DSGVO für Steuerberater: StBerG und Mandantendaten

In einem Satz. Steuerberater verarbeiten hochsensible wirtschaftliche und persönliche Mandantendaten unter den parallelen Pflichten der DSGVO, der berufsrechtlichen Verschwiegenheit nach § 57 Abs. 1 StBerG und § 9 BOStB sowie der strafrechtlichen Geheimhaltung nach § 203 StGB — wobei die Cloud-basierten DATEV-Lösungen Standardinfrastruktur sind und dennoch saubere AVV- und Schweigepflichtverpflichtungen verlangen.

Steuerberater sind nach § 203 StGB klassische Berufsgeheimnisträger. Wie in Anwaltskanzleien mit ihrem Mandantengeheimnis gilt seit der 2017er-Reform: IT-Auslagerung erfordert formale Schweigepflichtverpflichtung der Dienstleister-Mitarbeiter. Steuerberaterkammer (StBK) übt berufsrechtliche Aufsicht, LDA datenschutzrechtliche. Siehe BfDI. Den Straftatbestand regelt § 203 StGB im Volltext; die datenschutzrechtliche Grundlage bildet die DSGVO auf EUR-Lex.

Wichtige Punkte

• Dreifachpflicht: DSGVO, § 57 StBerG, § 203 StGB.
• DATEV-Cloud-Lösungen erfordern AVV + § 203 Abs. 4 StGB-Verpflichtung.
• Belegtransfer (Unternehmen-Online, DUO) ist Standard, mit DSGVO-Hinweisen für Mandanten.
• 10-jährige Aufbewahrungspflicht für Buchführungsunterlagen (§ 147 AO).
• DSB-Pflicht ab 20 Personen mit automatisierter Verarbeitung.

1. Rechtsgrundlagen

Verarbeitung	Rechtsgrundlage
Mandatsvertrag	Art. 6 Abs. 1 lit. b
Steuererklärungen	Art. 6 Abs. 1 lit. b + lit. c
Lohnabrechnung	Art. 6 Abs. 1 lit. b + lit. c (Sozialgesetze)
Belegarchivierung	Art. 6 Abs. 1 lit. c (AO, HGB)
Marketing	Einwilligung (Art. 6 Abs. 1 lit. a)

2. Verschwiegenheitspflicht § 57 StBerG

Steuerberater muss “über alles, was ihm in beruflicher Eigenschaft anvertraut wird, Verschwiegenheit bewahren”. Erfasst:

• Mandatsdaten
• Geschäftszahlen
• Privatsphäre der Mandanten
• Mandatsverhältnis selbst

Berufsrechtliche Sanktionen StBK: Rüge, Geldbuße bis €25.000, Berufsverbot.

3. § 203 StGB: Strafbarkeit

Wie bei Anwälten: Offenbarung fremder Geheimnisse durch Steuerberater bis 1 Jahr Freiheitsstrafe. § 203 Abs. 3 StGB: Mitwirkende Personen zulässig mit Schweigepflichtverpflichtung. § 203 Abs. 4: schriftliche Verpflichtung Pflicht. Als verwandte Berufsgeheimnisträger unterliegen Rechtsanwälte denselben Pflichten — mehr dazu im Leitfaden DSGVO in der Anwaltskanzlei.

4. DATEV als Branchen-Infrastruktur

DATEV eG ist Genossenschaft und faktischer Branchenstandard. Datenschutzaspekte:

• DATEV ist Auftragsverarbeiter — AVV erforderlich
• Schweigepflichtverpflichtung der DATEV-Mitarbeiter (DATEV-Standard)
• Datenstandort Deutschland (Rechenzentren Nürnberg)
• C5-Testat vorhanden
• ISO 27001-Zertifizierung

5. Unternehmen-Online und Belegtransfer

DATEV Unternehmen Online (DUO) ermöglicht Belegtransfer Mandant → Kanzlei. Datenschutzpflichten:

• Information des Mandanten (Art. 13 DSGVO)
• AVV zwischen Mandant und Steuerberater (wenn Mandant Verantwortlicher!)
• Verschlüsselte Übertragung
• Berechtigungsmanagement

6. Lohnbuchhaltung

Lohnabrechnung verarbeitet:

• Stammdaten (auch Sozialversicherungsnummer, Religion, Kinder)
• Bankverbindung
• Gehaltsdaten
• Krankheits- und Fehlzeiten

Rechtsgrundlage: Art. 6 Abs. 1 lit. c (SGB, EStG, LStDV). Aufbewahrung: 6 Jahre für Lohnunterlagen. Da hier besondere Datenkategorien (Religionszugehörigkeit für die Kirchensteuer, Gesundheitsdaten über Krankheits- und Fehlzeiten) verarbeitet werden, ist zusätzlich Art. 9 DSGVO in Verbindung mit § 26 BDSG einschlägig — die Lohnbuchhaltung ist datenschutzrechtlich der sensibelste Teil der Kanzleiarbeit.

