Sicherer Dateiaustausch zwischen Kanzlei und Mandant

E-Mail wurde nicht als vertraulicher Kanal entworfen. Selbst wenn der Transport zwischen zwei Servern per TLS verschlüsselt ist, liegen die Nachrichten auf jeder Zwischenstation und in jedem Postfach im Klartext. Für die Kanzlei entstehen daraus vier praktische Probleme:

• Kein Zugriffsschutz nach dem Versand. Wer Zugang zum Postfach hat, hat Zugang zum Anhang. Ein Vertipper in der Adresse ist nicht zurückzuholen.
• Keine Löschung. Die Datei bleibt im Postfach des Empfängers und in dessen Backups, auch Jahre später.
• Kein Nachweis. Ob und wann der Mandant die Unterlagen abgerufen hat, lässt sich nicht belegen.
• Größenbegrenzung. Umfangreiche Unterlagen werden gestückelt oder landen doch wieder in einem Cloud-Dienst ohne Vertrag zur Auftragsverarbeitung.

Die Datenschutzkonferenz der deutschen Aufsichtsbehörden hat dazu eine Orientierungshilfe zum E-Mail-Versand veröffentlicht. Ihre Linie: Transportverschlüsselung ist der Mindeststandard, bei erhöhtem Risiko für die betroffene Person ist eine Ende-zu-Ende-Verschlüsselung erforderlich. Steuerdaten fallen regelmäßig in die zweite Kategorie.

Aus Art. 32 DSGVO und der berufsrechtlichen Verschwiegenheit lassen sich fünf Merkmale ableiten, an denen sich jede Lösung messen lässt:

• Verschlüsselte Übertragung und Speicherung.Art. 32 Abs. 1 lit. a nennt Verschlüsselung ausdrücklich als geeignete Maßnahme.
• Zugriffsschutz je Empfänger. Ein individueller Zugang statt eines geteilten Links, bei Bedarf zusätzlich abgesichert durch Passwort oder eine PIN per SMS.
• Protokollierung. Jeder Abruf wird mit Zeitpunkt und Empfänger festgehalten, sodass die Zustellung nachweisbar ist.
• Ablauf- und Löschfristen. Der Zugang erlischt automatisch, was Art. 5 Abs. 1 lit. e DSGVO praktisch umsetzt.
• Auftragsverarbeitung und Serverstandort. Ein Vertrag nach Art. 28 DSGVO mit dem Anbieter, dazu Klarheit darüber, wo die Daten liegen und wer darauf zugreifen kann.

Steuerberater zählen nach § 203 Abs. 1 Nr. 3 StGB zu den Berufsgeheimnisträgern, die Verschwiegenheit ist zusätzlich in § 57 Abs. 1 StBerG als allgemeine Berufspflicht verankert. Seit der Neufassung von § 203 Abs. 3 StGB dürfen mitwirkende Personen einbezogen werden, was IT-Dienstleister ausdrücklich einschließt, allerdings unter zwei Bedingungen: sorgfältige Auswahl und Verpflichtung zur Verschwiegenheit.

Für die Praxis heißt das, dass die Auswahl eines Anbieters dokumentiert gehört und dass der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO die berufsrechtliche Seite nicht ersetzt, sondern ergänzt. Wo die Daten verarbeitet werden, ist dabei kein Nebenaspekt: Ein Serverstandort in Deutschland vereinfacht die Bewertung erheblich gegenüber einer Verarbeitung in Drittländern.

Der Alltag kennt mehr als den reinen Versand. In docunest sind vier Wege abgebildet, die sich in der Richtung und im Zweck unterscheiden:

• Versenden. Die Kanzlei stellt Unterlagen bereit, der Mandant ruft sie ab. Klassisch für Auswertungen und Bescheide.
• Anfordern. Die Kanzlei hinterlegt eine Checkliste, der Mandant lädt die passenden Dokumente hoch. Der Bearbeitungsstand ist für beide Seiten sichtbar, was die Nachfassschleifen per E-Mail ersetzt.
• Offene Posten abstimmen. Eine Liste offener Posten wird zur Bestätigung oder Klärung übermittelt, der Mandant quittiert oder widerspricht je Position.
• Datenraum. Ein dauerhafter Ablageort für eine laufende Zusammenarbeit, mit Kommentarfunktion für Rückfragen direkt am Vorgang.

Geht es nicht um die Zustellung, sondern um eine verbindliche Freigabe durch den Mandanten, ist die digitale Freizeichnung das passende Mittel. Sie erzeugt eine Willenserklärung, während der Dateiaustausch den Transport absichert.