Eine Steuerkanzlei verarbeitet Einkommen, Vermögen, Beschäftigtendaten, Belege und oft Informationen über Gesundheit oder Familie. Gleichzeitig muss sie Mandantengeheimnisse schützen, gesetzliche Aufbewahrung beachten und Auskunfts- oder Löschanfragen richtig beantworten. Ein bloßer Hinweis auf DATEV oder einen Cloudvertrag genügt dafür nicht. Dieser Leitfaden ordnet die DSGVO, die Verschwiegenheit nach dem Steuerberatungsgesetz und § 203 StGB in konkrete Arbeitsabläufe ein. Er korrigiert zwei verbreitete Fehler: Buchungsbelege sind nach § 147 AO im Regelfall acht Jahre aufzubewahren, und § 11 Abs. 2 StBerG ordnet Steuerberater für die Daten ihrer Mandanten als Verantwortliche ein.
Drei Regelwerke, unterschiedliche Zwecke
Die zuständige Landesaufsicht ist von der berufsrechtlichen Steuerberaterkammer zu unterscheiden; die BfDI ist nicht pauschal für private Steuerkanzleien zuständig. Die DSGVO regelt, wann und wie personenbezogene Daten verarbeitet werden dürfen. Für die Kanzlei sind insbesondere Rechtmäßigkeit, Zweckbindung, Datenminimierung, Sicherheit und Rechenschaftspflicht wichtig. § 57 Abs. 1 StBerG verpflichtet Steuerberater zur unabhängigen, eigenverantwortlichen, gewissenhaften und verschwiegenen Berufsausübung. Die Verschwiegenheit bezieht sich auf alles, was in Ausübung des Berufs bekannt geworden ist, soweit nicht gesetzliche Ausnahmen greifen. § 203 StGB stellt das unbefugte Offenbaren fremder Geheimnisse durch Steuerberater und weitere Berufsgeheimnisträger unter Strafe.
Diese Pflichten überschneiden sich, sind aber nicht identisch. Ein Mandant kann der Übermittlung eines Belegs datenschutzrechtlich zustimmen, ohne dass damit jede berufsrechtliche Frage erledigt wäre. Umgekehrt erlaubt eine berufsrechtlich zulässige Mitwirkung eines IT-Dienstleisters nicht automatisch jede Verwendung personenbezogener Daten. Für einen Prozess sollten Kanzleien daher getrennt dokumentieren: Wer ist datenschutzrechtlich verantwortlich? Auf welcher Grundlage werden die Daten verarbeitet? Wer darf nach Berufsrecht Kenntnis von Geheimnissen erhalten? Welche Sicherheitsmaßnahmen und Verträge sind erforderlich? Die DSGVO in der Steuerberaterkanzlei bietet einen weiteren Überblick über Organisation und Verantwortlichkeiten.
Verantwortlicher oder Auftragsverarbeiter?
Nach Art. 4 Nr. 7 und 8 DSGVO ist verantwortlich, wer Zwecke und Mittel der Verarbeitung bestimmt; ein Auftragsverarbeiter verarbeitet Daten im Auftrag eines Verantwortlichen. Für Personen und Gesellschaften nach § 3 StBerG trifft § 11 Abs. 2 StBerG eine ausdrückliche Zuordnung: Bei der Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten im Rahmen ihrer Berufspflichten sind sie Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Das umfasst auch die berufliche Lohn- und Finanzbuchführung. Die DSK-Einordnung zur Auftragsverarbeitung und die Hinweise der Bundessteuerberaterkammer erläutern ergänzend die eigenständige Fachleistung eines Berufsgeheimnisträgers.
Deshalb ist die Aussage „Lohnbuchhaltung durch die Steuerkanzlei ist Auftragsverarbeitung des Mandanten“ für diese berufsrechtlich erfasste Tätigkeit falsch. Ein Art.-28-Vertrag zwischen Mandant und Steuerkanzlei ersetzt die gesetzliche Rollenverteilung nicht. Dokumentieren Sie, welche Berufsträger und Gesellschaften die Mandantendaten verarbeiten, welche Leistungen sie erbringen und welche weiteren Anbieter Zugriff erhalten. Für solche zusätzlichen technischen Anbieter ist die Rolle gesondert zu prüfen; die AVV-Einordnung und Vertragsvorlage hilft dabei.