7. IT-Dienstleister und Cloud (außer DATEV)

Bei alternativen Lösungen (Addison, lexoffice, taxpool, Microsoft 365) gleiche Anforderungen:

• AVV nach Art. 28 DSGVO
• § 203 Abs. 4 StGB-Schweigepflichtverpflichtung
• EU-Datenstandort
• TR-02102-konforme Verschlüsselung

Siehe AVV-Muster, BSI TR-02102 Kryptographie-Empfehlungen.

8. Aufbewahrungsfristen

Dokument	Frist	Grundlage
Bücher, Inventare, Bilanzen	10 Jahre	§ 147 Abs. 1 Nr. 1 AO
Buchungsbelege	10 Jahre	§ 147 Abs. 1 Nr. 4 AO
Geschäftskorrespondenz	6 Jahre	§ 147 Abs. 1 Nr. 2-3 AO
Lohnunterlagen	6 Jahre	§ 41 Abs. 1 EStG
Handakte Steuerberater	7 Jahre	§ 66 StBerG

Bei laufenden Außenprüfungen greift eine Ablaufhemmung — die Aufbewahrungspflicht endet dann erst nach Abschluss der Prüfung, faktisch oft deutlich später als die Regelfrist. Wichtig ist die Kehrseite: Nach Ablauf der jeweiligen Frist besteht eine Löschpflicht nach Art. 17 DSGVO. Unbegrenztes Horten alter Mandantendaten “zur Sicherheit” ist ein eigenständiger Verstoß gegen die Speicherbegrenzung (Art. 5 Abs. 1 lit. e). Ein dokumentiertes Löschkonzept, das die AO-/StBerG-Fristen mit den DSGVO-Löschpflichten je Dokumententyp verknüpft, gehört deshalb in jede Kanzlei — und ist zugleich der einfachste Nachweis von Compliance im Prüffall.

9. Mandanteninformation und Auskunftsrecht

Mandant hat Anspruch nach Art. 15 DSGVO. Praktische Umsetzung:

• Kopien der Steuererklärungen (ohnehin Pflicht nach § 66 StBerG)
• Korrespondenz mit Finanzamt
• Buchhaltungsdaten

Konflikte: Wenn Belege Geheimnisse Dritter enthalten (Lieferanten, Mitarbeiter), Schwärzung erforderlich.

10. Datenpannen

Typische Vorfälle:

• Fehlversendung von Steuerbescheiden
• USB-Stick mit Mandantendaten verloren
• E-Mail an falschen Empfänger
• Ransomware-Angriff auf Kanzlei (sektorweit zunehmend)

Meldepflicht 72h an LDA, ggf. Mandanteninformation. Bei DATEV-Vorfällen Information durch DATEV.

Steuerkanzleien sind ein bevorzugtes Ziel von Ransomware und Phishing, weil sie geballt wirtschaftlich sensible Daten vieler Mandanten halten. Der wirksamste Schutz ist unspektakulär: Multi-Faktor-Authentifizierung für alle Zugänge (ihr Fehlen war in mehreren Bußgeldfällen der ausschlaggebende Mangel), getrennte und getestete Backups, Mitarbeiterschulung gegen Phishing sowie ein Notfallplan für den Ausfall der Kanzlei-IT. Kommt es dennoch zum Vorfall, ist zusätzlich zur 72-Stunden-Meldung zu prüfen, ob ein Bruch der Schweigepflicht nach § 203 StGB vorliegt — bei erfolgreichem Datenabfluss praktisch immer.

11. Sanktionsbeispiele

Fall	Sanktion
Steuerberater (offener FTP-Server)	€20.000 LDA
Sozietät (E-Mail-Phishing erfolgreich, kein MFA)	€45.000
Lohnbuchhaltungs-Dienstleister (USB-Stick)	€15.000

12. Wer ist Verantwortlicher, wer Auftragsverarbeiter?

Die im Alltag folgenschwerste Frage ist die Rollenverteilung — sie entscheidet, welche Verträge nötig sind. Die Praxis kennt drei Konstellationen:

