// Kanzlei & Mandant

Datensouveränität in der Kanzlei: Cloud oder eigener Server?

·7 min Lesezeit
Datensouveränität in der Kanzlei, KI-generiertes Symbolbild: Laptop auf einem Schreibtisch, daneben eine Wolke als Symbol für die Cloud und ein kleiner eigener Server, auf dem eine Hand liegt

Diesen Text habe ich zuerst für LinkedIn geschrieben. Hier steht er unverändert. Darunter folgt ein Praxisteil, klar getrennt von meiner Meinung: Welche Fragen eine Kanzlei klären sollte, wenn es darum geht, wo ihre Daten liegen, egal ob in der Cloud, auf dem eigenen Server oder gemischt.

Was hat der DATEV „Cloud-Zwang“ in einem Seminar zum Jahresabschluss zu suchen?

Letzte Woche hatte ich ein Gespräch über Fortbildungen, und dabei kam eine Geschichte, die mir nicht mehr aus dem Kopf geht.

Mein Gesprächspartner war bei einem großen Fortbildungsanbieter, bei Haufe, in einer Online-Schulung zum Jahresabschluss. Die Schulung war super: inhaltlich klar, verständlich strukturiert, die Punkte nachvollziehbar rübergebracht. Alles hat gepasst.

Bis der Seminarleiter, so hat es mir mein Gesprächspartner erzählt, aktiv und unaufgefordert das Thema DATEV und den „Cloud-Zwang“ ansprach. Viele seien ja aktuell verängstigt und wüssten nicht, was auf sie zukommt. Aber das sei alles halb so wild, denn viele Daten würden ja jetzt schon über Schnittstellen und die Cloud verarbeitet und verschickt.

So weit, so gut. Ich bin ganz bestimmt kein Cloud-Gegner.

Aber:

  • 👉 Sollte ich nicht selbst bestimmen dürfen, wo und bei wem am Ende MEINE Daten liegen und archiviert sind?
  • 👉 Und was hat das in einem Seminar zum Jahresabschluss zu suchen?

Mich hat das maximal irritiert, und ehrlich gesagt nervt es mich. Gerade weil es ein großer Anbieter ist. Wie weit sind wir eigentlich, dass man in einer Fachfortbildung die Wogen glätten und auf die Teilnehmer einwirken will?

Damit klar ist, woher ich komme: Ich bin Produktmanager bei der hmd software AG. Das hier ist aber meine persönliche Meinung.

Bei uns entscheidet der Kunde. Ja, auch wir haben Funktionen, bei denen Daten in einem Rechenzentrum verarbeitet werden. Aber wenn Du Deine Daten bei Dir haben willst, weil Du Dich damit sicherer oder besser fühlst, ist das kein Problem. Und wenn es Dir nur stinkt, dass Dir als DATEV-Mitglied vorgeschrieben wird, wo Deine Daten künftig liegen, Du aber trotzdem in die Cloud willst, dann passt das genauso.

Cloud ja, gerne. Aber als Entscheidung, nicht als Pflicht.

Meine nächsten Fortbildungen buche ich jedenfalls woanders. Sorry!

So, danke, das musste raus! 😅

Wie seht Ihr das? Gehört so etwas in eine Fachschulung?

Diskutieren kannst Du das gerne mit mir auf LinkedIn.

Praxisteil: Datensouveränität in der Kanzlei, was Du klären solltest

Ab hier geht es nicht mehr um Meinung, sondern um die Fragen, die sich jede Kanzlei stellen kann, unabhängig vom Softwareanbieter. Datensouveränität heißt dabei nicht „alles im Keller“. Es heißt: Du weißt, wo Deine Daten liegen, wer darauf zugreifen kann, und welche Verträge das regeln.

