Datenschutz beim Steuerberater: Warum WhatsApp ein Risiko ist
Die Schweigepflicht schützt vor Weitergabe an Dritte, nicht vor dem falschen Übertragungsweg. Warum WhatsApp beim Steuerberater ein Datenschutzrisiko ist und was ein Mandantenportal anders macht.
Wer seinem Steuerberater am Telefon oder per WhatsApp mal eben eine Gehaltsabrechnung oder einen Kontoauszug schickt, verstößt damit häufiger gegen Datenschutzrecht, als beiden Seiten bewusst ist. Die Berufsverschwiegenheit nach § 57 StBerG schützt zwar davor, dass der Steuerberater etwas ausplaudert, sie sagt aber nichts darüber, auf welchem Weg Daten überhaupt übertragen werden dürfen.
Genau das wird zum Problem, wenn Kanzleien aus Bequemlichkeit auf WhatsApp oder unverschlüsselte E-Mail ausweichen. Was für die Verschwiegenheitspflicht am Telefon niemand infrage stellt, kann bei einer digitalen Kommunikation, wie sie eine digitale Steuerberatung nutzt, zu einem meldepflichtigen Datenschutzvorfall werden, wenn der falsche Kanal gewählt wird.
Inhalt
Das Wichtigste zum Datenschutz beim Steuerberater
- Die Verschwiegenheitspflicht nach § 57 StBerG und der Datenschutz nach DSGVO sind zwei getrennte Rechtsgebiete: Die eine schützt vor Weitergabe an Dritte, die andere regelt, wie Daten technisch verarbeitet und übertragen werden dürfen.
- Ein Mandant kann seinen Steuerberater ausdrücklich von der Schweigepflicht entbinden, das ist rechtlich unproblematisch, ändert aber nichts an den datenschutzrechtlichen Pflichten der Kanzlei.
- WhatsApp gilt in der Kanzleikommunikation als datenschutzrechtlich riskant, weil die App automatisch das gesamte Adressbuch inklusive Mandantendaten an Meta Server in den USA überträgt.
- Ein datenschutzkonformes Mandantenportal verschlüsselt die Übertragung, speichert Daten in der EU und überträgt keine Kontakte an Dritte.
- Bei einem gemeldeten Datenschutzverstoß drohen Bußgelder nach Art. 83 DSGVO zusätzlich zu berufsrechtlichen Konsequenzen nach dem StBerG.
Warum Schweigepflicht und Datenschutz zwei verschiedene Dinge sind
§ 57 Abs. 1 StBerG verpflichtet Steuerberater zu einer verschwiegenen Berufsausübung. Die Pflicht bezieht sich auf alles, was in Ausübung des Berufs bekannt geworden ist, einschließlich der bloßen Tatsache, dass überhaupt ein Mandat besteht. Sie richtet sich gegen die unbefugte Weitergabe an Dritte, nicht gegen eine bestimmte Übertragungsart.
Die DSGVO setzt einen zweiten, unabhängigen Rahmen: Sie verlangt, dass personenbezogene Daten mit angemessenen technischen und organisatorischen Maßnahmen geschützt werden, unabhängig davon, ob am Ende überhaupt jemand Unbefugtes von den Inhalten erfährt. Eine Kanzlei kann die Schweigepflicht also formal einhalten und trotzdem gegen die DSGVO verstoßen, etwa wenn sie Mandantendaten über einen unsicheren Kanal überträgt, ohne dass ein Dritter je Kenntnis erlangt.
Kann sich ein Mandant von der Schweigepflicht entbinden?
Ja. Ein Mandant kann seinen Steuerberater ausdrücklich von der Verschwiegenheitspflicht entbinden, zum Beispiel um mit der Bank, dem Notar oder einem neuen Berater im Rahmen eines Steuerberaterwechsels sprechen zu dürfen. Diese Entbindung wird in der Praxis meist schriftlich im Mandatsvertrag oder als separate Erklärung festgehalten. Wichtig: Die Entbindung wirkt nur gegenüber dem konkret genannten Empfänger und für den genannten Zweck, sie hebt die Schweigepflicht nicht generell auf.
Von der Entbindung strikt zu trennen ist die Frage, wie die Kanzlei intern und mit dem Mandanten selbst kommuniziert. Dafür gelten die Vorgaben der DSGVO unabhängig davon, ob eine Entbindungserklärung vorliegt.
Wie kommuniziert deine aktuelle Kanzlei mit dir?
Skalar arbeitet über ein verschlüsseltes Mandantenportal statt über E-Mail Anhänge oder Messenger. Sprich mit uns über eine sichere & effiziente Alternative.
Kostenloses Erstgespräch vereinbarenWarum WhatsApp in der Kanzleikommunikation ein Risiko ist
WhatsApp gleicht beim Einrichten automatisch das komplette Telefonbuch mit den eigenen Servern ab, ohne dass sich das zuverlässig abschalten lässt. Nutzt eine Steuerfachkraft WhatsApp dienstlich, überträgt sie damit potenziell alle gespeicherten Mandantenkontakte an Meta, auch die von Personen, die WhatsApp selbst nie zugestimmt haben. Allein diese Kontaktsynchronisation gilt in mehreren Bewertungen von Datenschutzbehörden als problematisch.
Hinzu kommt der Serverstandort: Nachrichteninhalte sind zwar Ende zu Ende verschlüsselt, Metadaten, also wer mit wem wann kommuniziert, jedoch nicht im gleichen Maß geschützt und können in die USA übertragen werden. Für eine Berufsgruppe, die sich auf besonders sensible Mandantendaten wie Gehälter, Kontostände oder Krankheitskosten stützt, ist das ein Risiko, das über ein normales Unternehmen hinausgeht.
