Eine Steuerkanzlei verarbeitet so viele sensible Daten wie kaum ein anderer Betrieb ihrer Größe: Einkommen, Vermögen, Familienverhältnisse, Gesundheitsaufwendungen, Religionszugehörigkeit. Datenschutzrechtlich ist sie trotzdem ein Sonderfall. Berufsrecht und DSGVO greifen ineinander, und einige Regeln, die in anderen Branchen selbstverständlich sind, gelten hier gerade nicht.
Verantwortlicher, nicht Auftragsverarbeiter
Die wichtigste Klarstellung zuerst. Steuerberater verarbeiten die Daten ihrer Mandanten nicht in deren Auftrag, sondern in eigener Verantwortung. § 11 Abs. 2 StBerG ordnet ausdrücklich an, dass die Verarbeitung weisungsfrei erfolgt. Damit ist die Kanzlei eigener Verantwortlicher im Sinne der DSGVO.
Praktische Folge: Ein Vertrag zur Auftragsverarbeitung zwischen Kanzlei und Mandant ist nicht der richtige Weg, auch nicht für die Lohnbuchhaltung. Diese Frage taucht in fast jeder Mandantenbeziehung auf, meist weil der Datenschutzbeauftragte des Mandanten danach fragt. Warum der Steuerberater auch aus Sicht der Mandanten ein Sonderfall ist, steht im Beitrag zur Auftragsverarbeitung.
Schweigepflicht und Datenschutz gelten nebeneinander
Steuerberater sind nach § 57 StBerG zur Verschwiegenheit verpflichtet, und § 203 StGB stellt die unbefugte Offenbarung von Mandantengeheimnissen unter Strafe. Die DSGVO ersetzt diese Pflichten nicht, sie kommt hinzu. Für die Kanzlei bedeutet das zwei Prüfungen bei jeder Weitergabe: Ist sie datenschutzrechtlich zulässig, und ist sie berufsrechtlich gedeckt?
Externe Dienstleister
Kaum eine Kanzlei betreibt ihre IT vollständig selbst. Damit der IT-Dienstleister, das Rechenzentrum oder der Aktenvernichter nicht zum Strafbarkeitsrisiko wird, regelt § 62a StBerG die Mitwirkung Dritter. Erlaubt ist der Zugang zu geschützten Informationen, soweit er für die Leistung erforderlich ist. Voraussetzung sind die sorgfältige Auswahl, eine Verschwiegenheitsverpflichtung in Textform und die Belehrung über die strafrechtlichen Folgen. Datenschutzrechtlich braucht es daneben den Vertrag nach Art. 28 DSGVO.
Besondere Kategorien im Kanzleialltag
Art. 9 DSGVO schützt bestimmte Daten besonders. In der Steuerberatung kommen sie regelmäßig vor, ohne dass es auffällt.
Religionszugehörigkeit
Das Kirchensteuermerkmal in jeder Lohnabrechnung verrät die Konfession. Es ist damit ein besonders geschütztes Datum, auch wenn es als bloße Abrechnungsgröße behandelt wird.
Gesundheitsdaten
Krankheitskosten als außergewöhnliche Belastung, Pflegegrade, Grad der Behinderung: In der Einkommensteuererklärung stecken oft Gesundheitsdaten. Sie gehören nicht in unverschlüsselte E-Mails und nicht in frei zugängliche Ablagen.
Wo es in Kanzleien typischerweise klemmt
Kommunikation per E-Mail
Unterlagen kommen per E-Mail herein und gehen per E-Mail hinaus, Bescheide, Lohnabrechnungen, Bilanzen. Für den Versand sensibler Unterlagen sollte ein Mandantenportal oder eine verschlüsselte Übertragung der Standard sein, die offene E-Mail die begründete Ausnahme.
Aufbewahrung ohne Ende
§ 66 StBerG verlangt die Aufbewahrung der Handakten für zehn Jahre nach Beendigung des Auftrags. Danach ist zu löschen. In vielen Kanzleien endet die Aufbewahrung aber nie, weil niemand den Schlusspunkt setzt. Ein Löschkonzept mit festem jährlichen Termin löst das.
Benennung des Datenschutzbeauftragten
In einer Kanzlei arbeiten praktisch alle Beschäftigten ständig mit personenbezogenen Daten am Rechner. Die Schwelle von in der Regel 20 Personen nach § 38 Abs. 1 BDSG ist damit schneller erreicht als in anderen Betrieben derselben Größe. Intern ist die Besetzung schwierig, weil Berufsträger und Kanzleileitung wegen Interessenkonflikten ausscheiden.
Wie wir Kanzleien betreuen
Wir übernehmen die Benennung als externer Datenschutzbeauftragter, führen das Verarbeitungsverzeichnis mit den kanzleitypischen Tätigkeiten und prüfen die Verträge mit Rechenzentrum und IT-Dienstleister auf Datenschutz und auf § 62a StBerG zugleich. Für Kanzleien in Stadt und Landkreis Osnabrück auch vor Ort.
Ein Erstgespräch dauert rund zwanzig Minuten: Kontakt aufnehmen oder anrufen unter 05406 500 4210.
Häufige Fragen zum Datenschutz in der Steuerkanzlei
Braucht eine Steuerkanzlei einen Datenschutzbeauftragten?
Ab in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, ja. In einer Kanzlei trifft das praktisch alle Beschäftigten. Unterhalb dieser Schwelle besteht die Pflicht nur in Sonderfällen, die DSGVO gilt aber vollständig.
Ist der Steuerberater Auftragsverarbeiter seiner Mandanten?
Nein. Nach § 11 Abs. 2 StBerG verarbeiten Steuerberater personenbezogene Daten weisungsfrei. Sie sind damit eigene Verantwortliche. Ein Vertrag zur Auftragsverarbeitung mit den Mandanten ist deshalb nicht der richtige Weg, auch nicht für die Lohnbuchhaltung.
Darf die Kanzlei einen externen IT-Dienstleister einsetzen?
Ja. § 62a StBerG erlaubt es, Dienstleistern Zugang zu geschützten Mandanteninformationen zu geben, soweit das für die Leistung erforderlich ist. Voraussetzung sind sorgfältige Auswahl, eine Verschwiegenheitsverpflichtung in Textform und die Belehrung über die strafrechtlichen Folgen eines Verstoßes.
Wie lange müssen Handakten aufbewahrt werden?
Nach § 66 StBerG zehn Jahre nach Beendigung des Auftrags. Danach sind die personenbezogenen Daten zu löschen, sofern nicht eine andere Pflicht eine längere Aufbewahrung verlangt.
Ist die Kirchensteuer ein Datenschutzthema?
Ja. Das Kirchensteuermerkmal in der Lohnabrechnung gibt die Religionszugehörigkeit preis und gehört damit zu den besonderen Kategorien nach Art. 9 DSGVO. Zugriff und Weitergabe sollten entsprechend eng geregelt sein.