Nutzt die Kanzlei selbst Hosting, Dokumentenportal oder IT-Support, kann der Anbieter dagegen Auftragsverarbeiter der Kanzlei sein. Dann sind Art. 28 DSGVO, Sicherheitsgarantien, Unterauftragsverarbeiter, Weisungen und Rückgabe oder Löschung bei Vertragsende zu prüfen. Zusätzlich gelten die berufsrechtlichen Geheimnisschutzregeln. Ein Vertrag mit dem Mandanten und ein Vertrag mit dem technischen Anbieter sind unterschiedliche Rechtsverhältnisse. Eine Rollenmatrix pro Dienstleistung verhindert, dass ein Standard-AVV für alle Beteiligten als Ersatz für diese Analyse verwendet wird.
Mitarbeiter und Dienstleister zur Verschwiegenheit verpflichten
§ 62 StBerG verlangt für beschäftigte Personen eine Verpflichtung zur Verschwiegenheit in Textform und eine Belehrung über strafrechtliche Folgen. Das betrifft die Organisation von Eintritt, Rollenwechsel und Ausscheiden. Eine Klausel in einer alten Personalakte hilft wenig, wenn neue Mitarbeitende unkontrollierten Zugriff auf alle Mandanten erhalten. Rechte sollten nach Aufgaben und Mandaten vergeben und bei Wechsel zügig entzogen werden. Schulungen sollten konkrete Fälle behandeln, etwa die Weitergabe eines Bescheids an eine falsche Adresse oder das Hochladen eines Belegs in einen nicht freigegebenen Dienst.
Für externe Dienstleister enthält § 62a StBerG besondere Regeln. Zugang zu geheimhaltungsbedürftigen Tatsachen ist auf das für die Dienstleistung Erforderliche zu begrenzen. Der Dienstleister ist sorgfältig auszuwählen; der Vertrag bedarf der Textform und muss unter anderem Verschwiegenheit, den notwendigen Kenntnisumfang und die Befugnis zur Einschaltung weiterer Personen regeln. Für Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, nennt Abs. 5 zusätzliche Voraussetzungen einschließlich einer Mandanteneinwilligung. Auslandsleistungen verlangen eine gesonderte Prüfung des Geheimnisschutzes. § 62a Abs. 8 stellt klar, dass Datenschutzvorschriften unberührt bleiben.
§ 203 Abs. 3 StGB erlaubt unter Voraussetzungen die Mitwirkung weiterer Personen, soweit dies für deren Tätigkeit erforderlich ist; Abs. 4 erfasst unbefugte Offenbarungen durch Mitwirkende und Pflichten zur Geheimhaltung. Die Norm bedeutet nicht, dass jede einzelne Supportperson einen individuell von der Kanzlei unterzeichneten Vertrag besitzen muss. Entscheidend sind die konkrete Mitwirkung, die gesetzlich geforderte Verpflichtungskette und wirksame Zugriffsbeschränkung. Dokumentieren Sie, welche Anbieter bei Support tatsächlich Daten sehen können und wie solche Zugriffe freigegeben und protokolliert werden. Der Vergleich zur Anwaltskanzlei und ihrem Mandantengeheimnis zeigt Parallelen, ohne die berufsrechtlichen Regeln gleichzusetzen.
DATEV, Portale und Cloud als tatsächliche Datenflüsse prüfen
Viele Kanzleien nutzen DATEV oder andere Plattformen zur Buchführung, Archivierung und Zusammenarbeit. Für die rechtliche Bewertung reichen Markenname und behaupteter Serverstandort nicht. Erstellen Sie eine Übersicht: Welche Mandanten und Datenkategorien liegen in welchem Dienst? Wer betreibt das System? Welche Tochter- oder Unterauftragnehmer können technisch zugreifen? Welche Supportwege, Backups und Exporte gibt es? Lassen Sie sich den aktuellen Vertrag, die technischen Maßnahmen und die konkreten Leistungsbeschreibungen des genutzten Produkts geben. Ein allgemeiner Konzern- oder Produktprospekt kann eine andere Version betreffen.
