DATEV und Microsoft 365: das ungeklärte Datenschutz-Dilemma für Kanzleien

Fast jede Steuerkanzlei arbeitet mit zwei Systemen parallel: DATEV für die Fachanwendungen, Microsoft 365 für Postfach, Dateien und Besprechungen. Beim Datenschutz zwischen DATEV und Microsoft 365 entsteht dabei eine Lücke, die im Kanzleialltag kaum jemand bemerkt: DATEV ist Auftragsverarbeiter, verantwortlich ist die Kanzlei. Und den Nachweis der DSGVO-Konformität für Microsoft 365 verlangt DATEV ausdrücklich vom Anwender, also von Ihnen.

Wer ist bei DATEV datenschutzrechtlich verantwortlich?

Verantwortlich im Sinne der DSGVO ist die Kanzlei, nicht DATEV. In ihren FAQs zur DS-GVO und Auftragsverarbeitung (Stand 28.01.2025) beschreibt DATEV die Rollenverteilung selbst: Die Vereinbarung zur Auftragsverarbeitung berücksichtige „Ihre Interessen als Auftraggeber und datenschutzrechtlicher Verantwortlicher und die Interessen der DATEV als Auftragsverarbeiter“ in gleicher Weise. Und noch deutlicher: Auch bei bestelltem Datenschutzbeauftragten liege die Verantwortung für die Einhaltung der DSGVO „ausschließlich beim Verantwortlichen, d.h. beim Kanzleiinhaber“.

Diese Rollenverteilung ist juristisch korrekt. Sie hat nur eine Folge, die im Kanzleialltag untergeht: DATEV hält im selben Dokument fest, dass der Großteil der DSGVO-Maßnahmen „losgelöst von den DATEV-Programmen“ umzusetzen ist, etwa die Bestandsaufnahme der Verarbeitungstätigkeiten und die Prüfung der Rechtsgrundlagen. Wer die Kanzleisoftware als Datenschutz-Rundumpaket versteht, liest hier das Gegenteil.

Was sagt DATEV selbst zu Microsoft 365 in der Kanzlei?

DATEV hält Microsoft 365 in Steuerkanzleien für zulässig, schiebt die Nachweispflicht aber vollständig zum Anwender. In der Stellungnahme zur Nutzung von Microsoft 365-Cloud Services (Stand 04/2024) heißt es, der Einsatz sei für Angehörige steuerberatender Berufe „grundsätzlich möglich“. Der nächste Satz ist der entscheidende: „Es obliegt allerdings den Anwender:innen, auf Grundlage der von Microsoft bereitgestellten Informationen zu dokumentieren, dass sämtliche Anforderungen der DS-GVO im Hinblick auf den Einsatz von Microsoft 365 eingehalten werden.“

Auf der älteren Seite DATEV und Microsoft steht bis heute, die Nutzung von Microsoft 365 liege „im Verantwortungsbereich der jeweiligen Nutzerinnen und Nutzer“. Der Ton hat sich zwischen 2022 und 2024 verschoben, die Zuständigkeit nie.

Unsere Position: Das ist keine Nachlässigkeit von DATEV, sondern die einzige Aussage, die ein Auftragsverarbeiter treffen darf. Ungeklärt bleibt das Dilemma trotzdem, weil die Verlagerung im Kanzleialltag nirgends auftaucht. Sie steht in einem PDF, das niemand liest, bis die Aufsichtsbehörde oder ein Mandant fragt.

Warum reicht der Auftragsverarbeitungsvertrag mit Microsoft nicht aus?

Ein Auftragsverarbeitungsvertrag regelt die Zusammenarbeit, er belegt aber nicht die Rechtmäßigkeit der Verarbeitung. DATEV formuliert das in derselben Stellungnahme scharf: „Der Verantwortliche muss einen eigenständigen Nachweis über die Rechtmäßigkeit seiner Verarbeitungen führen. Der Auftragsverarbeiter hat diesbezüglich keine Aufgabe.“ Grundlage ist die Rechenschaftspflicht aus Art. 5 Abs. 2 in Verbindung mit Art. 24 DSGVO. Art. 28 DSGVO verlangt zusätzlich, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien bieten.

