WhatsApp in der Steuerkanzlei: erlaubt und DSGVO-konform?

Steuerberater dürfen WhatsApp privat uneingeschränkt nutzen, für die berufliche Mandantenkommunikation gilt es nach Einschätzung der Datenschutzaufsichtsbehörden aber als grundsätzlich unzulässig. Ein pauschales gesetzliches Verbot gibt es nicht – das Risiko trägt jedoch die Kanzlei, vor allem wegen des Adressbuch-Zugriffs, des fehlenden Auftragsverarbeitungsvertrags mit Meta und des Berufsgeheimnisses nach § 203 StGB. Die Lösung ist ein ebenso einfacher, aber sicherer Kanal.

Der Reiz ist verständlich: WhatsApp ist auf jedem Handy, jeder kann es bedienen, und Mandanten schicken den Beleg in Sekunden. Genau deshalb landen Rechnungen, Fragen und Fotos von Kassenbons im Kanzlei-Postfach von WhatsApp. Die Bequemlichkeit ist real – nur kollidiert sie mit Datenschutz und Berufsrecht. Beides lässt sich differenziert einordnen, und es gibt einen sauberen Ausweg.

Was DSGVO und Berufsrecht sagen

WhatsApp ist nicht per Gesetz „verboten". Die rechtliche Bewertung ist differenzierter – und läuft für die geschäftliche Nutzung in der Kanzlei trotzdem auf ein klares „grundsätzlich unzulässig" hinaus. Mehrere Punkte kommen zusammen:

• Adressbuch-Zugriff und Drittdaten: WhatsApp greift auf das Adressbuch des Geräts zu. Damit übermittelt die Kanzlei Kontaktdaten Dritter – etwa von Mandanten, die dem gar nicht zugestimmt haben – an Meta in die USA. Genau das ist der Kern, weshalb die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz, DSK) den geschäftlichen Einsatz als grundsätzlich unzulässig einordnet.
• Kein Auftragsverarbeitungsvertrag: Wer personenbezogene Daten von einem Dienstleister verarbeiten lässt, braucht nach Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). Mit Meta lässt sich für die normale WhatsApp-Nutzung kein belastbarer AVV schließen.
• Berufsgeheimnis nach § 203 StGB: Steuerberater unterliegen der Verschwiegenheitspflicht. Fließen mandatsbezogene Daten über einen Kanal ab, den die Kanzlei nicht kontrolliert, berührt das den Straftatbestand der Verletzung von Privatgeheimnissen.
• Metadaten: Auch wenn die Nachrichteninhalte Ende-zu-Ende-verschlüsselt sind, fallen Metadaten an – wer wann mit wem kommuniziert. Diese Verkehrsdaten sind bei sensiblen Mandaten selbst schon aussagekräftig.
• Vermischung privat und beruflich: Auf einem privaten Handy verschwimmt die Grenze zwischen dienstlicher und privater Kommunikation. Das erschwert Nachvollziehbarkeit, Löschkonzepte und die saubere Trennung, die das Berufsrecht verlangt.

Welche Kanäle für die Kanzlei Pflicht und welche Kür sind, ordnet der Beitrag zu den Kommunikationskanälen in der Steuerkanzlei systematisch ein.

Warum Mandanten trotzdem WhatsApp nutzen

Die ehrliche Antwort: weil es das Einfachste ist, das sie kennen. Kein Login, kein Passwort, kein Portal, das man erst suchen muss – die App ist ohnehin offen. Ein Beleg ist abfotografiert und gesendet, bevor eine E-Mail überhaupt formuliert wäre. Diese niedrige Hürde ist genau der Grund, warum WhatsApp funktioniert – und warum ein Verbot allein nichts bringt: Wenn der Ersatz komplizierter ist, weichen Mandanten wieder aus. Die entscheidende Erkenntnis für Kanzleien lautet deshalb: Nicht gegen die Bequemlichkeit ankämpfen, sondern eine mindestens genauso bequeme, aber sichere Alternative anbieten.

Die sichere Alternative, die Mandanten genauso einfach finden

Der Ausweg ist kein Rückschritt zu umständlichen Verfahren, sondern ein Kanal, der sich für den Mandanten anfühlt wie WhatsApp – nur verschlüsselt, DSGVO-konform und pro Mandat sortiert. Konkret heißt das: eine App, in der der Mandant eine Nachricht schreibt und einen Beleg mit der Handykamera abfotografiert, während die Daten in EU-Rechenzentren verschlüsselt liegen und die Kanzlei alles geordnet nach Mandat sieht.

