Steuerberater und Mandantendaten: Orientierung zu Rollenmodell und berufsrechtlichem Rahmen

Welche regulatorischen Vorgaben sind in der Steuerkanzlei einschlägig?

Drei Rechtsbereiche treten in der Steuerkanzlei verbreitet parallel auf:

Berufsrecht (StBerG und Berufsordnung). § 57 Abs. 1 StBerG verpflichtet dazu, den Beruf unabhängig, eigenverantwortlich, gewissenhaft und verschwiegen auszuüben. Nach § 62 StBerG sind die beschäftigten Personen in Textform zur Verschwiegenheit zu verpflichten und zu belehren. Die Berufsordnung der Bundessteuerberaterkammer und die jeweilige Kammer-Praxis konkretisieren diese Pflichten, eine eigene Befassung mit dem aktuellen Kammer-Stand ist regelmäßig geboten.

Strafrechtliche Schweigepflicht (§ 203 StGB). Steuerberater sind berufsmäßig Geheimnisträger im Sinne des § 203 Abs. 1 Nr. 3 StGB. Eine unbefugte Offenbarung eines anvertrauten Mandanten-Geheimnisses kann strafrechtliche Konsequenzen auslösen. Seit der Reform von 2017 dürfen Geheimnisse sonstigen mitwirkenden Personen offenbart werden, soweit dies für die Inanspruchnahme ihrer Tätigkeit erforderlich ist (§ 203 Abs. 3 Satz 2 StGB). Berufsrechtlich setzt § 62a StBerG dafür den Rahmen: sorgfältige Auswahl des Dienstleisters, Vertrag in Textform, Verpflichtung zur Verschwiegenheit unter Belehrung über die strafrechtlichen Folgen, Kenntnisnahme nur im erforderlichen Umfang und eine Regelung zu weiteren eingesetzten Personen (§ 62a Abs. 2, 3 StBerG). Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, setzen die Einwilligung des Mandanten voraus (§ 62a Abs. 5 StBerG). Wer nicht dafür sorgt, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde, kann sich nach § 203 Abs. 4 Satz 2 Nr. 1 StGB strafbar machen, wenn diese Person ein Geheimnis unbefugt offenbart.

Datenschutzrecht (DSGVO). Für die Verarbeitung personenbezogener Mandantendaten ist die DSGVO einschlägig. Die Rolle ist gesetzlich geklärt: Nach § 11 Abs. 2 StBerG verarbeiten Steuerberater personenbezogene Daten weisungsfrei und sind bei sämtlichen Mandantendaten Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO; ein Auftragsverarbeitungsvertrag mit dem Mandanten ist dafür nicht vorgesehen. Für die eigenen Dienstleister der Kanzlei gilt dagegen die allgemeine Abgrenzung, die konkrete Einordnung ist im Einzelfall vorzunehmen.

Welche Konstellation passt typisch zur Steuerkanzlei mittlerer Größe?

Für eine Steuerkanzlei mittlerer Größe ergibt sich typischerweise folgendes Bild; die Einordnung der eigenen Dienstleister hängt vom Einzelfall ab:

• Verantwortlicher nach Art. 4 Nr. 7 DSGVO für sämtliche Mandantendaten (§ 11 Abs. 2 StBerG).
• Informationspflicht gegenüber Mandanten nach Art. 13 DSGVO, verbreitet als Anlage zum Mandatsvertrag.
• Auftragsverarbeitungsverträge mit Dienstleistern, soweit sie Auftragsverarbeiter sind (etwa Kanzleisoftware-Cloud, externer IT-Dienstleister, Druck- und Vernichtungsdienstleister, Hosting-Anbieter), sowie Verträge nach § 62a StBerG.
• Verschwiegenheitsverpflichtung der Beschäftigten in Textform nach § 62 StBerG und der Dienstleister nach § 62a Abs. 3 StBerG.
• Aufbewahrungs- und Vernichtungskonzept entlang § 66 StBerG für Handakten und Mandantendokumente sowie § 147 AO für die eigenen Geschäftsunterlagen der Kanzlei.

Welcher Aufbau-Rahmen ist verbreitet?