Sensible Daten gehören nicht in den Messenger
Skalar bündelt Belege, Dokumente und Kommunikation in einem verschlüsselten Mandantenportal, EU gehostet und mit klarem Auftragsverarbeitungsvertrag.
Jetzt Erstgespräch buchenWas ein Mandantenportal datenschutzkonform macht
Ein datenschutzkonformes Mandantenportal unterscheidet sich von WhatsApp oder normaler E-Mail in mehreren Punkten:
- Verschlüsselte Übertragung: Dokumente und Nachrichten werden verschlüsselt übertragen und gespeichert, nicht im Klartext wie bei einer normalen E-Mail.
- Serverstandort in der EU: Daten werden auf Servern innerhalb der EU gehostet, ein Transfer in Drittländer außerhalb geregelter Angemessenheitsbeschlüsse entfällt.
- Keine Kontaktsynchronisation: Anders als ein Messenger greift ein Mandantenportal nicht auf das Adressbuch des Geräts zu und überträgt keine Kontakte an Dritte.
- Auftragsverarbeitungsvertrag: Die Kanzlei schließt mit dem Anbieter des Portals einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der Pflichten und Verantwortlichkeiten klar regelt.
- Nachvollziehbare Zugriffsprotokolle: Wer wann auf welches Dokument zugegriffen hat, lässt sich im Zweifel nachweisen, was bei WhatsApp praktisch unmöglich ist.
Was bei einem Datenschutzverstoß passiert
Wird ein Datenschutzverstoß bekannt, drohen zwei parallele Konsequenzen. Nach Art. 83 DSGVO kann die zuständige Datenschutzaufsichtsbehörde ein Bußgeld verhängen, das sich am Umsatz der Kanzlei oder an der Schwere des Verstoßes orientiert. Zusätzlich kann ein Verstoß gegen die technischen und organisatorischen Pflichten berufsrechtlich relevant werden, weil er mittelbar auch die Verschwiegenheitspflicht nach § 57 StBerG berührt, etwa wenn Daten durch die unsichere Übertragung tatsächlich Unbefugten zugänglich wurden.
Für Mandanten bedeutet das ein doppeltes Risiko: Nicht nur die eigenen Daten sind gefährdet, auch die Kanzlei selbst kann durch ein Bußgeld oder einen Reputationsschaden in ihrer Handlungsfähigkeit eingeschränkt werden, mitten in einer laufenden Betreuung.
Checkliste: Woran du eine datenschutzkonforme Kanzlei erkennst
- Die Kanzlei bietet ein eigenes Mandantenportal oder eine vergleichbare verschlüsselte Plattform an, statt Dokumente per E-Mail Anhang oder Messenger anzufordern.
- Es gibt einen benannten Datenschutzbeauftragten, intern oder extern, den du auf Nachfrage erreichen kannst.
- Die Kanzlei kann auf Nachfrage erklären, wo Mandantendaten technisch gespeichert werden und ob ein Auftragsverarbeitungsvertrag mit dem Softwareanbieter besteht.
- WhatsApp oder private Messenger werden für den Austausch sensibler Unterlagen aktiv ausgeschlossen, auch wenn es im Alltag bequemer wäre.
- Zugriffsrechte innerhalb der Kanzlei sind auf die tatsächlich am Mandat beteiligten Personen begrenzt, nicht pauschal für das ganze Team offen.
FAQ zum Datenschutz beim Steuerberater
Was ist der Unterschied zwischen Schweigepflicht und Datenschutz?
Der Unterschied zwischen Schweigepflicht und Datenschutz liegt im Schutzzweck: Die Schweigepflicht nach § 57 StBerG verbietet die unbefugte Weitergabe von Mandanteninformationen an Dritte, während die DSGVO unabhängig davon regelt, wie personenbezogene Daten technisch verarbeitet, gespeichert und übertragen werden müssen.
Kann ich meinen Steuerberater von der Schweigepflicht entbinden?
Ja, du kannst deinen Steuerberater ausdrücklich von der Schweigepflicht entbinden, etwa gegenüber deiner Bank oder einem neuen Berater. Die Entbindung gilt aber nur für den genannten Empfänger und Zweck und ändert nichts an den datenschutzrechtlichen Pflichten der Kanzlei.
Warum ist WhatsApp beim Steuerberater problematisch?
WhatsApp ist beim Steuerberater problematisch, weil die App automatisch das komplette Adressbuch inklusive Mandantenkontakte an Meta Server überträgt und Metadaten in die USA gelangen können. Für den Austausch sensibler Unterlagen wie Gehaltsabrechnungen oder Kontoauszüge gilt das als datenschutzrechtlich riskant.
Was macht ein Mandantenportal datenschutzkonform?
Ein Mandantenportal ist datenschutzkonform, wenn es Daten verschlüsselt überträgt und speichert, auf Servern innerhalb der EU gehostet wird, keine Kontakte synchronisiert und die Kanzlei mit dem Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen hat.
Was passiert bei einem Datenschutzverstoß in der Kanzlei?
Bei einem Datenschutzverstoß in der Kanzlei kann die Datenschutzaufsichtsbehörde ein Bußgeld nach Art. 83 DSGVO verhängen. Zusätzlich kann der Verstoß berufsrechtlich relevant werden, wenn er mittelbar auch die Verschwiegenheitspflicht nach § 57 StBerG berührt.
