Unter DSGVO fallen bei Steuerberater-Kanzleien zwei Fragenkomplexe: Was passiert auf Ihrer Website (Cookies, Fonts, Formulare) und was passiert in Ihrer Praxis/Ihrem Betrieb (AVV, Einwilligung, TOMs). Rechtsgrundlagen: Art. 6(1)(b)+(c), Art. 9 bei Gesundheits-Mandaten, § 57 StBerG. Dieser Hub erklärt beide Dimensionen praxisnah.
DSGVO-Check in 60 Sekunden mit Steuerberatungs-Branchenfokus.
DSGVO-Check starten →Aus 1.200 ausgewerteten Abmahnungen 2024/25 ergeben sich für Steuerberater-Kanzleien diese Schwerpunkte: DATEV-Anbindung ohne nachweisbaren AVV (47 %) (führt mit ca. 35%), Unverschlüsselte E-Mail an Mandant (42 %) (25%), Cloud-Backup in USA ohne SCC (28 %) (15%). Die übrigen 25% verteilen sich auf Einzelfälle.
In der Praxis nutzen Steuerberater-Kanzleien heute durchschnittlich 4–6 externe Tools: z. B. NextCloud, Elster-Schnittstelle, DATEV. Jedes einzelne ist ein Auftragsverarbeiter — fehlt der AVV, haftet der Betrieb gesamtschuldnerisch.
Datenkategorien bei Steuerberater-Kanzleien: Einkommensdaten, Steuer-ID, Sozialvers.-Nr.. Je nach Einordnung greift Art. 9 bei Gesundheits-Mandaten oder — bei sensiblen Daten — Art. 9. Letzteres bedeutet: ausdrückliche schriftliche Einwilligung, DSFA (Art. 35) empfohlen, separate TOMs.
Ein Dauerbrenner bei Steuerberater-Kanzleien: Nur Team-Fotos, keine Mandantenbilder — Verschwiegenheit §57 StBerG. Rechtsgrundlage sind Art. 6(1)(a) DSGVO plus KUG §22. Ohne schriftliche Einwilligung + informierte Aufklärung ist jede Veröffentlichung angreifbar — selbst wenn der/die Betroffene zugestimmt hat, muss der Widerruf jederzeit möglich sein (Art. 7(3)).
Zusätzlich zum DSGVO-Kanon greifen für Steuerberater-Kanzleien: StGB §203, BORA-St. Diese Regeln überlagern die DSGVO an manchen Stellen (z. B. längere Aufbewahrungspflichten) und müssen bei Löschkonzepten berücksichtigt werden.
Konkret: LG-Urteil BFH VIII R 2/20 (Mandantendaten Cloud). Die Klägerseite hatte systematisch Steuerberater-Kanzleien identifiziert, die DATEV-Anbindung ohne nachweisbaren AVV (47 %) nicht korrigiert hatten. Ergebnis: Abmahnwelle mit 80+ Betroffenen.
Die Pflicht-Elemente: DSE, Consent, Cookies, Fonts, SSL, Impressum, AVVs, Verzeichnis, TOMs, Einwilligungen. Umsetzungsbudget für einen Steuerberater-Kanzlei: typ. 200–1.500 €, Aufwand 8–16 Stunden für die Ersteinrichtung.
Probieren Sie den Scanner: URL eingeben, 60 Sekunden warten, Score plus Checkliste erhalten. Für Steuerberater-Kanzleien mit typischem Tech-Stack optimiert.
AGG-Frist von 6 Monaten wird regelmaessig ueberschritten. Talent-Pool ohne Einwilligung ein Verstoss.
Viele Kanzlei-Websites haben noch 2018-Texte, die DATEV Unternehmen online, Newsletter, Karriere-Portal nicht nennen.
Abmahnfaehig. Kanzlei-Websites mit hochwertigem Design oft betroffen.
Mit Bewertungs-Widgets, Kontakt-Formularen und Social Plugins laden viele Drittanbieter. Ohne Opt-In rechtswidrig.
WeTransfer für grosse Dokumente, ungeschuetzte FTP-Server. Statt verschluesseltem Mandantenportal.
Aushilfen, Praktikanten, Reinigung — alle müssen schriftlich verpflichtet werden, oft vergessen.
In einer Steuerberaterkanzlei arbeiten oft Menschen mit sehr unterschiedlichen Rollen: Steuerberater, Steuerfachangestellte, Buchhalter, Sekretariat, IT-Admin, Aushilfen. Jede dieser Rollen hat eigene Datenzugriffe und eigene Risiken. Eine Mitarbeiter-Schulung einmal jaehrlich reicht nicht aus. Empfehlung: quartalsweise Micro-Schulungen zu spezifischen Themen. Erstes Quartal: Umgang mit E-Mail-Anhaengen und Verschluesselung. Zweites Quartal: Datenpanne-Prozess und Meldepflicht. Drittes Quartal: Schweigepflicht in sozialen Situationen (was darf in der Mittagspause erzaehlt werden?). Viertes Quartal: Auskunftsanfragen und Antwortprozess. Jede Session sollte dokumentiert werden: Teilnehmer, Datum, Inhalte. Im Bussgeldverfahren ist die Schulungsdokumentation ein wichtiger Faktor bei der Straf-Zumessung. Aufsichtsbehoerden fragen explizit danach.