In der Praxis fehlt meist nicht der Vertrag, sondern die Dokumentation daneben:

• Verzeichnis der Verarbeitungstätigkeiten: Microsoft 365 fehlt oft als eigener Eintrag, obwohl Art. 30 DSGVO Empfängerkategorien und Drittlandübermittlungen verlangt.
• Abgrenzung der Systeme: Welche Mandantendaten liegen in DATEV, welche in Exchange, SharePoint und Teams? Ohne diese Trennung lässt sich kein Schutzniveau begründen.
• Berufsrechtliche Zusatzvereinbarung: Microsoft stellt laut DATEV eine Muster-Geheimhaltungsvereinbarung für Berufsgeheimnisträger bereit, die § 62a StBerG genügt. Abgeschlossen hat sie längst nicht jede Kanzlei.
• Technische Festlegungen: Welche Dienste sind bewusst abgeschaltet, wer darf externe KI-Funktionen nutzen?

Ist Microsoft 365 in der Kanzlei nach der DSK-Festlegung erlaubt?

Die Festlegung der Datenschutzkonferenz vom 24.11.2022 ist kein Nutzungsverbot, sondern eine Aussage über die Nachweisbarkeit. Im Wortlaut der Festlegung heißt es, der Nachweis, Microsoft 365 datenschutzrechtskonform zu betreiben, könne auf Grundlage des Datenschutznachtrags vom 15.09.2022 „nicht geführt werden“. DATEV kritisiert ausdrücklich, die Festlegung werde „vielfach falsch zitiert“ und mit einem Verbot gleichgesetzt, ihr Wortlaut lasse diese Lesart nicht zu.

Seither hat sich die Lage bewegt, ohne dass die Festlegung formal aufgehoben wurde. Der Europäische Datenschutzbeauftragte hat sein Verfahren gegen die EU-Kommission zu Microsoft 365 am 11.07.2025 eingestellt, nachdem die festgestellten Verstöße behoben waren. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hält im Bericht vom 15.11.2025 einen konformen Betrieb bezogen auf die sieben DSK-Kritikpunkte für möglich. Beide Befunde haben Grenzen: Der EDSB prüfte die Verordnung 2018/1725 für EU-Organe, nicht die DSGVO, und das vom HBDI verhandelte Vertragswerk betrifft öffentliche Stellen. Eine Steuerkanzlei ist keine.

Was gilt berufsrechtlich neben der DSGVO?

Berufsrecht und Datenschutzrecht gelten nebeneinander, nicht alternativ. § 62a StBerG erlaubt Steuerberatern, Dienstleistern Zugang zu Mandatsgeheimnissen zu eröffnen, soweit das erforderlich ist. Die Norm verlangt sorgfältige Auswahl, einen Vertrag in Textform, eine Verschwiegenheitsverpflichtung unter Belehrung über die strafrechtlichen Folgen und bei Auslandsbezug einen dem Inland vergleichbaren Schutz. Absatz 8 stellt klar: Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt.

Dazu kommt § 203 StGB. Absatz 3 erlaubt das Offenbaren gegenüber mitwirkenden Personen, soweit erforderlich. Absatz 4 stellt aber unter Strafe, wer nicht dafür Sorge getragen hat, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde. Ein reiner DSGVO-Auftragsverarbeitungsvertrag erfüllt das nicht automatisch. DATEV merkt selbst an, dass Berufs- und Strafrecht von der DSK gar nicht thematisiert wurden.

Dieser Beitrag gibt den dokumentierten Stand wieder und ist keine Rechtsberatung. Ob Ihre konkrete Konstellation trägt, gehört in die Prüfung durch Ihren Datenschutzbeauftragten und, bei berufsrechtlichen Fragen, in eine anwaltliche Beratung im Einzelfall.

Was sollten Kanzleien jetzt konkret tun?

