Warum Sie das hier lesen Wenn Sie über unsere Website Kontakt aufnehmen oder einen Termin buchen, läuft das über Software externer Anbieter. Ein Teil davon sitzt außerhalb der EU. Als Steuerberater unterliegen wir einer strafbewehrten Verschwiegenheitspflicht. Wir dürfen solche Dienstleister deshalb nur unter bestimmten Voraussetzungen einsetzen und Sie sollen wissen, was das für Ihre Daten bedeutet. 1. Unsere Verschwiegenheitspflicht Wir sind nach § 57 Abs. 1 StBerG und § 9 BOStB zur Verschwiegenheit über alles verpflichtet, was uns in Ausübung unseres Berufs bekannt wird, bereits ab der ersten Kontaktaufnahme, also auch ohne bestehendes Mandat. Ein Verstoß ist nach § 203 Abs. 1 Nr. 3 StGB strafbar. Ergänzend haben wir ein Zeugnisverweigerungsrecht nach § 102 AO und § 53 StPO; unsere Unterlagen sind nach § 97 StPO grundsätzlich beschlagnahmefrei. Diesen Schutz gibt es in dieser Form nur in Deutschland. 2. Welche Dienstleister wir einsetzen DATEV Anbieter und Sitz: DATEV eG, Nürnberg, Deutschland — EU Zweck: Steuerberatungs- und Kanzleisoftware, Dokumentenmanagement, Belegaustausch mit Mandanten, Rechenzentrums- und Cloud-Dienste Daten: Mandantenstammdaten IONOS Anbieter und Sitz: IONOS SE, Montabaur, Deutschland — EU Zweck: Webhosting, E-Mail-Hosting, Domain- und Serverbereitstellung Daten: Server-Logdaten, E-Mail-Inhalte und -Metadaten, ggf. über die Website übermittelte Kontakt- und Formulardaten Onepage Anbieter und Sitz: Onepage GmbH, Frankfurt am Main, Deutschland (Serverstandort Frankfurt) — EU Zweck: Erstellung und Betrieb von Website/Landingpages, Kontakt- und Lead-Formulare, integriertes CRM, Cookie-/Consent-Management Daten: Website-Besucherdaten, Formulardaten, Einwilligungs-/Consent-Daten, Nutzungs- und Analysedaten FP Sign Anbieter und Sitz: FP Digital Business Solutions GmbH (Betreiberin von FP Sign, Tochter der Francotyp-Postalia Holding AG), Fürstenwalde, Deutschland — EU Zweck: Rechtskonforme elektronische Signatur und sicherer Austausch von Dokumenten, auch durch Mandanten Daten: Name, E-Mail-Adresse der Unterzeichner, Dokumenteninhalte, Signatur- und Zeitstempeldaten, Identifizierungs-/Authentifizierungsdaten, IP-Adresse Microsoft 365 Anbieter und Sitz: Microsoft Ireland Operations Ltd., Dublin, Irland — EU (Konzernmutter USA, Drittlandbezug möglich) Zweck: Office-Anwendungen und Kommunikation, Kalender und Kontakte Daten: E-Mail-Korrespondenz, in Dokumenten enthaltene personenbezogene Daten, Kalender- und Kontaktdaten, Datei- und Nutzungsmetadaten Langdock Anbieter und Sitz: Langdock GmbH, Berlin, Deutschland (Hosting: Microsoft Azure, Frankfurt) — EU Zweck: DSGVO-konformer Zugang zu großen Sprachmodellen (KI-gestützte Text-, Recherche- und Entwurfsarbeit) über eine zentrale Plattform Daten: eingegebene Texte/Prompts, ggf. hochgeladene Dokumente und die darin enthaltenen personenbezogenen Daten, Nutzungsdaten Klardaten Anbieter und Sitz: Klardaten GmbH, Berlin, Deutschland — EU Zweck: KI-/IT-gestützte Verarbeitung und Aufbereitung von Belegen und Buchhaltungsdaten für die Kanzlei (DATEV-fertige Aufbereitung) Daten: Belege und Rechnungen der Mandanten, Buchungs- und Transaktionsdaten, darin enthaltene Namen, Beträge, Lieferanten-/Geschäftspartnerdaten Anthropic Anbieter und Sitz: Anthropic PBC, San Francisco, USA — Drittland Zweck: KI-gestützte Text-, Recherche-, Analyse- und Entwurfsarbeit (Claude) Daten: eingegebene Texte/Prompts sowie ggf. darin oder in hochgeladenen Dateien enthaltene personenbezogene Daten Kommt ein Anbieter hinzu, holen wir Ihre Einwilligung erneut ein. 3. Was diese Systeme nicht zu sehen bekommen Wir arbeiten strikt datensparsam. Nicht in diesen Tools verarbeitet werden: - Steuererklärungen, Steuerbescheide und Berechnungsgrundlagen - Buchführungsdaten, Belege, Kontoauszüge, Jahresabschlüsse - Lohn- und Gehaltsdaten - steuerstrafrechtlich relevante Sachverhalte - besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO Die steuerliche Bearbeitung läuft ausschließlich über DATEV und andere Tools. Die genannten Tools decken Anbahnung, Terminierung und Korrespondenz ab, nicht Ihre Steuerakte. 