DSGVO und Mandantendokumente: So speichern Steuerkanzleien 2026 konform

Kurze Antwort: Eine Steuer- oder Buchhaltungskanzlei, die Mandantendokumente verwaltet, verarbeitet personenbezogene und finanzielle Daten und ist damit im Sinne der DSGVO Verantwortlicher (und für ihre Mandanten oft auch Auftragsverarbeiter). Art. 32 verlangt „geeignete technische und organisatorische Maßnahmen“ und nennt Verschlüsselung ausdrücklich als eine davon. Compliance ist aber nie ein einzelnes Werkzeug: Sie umfasst, wo die Dateien liegen, wer sie lesen kann, wie lange Sie sie aufbewahren, welche Dienstleister damit in Berührung kommen und wie Sie auf eine Datenpanne reagieren. Mandantendateien im Ruhezustand zu verschlüsseln, idealerweise mit einem System, bei dem der Speicheranbieter selbst sie nicht lesen kann, senkt sowohl Ihr Risiko einer Datenpanne als auch in vielen Fällen Ihre Meldepflichten erheblich. Verschlüsselung allein macht eine Kanzlei nicht konform, aber ihr Fehlen ist einer der schnellsten Wege, als fahrlässig dazustehen.

Dieser Artikel richtet sich an Steuerberater, Buchhalter und Buchhaltungsbüros, die ein praktisches, ehrliches Bild ihrer Pflichten möchten. Er enthält allgemeine Informationen, keine Rechtsberatung. Für eine verbindliche Einschätzung wenden Sie sich an Ihren Datenschutzbeauftragten oder an eine Anwältin bzw. einen Anwalt, der mit Ihrer Rechtsordnung vertraut ist.

Warum diese Frage Steuerberatern den Schlaf raubt

Eine Steuer- oder Buchhaltungskanzlei ist eine der dichtesten Ansammlungen sensibler Daten, die ein kleines Unternehmen je verwalten wird. In einem einzigen Mandantenordner finden sich womöglich Gehaltsabrechnungen, Kontoauszüge, Steuernummern, Krankenversicherungsbeiträge, Dividendenunterlagen, manchmal Gesundheitsdaten für die Abrechnung von Krankheitstagen und die persönlichen Daten aller Beschäftigten, die Ihr Mandant bezahlt. Multiplizieren Sie das mit Dutzenden oder Hunderten Mandanten, und Sie sind praktisch ein lohnendes Ziel, das auf einem Laptop und einem Cloud-Laufwerk läuft.

Hier prallen drei Zwänge aufeinander. Erstens eine rechtliche Pflicht: Die DSGVO behandelt Vertraulichkeit und Integrität personenbezogener Daten als Grundprinzip, und Ihre beruflichen Verschwiegenheitspflichten kommen noch hinzu. Zweitens eine Aufbewahrungspflicht, die in die entgegengesetzte Richtung zieht: Buchhaltungsunterlagen müssen jahrelang aufbewahrt werden (in Frankreich nach dem Code de commerce in der Regel zehn Jahre für Handelsbücher und Buchungsbelege, sechs Jahre für viele steuerliche Unterlagen), Sie können sich also nicht einfach aus dem Risiko herauslöschen. Drittens die Realität der Lieferkette: Sobald Sie die Bilanz eines Mandanten in ein gängiges Cloud-Werkzeug legen, haben Sie Ihrer Verarbeitungskette einen Dienstleister hinzugefügt, ob Sie das dokumentiert haben oder nicht.

Der unbequeme Teil: Die meisten Kanzleien sind technisch angreifbar, nicht weil sie nachlässig waren, sondern weil die Standardwerkzeuge die lesbare Kopie auf dem Server eines anderen zum Weg des geringsten Widerstands machen.

Was die DSGVO tatsächlich verlangt (und was nicht)

Es hilft, den Mythos vom Text zu trennen. Die DSGVO sagt nicht „Du sollst AES-256 verwenden“. Sie setzt einen ergebnisorientierten Maßstab und nennt Verschlüsselung als anerkannten Weg, ihn zu erreichen.

