Datenschutz in Cloud-Workflows: TOMs konkret umsetzen

Die DSGVO verlangt ein „angemessenes Schutzniveau" für personenbezogene Daten. Was das konkret bedeutet, regelt Artikel 32: Verantwortliche müssen technische und organisatorische Maßnahmen (TOMs) treffen. Für Steuerkanzleien, die Cloud-Dienste nutzen, entstehen daraus spezifische Pflichten – von der Verschlüsselung bis zur Mitarbeiterschulung.

Was Artikel 32 DSGVO verlangt

Der Artikel nennt vier Schutzziele:

1. Vertraulichkeit: Nur Befugte dürfen auf Daten zugreifen
2. Integrität: Daten dürfen nicht unbemerkt verändert werden
3. Verfügbarkeit: Daten müssen bei Bedarf zugänglich sein
4. Belastbarkeit: Systeme müssen auch unter Stress funktionieren

Die konkreten Maßnahmen müssen sich am „Stand der Technik" orientieren und dem Risiko angemessen sein. Für Steuerkanzleien mit sensiblen Mandantendaten bedeutet das: hohe Anforderungen. Grundlegende Informationen zur Cloud-Nutzung und ihren berufsrechtlichen Mindestanforderungen finden Sie in unserem separaten Artikel.

Technische Maßnahmen im Detail

Verschlüsselung

Verschlüsselung ist die wichtigste technische Maßnahme in Cloud-Umgebungen:

Transportverschlüsselung: Alle Datenübertragungen zwischen Kanzlei und Cloud-Dienst müssen verschlüsselt erfolgen. Standard ist TLS 1.2 oder höher.

Speicherverschlüsselung: Daten sollten auch auf den Servern des Cloud-Anbieters verschlüsselt gespeichert werden. AES-256 ist der aktuelle Standard.

Ende-zu-Ende-Verschlüsselung: Bei besonders sensiblen Daten sollten diese bereits vor dem Upload verschlüsselt werden, sodass auch der Cloud-Anbieter keinen Zugriff hat.

Schlüsselmanagement: Wer kontrolliert die Schlüssel? Bei kundenseitiger Schlüsselkontrolle hat selbst der Cloud-Anbieter keinen Zugriff auf die Daten.

Zugangskontrolle

Wer darf auf welche Daten zugreifen?

Maßnahme	Beschreibung
Benutzerkonten	Individuelle Konten statt geteilter Zugänge
Passwortrichtlinie	Mindestlänge, Komplexität, regelmäßiger Wechsel
Zwei-Faktor-Authentifizierung	Zusätzlicher Faktor neben dem Passwort
Rollenkonzept	Zugriff nur auf benötigte Daten
Protokollierung	Wer hat wann auf was zugegriffen?

Datensicherung

Cloud-Dienste bieten in der Regel eigene Backup-Mechanismen. Trotzdem sollten Kanzleien:

• Die Backup-Strategie des Anbieters kennen
• Regelmäßige eigene Backups erstellen
• Wiederherstellung testen

Endgeräte-Sicherheit

Der Zugriff auf Cloud-Dienste erfolgt über Endgeräte. Diese müssen gesichert sein:

• Aktuelle Betriebssysteme und Updates
• Virenschutz
• Festplattenverschlüsselung
• Bildschirmsperre

Organisatorische Maßnahmen im Detail

Zuständigkeiten definieren

Wer ist für Datenschutz verantwortlich? In kleinen Kanzleien oft der Inhaber selbst, aber die Zuständigkeit muss klar sein:

• Wer entscheidet über neue Cloud-Dienste?
• Wer prüft Auftragsverarbeitungsverträge?
• Wer reagiert auf Datenschutzvorfälle?

Richtlinien erstellen

Schriftliche Richtlinien schaffen Klarheit:

IT-Nutzungsrichtlinie: Welche Dienste dürfen genutzt werden, welche nicht? Was ist bei der Nutzung zu beachten?

Passwortrichtlinie: Anforderungen an Passwörter, Umgang mit Passwortmanagern

Homeoffice-Richtlinie: Besondere Anforderungen bei Remote-Arbeit

Vorfallsrichtlinie: Was tun bei Datenpanne?

Mitarbeiterschulung

Die beste Technik hilft nicht, wenn Mitarbeiter sie falsch nutzen. Schulungen sollten umfassen:

• Grundlagen Datenschutz und Berufsgeheimnis
• Umgang mit den eingesetzten Cloud-Diensten
• Erkennung von Phishing und Social Engineering
• Meldewege bei Verdacht auf Datenschutzvorfall

Die Schulung sollte dokumentiert und regelmäßig aufgefrischt werden.