4. Welche Risiken damit verbunden sind Behördenzugriff. US-Behörden können von US-Anbietern die Herausgabe von Daten verlangen, insbesondere nach dem CLOUD Act, FISA § 702 und der Executive Order 12333. Das gilt auch bei Speicherung in der EU, solange der Anbieter der US-Jurisdiktion unterliegt. Der Anbieter kann gesetzlich gehindert sein, uns oder Sie darüber zu informieren. Australien ist Mitglied der „Five Eyes“-Allianz; nach dem Assistance and Access Act 2018 können australische Behörden Anbieter zur Mitwirkung verpflichten. Kein vergleichbarer Berufsgeheimnisschutz. Weder in den USA noch in Australien existiert eine dem § 203 StGB entsprechende Strafbarkeit oder ein dem § 102 AO, § 53 und § 97 StPO vergleichbares Zeugnisverweigerungs- und Beschlagnahmeverbot. Eingeschränkter Rechtsschutz. Gegen behördliche Zugriffe im Ausland können Sie sich deutlich schlechter wehren als in Deutschland. Das Data Protection Review Court des EU-US Data Privacy Framework ist kein Gericht im Sinne des Art. 19 Abs. 4 GG. Unsichere Rechtsgrundlage. Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework kann ausgesetzt oder für ungültig erklärt werden, bei Safe Harbor und Privacy Shield ist genau das geschehen. Für Australien besteht ohnehin kein Angemessenheitsbeschluss. Grenzen der Verträge. Standardvertragsklauseln binden ausländische Behörden nicht und können einen gesetzlich angeordneten Zugriff nicht verhindern. Unterauftragnehmer. Die Anbieter setzen ihrerseits weitere Dienstleister ein. Eine lückenlose Kontrolle dieser Kette ist uns nicht möglich. Sicherheitsvorfälle bei den Anbietern lassen sich trotz sorgfältiger Auswahl nicht ausschließen. 5. Unsere Schutzmaßnahmen Auftragsverarbeitungsverträge nach Art. 28 DSGVO EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) mit dokumentiertem Transfer Impact Assessment je Anbieter, ergänzend das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist - vertragliche Vertraulichkeitsverpflichtung jedes Anbieters, soweit dieser dazu bereit ist - konsequente Datenminimierung (Ziffer 3) - EU-Hosting, soweit angeboten - Zugriff nur für die Personen in unserer Kanzlei, die ihn benötigen, mit Mehr-Faktor-Authentifizierung - Löschung nach 90 Tagen, soweit keine Aufbewahrungspflicht entgegensteht - regelmäßige Überprüfung der Anbieter 6. Ihre Erklärung Mit Absenden des Formulars, der Terminbuchung oder Ankreuzen des Feldes in unseren Auftragsbedingungen geben Sie folgende Erklärungen ab. 6.1 Einwilligung in die Offenbarung Sie willigen ein, dass wir den unter Ziffer 2 genannten Dienstleistern Zugang zu Tatsachen eröffnen, die unserer Verschwiegenheitspflicht nach § 57 Abs. 1 StBerG unterliegen, soweit dies für die Inanspruchnahme der jeweiligen Dienstleistung erforderlich ist (§ 62a Abs. 1 und 5 StBerG). Die Einwilligung erstreckt sich ausdrücklich darauf, dass die Dienstleistungen im Ausland erbracht werden und der dort bestehende Schutz der Geheimnisse dem Schutz im Inland nicht vergleichbar ist (§ 62a Abs. 4 StBerG). Die Einwilligung gilt zugleich als Befreiung von der Verschwiegenheitspflicht nach § 57 Abs. 1 StBerG und § 9 BOStB sowie als Einwilligung im Sinne des § 203 StGB. Sie umfasst