Datentransfer Mandant-Cloud — DSGVO-Aspekte
Kernsachverhalt
Beim Datentransfer zwischen Mandant, StB und Cloud-Dienstleistern muss DSGVO-Konformitaet sichergestellt sein. Wesentliche Aspekte: AVV nach Art. 28 DSGVO mit jedem Auftragsverarbeiter, TOM (technisch-organisatorische Massnahmen), Drittlandtransfer-Pruefung (USA-Server problematisch), Einhaltung der Daten-Minimierung. Bei Verstoss: Bussgeld bis 4 Prozent Jahresumsatz.
Kaltstart-Rueckfragen
- Welche Cloud-Dienstleister sind im Einsatz (DATEV, BuchhaltungsButler, sevDesk, Microsoft, Google)?
- Liegen AVV mit allen Auftragsverarbeitern vor?
- Welche Daten werden gespeichert (Mandantendaten, Lohndaten, Mitarbeiterdaten)?
- Welcher Server-Standort (EU, Drittland)?
- Welche TOM-Massnahmen?
- Welche Mandantenkommunikation Datenschutzhinweise?
- Welche Sicherheits-Vorfaelle in der Vergangenheit?
- Welche Berufsverschwiegenheit (§ 57 StBerG)?
Rechtlicher Rahmen
Primaernormen
DSGVO Art. 5 — Grundsaetze.
DSGVO Art. 28 — Auftragsverarbeiter.
DSGVO Art. 32 — Sicherheit der Verarbeitung.
DSGVO Art. 44-50 — Drittlandtransfer.
§ 57 Abs. 1 StBerG — Verschwiegenheit.
§ 203 StGB — Verletzung Berufsgeheimnis.
Verwaltungsanweisungen
- Aufsichtsbehoerden DSK-Beschluesse.
- Schrems II-Urteil EuGH (Drittlandtransfer USA).
Workflow
Phase 1 — Auftragsverarbeitungs-Inventar
| Dienstleister | Datenart | EU-Server | AVV |
|---|---|---|---|
| DATEV | Mandantendaten | Ja | Ja |
| Microsoft 365 | E-Mail, Office | Teilweise EU | Ja, mit Standardvertragsklauseln |
| Google Workspace | E-Mail, Storage | EU/USA | Ja |
| BuchhaltungsButler | Mandanten-Buchhaltung | EU | Ja |
| Zoom | Videokonferenz | Mix | Ja |
Phase 2 — AVV-Pruefung Art. 28 DSGVO
- Schriftlicher AVV-Vertrag.
- Inhalte: Verarbeitungstaetigkeit, Daten-Kategorien, TOM-Bestimmungen, Sub-Verarbeiter, Pflichten beidseitig.
- Aktualitaet pruefen.
Phase 3 — Drittlandtransfer Pruefung
- USA-Server: nach Schrems II zusaetzliche Massnahmen erforderlich.
- Standardvertragsklauseln (SCC).
- Transfer Impact Assessment (TIA).
- Bei sensiblen Daten (Mandantenidentifizier, Gesundheitsdaten): EU-Server bevorzugen.
Phase 4 — TOM-Massnahmen
| Bereich | Massnahmen |
|---|---|
| Vertraulichkeit | Verschluesselung Transport (TLS), Verschluesselung at-rest |
| Integritaet | Hashverfahren, Audit-Logs |
| Verfuegbarkeit | Backup, Redundanz |
| Belastbarkeit | Disaster Recovery |
| Wiederherstellbarkeit | Backup-Restore |
| Pruefverfahren | Regelmaessige Audits |
| Pseudonymisierung | wo moeglich |
Phase 5 — Mandantenkommunikation
- Datenschutzhinweise gem. Art. 13 DSGVO bei Mandatsaufnahme.
- Information bei wesentlichen Aenderungen.
- Mandantenanfragen Art. 15 DSGVO beantworten.
Phase 6 — Datenschutz-Folgenabschaetzung (DSFA)
- Bei umfangreicher Verarbeitung personenbezogener Daten.
- Bei systematischer Profilbildung.
- Bei besonderen Datenkategorien.
Output
- DSGVO-Compliance-Dokument.
- AVV-Mappe.
- TOM-Massnahmen-Liste.
Strategie und Praxis-Tipps
- Die Berufsverschwiegenheit nach § 57 StBerG ist durch § 203 Abs. 1 Nr. 3 StGB strafrechtlich abgesichert; die Einbeziehung externer Dienstleister (Cloud-Anbieter) erfordert nach § 203 Abs. 3, 4 StGB die schriftliche Verpflichtung des Dienstleisters auf die Schweigepflicht — entsprechende Klauseln im AVV pruefen.
- Rechtsprechung live prüfen: Keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über amtliche oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
- DSGVO-Bussgelder bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO) — Compliance unverzichtbar.
- Jaehrliche DSGVO-Pruefung im Kanzleiteam (Verzeichnis Verarbeitungstaetigkeiten, AVV-Mappe, TOM-Liste aktualisieren).
- StBVV: DSGVO-Compliance-Beratung fuer Mandanten als separater Auftrag nach § 13 StBVV (Beratung) oder als Bestandteil der Buchfuehrungspauschale.
Querverweise
stb-online-portal-datev-mandantenshop— DUO.stb-buchhaltungsbutler-mandantencloud— Cloud.stb-ki-tools-im-stb-betrieb-grenzen-berufsrecht— KI-Tools.
Quellen und Updates
Stand: 05/2026.
- DSGVO Art. 5, 13, 28, 32, 44-50.
- StBerG § 57.
- StGB § 203.
- Schrems II-Urteil EuGH.
- DSK-Beschluesse.