Externer Datenschutzbeauftragter für Steuerberater: Pflichten, Bestellung, Nachweis

Nach § 38 Abs. 1 BDSG müssen Steuerkanzleien einen Datenschutzbeauftragten bestellen, sobald in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Hinzu kommt die mandantenseitige Erwartung: Wer Lohnabrechnung, Buchführung und Jahresabschluss verantwortet, verarbeitet Gesundheitsdaten, Sozialversicherungsnummern und Konto-Bewegungen, also Kategorien mit erhöhtem Schutzbedarf nach Art. 9 DSGVO. Die Aufsichtsbehörden prüfen seit 2024 verstärkt die Bestellung in mittelständischen Kanzleien, weil dort die Schnittstelle zwischen Mandantengeheimnis und Auftragsverarbeitung besonders anfällig ist. Tätigkeitsberichte des LfDI Baden-Württemberg dokumentieren steigende Beschwerdezahlen aus dem Mandantenkreis.

Die Doppelbindung aus Verschwiegenheitspflicht nach § 57 StBerG und Datenschutz macht die Rolle in Steuerkanzleien anspruchsvoll. Dieser Beitrag erläutert, wann die Bestellpflicht ausgelöst wird, welche Aufgaben ein externer Datenschutzbeauftragter konkret übernimmt, wie die Bestellurkunde und die Berichtslinie an die Geschäftsführung dokumentiert werden und welchen Aufwand Sie in den ersten 90 Tagen realistisch einplanen sollten. Sie erhalten zudem eine Übersicht der typischen Verfahrensverzeichnisse einer Steuerkanzlei, eine Bewertung marktüblicher Vergütungsmodelle, eine Anleitung für den Wechsel des bisherigen DSB und eine Checkliste für die Auswahl eines externen Beauftragten. Am Ende des Beitrags zeigen wir, wie die Bestellung über CIVAC innerhalb von 2 Werktagen abgeschlossen wird, einschließlich Meldung an die Aufsichtsbehörde, Erstinventur und Verknüpfung mit den 490 vorbereiteten Audit-Vorlagen im CIVAC Workspace.

Der Schwellenwert nach § 38 Abs. 1 BDSG liegt bei 20 Personen, die ständig mit automatisierter Datenverarbeitung befasst sind. Maßgeblich ist die Personenzahl, nicht die Vollzeitäquivalente. Wer mit DATEV, Lohnprogrammen oder Kanzlei-CRM arbeitet, zählt mit. Praktikanten, Werkstudenten und freie Mitarbeiter sind einzubeziehen, sobald sie regelmäßig an entsprechenden Systemen tätig sind. Auch geringfügig Beschäftigte zählen, wenn sie über einen eigenen Account verfügen und tatsächlich auf Mandantendaten zugreifen.

Unabhängig vom Schwellenwert greift die Bestellpflicht nach Art. 37 Abs. 1 lit. b und c DSGVO immer dann, wenn Kerntätigkeiten eine umfangreiche, systematische Überwachung von Betroffenen oder die umfangreiche Verarbeitung besonderer Datenkategorien erfordern. Bei Lohnabrechnung mit Krankheitsdaten, bei der Bearbeitung von Erbschaftsfällen mit Gesundheitsattesten oder bei der Mandantenverwaltung mit Bonitätsinformationen ist diese Schwelle in mittelgroßen Kanzleien regelmäßig erreicht. Die Datenschutzkonferenz hat in ihrem Kurzpapier Nr. 12 klargestellt, dass Lohnbuchhaltung mit Gesundheitsdaten als umfangreiche Verarbeitung gilt, sobald mehr als 50 Lohnkonten geführt werden.

