die betroffenen Informationen und die einschlägigen Geheimhaltungsgründe einzeln prüfen. Eine begründete teilweise Antwort kann erforderlich sein; Frist und Informationen über Rechtsbehelfe bleiben zu beachten.