Bei einem Belegportal sind drei Seiten zu unterscheiden: Mandant, Kanzlei und Plattformanbieter. Der Mandant kann für seine Beschäftigten- oder Kundendaten eigene Pflichten haben. Die Kanzlei verarbeitet die erhaltenen Unterlagen im Rahmen ihres Auftrags und ihrer berufsrechtlichen Verantwortung. Der Plattformanbieter erhält möglicherweise einen technischen Auftrag. Klären Sie für jeden Zugriff die Rolle und die Informationspflichten; schließen Sie nicht automatisch einen AVV zwischen Mandant und Kanzlei, nur weil der Mandant Dokumente hochlädt. Der Leitfaden zum Verarbeitungsverzeichnis hilft, Portale und Schnittstellen richtig abzubilden; eine VVT-Vorlage kann die Pflichtangaben für den ersten Datentransfer sichtbar machen.
Ein sicheres Portal sollte Berechtigungen pro Mandant, Mehrfaktor-Authentisierung, verlässliche Übertragung, Protokolle und einen geregelten Export unterstützen. Testen Sie, ob eine ausgeschiedene Mitarbeiterin noch Zugriff hat, ob versehentlich falsch zugeordnete Belege zurückgerufen werden können und ob ein Mandant nur seine eigenen Unterlagen sieht. Ein einzelner Haken „verschlüsselt“ beantwortet diese Fragen nicht. Der Leitfaden zu Art. 32 DSGVO erläutert risikobezogene Sicherheitsmaßnahmen. Für die Auswahl kryptografischer Verfahren können die BSI-Empfehlungen TR-02102 eine technische Referenz sein; keine einzelne Vorgabe dort macht einen Cloudvertrag automatisch rechtmäßig. Prüfen Sie bei internationalen Cloud- oder Supportzugriffen außerdem Kapitel V DSGVO; EU-Hosting allein kann diese Frage nicht vollständig beantworten.
Rechtsgrundlagen und sensible Daten in der Kanzlei
Bei einer steuerberatenden Tätigkeit kommen je nach Verarbeitung Vertragserfüllung, gesetzliche Pflichten und andere Grundlagen des Art. 6 DSGVO in Betracht. Eine Tabelle „Steuererklärung = Art. 6 lit. b plus lit. c“ ist ohne Angabe der konkreten Pflicht zu pauschal. Der Mandant kann eine natürliche Person oder eine Gesellschaft sein; Daten von Beschäftigten, Angehörigen und Geschäftspartnern sind gesondert zu betrachten. Die Kanzlei sollte deshalb ihre wesentlichen Tätigkeiten mit Zweck, Personengruppen, Datenkategorien, Empfängern und einer begründeten Rechtsgrundlage dokumentieren. Wo eine gesetzliche Pflicht herangezogen wird, gehört die anwendbare Vorschrift in den Prüfvermerk.
Lohnunterlagen können Angaben über Religion, Gesundheit oder andere besondere Kategorien nach Art. 9 DSGVO enthalten. Nicht jede Abwesenheitsnotiz enthält eine Diagnose und nicht jede Steuerakte ist automatisch eine Verarbeitung besonderer Daten. § 11 Abs. 1 und 2 StBerG erlaubt den dort genannten Berufsträgern die Verarbeitung besonderer Kategorien gemäß Art. 9 Abs. 2 Buchst. g DSGVO im Rahmen ihrer Berufspflichten. Die Verarbeitung muss für die jeweilige Aufgabe erforderlich sein; eine Rechtsgrundlage nach Art. 6 und angemessene Schutzmaßnahmen bleiben zu prüfen. Beschränken Sie Einsicht besonders streng, vermeiden Sie unnötige Kopien und prüfen Sie, ob freie Notizfelder sensible Angaben ansammeln. Das Verzeichnis für Personalprozesse kann als Vergleich dienen, weil der Arbeitgeber eigene Pflichten für seine Beschäftigten behält.