Die Aufsichtsbehörden der Länder, etwa der LfDI Baden-Württemberg, prüfen die Bestellung im Rahmen anlassbezogener Kontrollen. Fehlt der DSB oder ist die Bestellurkunde nicht vorzulegen, droht ein Bußgeld nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. In der Praxis bewegt sich der Bußgeldrahmen für Kanzleien im fünfstelligen Bereich, ergänzt um Anordnungen zur Mängelbeseitigung. Die Rolle des externen Datenschutzbeauftragten deckt diese Anforderung mit Bestellurkunde, dokumentiertem Aufgabenkatalog und gemeldeter Kontaktadresse vollständig ab. Zur Absicherung empfiehlt sich eine schriftliche Schwellenwert-Analyse, die jährlich aktualisiert wird, damit Personalveränderungen und neue Verfahren nicht unbemerkt unter die Bestellpflicht fallen.

Steuerberater unterliegen der Verschwiegenheitspflicht nach § 57 StBerG und der strafbewehrten Geheimnisoffenbarung nach § 203 StGB. Diese berufsrechtliche Pflicht gilt parallel zur DSGVO, ersetzt sie aber nicht. Der externe Datenschutzbeauftragte muss daher selbst zum Mandantengeheimnis verpflichtet werden, üblicherweise durch eine Erklärung nach § 203 StGB analog und eine schriftliche Vertraulichkeitsvereinbarung mit der Sozietät. Die Bundessteuerberaterkammer hat in ihren Hinweisen vom Oktober 2023 die Pflicht zur ausdrücklichen Einbeziehung des DSB in den Kreis der berufsmäßig tätigen Gehilfen nach § 62 StBerG bestätigt.

Der DSB darf in den Mandantenakten lesen, soweit es zur Wahrnehmung seiner Aufgaben erforderlich ist. Er ist jedoch nicht befugt, Einzelfälle nach außen zu kommunizieren. Diese Grenze ist in der Bestellurkunde klarzustellen, ebenso in den Verfahrensverzeichnissen nach Art. 30 DSGVO, in denen der Zugriff des DSB auf bestimmte Datenarten dokumentiert wird. Sollte der DSB an die Aufsichtsbehörde berichten, ist die Form der Mitteilung so zu wählen, dass Mandantengeheimnisse pseudonymisiert oder anonymisiert dargestellt werden, soweit dies mit der Pflicht zur wahrheitsgemäßen Information vereinbar ist.

Praktisch heißt das: Der DSB erhält Lesezugriff auf das Kanzlei-Management-System mit Audit-Log, nicht administrative Rechte. Schreibrechte sind nur dort gerechtfertigt, wo der DSB Hinweise zur Verbesserung dokumentiert, etwa in einem dedizierten Compliance-Workspace. CIVAC trennt diese Zugriffe sauber im CIVAC Workspace, sodass jede Einsichtnahme nachvollziehbar bleibt und der Prüfer das Vier-Augen-Prinzip belegt sieht. Bestellurkunde, unterschrieben, abgelegt, belegbar. Die Konstellation gilt sinngemäß auch für Wirtschaftsprüfer und Rechtsanwälte mit Mandatsführung in der gleichen Sozietät, weshalb die Bestellurkunde alle Sozietätsmitglieder namentlich aufführt.

Art. 39 DSGVO definiert vier Kernaufgaben: Unterrichtung und Beratung der Verantwortlichen, Überwachung der Einhaltung der DSGVO, Beratung bei der Datenschutz-Folgenabschätzung und Zusammenarbeit mit der Aufsichtsbehörde. In einer Steuerkanzlei übersetzt sich das in konkrete Liefergegenstände, die jährlich überprüft und an die Veränderungen der Kanzleilandschaft angepasst werden.

Erstens: Pflege des Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 DSGVO mit typischerweise 18 bis 25 Verfahren je Kanzlei. Dazu zählen Mandantenverwaltung, Lohnabrechnung, Finanzbuchhaltung, Jahresabschluss, Steuererklärung, E-Mail-Korrespondenz mit Finanzämtern, DATEV-Cloud, Telefonanlage, Website, Bewerberverwaltung und Newsletter. Zweitens: Prüfung und Verwaltung der Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit DATEV, Microsoft, Telefonie-Anbietern und externen IT-Dienstleistern. Eine durchschnittliche Kanzlei hat 12 bis 18 aktive AV-Verträge zu verwalten. Drittens: Bearbeitung von Betroffenenanfragen nach Art. 15 bis 22 DSGVO innerhalb der Monatsfrist, einschließlich Auskunft, Berichtigung, Löschung und Datenübertragbarkeit.