Was DATEV selbst zur Umstellung sagt

Der Anlass ist bekannt. DATEV schreibt unter der Überschrift „2026 beginnt die Umstellung“: „Sämtliche DATEV-Programme ziehen in die Cloud um; die fest installierten lokalen Lösungen laufen aus.“ Und weiter: „Ab 2026 ziehen die DATEV-Lösungen schrittweise um, die On-Premises-Varianten laufen aus“ (DATEV, „2026 beginnt die Umstellung“). In den FAQ heißt es: „DATEV löst schrittweise bestehende On-Premises-Anwendungen durch Cloudlösungen ab.“ Wann eine Kanzlei an der Reihe ist, hängt vom Funktionsumfang der Software und vom Nutzungsverhalten ab, und: „Sobald Kanzleien an der Reihe sind, werden sie von DATEV benachrichtigt“ (DATEV, Die wichtigsten Antworten zum Umzug in die Cloud).

Ob Du das gut findest oder nicht: Die folgenden Fragen stellen sich bei jedem Anbieter und bei jedem Betriebsmodell.

Ein Beispiel aus dem Kanzleialltag

Eine Kanzlei mit acht Leuten. Der Server steht seit Jahren im Abstellraum neben dem Kopierer, die Fernwartung macht ein IT-Dienstleister aus der Nachbarstadt. Jetzt läuft die Garantie aus, und gleichzeitig kündigt der Softwareanbieter für ein Programm den Wechsel in sein Rechenzentrum an. Am Montag sitzt die Kanzleiinhaberin mit ihrer Büroleitung zusammen und merkt: Niemand weiß auf Anhieb, welche Verträge es mit wem gibt, wo die Backups liegen und wie die Daten der letzten zehn Jahre bei einem Wechsel mitgenommen würden. Genau dafür sind die vier Fragen unten da.

Drei Betriebsmodelle, keines ist automatisch richtig

  • Cloud (Rechenzentrum des Anbieters): Updates, Backups und Hardware übernimmt der Anbieter. Du brauchst eine stabile Internetverbindung und bist an seine Verträge, Preise und Zeitpläne gebunden.
  • Eigener Server (On-Premises): Die Daten liegen bei Dir. Dafür kümmerst Du Dich um Hardware, Backups, Sicherheit und Ersatz, meist mit einem IT-Dienstleister. Wie ein Server steuerlich abgeschrieben wird, steht in der AfA-Tabelle für Server.
  • Hybrid: Ein Teil läuft lokal, ein Teil im Rechenzentrum, etwa der Belegaustausch mit Mandanten. Das ist in der Praxis häufig und braucht eine klare Übersicht, welche Daten wo liegen.

Wichtig: Auch beim eigenen Server bist Du nicht „dienstleisterfrei“. Wer Fernwartung macht, Backups außer Haus lagert oder einzelne Online-Funktionen betreibt, bekommt in der Regel Zugang zu Mandantendaten. Die Regeln unten gelten also nicht nur für die Cloud.

Frage 1: Wo liegen die Daten, und wer hat Zugriff?

Frag konkret nach: In welchem Rechenzentrum und in welchem Land liegen die Daten, und wer darf darauf zugreifen? Das ist keine Formalie. § 62a Abs. 4 StBerG erlaubt den Zugang zu Mandantengeheimnissen bei Dienstleistungen, die im Ausland erbracht werden, grundsätzlich nur, wenn der Schutz der Geheimnisse dort „dem Schutz im Inland vergleichbar ist“ (§ 62a StBerG).

Frage 2: Sind die Verträge vollständig?

Zwei Verträge gehören zusammen:

  • Berufsrecht, § 62a StBerG: Du darfst Dienstleistern Zugang zu Tatsachen geben, die der Verschwiegenheit unterliegen, soweit das für die Dienstleistung erforderlich ist (Abs. 1). Du musst den Dienstleister sorgfältig auswählen (Abs. 2). Der Vertrag braucht Textform und muss den Dienstleister zur Verschwiegenheit verpflichten, unter Belehrung über die strafrechtlichen Folgen. Außerdem muss geregelt sein, ob er weitere Personen einsetzen darf (Abs. 3).
  • Datenschutz, Art. 28 DSGVO: der Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter (Art. 28 DSGVO). § 62a Abs. 8 StBerG stellt klar, dass die Datenschutzvorschriften daneben unberührt bleiben.