Mandanteninformationen nach Art. 13 oder 14 DSGVO sollten die tatsächliche Verarbeitung erklären, nicht bloß eine allgemeine Cloudnutzung. Benennen Sie die Kanzlei als Verantwortliche, soweit sie diese Rolle innehat, und erläutern Sie Empfänger, Aufbewahrung, Rechte und gegebenenfalls Drittlandtransfers. Der Mandant muss wiederum seine eigenen Beschäftigten über die Verarbeitung durch den Arbeitgeber informieren; die Kanzlei kann fachlich unterstützen, übernimmt diese Arbeitgeberpflicht aber nicht automatisch.
Aufbewahrung: Fristen pro Dokumenttyp statt eine Zehn-Jahres-Regel
Die ursprüngliche pauschale Fristentabelle ist überholt. Nach § 147 Abs. 3 AO sind Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse und bestimmte Organisationsunterlagen grundsätzlich zehn Jahre aufzubewahren. Buchungsbelege nach Abs. 1 Nr. 4 sind seit der Rechtsänderung grundsätzlich acht Jahre aufzubewahren; Geschäftskorrespondenz und sonstige dort erfasste Unterlagen regelmäßig sechs Jahre. Übergang und Sonderregeln können relevant sein. Die Frist beginnt nicht am Tag des Scans, sondern nach § 147 Abs. 4 grundsätzlich mit Schluss des maßgeblichen Kalenderjahres. Zudem kann die Frist nach Abs. 3 weiterlaufen, solange Unterlagen für Steuern mit noch offener Festsetzungsfrist von Bedeutung sind.
§ 66 StBerG verlangt, Handakten zehn Jahre aufzubewahren; der Lauf beginnt mit Ablauf des Kalenderjahres, in dem der Auftrag beendet wurde. Der frühere Wert von sieben Jahren ist für die geltende Vorschrift falsch. Für Lohnkonten nennt § 41 EStG eine Aufbewahrung bis zum Ablauf des sechsten Kalenderjahres nach der zuletzt eingetragenen Lohnzahlung. Daraus folgt nicht, dass jedes Dokument einer Lohnakte exakt sechs Jahre aufzubewahren ist: Ein Buchungsbeleg kann eine andere gesetzliche Funktion haben. Ordnen Sie Daten nach Dokumenttyp und Zweck, nicht nach Ordnernamen.
Nach Ablauf aller einschlägigen Zwecke und Pflichten ist Löschung oder gegebenenfalls Anonymisierung zu prüfen. Art. 17 Abs. 3 DSGVO enthält Ausnahmen vom Löschungsrecht, etwa zur Erfüllung einer rechtlichen Pflicht oder für Rechtsansprüche. Das ist keine Erlaubnis, sämtliche Mandantendaten unbegrenzt aufzubewahren. Ein Löschkonzept mit Dokumenttypen sollte Fristbeginn, Rechtsgrund, Speicherort, zuständige Person, technischen Löschweg und dokumentierte Ausnahme verbinden. Testen Sie auch Kopien in E-Mail, Portal, Backup und Auslagerung. Technische Wiederherstellung und rechtmäßige Löschung müssen zusammen geplant werden.
Auskunft, Herausgabe und Berichtigung auseinanderhalten
Ein Mandant kann nach Art. 15 DSGVO Auskunft über personenbezogene Daten verlangen. Das ist nicht dasselbe wie die Herausgabe von Dokumenten nach § 66 Abs. 2 StBerG oder vertraglichen Regeln. Eine Kanzlei sollte den Antrag zuerst einordnen: Welche Person verlangt was, in welcher Rolle und für welchen Zeitraum? Bei einem Unternehmen als Mandant können natürliche Personen aus der Belegsammlung betroffen sein, die nicht mit dem Mandanten identisch sind. Eine pauschale Herausgabe aller Dateien kann Rechte von Beschäftigten, Familienmitgliedern oder Geschäftspartnern verletzen. Prüfen Sie deshalb Daten Dritter und mögliche Beschränkungen, bevor Kopien bereitgestellt werden.
