DSGVO bei Steuerberater + Anwaltskanzleien

Hauptartikel: AVV-Vorlage nach Art. 28 DSGVO — Mustervertrag mit den Pflichtinhalten des Art. 28 Abs. 3 DSGVO für Ihre Dienstleister.

1. BayLDA-Klarstellung 2024

Steuerberater + Anwälte sind eigenständig Verantwortliche, KEIN Auftragsverarbeiter. Kein AVV nach Art. 28 erforderlich. Die Klarstellung stammt vom BayLDA, einer deutschen Landesdatenschutzbehörde (Aufsicht über nichtöffentliche Stellen: § 40 Abs. 1 BDSG). Die Abgrenzung selbst folgt aus Art. 28 Abs. 1 und Abs. 3 DSGVO und gilt in Österreich unverändert — dort ist die Datenschutzbehörde die zuständige Aufsichtsbehörde (§ 18 Abs. 1 DSG).

Die praktische Folge: Die Kanzlei trägt die Pflichten des Verantwortlichen selbst. Dazu gehören ein eigenes Verarbeitungsverzeichnis (Art. 30 Abs. 1 DSGVO), die eigene Meldung von Datenpannen (Art. 33 Abs. 1 DSGVO), die eigene Beantwortung von Betroffenenanträgen (Art. 12 Abs. 3 DSGVO) und eine eigene Prüfung der Benennungspflicht für einen Datenschutzbeauftragten (Art. 37 Abs. 1 DSGVO, in Deutschland ergänzt durch § 38 Abs. 1 BDSG).

Ein Auftragsverarbeitungsvertrag bleibt dort erforderlich, wo die Kanzlei selbst Dienstleister einsetzt, die in ihrem Auftrag personenbezogene Daten verarbeiten. Art. 28 Abs. 1 DSGVO lässt nur Auftragsverarbeiter zu, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; Art. 28 Abs. 3 DSGVO gibt den Mindestinhalt des Vertrags vor: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen.

Praxisempfehlung: Halten Sie in der eigenen Dokumentation fest, warum das Mandatsverhältnis nicht als Auftragsverarbeitung geführt wird. Das Verwechseln von Auftragsverarbeitung und (gemeinsamer) Verantwortlichkeit zählt zu den häufigen Fehlern im Verarbeitungsverzeichnis. Sinnvoll bleibt daneben, dass Kanzlei und Mandant sich gegenseitig über ihre Datenschutzerklärungen informieren.

2. Berufsgeheimnis § 203 StGB und DSGVO-Bußgeldrahmen

Stärker als DSGVO. Bei Bruch: Strafanzeige + Bußgeld parallel. § 203 Abs. 1 Nr. 3 StGB erfasst ausdrücklich Rechtsanwälte und Steuerberater — es handelt sich um deutsches Strafrecht; österreichische Kanzleien unterliegen den Verschwiegenheitspflichten ihres jeweiligen Berufsrechts.

Auf der DSGVO-Seite steht der Bußgeldrahmen des Art. 83 DSGVO daneben: nach Art. 83 Abs. 4 DSGVO bis zu 10 Mio. EUR oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs bei Verstößen unter anderem gegen Art. 25 bis 39 DSGVO, nach Art. 83 Abs. 5 DSGVO bis zu 20 Mio. EUR oder 4 % bei Verstößen gegen die Verarbeitungsgrundsätze und Einwilligungsbedingungen (Art. 5, 6, 7, 9 DSGVO) oder die Rechte der betroffenen Person (Art. 12 bis 22 DSGVO) — je nachdem, welcher Betrag höher ist. In Österreich sieht § 62 Abs. 1 DSG für bestimmte Tatbestände — unter anderem den vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung und die vorsätzliche Übermittlung von Daten in Verletzung des Datengeheimnisses (§ 6 DSG) — Verwaltungsstrafen bis zu 50.000 EUR vor, soweit die Tat nicht bereits Art. 83 DSGVO unterfällt; zuständig für diese Entscheidungen ist die Datenschutzbehörde.

Grenze dieses Artikels: Behandelt wird die datenschutzrechtliche Seite (DSGVO, BDSG, DSG); Reichweite, Ausnahmen und Einwilligungsfragen zu § 203 StGB sowie zu BRAO und StBerG klären Sie mit einer zugelassenen Rechtsanwältin oder einem zugelassenen Rechtsanwalt.

3. Mandantenakten-Schutz

Strenge Aufbewahrung (StBerG: 10 Jahre, BRAO: 6 Jahre — deutsches Berufsrecht, ebenso § 257 HGB / § 147 AO). Zugriff nur durch Berufsträger + assigniertes Personal.

