Vertraulichkeit, bevor der erste Zugang steht.

Warum es diese Seite gibt

Wer mit Kanzleien, Steuerberatungen oder Praxen arbeitet, berührt Daten, die dem Berufsgeheimnis unterliegen. Seit der Neufassung von Paragraf 203 StGB im Jahr 2017 dürfen Berufsgeheimnisträger externe Dienstleister einbinden, müssen sie aber zuvor in Textform zur Geheimhaltung verpflichten und sorgfältig auswählen. Damit diese Prüfung nicht an uns hängen bleibt, liegen die Unterlagen hier fertig vor: Sie fordern sie an, wir schicken sie unterschriftsreif zurück, bevor irgendein Zugang eingerichtet wird.

Verschwiegenheitsverpflichtung (Paragraf 203 Abs. 3 Satz 2 StGB)

Die Verpflichtungserklärung ist auf mitwirkende Personen im Sinne des Berufsrechts zugeschnitten und enthält verbindlich:

• Verpflichtung zur Verschwiegenheit über alle fremden Geheimnisse, die bei der Tätigkeit bekannt werden, ausdrücklich auch über das Ende des Auftrags hinaus und ohne zeitliche Befristung.
• Hinweis auf die Strafbarkeit einer unbefugten Offenbarung nach Paragraf 203 StGB, dessen Kenntnisnahme mit unterzeichnet wird.
• Weitergabe an eigene Beschäftigte oder Unterauftragnehmer nur nach vorheriger, gleichlautender schriftlicher Verpflichtung und nur im erforderlichen Umfang.
• Zugriff nur auf die Daten, die für den beauftragten Ablauf tatsächlich gebraucht werden, kein Zugriff auf Mandats- oder Patientenakten, wenn der Ablauf sie nicht berührt.
• Rückgabe oder nachweisliche Löschung aller überlassenen Daten und Zugänge bei Auftragsende.

Auftragsverarbeitung (Art. 28 DSGVO)

Wo wir personenbezogene Daten im Auftrag verarbeiten, schließen wir vor Beginn einen Auftragsverarbeitungsvertrag. Er regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen, Weisungsbindung, Unterstützung bei Betroffenenrechten, Meldewege bei Datenschutzverletzungen, Kontrollrechte sowie Löschung und Rückgabe. Unterauftragnehmer werden namentlich benannt; neue werden vorab mitgeteilt, mit Widerspruchsrecht. Auf Wunsch nutzen wir Ihre Vorlage statt unserer, das ist bei Kanzleien der Regelfall und für uns kein Problem.

Technische und organisatorische Maßnahmen

Die Maßnahmen werden dem konkreten Ablauf angepasst und im Vertrag als Anlage konkretisiert. Grundlinie:

• Zugänge personengebunden, Mehr-Faktor-Authentisierung wo vom System unterstützt, keine geteilten Sammel-Logins.
• Zugriff nach dem Prinzip der geringsten Rechte, beschränkt auf die für den Ablauf nötigen Systeme und Zeiträume.
• Verschlüsselte Übertragung und Speicherung; Server in der Europäischen Union, soweit der Ablauf eigene Systeme nutzt.
• Trennung der Kundenumgebungen; keine Vermischung von Daten verschiedener Auftraggeber.
• Protokollierung sicherheitsrelevanter Vorgänge, damit im Zweifel nachvollziehbar ist, wer wann worauf zugegriffen hat.
• Keine Nutzung von Kundendaten zum Trainieren von Modellen; eingesetzte Dienste werden benannt und vertraglich gebunden.
• Geordnete Beendigung: Löschung oder Rückgabe nach Auftragsende, auf Wunsch mit schriftlicher Bestätigung.

Aufbewahrung und GoBD

Wo unsere Abläufe steuerlich relevante Belege berühren, etwa im Rechnungseingang oder ausgang, gilt: Aufbewahrung im elektronischen Originalformat, unveränderbar und maschinell auswertbar, einschließlich der strukturierten Daten einer E-Rechnung. Die Verfahrensdokumentation gehört zum Betrieb dazu und wird für den von uns gebauten Teil geliefert, damit sie im Ernstfall vorliegt und nicht nachträglich erfunden werden muss.

Rollen und Haftung

Bei einer Empfehlung durch eine Kanzlei beauftragt der Mandant uns direkt. Die Kanzlei ist nicht Vertragspartner der Umsetzung, erhält für eine Empfehlung keine Vergütung und haftet nicht für unsere Leistung. Die fachliche und berufsrechtliche Verantwortung, vom Kontenrahmen bis zur Verfahrenshoheit, bleibt vollständig bei der Kanzlei; wir bauen und betreiben ausschließlich die technische Strecke.

So fordern Sie die Unterlagen an

Eine formlose Nachricht genügt, mit einem Satz zum geplanten Ablauf. Sie erhalten die Verschwiegenheitsverpflichtung und den Auftragsverarbeitungsvertrag als unterschriftsreife Dokumente, in der Regel am selben oder nächsten Werktag, ohne dass daraus eine Beauftragung entsteht.