Für Art.-15-Anträge gilt Art. 12 Abs. 3 DSGVO: grundsätzlich unverzüglich und spätestens innerhalb eines Monats reagieren; unter den gesetzlichen Bedingungen ist eine Verlängerung um bis zu zwei Monate mit rechtzeitiger Begründung möglich. Ein zentraler Eingang und klare Zuständigkeit verhindern Fristverlust. Dokumentieren Sie Suchorte, Ergebnis, Schwärzungen und Antwort. Der Leitfaden zum Auskunftsrecht erläutert die inhaltliche Prüfung. Bei Berichtigungen in steuerlich relevanten Unterlagen muss nachvollziehbar bleiben, was ursprünglich vorlag und wie korrigiert wurde; löschen Sie keine Aufzeichnungen, die nach Steuerrecht erhalten bleiben müssen.
Datenpannen und Kanzleinotfall
Typische Kanzleivorfälle sind Fehlversand, verlorene Geräte, kompromittierte Konten oder ein nicht mehr erreichbares Portal. Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung der zuständigen Aufsicht unverzüglich und möglichst binnen 72 Stunden ab Bekanntwerden, sofern voraussichtlich ein Risiko für Rechte und Freiheiten natürlicher Personen besteht. Ein Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren. Bei voraussichtlich hohem Risiko kann zusätzlich Art. 34 eine Benachrichtigung der betroffenen Personen verlangen. Jede bestätigte Verletzung des Schutzes personenbezogener Daten ist nach Art. 33 Abs. 5 zu dokumentieren, auch wenn keine Behördenmeldung erfolgt. Eine Meldung nach § 203 StGB ist kein pauschaler automatischer Zusatzschritt; mögliche straf- und berufsrechtliche Folgen sind je Sachverhalt getrennt zu prüfen.
Legen Sie vorab fest, wer Meldungen aus Fachbereichen und von IT-Dienstleistern annimmt, wie betroffene Mandate identifiziert werden und wer bei Ausfall der Kanzlei-IT entscheiden kann. Halten Sie Zugänge zu Meldeportalen, Stellvertretung und sichere Kommunikationswege bereit. Ein Restore-Test sollte zeigen, ob die Kanzlei Termine und Unterlagen wiederfindet, nicht nur ob eine Datei technisch zurückgespielt werden kann. Der Leitfaden zur DSGVO-Datenpanne vertieft die Risikobewertung. Ein Vorfall bei einem Anbieter sollte vertraglich so gemeldet werden, dass die Kanzlei ihre eigenen Fristen prüfen kann.
Ein Prüftag für die Kanzlei
Wählen Sie ein Mandat mit Beratung, Buchführung und Portalnutzung. Schreiben Sie die Datenflüsse auf: Eingang, Bearbeiter, Speicherort, Weitergabe, Aufbewahrung und Löschung. Prüfen Sie danach die Rechtsgrundlage und Rolle der Kanzlei für jede Tätigkeit. Vergleichen Sie Zugriffsrechte mit dem aktuellen Team. Ziehen Sie den Vertrag und die §-62a-Unterlagen des wichtigsten IT-Dienstleisters heran. Spielen Sie schließlich eine Auskunftsanfrage und einen Fehlversand durch. Halten Sie nur konkrete Lücken mit Verantwortlichem und Termin fest.
Eine zweite Person sollte den Ablauf anhand der Dokumentation nachvollziehen können. Wenn sie ohne private E-Mails weder den AVV noch den Geheimhaltungsvertrag oder die Handaktenfrist findet, fehlt ein verlässlicher Prozess. Beginnen Sie mit den risikoreichsten Mandaten und den am häufigsten genutzten Systemen. Die DSGVO-Checkliste und der Leitfaden für Anwaltskanzleien können ergänzende Prüffragen liefern; berufsrechtliche Unterschiede bleiben zu beachten.
