Cloud-Nutzung in Steuerkanzleien: Berufsrecht und Mindestanforderungen

Cloud-Dienste sind aus dem modernen Kanzleialltag kaum wegzudenken. Buchhaltungssoftware, Dokumentenmanagement, E-Mail und Kollaborationstools – vieles läuft heute in der Cloud. Für Steuerberater ist die Nutzung jedoch kein Selbstläufer: Berufsgeheimnis, Datenschutz und steuerrechtliche Aufbewahrungspflichten setzen enge Grenzen. Dieser Artikel erklärt die Mindestanforderungen.

Die rechtliche Ausgangslage

Drei Rechtsgebiete sind bei der Cloud-Nutzung relevant:

Berufsrecht: § 57 StBerG und § 203 StGB

Das Berufsgeheimnis ist ein Kernprinzip der Steuerberatung. § 57 StBerG verpflichtet zur Verschwiegenheit, § 203 StGB macht die unbefugte Offenbarung von Mandantengeheimnissen strafbar.

Entscheidend: Die DSGVO-Konformität eines Cloud-Dienstes schützt nicht automatisch vor strafrechtlicher Verantwortung. § 203 StGB schützt das Geheimnis selbst – jede unbefugte Kenntnisnahme ist problematisch, auch wenn datenschutzrechtliche Vorgaben formal eingehalten werden.

Datenschutz: DSGVO

Die Datenschutz-Grundverordnung regelt die Verarbeitung personenbezogener Daten. Bei Cloud-Diensten ist der Anbieter in der Regel Auftragsverarbeiter – das löst spezifische Pflichten aus.

Steuerrecht: § 146 AO

Steuerlich relevante Aufzeichnungen sind grundsätzlich im Inland zu führen und aufzubewahren. Cloud-Dienste mit Servern außerhalb Deutschlands können hier problematisch sein.

Mindestanforderungen für Cloud-Dienste

1. Auftragsverarbeitungsvertrag (AVV)

Sobald ein Cloud-Anbieter personenbezogene Mandantendaten verarbeitet, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwingend erforderlich. Der AVV muss regeln:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen
• Weisungsbindung des Auftragsverarbeiters
• Technische und organisatorische Maßnahmen (TOMs)
• Regelungen zu Unterauftragsverarbeitern

Ohne AVV ist die Nutzung des Cloud-Dienstes rechtswidrig.

2. Zusatzvereinbarung zu § 203 StGB

Für Berufsgeheimnisträger wie Steuerberater reicht der Standard-AVV nicht aus. Eine Zusatzvereinbarung muss sicherstellen, dass der Cloud-Anbieter:

• Zur Verschwiegenheit verpflichtet ist
• Mitarbeiter entsprechend belehrt
• Keine unbefugte Kenntnisnahme von Mandantengeheimnissen erfolgt

Diese Anforderung wird häufig übersehen – mit potenziell strafrechtlichen Konsequenzen.

3. Verschlüsselung nach Stand der Technik

Der Hessische Datenschutzbeauftragte hat klargestellt: Der Stand der Technik ist eine Mindestanforderung, kein optionales Extra. Der Cybersecurity-Mindeststandard sollte in jeder Kanzlei bekannt sein. Bei Cloud-Diensten bedeutet das:

Transportverschlüsselung (TLS): Alle Datenübertragungen müssen verschlüsselt erfolgen. Das ist heute Standard, sollte aber geprüft werden.

Verschlüsselung ruhender Daten: Daten auf den Servern des Anbieters müssen verschlüsselt gespeichert werden.

Schlüsselhoheit: Kritisch ist die Frage, wer die Schlüssel kontrolliert. Lösungen mit kundenseitiger Schlüsselkontrolle (z. B. Double Key Encryption) bieten mehr Schutz als reine anbieterseitige Verschlüsselung.

4. Serverstandort beachten

Steuerlich relevante Daten müssen nach § 146 AO grundsätzlich im Inland aufbewahrt werden. Cloud-Dienste mit ausschließlich außereuropäischen Servern sind für diese Daten problematisch.

Bei Diensten mit Servern in der EU ist die Situation entspannter, aber die Anforderungen an Drittlandtransfers nach DSGVO sind zu beachten.

