Datenschutz für Steuerberater und Kanzleien
Kanzleien verarbeiten fremde Geheimnisse – wirtschaftlich, persönlich, oft existenziell. Das macht Datenschutz hier zur Frage der Mandantenbeziehung, nicht der Bürokratie. Wir bringen beides zusammen: DSGVO und Berufsrecht.
Typische Themen
- Benennungspflicht sauber prüfen
- § 203 StGB und Dienstleister
- Cloud- und Kanzleisoftware bewerten
- Verantwortlicher oder Auftragsverarbeiter?
- Aufbewahrung und Löschkonzept
Kurz beantwortet: Steuerberater und Rechtsanwälte sind Berufsgeheimnisträger nach § 203 StGB und verarbeiten Mandantendaten eigenverantwortlich – sie sind damit Verantwortliche im Sinne der DSGVO, nicht Auftragsverarbeiter ihrer Mandanten. Ein Datenschutzbeauftragter ist ab 20 Personen mit ständigem automatisiertem Datenzugriff zu benennen (§ 38 BDSG). Beim Einsatz externer Dienstleister mit Zugang zu Mandantendaten ist zusätzlich eine Verschwiegenheitsverpflichtung nach § 203 Abs. 3 StGB erforderlich.
Der Unterschied zu anderen Branchen
In den meisten Unternehmen ist das schlimmste Szenario ein Bußgeld. In der Kanzlei kommt eine zweite Ebene hinzu: die Strafbarkeit nach § 203 StGB und berufsrechtliche Folgen. Das verschiebt die Prioritäten.
| Thema | Übliches Unternehmen | Kanzlei |
|---|---|---|
| Rechtsrahmen | DSGVO und BDSG | Zusätzlich § 203 StGB und Berufsrecht |
| Dienstleister | AV-Vertrag genügt | AV-Vertrag plus Verschwiegenheitsverpflichtung |
| Folge eines Verstoßes | Bußgeld, Reputationsschaden | Zusätzlich Strafbarkeit und berufsrechtliche Konsequenzen |
| Rolle gegenüber Kunden | Häufig Auftragsverarbeiter | In der Regel eigener Verantwortlicher |
Die vier häufigsten Lücken
IT-Dienstleister ohne Verpflichtung
Der Systembetreuer hat Zugriff auf das Kanzleisystem, aber nur einen AV-Vertrag. Die Verschwiegenheitsverpflichtung nach § 203 Abs. 3 StGB fehlt.
Unklare Rollenverteilung
Dem Mandanten wird pauschal ein AV-Vertrag beigefügt, obwohl die Kanzlei eigenverantwortlich tätig wird. Das schafft Verwirrung statt Sicherheit.
Aufbewahrung ohne Konzept
Berufsrechtliche Fristen und datenschutzrechtliche Löschpflichten werden nie zusammengeführt – am Ende wird gar nicht gelöscht.
Kommunikation
Unverschlüsselte Mails mit Jahresabschlüssen oder Schriftsätzen, weil der sichere Weg im Alltag zu umständlich erschien.
Wie wir arbeiten
Wir kennen den Kanzleialltag: knappe Zeit, Fristen und ein Thema, das immer wichtig, aber selten dringend ist. Deshalb arbeiten wir mit klaren Paketen statt offenen Projekten.
- Dokumentierte Prüfung der Benennungspflicht
- Verzeichnis der Verarbeitungstätigkeiten für den Kanzleibetrieb
- Prüfung aller Dienstleister inklusive Verpflichtung nach § 203 StGB
- Bewertung der eingesetzten Kanzlei- und Cloud-Software
- Löschkonzept, das Berufsrecht und DSGVO zusammenführt
- Jährliche Schulung des gesamten Teams mit Nachweis
Häufige Fragen zum Datenschutz in der Steuerkanzlei
Kostenloser Selbsttest: Sieben Fragen zeigen Ihnen, ob Sie einen Datenschutzbeauftragten benennen müssen und wo Ihre Dokumentation Lücken hat. Ohne Anmeldung, Ergebnis sofort. Zum DSGVO-Check
Braucht eine Kanzlei einen Datenschutzbeauftragten?
Maßgeblich ist § 38 Abs. 1 BDSG: ab 20 Personen mit ständigem automatisiertem Datenzugriff. Erwägungsgrund 91 DSGVO stellt klar, dass die Verarbeitung durch einen einzelnen Rechtsanwalt nicht als umfangreich gilt – die Pflicht aus Art. 37 Abs. 1 lit. c greift bei kleinen Einheiten daher regelmäßig nicht. Mittlere und größere Kanzleien überschreiten die Schwelle jedoch häufig, sobald alle Mitarbeitenden mitgezählt werden.
Wie verhält sich das Berufsgeheimnis zur DSGVO?
Sie gelten nebeneinander. § 203 StGB ist strafbewehrt und erfasst das Offenbaren fremder Geheimnisse. Besonders relevant: Externe Dienstleister mit Zugang zu Mandantendaten müssen nach § 203 Abs. 3 StGB sorgfältig ausgewählt und ausdrücklich zur Verschwiegenheit verpflichtet werden – zusätzlich zum AV-Vertrag nach Art. 28 DSGVO.
Ist die Kanzlei Auftragsverarbeiter ihrer Mandanten?
In der Regel nicht. Steuerberater und Rechtsanwälte werden im Mandat eigenverantwortlich und weisungsfrei tätig – sie sind damit eigene Verantwortliche im Sinne der DSGVO. Ein AV-Vertrag mit dem Mandanten ist deshalb grundsätzlich nicht erforderlich. Anders kann es bei rein unterstützenden Leistungen nach Weisung aussehen.
Was gilt beim Einsatz von Cloud-Software?
Zulässig, aber prüfungsbedürftig. Neben AV-Vertrag und Verschwiegenheitsverpflichtung sind Serverstandort, mögliche Zugriffe aus Drittländern und Verschlüsselung zu bewerten. Dokumentieren Sie die Prüfung – bei Berufsgeheimnisträgern wird genauer hingesehen.
Wie lange müssen Mandantenunterlagen aufbewahrt werden?
Für Steuerberater und Rechtsanwälte gelten berufsrechtliche Aufbewahrungspflichten für Handakten von regelmäßig zehn Jahren, dazu steuerliche Fristen für eigene Unterlagen. Ein Löschkonzept muss beides zusammenführen, statt pauschal zu löschen oder alles unbegrenzt aufzubewahren.
Mandantendaten verdienen mehr als ein Formular.
Im Erstgespräch klären wir, wo Ihre Kanzlei steht – und was sich mit überschaubarem Aufwand absichern lässt.