Häufige Fragen
Braucht die Kanzlei mit dem Mandanten immer einen AVV?
Nein. § 11 Abs. 2 StBerG bestimmt für Personen und Gesellschaften nach § 3 StBerG, dass sie bei der Verarbeitung sämtlicher Mandantendaten im Rahmen ihrer Berufspflichten Verantwortliche sind. Das gilt auch für berufliche Lohn- und Finanzbuchführung; ein Mandanten-AVV passt zu dieser Tätigkeit nicht. Technische Dienstleister der Kanzlei können dagegen Auftragsverarbeiter sein und benötigen dann eine eigene Prüfung nach Art. 28 DSGVO.
Dürfen externe IT-Dienstleister Mandantendaten sehen?
Nur unter den Voraussetzungen von DSGVO, § 62a StBerG und § 203 StGB und soweit der Zugriff für die Leistung erforderlich ist. Auswahl, Vertrag in Textform, Verschwiegenheit, Unterauftragnehmer und Zugriffskontrollen sind zu prüfen. Für unmittelbar einzelmandatsbezogene Dienste können weitere Anforderungen einschließlich Einwilligung bestehen.
Wie lange sind Handakten und Buchungsbelege aufzubewahren?
Handakten nach § 66 StBerG grundsätzlich zehn Jahre ab Ende des Kalenderjahres, in dem der Auftrag beendet wurde. Buchungsbelege nach § 147 AO grundsätzlich acht Jahre seit der Änderung ab 2025, mit den gesetzlichen Regeln zu Beginn, Übergang und Fortdauer. Bücher und Jahresabschlüsse unterliegen regelmäßig zehn Jahren. Ein Dokument kann mehreren Pflichten dienen.
Ist DATEV automatisch datenschutzkonform?
Eine solche pauschale Aussage wäre unzulässig. Prüfen Sie den konkreten Dienst, den aktuellen Vertrag, Zugriffe, Unterauftragnehmer, Sicherheitsmaßnahmen, Speicherorte und Export. Die Kanzlei bleibt für ihre eigene Rolle verantwortlich. Genauso ist bei jedem alternativen Anbieter zu verfahren.
Wann ist ein Datenschutzbeauftragter erforderlich?
§ 38 BDSG nennt für nichtöffentliche Stellen den Regelfall von mindestens 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind, und weitere Fälle unabhängig von dieser Zahl. Art. 37 DSGVO kann ebenfalls greifen. Zählen Sie die konkret befassten Personen und prüfen Sie die übrigen Tatbestände; die Zahl der Berufsträger allein entscheidet nicht.
Vergleich mit anderen beratenden Berufen
Die Grundfragen zu Rechtsgrundlage, Rollen, Verzeichnis, Sicherheit und Löschung stellen sich auch außerhalb der Steuerberatung. Bei Immobilienmaklern liegt der Schwerpunkt häufig auf Bewerber- und Interessentendaten; bei Steuerkanzleien kommen das besondere Berufsgeheimnis und steuerrechtliche Aufbewahrung hinzu. Ein allgemeines Branchenmuster sollte deshalb nie ungeprüft übertragen werden.
Fazit
Datenschutz in der Steuerkanzlei ist eine Kombination aus richtiger Rollenbestimmung, Berufsgeheimnis, sicheren Datenflüssen und dokumentierten Fristen. Die geltenden acht Jahre für Buchungsbelege und zehn Jahre für Handakten zeigen, warum alte Tabellen gefährlich sind. Eine Kanzlei sollte ihre tatsächlichen Mandate und Dienste prüfen, statt einheitliche Vertrags- oder Löschregeln zu übernehmen. Wer Verantwortlichkeiten, Verträge und Ausnahmen nachvollziehbar hält, kann Mandantenrechte und Berufsrecht zugleich wirksam schützen.