Art. 5 Abs. 1 lit. f, Integrität und Vertraulichkeit. Personenbezogene Daten müssen „in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet“, einschließlich des Schutzes vor unbefugter Verarbeitung. Das ist ein Grundsatz, und Sie müssen nachweisen können, dass Sie ihn einhalten (Rechenschaftspflicht, Art. 5 Abs. 2).

Art. 32, Sicherheit der Verarbeitung. Das ist die entscheidende Vorschrift. Sie verlangt dem Risiko angemessene Maßnahmen und nennt Beispiele, darunter „die Pseudonymisierung und Verschlüsselung personenbezogener Daten“ und die Fähigkeit, die Verfügbarkeit nach einem Zwischenfall wiederherzustellen. Verschlüsselung wird ausdrücklich genannt. Sie ist nicht absolut verpflichtend, aber wenn Sie hochsensible Finanzdaten verwalten und sich gegen eine Verschlüsselung entscheiden, werden Sie kaum begründen können, dass Ihre Maßnahmen „dem Risiko angemessen“ waren.

Art. 33 und 34, Meldung von Datenpannen. Eine Verletzung des Schutzes personenbezogener Daten muss der Aufsichtsbehörde in der Regel binnen 72 Stunden gemeldet werden. Entscheidend: Wurden die betroffenen Daten für Unbefugte unzugänglich gemacht (zum Beispiel stark verschlüsselt mit Schlüsseln, die nicht kompromittiert wurden), müssen Sie die betroffenen Personen nach Art. 34 Abs. 3 lit. a unter Umständen gar nicht benachrichtigen. Das ist der konkreteste, handfesteste Grund, warum Verschlüsselung für eine Kanzlei zählt: Sie kann eine meldepflichtige Katastrophe in ein Nicht-Ereignis verwandeln. Die Mechanik dieses Unterschieds lohnt sich im Detail zu verstehen; in einem eigenen Beitrag erkläre ich genau, was sich zwischen einem klassischen Cloud-Leck und einem Leck bei lokaler Verschlüsselung ändert.

Art. 28, Auftragsverarbeiter. Wenn Sie Mandantendateien bei einem Cloud-Anbieter speichern, ist dieser Anbieter Ihr Auftragsverarbeiter (und Sie sind der Auftragsverarbeiter Ihrer Mandanten). Sie brauchen einen Auftragsverarbeitungsvertrag (AVV) und dürfen nur Auftragsverarbeiter einsetzen, die „hinreichende Garantien“ bieten.

Kapitel V, Übermittlungen in Drittländer. Wenn Ihr Speicheranbieter Daten außerhalb der EU verarbeitet oder speichert (oder auf einer Infrastruktur, die ein Unternehmen außerhalb der EU kontrolliert), erben Sie ein Übermittlungsproblem, das Standardvertragsklauseln nur teilweise lösen. Genau hier wird „Wir nutzen eine große US-Cloud“ still und leise zu einer Compliance-Frage.

Die französische Aufsichtsbehörde CNIL bekräftigt all das in ihren Leitlinien: Sie empfiehlt die Verschlüsselung sensibler und vertraulicher Daten, sowohl im Ruhezustand als auch bei der Übertragung, und betrachtet sie als Grundanforderung, nicht als Luxus.

Die eigentliche Wahl: Wer kann die Datei lesen?

Die meisten Debatten über Speicherlösungen verlieren sich in Funktionen. Die Frage, die wirklich über Ihr Risiko entscheidet, ist einfacher: Wenn Ihre Daten auf dem Server eines anderen liegen, kann dieser Server sie lesen? Alles andere folgt aus der Antwort.