Datenschutzrechtlich entscheidet der Datentyp über das Schutzniveau: Enthält die Mandantenakte Gesundheitsdaten oder Angaben zu ethnischer Herkunft, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit, Sexualleben oder sexueller Orientierung — typisch in Personal- und Krankheitsfällen —, greift das grundsätzliche Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO mit engen Ausnahmen nach Art. 9 Abs. 2 DSGVO, etwa der ausdrücklichen Einwilligung.

Diese Einstufung kann zwei weitere Pflichten auslösen: Eine umfangreiche Verarbeitung besonderer Kategorien macht nach Art. 35 Abs. 3 DSGVO insbesondere eine Datenschutz-Folgenabschätzung erforderlich; besteht die Kerntätigkeit in einer solchen umfangreichen Verarbeitung, ist nach Art. 37 Abs. 1 lit. c DSGVO ein Datenschutzbeauftragter zu benennen — unabhängig von jeder Personenzahl.

Für die Buchführungsunterlagen der Kanzlei beträgt die handels- und steuerrechtliche Aufbewahrungspflicht in Deutschland nach § 257 HGB und § 147 AO zehn Jahre; die berufsrechtlichen Fristen des StBerG und der BRAO stehen daneben. Aufbewahrungspflichten und Löschverlangen kollidieren regelmäßig. Wo eine Aufbewahrungspflicht einem Löschverlangen entgegensteht, gehört der Konflikt mit Art. 17 DSGVO dokumentiert, statt ihn im Verfahren offenzulassen. Daneben gilt in Österreich das Datengeheimnis nach § 6 DSG (siehe Abschnitt „Deutschland und Österreich“).

4. Cloud-Software für Kanzleien

DATEV (DE-Hosting), Stack-IT, Anwaltsoftware Wolters Kluwer. Bei US-Hosting: Transfer Impact Assessment (TIA) + besondere Vorsicht (Schweigepflicht!).

Unabhängig vom Anbieter gilt: Wer Kanzleidaten in einer Cloud verarbeiten lässt, setzt einen Auftragsverarbeiter ein. Verlangt sind hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 1 DSGVO) und ein Vertrag mit dem Mindestinhalt nach Art. 28 Abs. 3 DSGVO. Liegt der Verarbeitungsort in einem Drittland, braucht die Übermittlung eine Garantie — in der Praxis Standardvertragsklauseln, das Data Privacy Framework oder verbindliche interne Datenschutzvorschriften. Im Verarbeitungsverzeichnis gehört dafür eine eigene Spalte (Art. 30 Abs. 1 DSGVO nennt Drittlandübermittlungen als Pflichtangabe).

Ein wiederkehrender Dokumentationsfehler ist der fehlende Drittlandhinweis bei US-Werkzeugen. Praxisempfehlung: Führen Sie jede eingesetzte Anwendung mit Anbieter, Verarbeitungsort und Garantie in einer Liste, halten Sie dort fest, wann Sie die Garantie zuletzt geprüft haben, und prüfen Sie die Liste im Review-Zyklus des Verarbeitungsverzeichnisses mit; veraltete Empfänger-Listen und fehlende Löschfristen zählen zu den häufigsten Fehlern im Verarbeitungsverzeichnis.

5. E-Mail mit Mandant

S/MIME oder PGP-Verschlüsselung empfohlen. Das besondere elektronische Anwaltspostfach (beA) ist für Anwältinnen und Anwälte in Deutschland verpflichtend (§ 31a BRAO; passive Nutzungspflicht nach § 31a Abs. 6 BRAO). Für Steuerberater behandelt dieser Abschnitt nur die datenschutzrechtliche Seite der Kommunikation; berufsrechtliche Kanalpflichten sind hier nicht abgebildet.

Verschlüsselung ist nicht nur Schutzmaßnahme, sie verändert die Rechtsfolgen einer Panne: Nach Art. 34 Abs. 3 DSGVO ist die Benachrichtigung der betroffenen Person nicht erforderlich, wenn geeignete technische und organisatorische Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden, wenn das hohe Risiko durch nachfolgende Maßnahmen nicht mehr besteht oder wenn die Benachrichtigung mit unverhältnismäßigem Aufwand verbunden wäre — allein in diesem letzten Fall tritt eine öffentliche Bekanntmachung an ihre Stelle. Die Meldung an die Aufsichtsbehörde richtet sich davon unabhängig nach Art. 33 Abs. 1 DSGVO: Sie entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Für die Ablage der Schutzmaßnahmen gilt: Das Verarbeitungsverzeichnis enthält nach Art. 30 Abs. 1 DSGVO nur eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Die Details gehören in ein zentrales TOM-Konzept nach Art. 32 DSGVO, auf das jede Verarbeitungstätigkeit verweist — ein eigenes TOM je Tätigkeit ist in der Praxis unüblich und erzeugt nur Doppelungen.

