In der Regel nein. Zwischen Ihnen als Mandant/Mandantin und uns als Steuerkanzlei ist typischerweise kein Auftragsverarbeitungsvertrag erforderlich, weil wir nicht als „verlängerte Werkbank“, sondern als eigenständige Verantwortliche tätig werden.

Ein Auftragsverarbeitungsvertrag ist nach der DSGVO nur erforderlich, wenn jemand Daten rein weisungsgebunden für Sie verarbeitet (z. B. IT-Dienstleister, Rechenzentrum, Cloud-Anbieter). Dann entscheidet ausschließlich der Auftraggeber über Zweck und Mittel der Verarbeitung.

Als Steuerberater/Steuerkanzlei arbeiten wir jedoch eigenverantwortlich, z. B.:

• wir entscheiden selbst, welche Unterlagen für eine ordnungsgemäße Bearbeitung benötigt werden,
• wir prüfen und verarbeiten die Daten nach eigenen fachlichen Maßstäben,
• wir vertreten Sie eigenständig gegenüber dem Finanzamt und anderen Behörden.

Damit sind wir datenschutzrechtlich eigene Verantwortliche im Sinne der DSGVO – genauso wie Sie. Zwischen zwei Verantwortlichen wird grundsätzlich kein Auftragsverarbeitungsvertrag geschlossen.

• Sie als Mandant/Mandantin: Verantwortliche/r für die personenbezogenen Daten, die Sie in Ihrem Unternehmen oder privat verarbeiten (z. B. Daten von Kunden, Beschäftigten, Lieferanten, Patienten, Klienten, Mietern usw.).
• Wir als Steuerkanzlei: Ebenfalls Verantwortliche für die Daten, die Sie uns im Rahmen des Beratungsverhältnisses überlassen.

Zwischen zwei eigenständigen Verantwortlichen ist ein Auftragsverarbeitungsvertrag datenschutzrechtlich nicht vorgesehen. Jeder Verantwortliche erfüllt eigene Informations-, Dokumentations- und Schutzpflichten nach der DSGVO.

Ja. Die Verarbeitung der personenbezogenen Daten, die sich in Ihren Unterlagen befinden (z. B. Daten von Kunden, Beschäftigten, Geschäftspartnern, Angehörigen, sonstigen Dritten), ist rechtmäßig. Die Rechtsgrundlagen sind insbesondere:

• die Vertragserfüllung (Beratungs- bzw. Steuerberatungsvertrag mit Ihnen) und
• unsere gesetzlichen Pflichten, insbesondere zur Erstellung richtiger und vollständiger Steuererklärungen sowie zur Aufbewahrung von Unterlagen.

Zusätzlich unterliegen wir der gesetzlichen Verschwiegenheitspflicht als Steuerberater sowie den allgemeinen Vorgaben der DSGVO und des Berufsrechts.

Nein, personenbezogene Daten (z. B. von Kunden, Beschäftigten, Mietern, Patienten, Mandanten, Lieferanten) müssen in der Regel nicht sofort gelöscht werden, sobald das Vertragsverhältnis endet oder die Person ausscheidet. Es ist zu unterscheiden:

Ihre Rolle als Verantwortliche/r:

• Sie dürfen und müssen Daten so lange aufbewahren, wie gesetzliche Aufbewahrungsfristen bestehen (z. B. steuerliche und handelsrechtliche Unterlagen in der Regel bis zu 10 Jahre).
• Außerdem können Verjährungsfristen für Ansprüche relevant sein (z. B. regelmäßig 3 Jahre, in bestimmten Fällen länger).

Erst wenn keine gesetzlichen Pflichten und keine berechtigten Interessen (z. B. Beweiszwecke, Durchsetzung oder Abwehr von Ansprüchen, Dokumentationspflichten) mehr bestehen, sind die Daten zu löschen oder zu anonymisieren.

Ja. Auch wir als Steuerkanzlei haben eigene gesetzliche Aufbewahrungspflichten (z. B. nach der Abgabenordnung und berufsrechtlichen Vorgaben). Daher dürfen und müssen wir Unterlagen, die Sie uns überlassen – einschließlich darin enthaltener personenbezogener Daten – für bestimmte Zeiträume aufbewahren.

Nach Ablauf der einschlägigen Aufbewahrungsfristen werden diese Daten im Rahmen unseres Lösch- und Archivkonzepts datenschutzkonform gelöscht bzw. vernichtet.

• Definieren Sie einfache, nachvollziehbare Aufbewahrungs- und Löschregeln für personenbezogene Daten (z. B. orientiert an steuerlichen/handelsrechtlichen Aufbewahrungsfristen und Verjährungsfristen).
• Löschen oder anonymisieren Sie Daten, die Sie nicht mehr benötigen und für die keine gesetzlichen Pflichten oder berechtigten Interessen mehr bestehen.
• Führen Sie eine übersichtliche Dokumentation darüber, welche Unterlagen wie lange aufbewahrt werden.
• Stellen Sie sicher, dass nur befugte Personen Zugang zu personenbezogenen Daten haben und dass angemessene technische und organisatorische Maßnahmen (z. B. Zugriffsrechte, Verschlüsselung, Backups) umgesetzt sind.

Gerne unterstützen wir Sie dabei, ein praxisnahes Datenschutz- sowie Lösch- und Aufbewahrungskonzept zu entwickeln, das zu Ihrer individuellen Situation und zu den Anforderungen der DSGVO passt.