Speichermodell	Kann der Anbieter Ihre Dateien lesen?	Legt ein Leck lesbare Mandantendaten offen?	Risiko einer Übermittlung außerhalb der EU	Geeignet für 10 Jahre Aufbewahrung
Klassische Cloud (Google Drive, Dropbox, Notion)	Ja (im Ruhezustand verschlüsselt, aber der Anbieter hält die Schlüssel)	Ja	Oft ja	Ja, aber lesbar
Lokales Laufwerk, ohne Verschlüsselung	Entfällt (keine Cloud)	Ja, wenn der Laptop gestohlen wird	Nein	Ja, aber fragil
Nur Festplattenverschlüsselung (BitLocker, FileVault)	Entfällt	Schützt nur ein ausgeschaltetes, gestohlenes Gerät	Nein	Teilweise
Zero-Knowledge-Cloud (Anbieter kann nicht entschlüsseln)	Nein	Nein (nur unlesbare Blobs gelangen nach außen)	Geringer (die Blobs sind undurchsichtig)	Ja
Local-first + Verschlüsselung auf Dateiebene	Keine Cloud, außer Sie aktivieren sie	Nein	Sie haben es in der Hand	Ja

Ein Punkt, über den viele stolpern: „Im Ruhezustand verschlüsselt“ ist bei einer gängigen Cloud zwar echt, aber der Anbieter hält die Schlüssel. Es schützt also vor einer gestohlenen Festplatte in seinem Rechenzentrum, nicht vor dem Anbieter selbst, einem abtrünnigen Mitarbeiter, einer behördlichen Anfrage oder einem Einbruch in seine Zugriffsebene. Das ist der Unterschied zwischen Verschlüsselung und Zero-Knowledge-Verschlüsselung, bei der der Anbieter Ihre Daten tatsächlich nicht lesen kann. Die beiden werden in Werbetexten ständig verwechselt, und genau auf diese Unterscheidung wird ein Prüfer achten.

Eine weitere häufige Lücke: Festplattenverschlüsselung wie BitLocker oder FileVault schützt einen Laptop, der ausgeschaltet ist und gestohlen wird. Sie bewirkt nichts mehr, sobald das Gerät entsperrt ist und läuft, und nichts für die Kopie, die Sie auf ein gemeinsames Laufwerk synchronisiert haben. Sie ist notwendig, aber nicht ausreichend.

Was das konkret für Ihre Kanzlei bedeutet

Hier eine praktische Checkliste, die Sie ohne eigenes Sicherheitsteam umsetzen können.

Erfassen Sie, wo Mandantendokumente tatsächlich liegen. Nicht, wo sie laut Richtlinie liegen sollten, sondern wo sie sind. E-Mail-Anhänge, eine private Dropbox, ein gemeinsames Laufwerk, der Laptop des Praktikanten. Was Sie nicht gefunden haben, können Sie nicht schützen.
Verschlüsseln Sie auf Dateiebene, nicht nur die Festplatte. Verschlüsselung auf Dateiebene oder clientseitige Verschlüsselung schützt Daten auch bei der Nutzung und der Übertragung, nicht nur auf einem ausgeschalteten Gerät. Wenn Sie die Begründung dahinter möchten: Ein praktischer Leitfaden zum Verschlüsseln Ihrer Dokumente und Notizen erklärt die Bedrohungsmodelle in verständlicher Sprache.
Bevorzugen Sie ein Modell, bei dem der Speicheranbieter die Dateien nicht lesen kann. Kann Ihr Anbieter nicht entschlüsseln, gelangt bei einem Leck auf seiner Seite nur Rauschen nach außen, und Ihre Pflicht nach Art. 34, die Mandanten zu benachrichtigen, kann entfallen.
Dokumentieren Sie Ihre Auftragsverarbeiter und prüfen Sie, wo die Daten physisch liegen. Eine Zeile pro Werkzeug: was es speichert, wo, auf welcher vertraglichen Grundlage. Das ist Ihre Dokumentation für Art. 28 und Kapitel V.
Steuern Sie den Zugriff und setzen Sie eine starke Authentifizierung durch. Getrennte Profile pro Person, keine geteilten Zugänge, ein echtes Passwort hinter der Verschlüsselung.
Haben Sie einen Wiederherstellungsplan, der nicht „Hoffnung“ heißt. Aufbewahrungspflichten bedeuten, dass Sie Daten über Jahre wiederherstellen können müssen. Testen Sie Ihre Sicherungen und wissen Sie, wie die Wiederherstellung der Schlüssel funktioniert, bevor Sie sie brauchen.
Schreiben Sie Ihr Vorgehen bei Datenpannen auf. Wer bewertet, wer meldet, binnen 72 Stunden. Verschlüsselung senkt die Wahrscheinlichkeit, dass Sie es je anwenden müssen, aber auf dem Papier brauchen Sie es trotzdem.
Richten Sie die Aufbewahrung nach dem Gesetz aus und löschen Sie dann. Bewahren Sie Buchhaltungsunterlagen für die gesetzlich vorgeschriebene Dauer auf, und haben Sie einen belastbaren Prozess, um personenbezogene Daten zu löschen, sobald keine Pflicht ihre Aufbewahrung mehr rechtfertigt.