5. Prüfpflichten erfüllen

Die Verantwortung für die Datenschutz-Compliance bleibt bei der Kanzlei. Das bedeutet:

• Vor Vertragsschluss: Anbieter auf Eignung prüfen
• Regelmäßig: Einhaltung der vereinbarten Maßnahmen kontrollieren
• Bei Änderungen: Neue Unterauftragsverarbeiter oder Standorte bewerten

Das Microsoft-365-Problem

Microsoft 365 ist weit verbreitet, aber datenschutzrechtlich umstritten. Die Datenschutzkonferenz (DSK) – das Gremium der deutschen Datenschutzbehörden – hält den Einsatz mehrheitlich für nicht datenschutzkonform möglich.

Die Kritikpunkte:

• Unklare Datenflüsse in die USA
• Mangelnde Transparenz über Microsofts Datenverarbeitung
• Unzureichende Kontrollmöglichkeiten für Kunden

Für Steuerkanzleien bedeutet das erhöhte Sorgfaltspflichten:

• Prüfung der aktuellen Datenschutzlage
• Dokumentation der Risikoabwägung
• Ggf. zusätzliche Schutzmaßnahmen (z. B. eigene Schlüsselverwaltung)
• Im Zweifel: Alternative Lösungen prüfen

Checkliste für Cloud-Dienste

Vor der Einführung eines Cloud-Dienstes sollten diese Punkte geklärt sein:

Anforderung	Prüfung
Auftragsverarbeitungsvertrag (AVV)	Liegt vor und ist aktuell
Zusatzvereinbarung § 203 StGB	Speziell für Berufsgeheimnisträger
Verschlüsselung Transport	TLS 1.2 oder höher
Verschlüsselung Speicherung	AES-256 oder vergleichbar
Schlüsselhoheit	Kundenseitig oder anbieterseitig dokumentiert
Serverstandort	Deutschland/EU bevorzugt
Unterauftragsverarbeiter	Liste vorhanden, Widerspruchsrecht
Datenportabilität	Export in gängigen Formaten möglich
Löschkonzept	Definierte Fristen und Prozesse

Der EU Data Act: Neue Rechte ab September 2025

Der europäische Data Act bringt neue Rechte für Cloud-Nutzer:

• Kündigungsfrist: Maximal 2 Monate, danach 30 Tage für den Wechselprozess
• Wechselrecht: Schrittweiser Abbau der Wechselgebühren bis 2027
• Datenportabilität: Anspruch auf Export in standardisierten Formaten

Das stärkt die Position der Kanzleien gegenüber Anbietern und erleichtert den Wechsel bei Problemen.

Praktische Empfehlungen für kleine Kanzleien

Spezialisierte Anbieter bevorzugen

Für Buchhaltung, Steuererklärungen und Mandantenkommunikation gibt es spezialisierte Anbieter, die auf die Anforderungen von Steuerkanzleien zugeschnitten sind. Sie kennen die berufsrechtlichen Anforderungen und bieten entsprechende Vertragswerke.

Dokumentation führen

Halten Sie schriftlich fest:

• Welche Cloud-Dienste Sie nutzen
• Welche Daten dort verarbeitet werden
• Welche Schutzmaßnahmen bestehen
• Wann Sie die Compliance zuletzt geprüft haben

Alternativen prüfen

Für besonders sensible Daten kann eine lokale Lösung sinnvoller sein als die Cloud. Nicht alles muss in die Wolke.

Schulung nicht vergessen

Mitarbeiter müssen wissen, welche Dienste erlaubt sind und welche nicht. Die beste Technik hilft nicht, wenn jemand Mandantendaten in einen privaten Cloud-Speicher hochlädt.

Fazit: Cloud ja, aber mit Sorgfalt

Cloud-Dienste bieten echte Vorteile für Steuerkanzleien: Flexibilität, Skalierbarkeit, ortsunabhängiges Arbeiten. Diese Vorteile gibt es aber nicht ohne Aufwand.

Berufsgeheimnis und Datenschutz erfordern eine sorgfältige Auswahl und Konfiguration von Cloud-Diensten. AVV, Verschlüsselung und Serverstandort sind keine optionalen Extras, sondern Mindestanforderungen.

Wer diese Anforderungen ernst nimmt und dokumentiert, kann Cloud-Dienste rechtssicher nutzen. Wer sie ignoriert, riskiert berufsrechtliche und strafrechtliche Konsequenzen.