Ein möglicher Aufbau in drei Bausteinen; ob er im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Rollenmodell-Klärung und Mandanten-Information. Eine ausdrückliche Klärung der eigenen Rolle als Verantwortlicher und die Aufnahme einer Datenschutz-Mandanten-Information nach Art. 13 DSGVO in den Mandatsvertrag ist verbreitet. Fordern Mandanten einen AVV ein, lässt sich auf § 11 Abs. 2 StBerG verweisen: Die Kanzlei ist Verantwortliche, nicht Auftragsverarbeiterin. Das Bayerische Landesamt für Datenschutzaufsicht vertritt dieselbe Einordnung.

Zweiter Baustein, Sub-Dienstleister-Inventur mit AVV und § 203-Würdigung. Eine vollständige Liste der Sub-Dienstleister mit Datenzugriff: DATEV-Cloud oder vergleichbare Kanzleisoftware-Cloud, externe IT-Wartung, Druck- und Versanddienstleister, Aktenvernichtungsunternehmen, gegebenenfalls Hosting-Anbieter. Pro Dienstleister: Prüfung, ob eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegt, und ein Vertrag nach § 62a StBerG; bei Leistungen im Ausland zusätzlich die Prüfung, ob der dortige Geheimnisschutz dem inländischen vergleichbar ist (§ 62a Abs. 4 StBerG).

Dritter Baustein, Technisch-organisatorische Maßnahmen. Mögliche Maßnahmen: Multi-Faktor-Authentifizierung für sensible Konten, Transport- und Speicherverschlüsselung der Mandantendaten, Schweigepflichtverpflichtung des Personals, dokumentiertes Backup-Konzept mit getestetem Restore, jährliche Mitarbeiter-Sensibilisierung. Die Maßnahmen-Tiefe ist nach Art. 32 DSGVO am Schutzbedarf zu bemessen.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für die mittlere Steuerkanzlei nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

• Reine Lohnbuchhaltungs-Mandate: Auch hier bleibt die Kanzlei nach § 11 Abs. 2 StBerG Verantwortliche; das Bayerische Landesamt für Datenschutzaufsicht nennt die Lohnbuchhaltung ausdrücklich. Anders kann es bei Anbietern liegen, die nicht unter § 3 StBerG fallen, etwa reinen Lohnrechenzentren.
• Sub-Mandate an Kollegen oder Outsourcing-Partner: Die berufsrechtliche und datenschutzrechtliche Würdigung von Sub-Beauftragungen, etwa an WP-Gesellschaften, Lohnbüros oder Outsourcing-Anbieter im Ausland, erfordert eine eigene Prüfung; bei Dienstleistungen im Ausland gilt zusätzlich § 62a Abs. 4 StBerG.

• NIS2-Größenwachstum: Steuerberatung gehört zu keinem der Sektoren in den Anlagen 1 und 2 des BSIG. Eine unmittelbare NIS2-Pflicht entsteht daher nicht allein durch Wachstum; relevant werden können aber vertragliche Sicherheitsanforderungen von Mandanten, die selbst NIS2-pflichtig sind.
• Datenpanne mit Bezug zu Mandantengeheimnis: Eine Datenpanne, die § 203 StGB berühren kann, ist nicht nur unter Art. 33 DSGVO zu würdigen, sondern auch berufs- und strafrechtlich (§ 57 Abs. 1 StBerG, § 203 StGB). Ob und wann die Berufshaftpflichtversicherung zu informieren ist, ergibt sich aus dem jeweiligen Versicherungsvertrag.
• Internationale Mandate mit Drittland-Bezug: Die Drittland-Transfer-Würdigung nach Art. 44 ff. DSGVO ist bei Mandanten in Drittstaaten oder bei Cloud-Setups ohne EU-Datenresidenz sorgfältig vorzunehmen.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch die zuständige Steuerberaterkammer, einen externen Datenschutzbeauftragten oder spezialisierte anwaltliche Beratung wird typischerweise empfohlen.

Nächster Schritt

Einen Entwurf für einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit TOM-Anlage und Liste der Sub-Auftragsverarbeiter erstellt der AVV-Generator. Die berufsrechtlichen Vertragsinhalte nach § 62a Abs. 3 StBerG sind darin nicht enthalten und zu ergänzen.

Für eine vertiefte Auseinandersetzung mit dem Rollenmodell Verantwortlicher gegenüber Auftragsverarbeiter: DSGVO-Auftragsverarbeitung nach Art. 28 in der Praxis.