IT für Steuerkanzleien: DSGVO sicher

Warum Steuerkanzleien besondere Anforderungen haben

Berufsgeheimnis zuerst: Die Verschwiegenheitspflicht nach § 203 StGB geht über die allgemeine Datenschutzpflicht hinaus. Mandantendaten dürfen nur an berechtigte Personen gelangen. Dazu kommen steuerliche Aufbewahrungsfristen aus § 147 AO und die Anforderungen der GoBD an elektronische Aufzeichnungen. Hinzu kommt der tägliche Betrieb. Anwendungen der Kanzlei, Exchange, Belegworkflows und Mandantenportale müssen verfügbar bleiben. Ein Ausfall am Monatsende kostet Mandanten und Kanzlei gleichzeitig Zeit und Vertrauen.

Fünf Anforderungen, fünf technische Maßnahmen

Mandantendaten in der Cloud

Die Frage, ob Daten in der Cloud liegen dürfen, wird oft zu pauschal gestellt. Entscheidend sind drei Punkte: der Ort der Verarbeitung, der Vertrag mit dem Anbieter und die Rechte des Mandanten. Rahmenvertrag mit Auftragsverarbeitung, dokumentiertes Löschkonzept und ein nachvollziehbarer Ausgangs- und Rückgabeprozess machen die Cloud nutzbar. Unter Steuerberatern gilt zusätzlich die berufsrechtliche Schweigepflicht. Ob ein Mandant einer Cloud-Lösung zustimmen muss, hängt von der konkreten Konstellation ab. Diese Bewertung gehört in die Rechtsabteilung und nicht in die IT-Dokumentation.

Auslagerung: Die Verantwortung bleibt beim Unternehmen

Viele Kanzleien lagern große Teile der IT aus. Das ist üblich und grundsätzlich zulässig. Die GoBD halten ausdrücklich fest: Die Verantwortung für die Ordnungsmäßigkeit der Bücher und Aufzeichnungen bleibt beim Steuerpflichtigen. Das gilt auch, wenn Aufgaben ganz oder teilweise auf Dritte übertragen werden. Praktisch heißt das: Der Dienstleister stellt die Werkzeuge, das Verfahren und die Nachweise. Verantwortlich für die Freigabe des Verfahrens, für die Freigabe der Fristen und für die Beauftragung bleibt die Kanzlei. Diese Trennung sollte in der Vertragsgestaltung und in der Dokumentation sichtbar sein.

Stand der Technik: was nachgewiesen sein muss

Der Datenschutz erwartet angemessene technische Maßnahmen. Die Aufsichtsbehörden haben dazu den Stand der Technik beschrieben: Verschlüsselung, Zugriffskontrolle, Protokollierung, Datensicherung und ein geregeltes Löschkonzept. Verlangt wird kein bestimmtes Produkt, sondern ein nachvollziehbarer Stand. Für die Kanzlei heißt das: Die Maßnahmen sollten beschrieben, eingeführt und belegt sein. Ein aktuelles TOMs-Dokument, ein Zugriffsprotokoll und ein getesteter Wiederherstellungsfall sind mehr wert als ein teures Werkzeug ohne Nachweis.

Checkliste für die eigene Kanzlei

• 1

  Rechte – Wer darf welche Mandantendaten sehen, und wird das protokolliert?

• 2

  Geräte – Sind alle Arbeitsplätze verschlüsselt, auch im Homeoffice?

• 3

  Backup – Wurde die Wiederherstellung in den vergangenen Monaten getestet?

• 4

  Aufbewahrung – Sind Fristen je Dokumentart definiert und technisch durchgesetzt?

• 5

  Verträge – Liegen Vertrag zur Auftragsverarbeitung, TOMs und ein Verzeichnis der Verarbeitungen vor?

• 6

  Notfall – Gibt es einen getesteten Plan für den Ausfall der Kanzlei-IT?

Was ein IT-Dienstleister für die Kanzlei leistet

Viele Kanzleien haben eine IT, die irgendwann von einer Person zusammengebaut wurde. Ein Dienstleister bringt Struktur: dokumentierte Abläufe, aktuelle Systeme, geregelte Updates, ein Backup mit geprüfter Wiederherstellung und einen Ansprechpartner, der das Mandantenverständnis Ihrer Kanzlei kennt. Dazu gehört die Dokumentation, die Sie jederzeit vorlegen können. Mandanten fragen regelmäßig nach TOMs, Verträgen und Verfügbarkeitsnachweise. Wer die Antworten vorbereitet hat, gewinnt Ruhe im Mandantengespräch.