Versprechen Sie Ihren eigenen Mandanten nichts davon zu großzügig. Verschlüsselung stärkt die Sicherheit der Verarbeitung; sie macht Ihre Kanzlei nicht von sich aus „DSGVO-konform“, denn Compliance hängt auch von der Rechtsgrundlage, der Aufbewahrung, der Transparenz und Ihren organisatorischen Maßnahmen ab.

Wobei Filarr helfen kann (und wobei nicht)

Offen gesagt: Ich entwickle Filarr, betrachten Sie diesen Abschnitt also als Kontext, nicht als Verkaufsgespräch. Filarr ist ein verschlüsselter Local-first-Arbeitsbereich für Notizen und Dateien. Für den Einsatz in einer Kanzlei passt es in einigen konkreten Punkten:

Jede Datei wird einzeln mit AES-256-GCM verschlüsselt, unter dem Kontoschlüssel (FEK) und mit einem neuen Zufallswert pro Datei. Ihr Konto hat einen einzigen zufällig erzeugten FEK, der von einem aus Ihrem Passwort abgeleiteten Schlüssel (dem KEK) verpackt wird; nur große, auf dem Desktop importierte Dateien und synchronisierte Blöcke leiten zusätzlich einen gesonderten Schlüssel aus dem FEK ab. Da der FEK das ganze Konto öffnet, ist ein starkes Passwort entscheidend. Wenn Sie die Begründung des Designs möchten: KEK und FEK erklärt beschreibt die zweistufige Hierarchie.
Das Passwort wird mit PBKDF2-SHA512 und 600.000 Iterationen gestreckt (weit über den 210.000, die die OWASP für PBKDF2-SHA512 empfiehlt), ergänzt durch eine Wiederherstellungsphrase aus 24 Wörtern nach BIP-39, damit nicht ein einziges vergessenes Passwort Sie die Unterlagen eines ganzen Jahrzehnts kostet.
Es funktioniert zu 100 % offline. Die Cloud-Synchronisierung ist optional, und wenn Sie sie aktivieren, werden Dateien bereits verschlüsselt hochgeladen: Der Server speichert undurchsichtige Blobs, die er nicht lesen kann – das auf die Synchronisierung angewandte Zero-Knowledge-Modell. Die einzige bekannte Grenze schließt sich gerade: Seit dem 16. Oktober 2026 sendet die Anmeldung nicht mehr Ihr Passwort, sondern einen auf Ihrem Gerät abgeleiteten Schlüssel. Während einer Übergangszeit von etwa zwei Monaten geht das Passwort in zwei Fällen noch an den Server: bei einer älteren App-Version (Desktop vor 3.8.1, Mobil vor 1.7) und bei der ersten Anmeldung eines vor dem 16. Oktober 2026 erstellten Kontos; in diesen Fällen könnte ein kompromittierter Server es abfangen. Die gehostete Synchronisierung läuft bei Cloudflare R2, in der Region Westeuropa von Cloudflare, und Cloudflare ist ein US-Unternehmen; führen Sie es also wie jeden anderen Dienstleister als Auftragsverarbeiter auf. Sie können auch Ihren eigenen S3-kompatiblen Speicher verwenden.
Es unterstützt mehr als 80 Dateiformate, sodass eingescannte PDFs, Tabellen und Bilder neben Ihren Notizen liegen.