Viertens: Meldung von Datenpannen nach Art. 33 DSGVO innerhalb von 72 Stunden ab Kenntnis. Frist läuft ab Kenntnis. Fünftens: Schulung der Mitarbeiter, mindestens einmal jährlich, dokumentiert mit Teilnahmeliste und Lernzielkontrolle. Sechstens: Erstellung des Tätigkeitsberichts an die Kanzleileitung, üblicherweise quartalsweise. Siebtens: Beratung bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO, etwa beim Einsatz von KI-gestützten Belegerkennungsdiensten oder bei der Einführung von Mitarbeiterüberwachung. CIVAC liefert für jede dieser Aufgaben eine Audit-Vorlage aus dem Bestand von 37 vorbereiteten Dokumenten, darunter Meldebogen Datenpanne, Vorlage Betroffenenauskunft und Schulungsnachweis. Die EU-AI-Act-Verschränkung wird in der Tätigkeitsberichterstattung mitbehandelt, sobald die Kanzlei KI-gestützte Auswertungstools einsetzt. Achtens ergänzt sich die Rolle des DSB durch die Mitwirkung an der Auswahl neuer Software, denn die datenschutzrechtliche Bewertung erfolgt vor der Vertragsunterzeichnung, nicht erst nach der Einführung.

Die formale Bestellung erfolgt schriftlich. Eine Bestellurkunde nennt Bestellzeitpunkt, Aufgabenbereich, Berichtslinie an die Kanzleileitung, Kündigungsschutz nach Art. 38 Abs. 3 Satz 2 DSGVO und die Höhe der bereitgestellten Mittel. Die Urkunde wird in der Personalakte des DSB und in den Compliance-Akten der Kanzlei abgelegt. Mündliche Bestellungen oder Bestellungen per Chat sind nicht ausreichend, weil sie weder die Berichtslinie noch die Bereitstellung der erforderlichen Mittel nachweisen.

Die Kontaktdaten des Datenschutzbeauftragten sind nach Art. 37 Abs. 7 DSGVO der zuständigen Aufsichtsbehörde mitzuteilen. Für Steuerkanzleien in Baden-Württemberg ist das der LfDI in Stuttgart, für Bayern das BayLDA in Ansbach, für Berlin die Berliner Beauftragte für Datenschutz und Informationsfreiheit. Die Mitteilung erfolgt über das jeweilige Online-Portal und nennt Name, Funktion und dienstliche E-Mail-Adresse des DSB, nicht die Privatanschrift. Eine Aktualisierung ist erforderlich, sobald sich die Kontaktdaten ändern oder die Funktion neu besetzt wird.

Zusätzlich gehören die Kontaktdaten in das Impressum und die Datenschutzerklärung der Kanzlei-Website. Dort genügt die Angabe einer dedizierten Mail-Adresse, etwa dsb@kanzlei-mustermann.de, die direkt an den externen Beauftragten weitergeleitet wird. CIVAC stellt diese Adresse mit europäischem Mailrouting im CIVAC Workspace zur Verfügung, in einem nach ISO/IEC 27001:2022 zertifizierten Rechenzentrum mit EU-Datenresidenz. Die Berichtslinie ist im Workspace abgebildet, mit Eskalationspfaden für Datenpannen und Betroffenenanfragen. Der Prüfer ruft an, der Nachweis liegt bereit. Jeder Eintrag im Workspace ist versioniert, signiert und mit Zeitstempel versehen, sodass bei einer Kontrolle die Bestellung samt Meldung an die Aufsichtsbehörde in unter zwei Minuten vorgelegt werden kann.

