§203 StGB stellt das Mandantengeheimnis unter Strafrechtsschutz — eine Verletzung kann mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe geahndet werden. In der IT bedeutet das: Sie müssen technisch nachweisbar verhindern, dass Unbefugte Zugriff auf Mandantendaten bekommen, und Sie müssen jedes IT-bezogene Verschwiegenheits-Risiko aktiv managen.
Vier Säulen des IT-seitigen Mandantenschutzes
1. Zugriffs-Hygiene
Jede:r Mitarbeiter:in bekommt nur die Berechtigungen, die er/sie für die aktuelle Aufgabe braucht. Sachbearbeiter:innen sehen nur ihre Mandate, Lohnbuchhaltung sieht keine Bilanzkonten anderer Mandate, und so weiter. Wir richten Rollen-basierte Berechtigungen in DATEV, Microsoft 365 und auf der Datei-Server-Ebene ein. Berechtigungen werden mindestens jährlich überprüft.
2. AVV-Vertragslandschaft
Wer als externer Dienstleister auf Mandantendaten zugreifen könnte — auch nur theoretisch — braucht einen AVV nach Art. 28 DSGVO. Das gilt für:
- Ihr IT-Systemhaus (wir, KMGIT — AVV-Vorlage liegt bereit)
- Microsoft Irland Operations Ltd. (für M365 / Azure)
- DATEV eG (selbst wenn DATEV Hilfsmittel-Anbieter ist, nicht Auftragsverarbeiter im engeren Sinn — gesonderter Verarbeitungsvertrag empfohlen)
- Steuerberater-Mandanten-Portale (z. B. DATEV-Kommunikation, DocuWare)
- Ggf. Reinigungsfirmen, wenn diese Zugriff auf gesperrte Räume erhalten
3. Sub-Auftragsverarbeiter-Liste
Wir verpflichten uns gegenüber Ihnen, eine aktuelle Liste aller Sub-Auftragsverarbeiter zu führen — also der Drittanbieter, deren Leistungen wir zur Erbringung unserer Aufgabe verwenden. Sie erhalten die Liste auf Anfrage. Bei Wechseln informieren wir Sie vorab.
4. Awareness und Schulung
Die meisten Datenschutz-Vorfälle entstehen nicht durch Technik, sondern durch menschliche Fehler: falsch adressierte Mails, USB-Sticks im Café vergessen, schwache Passwörter, Phishing-Klicks. Wir bieten — auf Anfrage — eine 2-stündige Mitarbeitenden-Schulung vor Ort. Inhalte: Phishing-Erkennung, Passwort-Hygiene, sichere Mandanten-Kommunikation, Vorfalls-Meldung im eigenen Haus.
Was bei einem Datenleck zu tun ist
DSGVO Art. 33: Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnisnahme. DSGVO Art. 34: Bei voraussichtlich hohem Risiko für Betroffene zusätzliche direkte Benachrichtigung der Betroffenen.
Erste Schritte konkret:
- Vorfall isolieren — betroffene Systeme vom Netz trennen, Zugriffe sperren
- Beweissicherung — Logs, Mails, Zeitstempel dokumentieren
- Wir rufen — unsere 24h-Notfall-Hotline ist eingerichtet für genau diese Fälle
- Innerhalb 24 Stunden: Bewertung mit Ihrem DSB, ob Meldepflicht greift
- Innerhalb 72 Stunden: ggf. Meldung an Aufsichtsbehörde (Landesbeauftragte:r für den Datenschutz Sachsen-Anhalt)
- Lessons Learned — schriftliche Auswertung, Anpassung der Verfahrensdokumentation
Was wir Ihnen mitgeben
Ein dokumentiertes IT-Sicherheits- und Datenschutz-Konzept ist nicht nur Compliance-Pflicht — es ist auch praktisches Werkzeug. Bei Mandanten-Audits, Versicherungsanfragen oder DSGVO-Audits müssen Sie technisch nachweisen können, wie Sie Mandantenschutz organisieren. Wir liefern die Vorlagen und betreiben die Technik. Sie konzentrieren sich auf Ihre eigentliche Arbeit.
Sehen Sie sich auch unsere Leistungen IT-Outsourcing und Monitoring an — oder kontaktieren Sie uns für eine konkrete Einschätzung Ihrer aktuellen Mandantenschutz-Architektur.