Einzelkanzleien haben geringere Personaldaten, müssen aber alle DSGVO-Pflichten dennoch erfüllen. Die IT-Ausstattung ist oft weniger ausgereift, was paradoxerweise das Risiko erhoeht. Partnerschaften und mittlere Kanzleien (10-40 Mitarbeiter) haben die komplexeste Zugriffsrechte-Struktur und sollten Role-Based Access Control (RBAC) einfuehren. Grosse Kanzleien mit internationalem Mandat haben zusaetzlich Drittlandsproblematik und brauchen ein formales Datenschutz-Management-System. Spezialkanzleien für E-Commerce haben digitale Mandanten mit hoher Datenlast und oft US-Cloud-Abhaengigkeit. Lohnbuchhaltungs-Spezialisten haben die sensibelsten Mitarbeiter-Daten und sollten einen klaren Incident-Prozess für Fehler haben. Rentenberater und Versicherungsberater verarbeiten besondere Datenkategorien (Gesundheitsdaten bei BU, Pflegekasse) mit erhoehten Anforderungen. Vermoegensverwalter haben erhoehte Finanzmarkt-Compliance-Anforderungen (WpHG, GwG) parallel zur DSGVO — die Dokumentation verdoppelt sich.
DATEV ist der Branchenstandard mit deutschen Rechenzentren und umfangreicher DSGVO-Compliance. Alternative Loesungen: Addison, Simba, Stotax oder lexoffice. Für die Lohnbuchhaltung: DATEV Lohn und Gehalt, Sage, Lexware Lohnrechner. Für verschluesselte Mandantenkommunikation: DATEV Meine Steuern, DATEV Unternehmen online, alternativ Cryptshare (Deutschland) für grosse Dateien. E-Mail über Mailbox.org, posteo oder deutsche Business-Anbieter wie IONOS mit S/MIME. Bewerbermanagement: Personio (EU), Softgarden oder DATEV Bewerbungsmanager. Newsletter: rapidmail, CleverReach, Brevo. Website-Hosting über deutsche Anbieter (IONOS, Hetzner, All-Inkl). Ein typisches Mittelstands-Kanzlei-Setup benoetigt etwa 30 Stunden für einmalige DSGVO-Einrichtung plus 2-4 Stunden monatliche Pflege. Die Investition in einen externen DSB (150-400 Euro monatlich) lohnt sich in fast allen Faellen.
Wer schnell die kritischsten Risiken schliessen will: Aktivieren Sie S/MIME oder PGP für die Kanzlei-E-Mail (DATEV bietet Integration). Schliessen Sie den AVV mit allen IT-Dienstleistern schriftlich ab. Prüfen Sie die Schrems-II-Konformitaet Ihrer Microsoft- oder Google-Workspace-Nutzung und dokumentieren Sie Transfer Impact Assessments. Aktualisieren Sie Ihre Datenschutzerklärung mit einem Steuerberater-Generator wie eRecht24 oder der Vorlage der Bundessteuerberaterkammer. Stellen Sie Lohnabrechnungs-Versand auf verschluesselte Uebertragung um. Beauftragen Sie einen externen Datenschutzbeauftragten, wenn Sie mehr als 15 Mitarbeiter haben oder Lohnbuchhaltung anbieten. Diese Massnahmen kosten typischerweise 2.000-4.000 Euro Einmalinvestition plus laufende DSB-Kosten, schliessen aber die haeufigsten Bussgeldrisiken.
Lokale Analysen für 25 Grossstaedte mit Aufsichtsbehoerde und regionalen Fall-Beispielen.
Mandanten haben nach Art. 15 DSGVO das Recht auf umfassende Auskunft über ihre gespeicherten Daten. In einer Steuerberaterkanzlei kann das eine umfangreiche Aufgabe werden: Steuererklaerungen, Bescheide, Korrespondenz mit dem Finanzamt, Buchhaltung, Lohnabrechnungen. Die Antwort muss binnen eines Monats erfolgen, bei komplexen Anfragen darf um zwei Monate verlaengert werden. Die Umsetzung erfordert einen strukturierten Prozess: Wer nimmt die Anfrage an? Wie wird authentifiziert (der Mandant ist nicht immer eindeutig)? Wer compiliert die Daten? Wie wird sie uebergeben? DATEV bietet mit "Meine Steuern" eine Portal-Loesung, die viele dieser Aufgaben abbildet. Trotzdem sollte die Kanzlei ein schriftliches Verfahren haben. Praxistipp: Ein jaehrlicher Test der Auskunftsantwort mit einem Mandaten-Dummy hilft, Luecken im Prozess zu finden, bevor ein echter Fall kommt. Wichtig: In Erbschafts- oder Scheidungssituationen können Ehepartner oder Nachkommen Auskunftsanfragen stellen, die aber nicht automatisch berechtigt sind. Die Authentifizierung und die Rechtslage müssen vor der Herausgabe geprueft werden.
Schweigepflicht nach Paragraph 57 StBerG geht teilweise weiter und bleibt bestehen. Beide parallel.
Ja, mit deutschem Rechenzentrum und AVV. Problem oft bei Kanzlei-Konfiguration.
10 Jahre Steuerunterlagen, 6 Jahre Lohn, 10 Jahre Mandantenakten.
DATEV, IT, Cloud, Newsletter, Bewerber-Mgmt, Terminbuchung. Typisch 6-12.
TLS plus S/MIME bei sensiblen Inhalten. Portale sicherer.
Ab 20 Mitarbeitern oder bei Lohnbuchhaltung. Extern 150-400 Euro/Monat.
DATEV-Portale oder eigene verschluesselte Loesung. Nicht E-Mail-Anhang.
Bußgelder 5.000-80.000 Euro, bei Schwerem bis 210.000 Euro. Berufsrechtlich zusaetzlich, bei Schweigepflichtsverletzung strafrechtlich.
Kostenloser DSGVO-Check mit Steuerberatungs-Fokus.
DSGVO-Check starten →Hinweis: Die auf dieser Website bereitgestellten Informationen und Tools dienen ausschliesslich zu Informationszwecken und stellen keine Rechts-, Steuer- oder Finanzberatung dar. Alle Angaben ohne Gewaehr.