6. Datenpannen-Spezifika

Bei Datenpanne: Meldung an die Aufsichtsbehörde + § 203 StGB-Risiko. Anwaltliche Kanzleien: Anwaltskammer-Information möglich — eine berufsrechtliche Frage, die dieser Artikel nicht vertieft (siehe die Grenze in Abschnitt 2). Die Meldefrist selbst ist EU-einheitlich: unverzüglich und möglichst binnen 72 Stunden an die zuständige Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) — in Deutschland die Landesdatenschutzbehörde (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG).

Die Meldung selbst hat nach Art. 33 Abs. 3 DSGVO einen festen Pflichtinhalt: Beschreibung der Verletzung nach Art und Umständen, ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze, Datenkategorien, voraussichtliche Folgen, Maßnahmen zur Behebung und zur Schadensminderung sowie die Kontaktdaten des Datenschutzbeauftragten oder Verantwortlichen. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 DSGVO). Unabhängig davon ist nach Art. 33 Abs. 5 DSGVO jede Verletzung zu dokumentieren — auch die nicht gemeldete, samt Begründung, warum keine Meldung erfolgt ist.

Meldeweg in der Praxis: In Deutschland melden nichtöffentliche Stellen an die nach Landesrecht zuständige Behörde, die jeweils ein eigenes Meldeportal betreibt (§ 40 Abs. 1 BDSG) — in Bayern etwa das Bayerische Landesamt für Datenschutzaufsicht (lda.bayern.de). In Österreich geht die Meldung an die Datenschutzbehörde (dsb.gv.at).

Für den Ablauf nach einem Fehlversand heißt das (Praxisempfehlung): den Vorfall sofort intern erfassen und das Risiko bewerten, die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden unterrichten (Art. 33 Abs. 1 DSGVO), bei hohem Risiko die Betroffenen benachrichtigen (Art. 34 Abs. 1 DSGVO), den Empfänger um Löschung bitten und jeden Schritt dokumentieren (Art. 33 Abs. 5 DSGVO). Ob und in welcher Höhe eine Geldbuße folgt, entscheidet die Aufsichtsbehörde im Einzelfall innerhalb des Rahmens aus Abschnitt 2; dabei berücksichtigt sie nach Art. 83 Abs. 2 DSGVO unter anderem die Maßnahmen zur Minderung des Schadens der Betroffenen (lit. c), den Umfang der Zusammenarbeit mit der Aufsichtsbehörde (lit. f) und die betroffenen Datenkategorien (lit. g).

Verarbeitungsverzeichnis: neun Felder je Verarbeitungstätigkeit

Je Verarbeitungstätigkeit dokumentiert die Kanzlei neun Felder: Verantwortlicher und Kontaktdaten (samt Datenschutzbeauftragtem), Zwecke, Kategorien betroffener Personen, Kategorien personenbezogener Daten, Kategorien der Empfänger, Drittlandübermittlungen mit Garantien, geplante Löschfristen, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Details im zentralen TOM-Konzept nach Art. 32 DSGVO, siehe Abschnitt 5) — und die Rechtsgrundlage. Acht davon sind Pflichtangaben nach Art. 30 Abs. 1 DSGVO: Die Norm zählt sieben Buchstaben auf (lit. a–g); weil lit. c zwei Punkte bündelt — Kategorien betroffener Personen und Kategorien personenbezogener Daten —, arbeitet die Praxis mit acht Pflichtfeldern. Das neunte Feld, die Rechtsgrundlage, ist in Art. 30 Abs. 1 nicht genannt, sondern aus der Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO abgeleitet. Die Pflicht zum Verzeichnis trifft die Kanzlei als Verantwortliche.

Die Ausnahme des Art. 30 Abs. 5 DSGVO hilft Kanzleien praktisch nicht weiter: Sie greift nur kumulativ — weniger als 250 Beschäftigte und kein Risiko für die Rechte und Freiheiten der betroffenen Personen und keine regelmäßige Verarbeitung und keine besonderen Kategorien nach Art. 9 oder Daten über strafrechtliche Verurteilungen. Die laufende Mandats- und Personalverwaltung ist eine regelmäßige Verarbeitung (Praxis-Einordnung), womit der Ausnahmegrund entfällt.

Zur Form: Eine Tabellenkalkulation genügt — das Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann (Art. 30 Abs. 3 DSGVO); entscheidend sind Inhalt, Aktualität und Lesbarkeit. Auf Anfrage ist das Verzeichnis der Aufsichtsbehörde zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO). Aufsichtsanfragen beginnen in der Praxis mit genau dieser Vorlage, danach folgen AVV, TOM-Konzept und DSFA. Praxisempfehlung: Review jährlich und bei jeder Änderung, quartalsweise bei wachsenden Strukturen, jede Aktualisierung mit Datum dokumentiert.

