Worauf es bei der IT einer Steuerkanzlei ankommt
Das Berufsrecht bestimmt, wer an deine Daten darf
Ein IT-Betreuer sieht bei jeder Fernwartung Mandantendaten. Für Steuerberaterinnen und Steuerberater regelt § 62a StBerG, unter welchen Bedingungen das zulässig ist. Du darfst Dienstleistern Zugang zu verschwiegenheitspflichtigen Tatsachen nur eröffnen, soweit es für die Dienstleistung erforderlich ist, und musst den Dienstleister sorgfältig auswählen. Der Vertrag bedarf der Textform. Darin muss der Dienstleister unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet werden, er darf sich nur so weit Kenntnis verschaffen, wie der Auftrag es verlangt, und es muss geregelt sein, ob er Unterauftragnehmer einsetzen darf, die dann ebenfalls zu verpflichten sind. Kannst du die Einhaltung dieser Vorgaben nicht mehr sicherstellen, ist die Zusammenarbeit unverzüglich zu beenden.
Sitzt der Dienstleister oder sein Rechenzentrum im Ausland, verlangt § 62a Abs. 4 StBerG einen mit dem Inland vergleichbaren Geheimnisschutz. Für Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, brauchst du die Einwilligung des Mandanten. Die Pflichten aus der DSGVO bleiben daneben bestehen. Ein Kanzlei-IT-Dienstleister sollte diese Vertragsbestandteile kennen und nicht nur einen allgemeinen Auftragsverarbeitungsvertrag vorlegen.
DATEV prägt die Architektur
In den meisten Kanzleien ist DATEV das Zentrum. Die zentrale Frage für die IT lautet deshalb: Wo läuft die Software, und wer ist für die Sicherheit verantwortlich?
- Eigener Server in der Kanzlei: volle Kontrolle, aber Updates, Härtung, Virenschutz, Datensicherung und Wiederherstellung liegen komplett beim IT-Dienstleister.
- DATEV-SmartIT: Anwendungen und Daten liegen im DATEV-Rechenzentrum, das Programmangebot ist vordefiniert. DATEV nennt es eine Basislösung für bis zu acht gleichzeitige Nutzer.
- DATEVasp: ebenfalls im DATEV-Rechenzentrum, aber modular und für individuelle Anforderungen oder mehrere Standorte gedacht. Bei beiden übernimmt DATEV nach eigener Darstellung Updates, Datensicherung und einen Teil des Security-Managements.
- PARTNERasp: wird von einem DATEV Solution Partner betrieben; die Verantwortung für die IT-Sicherheit liegt dann laut DATEV beim Partner und ist individuell geregelt.
Auch im Cloud-Modell bleibt Arbeit vor Ort: Notebooks, Drucker, Scanner, Internetleitung, Kartenleser, Fremdsoftware außerhalb von DATEV. Klär vorher, wer diese Teile betreut.
DATEV Solution Partner sind von DATEV qualifiziert und zertifiziert und können sich zusätzlich etwa auf DATEV DMS oder DATEV Unternehmen online spezialisieren. Daneben arbeiten Systemhäuser ohne Partnerstatus in Kanzleien, was bei viel Nicht-DATEV-Software oder gemischten Kanzleien mit Rechtsanwälten passen kann.
beSt und Datenaustausch mit Mandanten
Für jede Steuerberaterin, jeden Steuerberater und jede eingetragene Berufsausübungsgesellschaft richtet die Bundessteuerberaterkammer ein besonderes elektronisches Steuerberaterpostfach ein (§ 86d StBerG). Mit Zugang des Registrierungsschreibens besteht die Pflicht, Schriftsätze an Finanzgerichte darüber zu übermitteln, und die nötige technische Ausstattung ist vorzuhalten. Zugang erfolgt über die Steuerberaterplattform mit zertifiziertem Kartenleser oder einem NFC-fähigen Smartphone mit Online-Ausweis. Das Postfach lässt sich über die Fachsoftware oder einen Basis-Client nutzen. Eine IT-Aufgabe ist, dass Zugänge, Vertretungen und Abwesenheiten funktionieren, damit keine gerichtliche Nachricht liegen bleibt.
Mit Mandanten tauschen viele Kanzleien Belege über DATEV Unternehmen online aus. Ergänzende Software vom DATEV-Marktplatz ist über geprüfte Schnittstellen und DATEV-Datenservices angebunden. Der IT-Dienstleister richtet solche Anbindungen ein, begleitet Mandanten beim Start und vergibt Berechtigungen; Programmierung eigener Schnittstellen gehört eher zur Softwareentwicklung.
Aufbewahrung, soweit sie die IT betrifft
Handakten sind nach § 66 StBerG zehn Jahre aufzubewahren, auch wenn du sie elektronisch führst. Bei jedem Wechsel von Server, Cloud-Modell oder Dokumentenmanagement muss das Archiv lesbar mitziehen. Welche weiteren Fristen für einzelne Unterlagen gelten, klärst du fachlich selbst, der Dienstleister sorgt für die technische Umsetzung.
Vor der Anfrage zusammenstellen
- Zahl der Berufsträger, Mitarbeitenden und Standorte
- heutiges Betriebsmodell: eigener Server, DATEVasp, SmartIT oder PARTNERasp
- Software außerhalb von DATEV, etwa DMS, Zeiterfassung oder Kanzleisoftware der Anwälte
- wie das beSt heute genutzt wird und wer Zugriff hat
- vorhandene Dienstleisterverträge und ob sie die Vorgaben des § 62a StBerG abbilden
- anstehende Ereignisse wie Fusion, Übernahme oder Umzug