Was Filarr nicht leistet, ehrlich gesagt: Es ist keine DSGVO-Zertifizierung, kein Ersatz für einen Auftragsverarbeitungsvertrag und keine Rechtsberatung. Es ist jünger als Obsidian oder Notion, seine Mobil-App ist eine junge Android-App, für das iPhone gibt es nichts, und sein Ökosystem ist kleiner. Es verringert das Vertraulichkeitsrisiko für Ihre Dokumente. Es kümmert sich weder um Ihre Rechtsgrundlage noch um Ihren Aufbewahrungsplan oder Ihre Transparenzpflichten gegenüber Mandanten. Das bleibt Ihre Aufgabe, ganz gleich, welches Werkzeug Sie verwenden.

Häufige Fragen

Verpflichtet mich die DSGVO rechtlich, Mandantendateien zu verschlüsseln? Nicht absolut. Art. 32 verlangt Maßnahmen, die „dem Risiko angemessen“ sind, und nennt Verschlüsselung als anerkanntes Beispiel. Angesichts der Sensibilität von Buchhaltungsdaten lässt sich der Verzicht auf Verschlüsselung kaum als angemessen verteidigen, und die CNIL empfiehlt sie für vertrauliche Daten.

Wenn bei meiner verschlüsselten Cloud ein Leck auftritt, muss ich meine Mandanten dann trotzdem benachrichtigen? Oft nicht. Nach Art. 34 Abs. 3 lit. a ist eine Benachrichtigung der betroffenen Personen nicht erforderlich, wenn die Daten für Unbefugte unzugänglich gemacht wurden, zum Beispiel durch starke Verschlüsselung mit Schlüsseln, die nicht kompromittiert wurden. Die Meldung an die Aufsichtsbehörde binnen 72 Stunden kann trotzdem nötig sein; dokumentieren Sie also den Vorfall und Ihre Bewertung.

Ist das Speichern von Mandantendokumenten in Google Drive oder Dropbox ein DSGVO-Problem? Nicht automatisch, aber Sie brauchen einen Auftragsverarbeitungsvertrag, müssen prüfen, wo die Daten gespeichert werden (Regeln zur Übermittlung nach Kapitel V), und sollten wissen, dass der Anbieter die Entschlüsselungsschlüssel hält. Für hochsensible Finanzdaten ist ein Modell, bei dem der Anbieter die Dateien nicht lesen kann, die stärkere Position.

Wie lange muss ich Buchhaltungsunterlagen von Mandanten aufbewahren, und ändert Verschlüsselung daran etwas? Aufbewahrungsfristen legt das Gesetz fest, in Frankreich in der Regel zehn Jahre für handelsrechtliche Buchhaltungsunterlagen und sechs Jahre für viele steuerliche Dokumente. Verschlüsselung ändert nichts daran, wie lange Sie Daten aufbewahren; sie schützt die Daten während dieser langen Aufbewahrungsdauer. Prüfen Sie die genauen Fristen für Ihre Rechtsordnung.

Reicht Festplattenverschlüsselung wie BitLocker aus? Sie hilft, reicht allein aber nicht. Festplattenverschlüsselung schützt ein ausgeschaltetes, gestohlenes Gerät. Sie schützt weder einen laufenden Rechner noch eine synchronisierte Kopie auf einem gemeinsamen Laufwerk noch per E-Mail versendete Dateien. Verschlüsselung auf Dateiebene oder clientseitige Verschlüsselung schließt diese Lücken.