Der wirksamste erste Schritt ist eine Datenlandkarte, keine Vertragsprüfung. In unseren Automatisierungsprojekten mit Kanzleien und Buchhaltungsabteilungen beginnt jedes Vorhaben damit, aufzuschreiben, welches System welche Daten sieht: Belege im Mandantenpostfach, Ablage in SharePoint, Übergabe an DATEV Unternehmen online, Benachrichtigungen in Teams. Die technische Umsetzung braucht diese Aufstellung ohnehin, und sie ist zugleich die Grundlage für das Verarbeitungsverzeichnis nach Art. 30 DSGVO. Regelmäßig liegen Mandantenunterlagen dabei an drei Stellen parallel, von denen nur eine dokumentiert war.

Drei weitere Punkte lohnen sich unabhängig von jedem Projekt:

• Externe KI-Funktionen bewusst freigeben oder sperren. DATEV weist beim eigenen DATEV Copilot darauf hin, dass bei aktivierter Internetrecherche „ausschließlich die Microsoft-Datenschutzbestimmungen“ gelten, „welche keine besonderen Geheimhaltungsstandards für Berufsgeheimnisträger enthalten“ (DATEV, Abruf 08/2026). Was schon für das DATEV-eigene Produkt gilt, gilt für jedes zugekaufte KI-Werkzeug erst recht.
• Berufsrechtliche Zusatzvereinbarungen nachziehen. Bei jedem Dienstleister mit Zugriff auf Mandatsdaten, auch beim eigenen IT-Haus.
• Den Nachweis schriftlich führen. Eine plausible Erklärung im Gespräch ist kein Nachweis nach Art. 5 Abs. 2 DSGVO. Zwei Seiten, die Systeme, Einstellungen und Verträge benennen, sind einer.

Der betroffene Kreis ist groß: DATEV zählte zum Ende des Geschäftsjahres 2025 rund 927.900 Kunden und 40.296 Genossenschaftsmitglieder (DATEV-Presseinformation, 27.03.2026). Die Dokumentationspflicht liegt in jedem dieser Häuser einzeln.

Wie sich die Abläufe um DATEV herum automatisieren lassen, ohne dass Mandantendaten unkontrolliert wandern, beschreiben wir unter Automatisierung für Steuerberater. Was DATEVs eigener KI-Assistent leistet, steht im Beitrag zum DATEV Copilot in MyDATEV.

Häufige Fragen

Ist DATEV Auftragsverarbeiter oder Verantwortlicher?

DATEV ist Auftragsverarbeiter, die Kanzlei ist Verantwortliche. So stellt DATEV die Rollen in den FAQs zur DS-GVO (Stand 28.01.2025) selbst gegenüber. Eine Vereinbarung zur Auftragsverarbeitung ist für jeden Kunden mit direkter Vertragsbeziehung zu DATEV erforderlich.

Darf eine Steuerkanzlei Microsoft 365 einsetzen?

Nach DATEVs Stellungnahme von 04/2024 ist der Einsatz grundsätzlich möglich. Voraussetzung ist, dass die Kanzlei selbst dokumentiert, dass sämtliche DSGVO-Anforderungen eingehalten werden, und dass die Vereinbarungen nach § 62a StBerG vorliegen. Eine pauschale Freigabe gibt es nicht.

Reicht der Vertrag mit Microsoft als Datenschutznachweis?

Nein. Er regelt die Zusammenarbeit, ersetzt aber nicht den eigenständigen Nachweis der Rechtmäßigkeit. DATEV formuliert es so, dass der Verantwortliche diesen Nachweis führen muss und der Auftragsverarbeiter dabei keine Aufgabe hat. Grundlage ist Art. 5 Abs. 2 in Verbindung mit Art. 24 DSGVO.

Verbietet die DSK-Festlegung von 2022 Microsoft 365?

Nein. Sie stellt fest, dass der Nachweis eines konformen Betriebs auf Grundlage des Datenschutznachtrags vom 15.09.2022 nicht geführt werden kann. Ein Nutzungsverbot spricht sie nicht aus. Formal aufgehoben ist sie bis heute nicht.