Tätigkeit	Rolle der Kanzlei	Vertrag
Steuerberatung, Jahresabschluss, Steuererklärung	eigener Verantwortlicher (weisungsfrei, berufsrechtlich gebunden)	kein AVV mit Mandant
Lohn- und Finanzbuchhaltung nach Weisung	Auftragsverarbeiter des Mandanten	AVV mit Mandant erforderlich
Nutzung von DATEV/Cloud durch die Kanzlei	Kanzlei ist Verantwortlicher, Anbieter ist Auftragsverarbeiter	AVV mit Anbieter

Die verbreitete Annahme, der Steuerberater sei stets Auftragsverarbeiter seines Mandanten, ist falsch. Für die klassische Beratung handelt er weisungsfrei und ist eigener Verantwortlicher — hier gibt es keinen AVV. Erst bei rein ausführenden Tätigkeiten wie der Lohnbuchhaltung kippt die Rolle. Wer das verwechselt, schließt entweder überflüssige oder — schlimmer — fehlende Verträge.

13. Belegtransfer und Mandantenpflichten

DATEV Unternehmen Online und vergleichbare Portale verlagern einen Teil der Verarbeitung zum Mandanten. Datenschutzrechtlich heißt das: Der Mandant, der Belege mit Mitarbeiter- oder Kundendaten hochlädt, ist selbst Verantwortlicher und braucht seinerseits eine Rechtsgrundlage sowie Informationspflichten gegenüber den Betroffenen. Die Kanzlei sollte den Mandanten darauf hinweisen und die Schnittstellen im eigenen Verzeichnis der Verarbeitungstätigkeiten abbilden. Verschlüsselte Übertragung und ein sauberes Berechtigungsmanagement (wer in der Kanzlei sieht welche Mandantendaten) sind dabei Mindeststandard.

14. Tool-Unterstützung

Legiscope bildet Mandanten-VVT, DATEV-AVV, Schweigepflichtverpflichtungen und Aufbewahrungsfristen-Tracking nach AO/StBerG ab.

Fazit

Steuerberater haben mit DATEV einen Branchenstandard, der vieles vereinfacht — aber nicht alles. Wer die § 203-StGB-Verpflichtung der eigenen IT-Dienstleister oder Mitarbeiter vergisst, riskiert mehr als ein DSGVO-Bußgeld: persönliche Strafbarkeit. Die kanzleiweite Umsetzung vertieft unser Leitfaden zur DSGVO in der Steuerberaterkanzlei. Ähnliche DSGVO-Grundpflichten — allerdings ohne Berufsgeheimnis — gelten etwa für Makler; siehe unseren DSGVO-Leitfaden für Immobilienmakler.

FAQ

Darf ich DATEV-Cloud nutzen?

Ja, mit DATEV-AVV (Standardvertrag verfügbar) und Schweigepflichtverpflichtung der DATEV-Mitarbeiter (im Standard enthalten). EU-Standort.

Brauche ich einen Datenschutzbeauftragten?

Ab 20 Personen mit automatisierter Verarbeitung. Bei spezieller Mandantschaft (z.B. Ärzte, Rechtsanwälte als Mandanten) ggf. früher.

Welche Aufbewahrungsfrist für Mandanten-Handakten?

7 Jahre nach Ende des Mandats (§ 66 StBerG), bei laufenden Außenprüfungen Ablaufhemmung — also faktisch oft länger.

Wer ist Verantwortlicher bei Lohnbuchhaltung?

Der Mandant (Arbeitgeber) ist Verantwortlicher, der Steuerberater ist Auftragsverarbeiter — AVV mit Mandant erforderlich.

E-Mail mit Mandantendaten verschlüsseln?

TLS-Server-Verschlüsselung Pflicht. Ende-zu-Ende-Verschlüsselung empfohlen bei sensiblen Inhalten (z.B. Steuerstrafsachen, Großmandate).

Reicht der DATEV-Standard-AVV aus?

Für das Verhältnis Kanzlei–DATEV ja: DATEV stellt einen AVV nach Art. 28 DSGVO bereit und verpflichtet seine Mitarbeiter auf die Schweigepflicht nach § 203 StGB, mit Rechenzentren in Deutschland und C5-Testat. Für alternative Anbieter (lexoffice, Addison, Microsoft 365) muss die Kanzlei AVV und § 203-Verpflichtung selbst einholen und prüfen.

Brauche ich für die Lohnbuchhaltung einen Vertrag mit dem Mandanten?

Ja. Bei der weisungsgebundenen Lohn- und Finanzbuchhaltung ist die Kanzlei Auftragsverarbeiterin des Mandanten (Arbeitgebers) — hier ist ein AVV nach Art. 28 DSGVO zwischen Mandant und Kanzlei erforderlich. Bei der eigentlichen Steuerberatung dagegen nicht.