Vertragsmanagement

Für jeden Cloud-Dienst mit personenbezogenen Daten brauchen Sie:

• Auftragsverarbeitungsvertrag (AVV)
• Prüfung der TOMs des Anbieters
• Ggf. Zusatzvereinbarung für Berufsgeheimnisträger

Diese Verträge sollten zentral verwaltet und regelmäßig überprüft werden.

TOMs dokumentieren

Die DSGVO verlangt, dass TOMs dokumentiert werden. Ein strukturiertes Dokument hilft:

Struktur einer TOM-Dokumentation

1. Allgemeines

   • Verantwortlicher
   • Geltungsbereich
   • Stand der Dokumentation

2. Organisatorische Maßnahmen

   • Zuständigkeiten
   • Richtlinien (mit Verweis)
   • Schulungen
   • Vertragsmanagement

3. Technische Maßnahmen nach Schutzziel

   • Vertraulichkeit (Verschlüsselung, Zugriffskontrolle)
   • Integrität (Protokollierung, Prüfsummen)
   • Verfügbarkeit (Backup, Redundanz)
   • Belastbarkeit (Skalierung, Notfallplan)

4. Maßnahmen je Cloud-Dienst

   • Dienst A: Zweck, Datenarten, spezifische Maßnahmen
   • Dienst B: dto.

5. Kontrollen

   • Regelmäßige Überprüfungen
   • Zuständigkeit für Aktualisierung

Besonderheiten bei Steuerkanzleien

Berufsgeheimnis beachten

Die DSGVO ist nicht die einzige Anforderung. Das Berufsgeheimnis nach § 203 StGB verlangt zusätzliche Maßnahmen:

• Nur Dienste nutzen, deren Anbieter zur Verschwiegenheit verpflichtet sind
• Daten so schützen, dass auch der Anbieter keinen Zugriff hat (kundenseitige Verschlüsselung)

GoBD-Anforderungen integrieren

Steuerlich relevante Daten unterliegen auch der GoBD. Die TOMs sollten mit den GoBD-Anforderungen abgestimmt sein:

• Unveränderbarkeit archivierter Daten
• Maschinelle Auswertbarkeit
• Nachvollziehbarkeit

Mandantendaten klassifizieren

Nicht alle Daten haben das gleiche Schutzniveau. Eine einfache Klassifizierung hilft:

• Hoch: Finanzdaten, Steuererklärungen, Lohnabrechnungen
• Mittel: Geschäftskorrespondenz, Terminvereinbarungen
• Niedrig: Öffentlich verfügbare Informationen

Schutzmaßnahmen können entsprechend abgestuft werden.

Checkliste für Cloud-Workflows

Bereich	Maßnahme	Umgesetzt
Verträge	AVV für alle Dienste	☐
	Zusatzvereinbarung § 203 StGB	☐
Verschlüsselung	Transportverschlüsselung aktiv	☐
	Speicherverschlüsselung aktiv	☐
	Schlüsselhoheit geprüft	☐
Zugang	Individuelle Benutzerkonten	☐
	Zwei-Faktor-Authentifizierung	☐
	Rollenkonzept umgesetzt	☐
Endgeräte	Updates aktuell	☐
	Festplattenverschlüsselung	☐
	Virenschutz aktiv	☐
Organisation	IT-Richtlinie vorhanden	☐
	Mitarbeiterschulung durchgeführt	☐
	Zuständigkeiten dokumentiert	☐
Backup	Regelmäßige Sicherung	☐
	Wiederherstellung getestet	☐
Dokumentation	TOM-Dokument aktuell	☐

Konsequenzen bei Verstößen

Die DSGVO sieht empfindliche Bußgelder vor:

• Bis zu 10 Millionen Euro oder 2% des Jahresumsatzes für formale Verstöße (fehlende Dokumentation, fehlende AVV)
• Bis zu 20 Millionen Euro oder 4% des Jahresumsatzes für schwere Verstöße

Dazu kommen Schadensersatzansprüche betroffener Personen und Reputationsschäden.

Fazit: TOMs sind kein Papiertiger

Technische und organisatorische Maßnahmen sind keine bürokratische Übung, sondern praktischer Datenschutz. Für Steuerkanzleien mit Cloud-Workflows sind sie unverzichtbar.

Die gute Nachricht: Einmal sauber aufgesetzt, ist die laufende Pflege überschaubar. Die Investition in ein solides TOM-Konzept zahlt sich aus – durch reduzierte Risiken, bessere Mandantenbeziehungen und ein ruhigeres Gewissen.