ausdrücklich auch, dass die genannten Anbieter die Daten an ihre Unterauftragnehmer weitergeben, soweit dies zur Erbringung der Dienstleistung erforderlich ist, und die genannten Anbieter die Daten gegenüber ausländischen Behörden offenbaren, soweit sie nach dem für sie geltenden Recht dazu verpflichtet sind. Eine Offenbarung im Rahmen dieser Einwilligung ist damit nicht unbefugt im Sinne des § 203 StGB. Ergänzend weisen wir darauf hin, dass § 203 Abs. 3 S. 2 StGB die Offenbarung gegenüber mitwirkenden Personen ohnehin erlaubt, soweit sie für deren Inanspruchnahme erforderlich ist. Die Einwilligung ist beschränkt auf die unter Ziffer 2 genannten Dienstleister, Zwecke und Datenarten. Sie erstreckt sich nicht auf Geheimnisse Dritter, über die Sie nicht verfügen können. 6.2 Verzicht nach § 62a Abs. 6 StBerG Nach § 62a Abs. 2 und 3 StBerG müssten wir mit jedem Dienstleister einen Vertrag in Textform schließen, in dem der Dienstleister (1.) unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit verpflichtet wird, (2.) verpflichtet wird, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist, und (3.) für den Fall der Heranziehung weiterer Personen verpflichtet wird, diese in Textform zur Verschwiegenheit zu verpflichten. Ergänzend müssten wir die Zusammenarbeit unverzüglich beenden, wenn diese Vorgaben nicht gewährleistet sind. Die genannten Anbieter erfüllen diese Anforderungen nicht vollständig. Sie schließen ausschließlich auf Basis ihrer eigenen standardisierten Vertragswerke ab und übernehmen keine individuelle, nach deutschem Recht strafbewehrte Verschwiegenheitsverpflichtung mit Belehrung nach § 203 Abs. 4 StGB. Sie verzichten deshalb ausdrücklich auf die Einhaltung der Anforderungen nach § 62a Abs. 2 und 3 StBerG in Bezug auf die unter Ziffer 2 genannten Dienstleister. Konkret: Diese Anbieter sind uns gegenüber nicht in der Weise zur Verschwiegenheit verpflichtet, wie das Gesetz es vorsieht, sie unterliegen keiner deutschen Strafandrohung, und wir müssen die Zusammenarbeit nicht allein wegen dieser fehlenden Verpflichtung beenden. Unsere eigene Verschwiegenheitspflicht bleibt im Übrigen unverändert bestehen. 6.3 Erklärung zu § 203 Abs. 4 S. 2 Nr. 1 StGB Nach § 203 Abs. 4 S. 2 Nr. 1 StGB macht sich strafbar, wer nicht dafür Sorge getragen hat, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde. Soweit über die in den Verträgen mit den Anbietern enthaltenen Vertraulichkeitsregelungen hinaus eine weitergehende Verpflichtung erforderlich wäre, verzichten Sie hierauf ausdrücklich und stellen klar, dass eine Offenbarung im Rahmen der Einwilligung nach Ziffer 6.1 mit Ihrem Einverständnis erfolgt und daher nicht unbefugt ist. 7. Kontakt außerhalb dieser Systeme Wenn Sie diesen Weg nicht nutzen möchten, erreichen Sie uns unter den im Impressum angegeben Kontaktdaten. 8. Widerruf Sie können Einwilligung und Verzicht jederzeit für die Zukunft widerrufen — formlos, eine Nachricht an info@belka-steuerberatung.de genügt. Danach setzen wir die genannten Tools für Ihre Daten nicht mehr ein und löschen die dort vorhandenen Daten, soweit keine Aufbewahrungspflicht entgegensteht. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt; bereits erfolgte Zugriffe im Ausland können wir nicht rückgängig machen. 9. Datenschutz Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt (§ 62a Abs. 8 StBerG). Die Übermittlung in Drittländer stützen wir vorrangig auf Art. 45 bzw. Art. 46 Abs. 2 lit. c DSGVO; soweit diese Grundlagen entfallen, gilt die vorstehende Erklärung hilfsweise als ausdrückliche Einwilligung nach Art. 49 Abs. 1 UAbs. 1 lit. a DSGVO. Einzelheiten in unserer Datenschutzerklärung.