Mandantenanfragen nach Betroffenenrechten: ein Monat Reaktionsfrist

Auf Anträge zur Ausübung von Betroffenenrechten muss die Kanzlei unverzüglich reagieren, in jedem Fall aber innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Die Frist lässt sich um weitere zwei Monate verlängern, wenn Komplexität oder Anzahl der Anträge das erfordern — dann ist die betroffene Person innerhalb des ersten Monats über die Verlängerung und deren Gründe zu unterrichten. Erfasst sind alle Anträge nach Art. 15 bis 22 DSGVO, also insbesondere Auskunft, Berichtigung und Löschung.

Der praktisch schwierigste Fall ist das Löschverlangen: Der Konflikt zwischen Art. 17 DSGVO und den Aufbewahrungspflichten (siehe Abschnitt 3) sollte nachvollziehbar dokumentiert werden (Praxisempfehlung) — welche Daten aus welchem Grund wie lange verbleiben und wann sie tatsächlich gelöscht werden. Diese Fristen gehören ohnehin in das Feld „geplante Löschfristen“ des Verarbeitungsverzeichnisses.

Fristen und Fundstellen im Überblick

Die folgende Tabelle listet ausschließlich Pflichten aus der DSGVO; sie gelten in Deutschland und Österreich gleichermaßen. Berufs- und strafrechtliche Pflichten (§ 203 StGB, BRAO, StBerG) sind hier bewusst nicht abgebildet.

Deutschland und Österreich: Wo es abweicht

Die DSGVO-Artikel selbst (u.a. Art. 9, Art. 28, Art. 33, Art. 37) gelten in beiden Ländern identisch. Unterschiedlich sind das ergänzende nationale Recht, das Berufsrecht und die zuständige Aufsicht:

• Deutschland: Ergänzend gilt das BDSG — Benennungspflicht für einen Datenschutzbeauftragten, soweit in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind (§ 38 Abs. 1 BDSG), unabhängig davon bei DSFA-pflichtigen Verarbeitungen. Aufsicht über nichtöffentliche Stellen: die nach Landesrecht zuständigen Landesdatenschutzbehörden (§ 40 Abs. 1 BDSG), für Bundesstellen der/die BfDI (§ 9 Abs. 1 BDSG). Berufs- und Strafrecht: § 203 StGB, BRAO/StBerG, beA nach § 31a BRAO — sämtlich deutsches Recht, ebenso die BayLDA-Klarstellung. Ergänzend zu Art. 83 DSGVO stellt § 43 BDSG die fehlerhafte Behandlung eines Auskunftsverlangens sowie Verstöße gegen die Verbraucherunterrichtung nach § 30 BDSG als Ordnungswidrigkeit unter Bußgeld; die Geldbuße beträgt bis zu 50.000 EUR (§ 43 Abs. 2 BDSG), gegen Behörden und sonstige öffentliche Stellen werden keine Geldbußen verhängt (§ 43 Abs. 3 BDSG).
• Österreich: Ergänzend gilt das DSG. Es sieht keine zahlenmäßige Schwelle für den Datenschutzbeauftragten vor — die Benennungspflicht folgt unmittelbar aus Art. 37 DSGVO (§ 5 DSG regelt ergänzend Verschwiegenheit und Weisungsfreiheit). Aufsicht: die Datenschutzbehörde als nationale Aufsichtsbehörde nach § 18 Abs. 1 DSG. Verwaltungsstrafen nach § 62 Abs. 1 DSG, siehe Abschnitt 2. Die berufsrechtliche Verschwiegenheit richtet sich nach dem österreichischen Berufsrecht, nicht nach § 203 StGB. Hinzu kommen zwei österreichische Normen mit Bezug zum Kanzleialltag: das Datengeheimnis nach § 6 DSG, das Verantwortliche, Auftragsverarbeiter und deren Mitarbeiter zur Geheimhaltung verpflichtet, und § 11 DSG, wonach die Datenschutzbehörde Art. 83 DSGVO verhältnismäßig anwendet und insbesondere bei erstmaligen Verstößen verwarnt, statt eine Geldbuße zu verhängen. Einen eigenen Beschäftigtendatenschutz-Paragrafen wie § 26 BDSG kennt das DSG nicht; maßgeblich sind Art. 6 und Art. 88 DSGVO, ergänzt um § 12 Abs. 4 Z 2 DSG (Bildaufnahme zur Kontrolle von Arbeitnehmern unzulässig) und § 96 Abs. 1 Z 3 ArbVG (Kontrollmaßnahmen, die die Menschenwürde berühren, nur mit Betriebsvereinbarung).