Das Verzeichnis nach Art. 30 DSGVO ist das zentrale Arbeitsdokument. Für eine durchschnittliche Steuerkanzlei mit zehn Mitarbeitenden und 200 Mandaten umfasst es typischerweise diese Verarbeitungen: Mandantenstammdaten (Adresse, Steuer-ID), Finanzbuchhaltung (Umsätze, Kontobewegungen), Lohnbuchhaltung (Sozialversicherungsdaten, Krankheitstage), Jahresabschluss (Bilanzpositionen), Steuererklärungen (Einkommens-, Umsatz-, Körperschaftsteuer), Mandantenkommunikation (E-Mail, Telefon), Kanzleimanagement (Stundenerfassung, Rechnungslegung), Mahnwesen, DATEV-Cloud-Nutzung, Microsoft-365-Nutzung, Telefonanlage mit Aufzeichnung, Website-Analyse, Bewerbermanagement, Mitarbeiterstammdaten, Lohnabrechnung Mitarbeiter, Videoüberwachung Eingang, Zutrittskontrolle, Newsletter.

Jeder Eintrag dokumentiert Zweck, Rechtsgrundlage, Datenkategorien, Empfänger, Drittlandstransfers, Speicherfristen und technisch-organisatorische Maßnahmen. Die Speicherfrist orientiert sich an § 147 AO (zehn Jahre für Buchungsbelege, sechs Jahre für Handelsbriefe) und § 257 HGB. Personalakten sind je nach Inhalt drei bis zehn Jahre aufzubewahren. Bewerberunterlagen abgelehnter Kandidaten sind nach sechs Monaten zu löschen, sofern keine Einwilligung in einen längeren Talent-Pool-Verbleib vorliegt.

CIVAC liefert das Verzeichnis als strukturierte Datenbank im Workspace, nicht als Excel-Liste. Jede Änderung erzeugt eine Versionierung, jede Verknüpfung zu einem Auftragsverarbeitungsvertrag oder einer technisch-organisatorischen Maßnahme ist verlinkt. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Die Pflege erfolgt durch den externen DSB, die Inhalte werden in regelmäßigen Reviews mit der Kanzleileitung abgestimmt und freigegeben, üblicherweise quartalsweise oder anlassbezogen bei Einführung neuer Verfahren. Bei der Einführung einer neuen DATEV-Anwendung etwa wird der entsprechende Eintrag vor Aktivierung ergänzt, die TOMs werden gegengeprüft und der AV-Vertrag mit DATEV wird auf Aktualität untersucht. Die Aufsichtsbehörden erwarten in einer Prüfung nicht nur das Verzeichnis selbst, sondern auch den Nachweis, dass es regelmäßig gepflegt wird, etwa durch Änderungshistorie mit Datum und Bearbeiter.

Nach Art. 33 DSGVO ist die Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnisnahme einer Datenpanne zu informieren, sofern ein Risiko für die Rechte und Freiheiten der Betroffenen besteht. Die typischen Vorfälle in einer Steuerkanzlei: Versand einer Lohnabrechnung an den falschen Mandanten, verlorener USB-Stick mit unverschlüsselten Buchhaltungsdaten, Phishing-Mail mit Abfluss von DATEV-Zugangsdaten, gestohlenes Notebook ohne Festplattenverschlüsselung, fehlgeleitete Steuerunterlagen per De-Mail oder unverschlüsselte Versendung von Lohnsteuerbescheinigungen.

Der Meldepfad beginnt mit der Erstkenntnis, üblicherweise durch einen Mitarbeiter oder den IT-Dienstleister. Diese Kenntnis wird im Workspace dokumentiert und an den DSB eskaliert. Der DSB bewertet das Risiko nach Schwere und Wahrscheinlichkeit, bereitet die Meldung an die Aufsichtsbehörde vor und entscheidet gemeinsam mit der Kanzleileitung, ob auch die Betroffenen zu benachrichtigen sind (Art. 34 DSGVO bei hohem Risiko). Bei umfangreichen Datenabflüssen, etwa nach einem Ransomware-Vorfall mit Verschlüsselung der DATEV-Mandantenbuchhaltung, ist die Benachrichtigung der Mandanten regelmäßig erforderlich.