Warum das ernst ist: § 203 Abs. 3 StGB erlaubt es Berufsgeheimnisträgern, Geheimnisse an „sonstige Personen“ weiterzugeben, die an ihrer Tätigkeit mitwirken, soweit das erforderlich ist. Nach § 203 Abs. 4 Satz 2 Nr. 1 StGB macht sich aber strafbar, wer nicht dafür gesorgt hat, dass eine solche mitwirkende Person zur Geheimhaltung verpflichtet wurde, wenn diese dann ein Geheimnis unbefugt offenbart (§ 203 StGB).

Dieselben Regeln gelten übrigens auch für KI-Tools. Wie Du das in einer kurzen Hausordnung festhältst, steht in KI in der Steuerkanzlei: Diese Regeln brauchst Du vor dem Start.

Frage 3: Brauchst Du die Einwilligung des Mandanten?

Dient eine Dienstleistung unmittelbar einem einzelnen Mandat, darf der Zugang zu Mandantengeheimnissen nur mit Einwilligung des Mandanten eröffnet werden (§ 62a Abs. 5 StBerG). Für die allgemeine Kanzleisoftware ist das meist nicht der Fall. Bei Spezialdiensten für ein einzelnes Mandat solltest Du es prüfen.

Frage 4: Bleibt das Archiv lesbar, über die ganze Frist?

Handakten musst Du zehn Jahre aufbewahren, die Frist beginnt mit Ablauf des Kalenderjahres, in dem der Auftrag beendet wurde (§ 66 StBerG). Für die Buchführungsunterlagen Deiner Mandanten verlangt § 147 Abs. 2 AO, dass elektronisch aufbewahrte Daten während der Aufbewahrungsfrist „jederzeit verfügbar sind, unverzüglich lesbar gemacht und maschinell ausgewertet werden können“ (§ 147 AO). Die Fristen sind je nach Unterlage zehn, acht oder sechs Jahre (§ 147 Abs. 3 AO).

Die praktische Frage dazu: Wenn Du in fünf Jahren den Anbieter wechselst oder ein Programm abgekündigt wird, wie kommst Du dann noch an die Daten von heute, und in welchem Format?

Für wen ist das wichtig?

  • Kanzleiinhaber und Partner, die gerade vor einer Umstellung stehen oder einen Brief ihres Softwareanbieters bekommen haben.
  • Büroleitungen und IT-Verantwortliche, die Verträge, Backups und Zugriffe im Blick behalten müssen.
  • Kanzleien mit eigenem Server, deren Hardware oder Wartungsvertrag bald ausläuft.
  • Alle, die Mandanten erklären müssen, wo deren Daten liegen.

Mein Fazit

Ob Cloud, eigener Server oder beides: Die Entscheidung sollte bei der Kanzlei liegen, und sie sollte eine bewusste sein. Wer die vier Fragen beantworten kann, entscheidet souverän, egal wofür.

Hinweis: Dieser Beitrag gibt im ersten Teil meine persönliche Meinung wieder. Der Praxisteil fasst die genannten Vorschriften allgemein zusammen und ersetzt keine Rechts- oder Steuerberatung. Stand: 31.10.2026. Ich bin Produktmanager bei der hmd software AG, einem Anbieter von Software für Kanzleien und Buchhaltung, und schreibe hier aus der Praxis der Digitalen Belegverarbeitung.

Quellen

// teilen

Hat Dir der Beitrag gefallen?

Teil ihn mit Kolleg*innen, die das Thema genauso betrifft.