DATEV et Microsoft 365: le dilemme de protection des données non résolu pour les cabinets

Presque tous les cabinets d'expertise comptable travaillent avec deux systèmes en parallèle : DATEV pour les applications métier, Microsoft 365 pour la boîte aux lettres, les fichiers et les réunions. En matière de protection des données entre DATEV et Microsoft 365, un vide juridique apparaît, que personne ne remarque vraiment dans le quotidien du cabinet : DATEV est prestataire de traitement, c'est le cabinet qui est responsable. Et DATEV exige expressément à l'utilisateur, c'est-à-dire à vous, de prouver la conformité RGPD pour Microsoft 365.

Qui est responsable en matière de protection des données chez DATEV?

En vertu de la RGPD, c'est le cabinet qui est responsable, non DATEV. Dans sa FAQ sur la RGPD et le traitement des données (au 28.01.2025), DATEV décrit elle-même la répartition des rôles : l'accord de traitement des données prend en compte « vos intérêts en tant que donneur d'ordre et responsable en matière de protection des données, ainsi que les intérêts de DATEV en tant que prestataire de traitement » de manière égale. Et encore plus clairement : même en cas de nomination d'un responsable de la protection des données, la responsabilité du respect de la RGPD « incombe exclusivement au responsable, c'est-à-dire au propriétaire du cabinet ».

Cette répartition des rôles est juridiquement correcte. Elle n'a qu'une conséquence qui disparaît dans le quotidien du cabinet : DATEV précise dans le même document que la majorité des mesures RGPD « doivent être mises en œuvre indépendamment des programmes DATEV », par exemple l'inventaire des activités de traitement et l'examen de la base légale. Si vous comprenez le logiciel du cabinet comme un ensemble complet de protection des données, vous lisez ici le contraire.

Que dit DATEV elle-même à propos de Microsoft 365 dans le cabinet?

DATEV considère que Microsoft 365 est autorisé dans les cabinets d'expertise comptable, mais elle transfère complètement l'obligation de preuve à l'utilisateur. Dans la déclaration sur l'utilisation des services cloud Microsoft 365 (au 04/2024), il est indiqué que l'utilisation est pour les membres des professions d'expertise comptable « fondamentalement possible ». La phrase suivante est décisive : « Il incombe cependant aux utilisateurs et utilisatrices de documenter, sur la base des informations fournies par Microsoft, que toutes les exigences de la RGPD relatives à l'utilisation de Microsoft 365 sont respectées. »

Sur la page plus ancienne DATEV et Microsoft il est toujours indiqué que l'utilisation de Microsoft 365 se situe « dans le domaine de responsabilité des utilisatrices et utilisateurs respectifs ». Le ton a changé entre 2022 et 2024, mais pas la responsabilité.

Notre position : ce n'est pas une négligence de DATEV, c'est la seule déclaration qu'un prestataire de traitement peut faire. Le dilemme reste néanmoins non résolu, car ce transfert de responsabilité n'apparaît nulle part dans le quotidien du cabinet. Il se trouve dans un PDF que personne ne lit jusqu'à ce que l'autorité de surveillance ou un client pose la question.

Pourquoi le contrat de traitement des données avec Microsoft ne suffit-il pas?

Un contrat de traitement des données règle la coopération, mais il ne prouve pas la légalité du traitement. DATEV le formule clairement dans la même déclaration : « Le responsable doit produire une preuve indépendante de la légalité de ses traitements. Le prestataire de traitement n'a aucune tâche à cet égard. » Le fondement est le principe de responsabilité énoncé à l'article 5, paragraphe 2, en lien avec l'article 24 RGPD. L'article 28 RGPD exige en outre de ne travailler qu'avec des prestataires de traitement qui offrent des garanties suffisantes.

En pratique, ce qui manque généralement n'est pas le contrat, mais la documentation qui l'accompagne :

• Registre des activités de traitement : Microsoft 365 manque souvent comme entrée propre, bien que l'article 30 RGPD exige les catégories de destinataires et les transferts vers des pays tiers.
• Délimitation des systèmes : Quelles données de clients se trouvent dans DATEV, lesquelles dans Exchange, SharePoint et Teams? Sans cette séparation, aucun niveau de protection ne peut être justifié.
• Accord supplémentaire en vertu du droit professionnel : Selon DATEV, Microsoft propose un accord de confidentialité type pour les détenteurs de secret professionnel qui satisfait à § 62a StBerG. Tous les cabinets ne l'ont pas conclu depuis longtemps.
• Spécifications techniques : Quels services sont délibérément désactivés, qui a le droit d'utiliser les fonctions IA externes?

Microsoft 365 est-il autorisé au cabinet selon la décision de la DSK?

La décision de la Conférence de la protection des données du 24.11.2022 n'est pas une interdiction d'utilisation, mais une déclaration sur la possibilité de justifier l'utilisation. Dans le libellé de la décision il est indiqué que la preuve du fonctionnement conforme à la protection des données de Microsoft 365 sur la base de l'avenant à la protection des données du 15.09.2022 « ne peut pas être apportée ». DATEV critique expressément que la décision soit « souvent citée incorrectement » et confondue avec une interdiction ; son libellé ne justifie pas cette interprétation.

