Datenschutz für Steuerberater und Kanzleien
Kanzleien verarbeiten fremde Geheimnisse – wirtschaftlich, persönlich, oft existenziell. Das macht Datenschutz hier zur Frage der Mandantenbeziehung, nicht der Bürokratie. Wir bringen beides zusammen: DSGVO und Berufsrecht.
Typische Themen
- Benennungspflicht sauber prüfen
- § 203 StGB und Dienstleister
- Cloud- und Kanzleisoftware bewerten
- Verantwortlicher oder Auftragsverarbeiter?
- Aufbewahrung und Löschkonzept
Kurz beantwortet: Steuerberater und Rechtsanwälte sind Berufsgeheimnisträger nach § 203 StGB und verarbeiten Mandantendaten eigenverantwortlich – sie sind damit Verantwortliche im Sinne der DSGVO, nicht Auftragsverarbeiter ihrer Mandanten. Ein Datenschutzbeauftragter ist ab 20 Personen mit ständigem automatisiertem Datenzugriff zu benennen (§ 38 BDSG). Beim Einsatz externer Dienstleister mit Zugang zu Mandantendaten ist zusätzlich eine Verschwiegenheitsverpflichtung nach § 203 Abs. 3 StGB erforderlich.
Der Unterschied zu anderen Branchen
In den meisten Unternehmen ist das schlimmste Szenario ein Bußgeld. In der Kanzlei kommt eine zweite Ebene hinzu: die Strafbarkeit nach § 203 StGB und berufsrechtliche Folgen. Das verschiebt die Prioritäten.
| Thema | Übliches Unternehmen | Kanzlei |
|---|---|---|
| Rechtsrahmen | DSGVO und BDSG | Zusätzlich § 203 StGB und Berufsrecht |
| Dienstleister | AV-Vertrag genügt | AV-Vertrag plus Verschwiegenheitsverpflichtung |
| Folge eines Verstoßes | Bußgeld, Reputationsschaden | Zusätzlich Strafbarkeit und berufsrechtliche Konsequenzen |
| Rolle gegenüber Kunden | Häufig Auftragsverarbeiter | In der Regel eigener Verantwortlicher |
Die vier häufigsten Lücken
IT-Dienstleister ohne Verpflichtung
Der Systembetreuer hat Zugriff auf das Kanzleisystem, aber nur einen AV-Vertrag. Die Verschwiegenheitsverpflichtung nach § 203 Abs. 3 StGB fehlt.
Unklare Rollenverteilung
Dem Mandanten wird pauschal ein AV-Vertrag beigefügt, obwohl die Kanzlei eigenverantwortlich tätig wird. Das schafft Verwirrung statt Sicherheit.
Aufbewahrung ohne Konzept
Berufsrechtliche Fristen und datenschutzrechtliche Löschpflichten werden nie zusammengeführt – am Ende wird gar nicht gelöscht.
Kommunikation
Unverschlüsselte Mails mit Jahresabschlüssen oder Schriftsätzen, weil der sichere Weg im Alltag zu umständlich erschien.
Wie wir arbeiten
Wir kennen den Kanzleialltag: knappe Zeit, Fristen und ein Thema, das immer wichtig, aber selten dringend ist. Deshalb arbeiten wir mit klaren Paketen statt offenen Projekten.
- Dokumentierte Prüfung der Benennungspflicht
- Verzeichnis der Verarbeitungstätigkeiten für den Kanzleibetrieb
- Prüfung aller Dienstleister inklusive Verpflichtung nach § 203 StGB
- Bewertung der eingesetzten Kanzlei- und Cloud-Software
- Löschkonzept, das Berufsrecht und DSGVO zusammenführt
- Jährliche Schulung des gesamten Teams mit Nachweis
Mandantendaten verdienen mehr als ein Formular.
Im Erstgespräch klären wir, wo Ihre Kanzlei steht – und was sich mit überschaubarem Aufwand absichern lässt.