Genau das leistet Taxaro: Die Nachrichten sind so einfach wie eine WhatsApp-Nachricht, aber verschlüsselt und pro Mandat sortiert; Belege landen direkt im passenden Vorgang statt in einem Chat-Verlauf. Es gibt eine native App für iOS und Android mit Push und Face-ID sowie einen Browser-Zugang. Taxaro ist DSGVO-konform, mit 2FA abgesichert und ergänzt Ihre bestehende Software wie DATEV – ein AVV ist selbstverständlich Teil des Angebots. Warum ein solcher Kanal E-Mail wie auch WhatsApp überlegen ist und wie Sie die Mandantenkommunikation mit System strukturieren, vertieft ein eigener Beitrag; welche Lösungen für kleine Kanzleien in Frage kommen, zeigt der Überblick zum besten Mandantenportal für kleine Kanzleien.

Was tun, wenn schon per WhatsApp kommuniziert wird?

Die meisten Kanzleien starten nicht bei null, sondern haben bereits laufende WhatsApp-Kontakte. Der Umstieg gelingt in vier Schritten:

1. Kanal festlegen: Entscheiden Sie sich für einen sicheren Kanal und richten Sie ihn ein.
2. Ankündigen: Informieren Sie Ihre Mandanten kurz und freundlich über den Wechsel – am besten mit einem festen Textbaustein.
3. Konsequent umlenken: Beantworten Sie fachliche Anfragen, die weiter per WhatsApp kommen, mit einem kurzen Hinweis auf den neuen Kanal, statt inhaltlich in WhatsApp zu antworten.
4. Mandat für Mandat einführen: Sie müssen nicht alle gleichzeitig umstellen – beginnen Sie mit den aktivsten Mandaten.

Ein bewährter Textbaustein für Schritt 2:

Guten Tag, ab sofort läuft unsere Kommunikation und der Belegaustausch über einen sicheren, DSGVO-konformen Kanal statt über WhatsApp. Sie erhalten dazu eine Einladung zu unserer Mandanten-App. Dort können Sie uns wie gewohnt schreiben und Belege einfach abfotografieren – nur verschlüsselt und für Ihr Mandat sortiert. Für sensible Steuerdaten sind wir dazu auch berufsrechtlich verpflichtet. Bei Fragen zur Einrichtung helfen wir gern.

Wie Sie parallel dafür sorgen, dass Belege überhaupt rechtzeitig kommen, zeigt der Beitrag zu Mandanten, die Belege zu spät liefern. Und warum unverschlüsselte E-Mail als Ausweichkanal keine gute Idee ist, erläutert der Beitrag E-Mail ist kein sicherer Belegkanal.

Häufige Fragen

Darf ich als Steuerberater WhatsApp nutzen? Für die private Nutzung gibt es keine Einschränkung. Für die berufliche Mandantenkommunikation gilt WhatsApp nach Einschätzung der Datenschutzaufsichtsbehörden dagegen als grundsätzlich unzulässig – vor allem wegen des Adressbuch-Zugriffs, des fehlenden Auftragsverarbeitungsvertrags mit Meta und des Berufsgeheimnisses nach § 203 StGB. Ein pauschales gesetzliches Verbot gibt es nicht, das Risiko liegt aber bei der Kanzlei.

Ist WhatsApp DSGVO-konform? In der Standardvariante für die geschäftliche Nutzung in der Kanzlei in der Regel nicht. Zwar sind die Inhalte Ende-zu-Ende-verschlüsselt, doch der Zugriff auf das Adressbuch überträgt Kontaktdaten Dritter an Meta in die USA, es gibt keinen belastbaren Auftragsverarbeitungsvertrag, und Metadaten fallen an. Die Datenschutzkonferenz stuft den geschäftlichen Einsatz daher als grundsätzlich unzulässig ein.

Wie bekomme ich Mandanten von WhatsApp weg? Bieten Sie einen Kanal an, der genauso einfach ist: eine App, in der Mandanten Nachrichten schreiben und Belege per Foto senden – nur verschlüsselt und pro Mandat sortiert. Kündigen Sie den Wechsel mit einem kurzen Textbaustein an, führen Sie ihn Mandat für Mandat ein und antworten Sie fachliche Dinge konsequent nur noch im neuen Kanal. Dann wandert die Kommunikation von selbst.

Das Wichtigste in Kürze

• WhatsApp ist nicht pauschal „verboten", für die berufliche Mandantenkommunikation aber nach Einschätzung der Datenschutzkonferenz grundsätzlich unzulässig.
• Die Kernprobleme: Adressbuch-Zugriff mit Drittdaten an Meta, kein Auftragsverarbeitungsvertrag, Berufsgeheimnis nach § 203 StGB, Metadaten und die Vermischung von Privatem und Beruflichem.
• Ein Verbot allein wirkt nicht – Mandanten weichen aus, wenn der Ersatz umständlicher ist.
• Die sichere Alternative muss so einfach sein wie WhatsApp: Nachrichten und Beleg-Scan per App, nur verschlüsselt und pro Mandat sortiert.
• Mit einem klaren Textbaustein und einer schrittweisen Einführung Mandat für Mandat gelingt der Umstieg – Lösungen wie Taxaro bringen den einfachen Kanal DSGVO-konform mit.