Depuis lors, la situation a changé, bien que la décision n'ait pas été formellement annulée. Le Contrôleur européen de la protection des données a suspendu sa procédure contre la Commission de l'UE sur Microsoft 365 le 11.07.2025 après que les violations constatées aient été corrigées. L'autorité hessoise pour la protection des données et la liberté d'information estime dans le rapport du 15.11.2025 qu'un fonctionnement conforme concernant les sept points critiques de la DSK est possible. Ces deux constats ont des limites : le CEPD a examiné le règlement 2018/1725 pour les organes de l'UE, non la RGPD, et le cadre contractuel négocié par le HBDI concerne les autorités publiques. Un cabinet d'expertise comptable n'en est pas un.

Qu'est-ce qui s'applique du point de vue du droit professionnel en plus de la RGPD?

Le droit professionnel et le droit de la protection des données s'appliquent conjointement, non pas en tant que variantes. § 62a StBerG autorise les experts-comptables à donner aux prestataires accès aux secrets professionnels, dans la mesure où cela est nécessaire. La norme exige une sélection prudente, un contrat sous forme écrite, une obligation de confidentialité avec mise en garde sur les conséquences pénales, et en cas de lien avec l'étranger, une protection comparable à celle du pays. Le paragraphe 8 précise : Les dispositions relatives à la protection des données à caractère personnel restent sans préjudice.

À cela s'ajoute § 203 StGB. Le paragraphe 3 autorise la divulgation aux personnes participantes, dans la mesure où elle est nécessaire. Mais le paragraphe 4 punit celui qui n'a pas fait en sorte qu'une personne participante soit liée par le secret. Un simple contrat RGPD de traitement des données ne remplit pas automatiquement cela. DATEV elle-même note que le droit professionnel et pénal n'ont pas du tout été abordés par la DSK.

Cet article représente l'état documenté et ne constitue pas un conseil juridique. Que votre situation concrète soit tenable relève de l'examen par votre responsable de la protection des données et, pour les questions de droit professionnel, d'un conseil juridique au cas par cas.

Que devraient faire concrètement les cabinets maintenant?

Le premier pas le plus efficace est une cartographie des données, pas un examen des contrats. Dans nos projets d'automatisation avec des cabinets et des services de comptabilité, chaque initiative commence par documenter les systèmes que les données voient : pièces jointes dans la boîte aux lettres du client, archivage dans SharePoint, transfert à DATEV Unternehmen online, notifications dans Teams. La mise en œuvre technique en a besoin de toute façon, et c'est en même temps la base du registre des activités de traitement selon l'article 30 RGPD. Régulièrement, les documents des clients se trouvent à trois endroits en parallèle, dont un seul était documenté.

Trois autres points valent la peine, indépendamment de tout projet :

• Activer ou désactiver consciemment les fonctions IA externes. DATEV souligne pour son propre DATEV Copilot que si la recherche Internet est activée, « seules les dispositions de protection des données de Microsoft » s'appliquent, « qui ne contiennent pas de normes de confidentialité particulières pour les détenteurs de secret professionnel » (DATEV, consulté 08/2026). Ce qui s'applique déjà au produit propre de DATEV s'applique d'autant plus à tout outil IA acheté.
• Rattraper les accords supplémentaires en vertu du droit professionnel. Avec chaque prestataire ayant accès aux données client, y compris son propre département informatique.
• Apporter la preuve par écrit. Une explication plausible dans une conversation n'est pas une preuve au sens de l'article 5, paragraphe 2, RGPD. Deux pages qui nomment les systèmes, les paramètres et les contrats en sont une.

Le groupe affecté est important : DATEV comptait à la fin de l'exercice 2025 environ 927 900 clients et 40 296 membres de coopératives (Communiqué de presse DATEV, 27.03.2026). L'obligation de documentation s'applique dans chacun de ces cabinets individuellement.

Comment automatiser les processus autour de DATEV sans que les données client ne se dispersent sans contrôle, c'est ce que nous décrivons sous Automatisation pour les experts-comptables. Ce que l'assistant IA propre de DATEV peut faire, c'est décrit dans l'article sur le DATEV Copilot dans MyDATEV.

Questions fréquentes

DATEV est-elle un prestataire de traitement ou un responsable?

DATEV est prestataire de traitement, le cabinet est responsable. C'est ainsi que DATEV énonce les rôles dans la FAQ sur la RGPD (au 28.01.2025). Un accord de traitement des données est requis pour chaque client ayant une relation contractuelle directe avec DATEV.

Un cabinet d'expertise comptable peut-il utiliser Microsoft 365?

Selon la déclaration de DATEV de 04/2024, l'utilisation est fondamentalement possible. La condition préalable est que le cabinet lui-même documente que toutes les exigences de la RGPD sont respectées et que les accords en vertu de § 62a StBerG existent. Il n'existe pas d'approbation générale.

Le contrat avec Microsoft suffit-il comme preuve de protection des données?

Non. Il régit la coopération, mais ne remplace pas la preuve indépendante de la légalité. DATEV le formule ainsi : le responsable doit apporter cette preuve et le prestataire de traitement n'a aucune tâche à cet égard. Le fondement en est l'article 5, paragraphe 2, en lien avec l'article 24, RGPD.

La décision de la DSK de 2022 interdit-elle Microsoft 365?

Non. Elle constate que la preuve d'un fonctionnement conforme sur la base de l'avenant à la protection des données du 15.09.2022 ne peut pas être apportée. Elle ne prononce pas d'interdiction d'utilisation. Elle n'a pas été formellement abrogée à ce jour.