Der Meldebogen umfasst Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der Betroffenen, ergriffene Gegenmaßnahmen und Kontaktdaten des DSB. CIVAC hält den Meldebogen als ausfüllbare Vorlage im Workspace bereit und protokolliert die Zeitstempel: Erstkenntnis, DSB-Eskalation, Risikobewertung, Meldung, Benachrichtigung. Diese Kette ist audit-fest, dokumentiert, § 33-fest. Im Nachgang erfolgt eine Ursachenanalyse mit Maßnahmen, die im Verzeichnis der TOMs aktualisiert werden. Die typische Bearbeitungszeit vom Eingang bis zur abgesetzten Meldung liegt bei sechs bis 24 Stunden. Die Tätigkeitsberichte der Aufsichtsbehörden zeigen, dass eine vollständige, präzise Erstmeldung die spätere Sachverhaltsaufklärung erheblich beschleunigt und die Bußgeldhöhe regelmäßig reduziert.

Die Vergütung des externen DSB richtet sich nach Aufwand und Mandatsgröße. Übliche Modelle sind ein monatliches Pauschalhonorar, ein Stundenkontingent oder eine Mischung. Für eine Steuerkanzlei mit zehn Mitarbeitenden und 200 Mandaten bewegt sich der Aufwand erfahrungsgemäß bei 4 bis 8 Stunden im Monat, mit Spitzen bei Audits, Datenpannen und der Einführung neuer Verfahren. Bei größeren Sozietäten ab 30 Mitarbeitenden steigt der Aufwand auf 10 bis 20 Stunden im Monat, weil zusätzliche Standorte, mehr Auftragsverarbeitungsverträge und höhere Schulungsfrequenzen abzuwickeln sind.

Marktübliche Pauschalen liegen zwischen 250 und 700 Euro netto je Monat, abhängig von Spezialisierung, regionaler Verankerung und enthaltenen Leistungen. CIVAC betreibt ein zweistufiges Modell: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beim Officer-as-a-Service ist die Erstaufnahme in 2 Werktagen abgeschlossen, statt der klassischen 2 bis 6 Wochen. Im Lizenzmodell erhält die Kanzlei den Workspace mit den 490 Audit-Vorlagen, behält aber die Bestellung des DSB intern, etwa bei einer fest angestellten Datenschutzkoordinatorin mit DSB-Zertifizierung.

Im Vertrag werden geregelt: Bestellzeitpunkt, Aufgabenkatalog mit Abgrenzung zu IT-Sicherheit und juristischer Beratung, Vergütung, Erreichbarkeit (üblich: 24 Stunden für E-Mail-Antwort, 4 Stunden bei Datenpannen), Vertragslaufzeit (regelmäßig 24 Monate), Kündigungsschutz nach Art. 38 Abs. 3 DSGVO, Haftung und Berufshaftpflichtversicherung des DSB. Eine Haftpflicht über mindestens 1 Mio. Euro Deckungssumme ist Standard. Die CIVAC-FAQ hält Musterklauseln und Vergleichswerte für Kanzleien unterschiedlicher Größe bereit, einschließlich der Differenz zwischen reiner Lizenz und vollständigem Officer-as-a-Service. Bei einer mittleren Sozietät mit 25 Mitarbeitenden ergibt sich über 24 Monate ein Gesamtaufwand von rund 12.000 bis 16.000 Euro netto.

Bei einem Wechsel des externen Datenschutzbeauftragten ist eine geordnete Übergabe entscheidend. Die Übergabeakte umfasst: Bestellurkunde des Vorgängers (Aufhebung), aktuelles Verfahrensverzeichnis mit Stand und Version, alle Auftragsverarbeitungsverträge mit Stand und Vertragspartner, die Auflistung der laufenden Betroffenenanfragen, das Datenpannen-Register der letzten 36 Monate, die Schulungsnachweise der letzten 24 Monate, den aktuellen Tätigkeitsbericht und die Korrespondenz mit der Aufsichtsbehörde. Hinzu kommen die Datenschutz-Folgenabschätzungen für besonders risikoreiche Verfahren, etwa beim Einsatz neuer KI-gestützter Belegerfassung oder einer Mitarbeiterüberwachungssoftware.

