Datenschutz in der Kanzlei – Cheat Sheet für den Alltag

Datenschutz in der Steuerkanzlei ist komplex – aber die häufigsten Fragen im Alltag sind immer dieselben: Muss diese E-Mail verschlüsselt sein? Brauche ich für diesen Anbieter einen AV-Vertrag? Darf ich das in die Cloud laden? Dieser Artikel gibt konkrete Antworten – ohne Juristendeutsch, aber mit dem nötigen rechtlichen Hintergrund. Er ersetzt keine Rechtsberatung, hilft aber dabei, die richtigen Fragen zu stellen und die offensichtlichsten Lücken zu schließen.

Was muss verschlüsselt sein?

Die DSGVO fordert in Art. 32 „geeignete technische Maßnahmen" zum Schutz personenbezogener Daten – ohne eine konkrete Liste. In der Praxis haben sich für Steuerkanzleien folgende Standards etabliert, die auch von Datenschutzbehörden erwartet werden:

Wann brauche ich einen AV-Vertrag?

Ein Auftragsverarbeitungsvertrag (AV-Vertrag oder AVV) nach Art. 28 DSGVO ist immer dann erforderlich, wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet – und zwar auf Weisung von Ihnen, nicht eigenständig. Die Abgrenzung klingt abstrakt, aber im Kanzleialltag ist sie sehr konkret:

* Hier liegt i. d. R. eine gemeinsame Verantwortlichkeit oder eigene Verantwortlichkeit vor – kein klassischer AV-Vertrag, aber andere vertragliche Regelungen erforderlich. Im Zweifel: Datenschutzbeauftragten fragen.

Was gehört nicht in die Cloud?

„Die Cloud" ist kein einheitliches Konzept. Entscheidend ist, wer der Anbieter ist, wo die Daten physisch gespeichert werden und ob ein AV-Vertrag vorliegt. Trotzdem gibt es klare Kategorien:

Der § 203 StGB – was das konkret bedeutet

§ 203 StGB ist das, was den Datenschutz für Steuerberater von anderen Branchen unterscheidet. Er stellt die unbefugte Offenbarung von „fremden Geheimnissen" unter Strafe – das betrifft alles, was Mandanten Ihnen im Rahmen des Beratungsverhältnisses mitgeteilt haben.

Für den IT-Alltag bedeutet das konkret: Wenn Ihr IT-Dienstleister theoretisch Zugriff auf Mandantendaten haben könnte – z. B. weil er Server wartet oder Fernwartung durchführt –, ist das kein automatischer Verstoß gegen § 203 StGB. Seit der Gesetzesreform 2017 dürfen Steuerberater IT-Dienstleister einsetzen, die dabei Mandantendaten „zur Kenntnis nehmen" könnten, solange diese Dienstleister vertraglich zur Verschwiegenheit verpflichtet sind und auf Weisung handeln.

Der AV-Vertrag allein reicht dafür allerdings nicht – er regelt die datenschutzrechtliche Seite. Zusätzlich braucht es eine vertragliche Verschwiegenheitsverpflichtung des IT-Dienstleisters nach § 203 Abs. 4 StGB. Seriöse IT-Dienstleister, die Kanzleien betreuen, haben diese standardmäßig im Angebot.

Die wichtigsten TOMs für Steuerkanzleien

Technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO müssen dokumentiert sein – nicht nur umgesetzt. Ein Datenschutzbeauftragter oder eine Aufsichtsbehörde fragt nach der Dokumentation, nicht nur nach der Praxis.

Datenpanne – was dann?

Wenn personenbezogene Daten unbefugt offenbart, verloren oder zerstört werden, ist das eine Datenpanne (Art. 33 DSGVO). Die Meldepflicht ist eng getaktet:

Mandanten müssen informiert werden, wenn die Datenpanne voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten bedeutet – z. B. wenn sensible Steuerdaten oder Kontoinformationen betroffen sind.

Fazit: Datenschutz ist kein Einmalprojekt

Die häufigste Schwachstelle in Kanzleien ist nicht das fehlende Wissen, sondern die fehlende Dokumentation. Wer Maßnahmen umsetzt, aber nicht aufschreibt, hat im Ernstfall dasselbe Problem wie jemand, der gar nichts getan hat. Ein Datenschutzkonzept, ein Verarbeitungsverzeichnis (Art. 30 DSGVO) und aktuelle AV-Verträge mit allen relevanten Dienstleistern sind die Grundlage – alles andere baut darauf auf.

Manuel Eilert Geschäftsführer, digital73 it service gmbh Manuel betreut Berliner Steuerkanzleien seit über 15 Jahren – mit Schwerpunkt auf DATEV, Microsoft 365 und IT-Sicherheit.