Die formelle Abmeldung des bisherigen DSB bei der Aufsichtsbehörde erfolgt zeitnah, die Neumeldung des CIVAC-DSB innerhalb von zehn Werktagen. Das Impressum und die Datenschutzerklärung der Kanzlei-Website werden aktualisiert. In der ersten Woche nach Übernahme prüft der neue DSB das Verzeichnis auf Aktualität, identifiziert Lücken bei den AV-Verträgen und vereinbart einen Termin mit der Kanzleileitung zur Berichtslinie. Üblich ist ein 60-minütiger Übergabetermin zwischen altem und neuem DSB, an dem der bisherige Verantwortliche offene Punkte erläutert und die Aufsichtsbehörden-Korrespondenz erklärt.

CIVAC strukturiert diese Übergabe entlang einer Checkliste mit 42 Prüfpunkten und überführt die Bestandsdokumente in den Workspace. Versionierung, Verlinkung zu den TOMs und die Berichtslinie an die Kanzleileitung sind nach Ablauf der Erstaufnahme dokumentiert. Sollte der bisherige DSB Dokumente in unstrukturierter Form übergeben, etwa als PDF-Sammlung, übernimmt CIVAC die Strukturierung im Workspace ohne separate Berechnung, sofern der Officer-as-a-Service-Vertrag besteht. In den ersten 30 Tagen nach Übernahme erhält die Kanzleileitung einen Übergabebericht, der die Bestandsaufnahme, identifizierte Mängel, geplante Sofortmaßnahmen und die Roadmap der nächsten sechs Monate dokumentiert.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service mit Sitz in Deutschland. Wir bestellen externe Datenschutzbeauftragte für Steuerkanzleien, Wirtschaftsprüfungsgesellschaften und Rechtsanwaltskanzleien. Die Erstaufnahme erfolgt in 2 Werktagen mit Bestellurkunde, Meldung an die Aufsichtsbehörde und Erstinventur des Verfahrensverzeichnisses. Die Workspace-Inhalte werden in einem nach ISO/IEC 27001:2022 zertifizierten Rechenzentrum mit EU-Datenresidenz gehostet, sodass keine Drittlandstransfers entstehen.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege führen zur gleichen Aktenlage: 490 Audit-Vorlagen, dokumentierte Berichtslinie, Datenpannen-Pfad nach Art. 33 DSGVO, EU-Datenresidenz. Der Prüfer ruft an, der Nachweis liegt bereit. Die Vergütung wird transparent ausgewiesen, ohne versteckte Nebenkosten für die Nutzung der Vorlagen oder die Versionierung der Dokumente.

Wenn Ihre Kanzlei den Schwellenwert nach § 38 BDSG erreicht hat oder mit DATEV, Microsoft 365 und Lohnabrechnung eine umfangreiche Verarbeitung besonderer Datenkategorien betreibt, ist die Bestellung Pflicht. Eine Erstberatung zur Bestellpflicht, zum Vertragsmodell und zur Übergabe vom bisherigen DSB erhalten Sie ohne Gebühr. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir melden uns innerhalb eines Werktages und vereinbaren einen 30-minütigen Termin zur Bestandsaufnahme. Im Anschluss erhalten Sie ein konkretes Angebot mit Aufgabenkatalog, Erreichbarkeitsfenstern und Vertragsmodell. Bei Bedarf können wir die Bestellung mit einem ISO/IEC 27001:2022 ISMS und einer Hinweisgeber-Meldestelle nach HinSchG kombinieren, was in Sozietäten mit über 50 Beschäftigten ohnehin Pflicht ist. Eine Mehrfachbestellung kann CIVAC innerhalb der gleichen Erstaufnahme abbilden, sodass Bestellurkunde, Berichtslinie und Workspace-Zugang konsistent in einer einzigen Plattform verwaltet werden. Aus dem Lesen einen Auftrag machen.