DATEV-Umfrage: Bedürfnisse Auswertungen Auftragsbuchhaltung

[#1]

Ich bin als Unternehmer Kunde der DATEV, als Dienstleister für Steuerberater habe ich allerdings auch einigen Einblick in Kanzlei-ReWe und andere Systeme beim Steuerberater. Im Austausch mit Steuerberatern vor Ort habe auch ausschnittsweise ein Gefühl für die Einstellungen zwischen dem Genossenschaftlichen Rechenzentrum und den Genossen. Heute erreicht mich als Kunde die o.a. Umfrage (per E-Mail).

Fragezeichen 1: Weiß mein Steuerberater eigentlich, dass ich direkt vom Rechenzentrum angegangen werde?

Fragezeichen 2: Will ich das? Haben die eine Einwilligung dazu nach DSGVO?

Fragezeichen 3: Bitte weiterlesen!

Als Kunde kommt also der Fragebogen zu mir. Übrigens wird mir als Empfänger im Text schon direkt verboten genaueres über den Fragebogen zu erzählen (ich kürze das hier etwas einseitig ab).

Schritt1: Einwilligung in den Datenschutz (hätte IMHO schon vor der E-Mail erfolgen müssen, da wir keine direkte Leistungsbeziehung haben). Einwilligung in die zukünftige Nutzung meiner Daten im Rahmen von Werbung und Marketing (nicht abwählbar). Und (!) Hinweis, dass die Umfrage mit meinen hinterlegten Daten verknüpft wird. Das Ergebnis wird mit allen personenbezogenen Daten, dem Unternehmensprofil und allen technischen Identifikationsnummern (Steuer-ID, Beraternummer, E-Mail) verknüpft.

Schritt 2: Es kommen Fragen zur Nutzung der DATEV.

Schritt 3: Bedürfnisse bei der Auswertung betriebswirtschaftlicher Kennzahlen und Informationen - hier breche ich ab.

Ich stelle mal nur die Frage an die anwesenden Steuerberater: Seid Ihr darüber informiert, gibt es da ein Einverständnis, möchte der StB. dass das RZ in die Relation zum Mandanten eingrätscht und schaut, wie er mit seinen Mandanten umgeht und was der Mandant so dazu sagt? Was macht die DATEV mit den Daten und was kann sie damit machen?

Für mich wäre es ein Aufreger. Also eigentlich ist es einer und ich überlege gerade wie ich damit umgehen möchte.

[#2]

Sie können ja nur selber Kunde der DATEV sein, wenn Sie sich im mitgliedsgebundenem Mandantengeschäft befinden, also selber die Rechnung für Ihre mandantengenutzte Beraternummer erhalten. Um darein zu kommen, hat der Berater ja zugestimmt, dass die DATEV mit Ihnen eine Geschäftsbeziehung eingehen darf und auch direkt mit Ihnen kommunizieren darf. Da widerspricht sich Ihr Thread selber. Wenn dies geklärt ist, kann man tiefer auf Ihre Ausführungen eingehen.

[#3]

Danke für das Aufzeigen der Ungenauigkeit. Bin nicht selber Kunde. Meine Buchführung wird bei einem StB. durch DATEV erledigt.

[#4]

---

@stefanli schrieb:

Ich bin als Unternehmer Kunde der DATEV

---

---

@stefanli schrieb:

Bin nicht selber Kunde.

---

Was denn jetzt? 🤔  Kunden der DATEV können nur Genossen aka Berufsträger werden. Danke @wwinkelhausen fürs Klarstellen 👍. 

Kennen Sie DATEV Einverständniserklärungen? Vielleicht mal reinschauen. 

Ich hoffe, Sie haben kein Payback oder bestellen bei amazon. E-Mails kann man auch einfach löschen und an Umfragen nicht teilnehmen. Problem gelöst. Nur weil ein Unternehmen etwas von mir will, muss ich ja nicht mitmachen. Außer die wollen mehr Geld von mir. Dann muss man den neuen AGB zustimmen 😂. 

[#5]

Ich lese Sie ja häufiger auch bei LinkedIn, da ist die Denke etwas eloquent tief gehender. Bei der Genauigkeit hätte ich gedacht, dass Sie meine Anmerkung rund 30 Minuten vor Ihrem Beitrag hätten lesen können. 🤣🤣

Natürlich kann ich lesen und verstehen - ich lese sogar bis zum Ende und sehe was das Fazit ist. 😉. Und ich habe kein Payback, und bei vielen anderen Dingen achte ich sehr auf meine Daten. Da ich das schon vor Jahrzehnten gelernt habe, vorsichtig in der IT zu sein. 🚔 Edith ruft mir zu: Es ist kein Einverständnis gegeben worden - diese Firma nutzt kein Online-Angebot der DATEV. 😁

Ich stelle mir ja die Frage, ob den Steuerberatern das so lieb ist, dass die Daten ihrer Kunden abgegriffen werden und dann verknüpft mit den Ergebnissen des Mandanten genutzt werden. Ich würde protestieren, wenn man die Daten meine Kunden für andere Zwecke nutzen würde.🤔

Darüber hinaus bin ich stark im Zweifel, ob die E-Mail mit der Anfrage, hinter der schon eine Verknüpfung mit meinen Daten bei der DATEV steckt, mich hätte so erreichen dürfen. Dafür hätte IMHO die DATEV mein Einverständnis vorher einholen müssen. Wir haben keine direkte Leistungsbeziehung und es gibt keinen Zweck zur Erfüllung des Leistungszwecks. 🙄

[#6]

---

@stefanli schrieb:

Ich stelle mir ja die Frage, ob den Steuerberatern das so lieb ist, dass die Daten ihrer Kunden abgegriffen werden und dann verknüpft mit den Ergebnissen des Mandanten genutzt werden. Ich würde protestieren, wenn man die Daten meine Kunden für andere Zwecke nutzen würde.🤔

---

Es ist DATEV. Da ist rechtlich alles 3x wasserdicht mit 5 Backups. DATEV ist da eine Bank. Auf die kann man sich verlassen. Blind. Hat alles seine Vor- und Nachteile. Ob das alles wirklich so ist, wie Sie hier beschreiben, wage ich zu bezweifeln und wenn doch, hat DATEV zu 196% eine rechtliche Grundlage dazu, dass man DATEV nicht ans Bein pinkeln kann, damit man sich etwaige Rechtskosten erspart. Da ist DATEV hinterher, wie kein anderes Unternehmen. Safe.  

Sprechen Sie doch einfach DATEV direkt an und lassen sich alles genau erklären. Kann mir bei bestem Willem nicht vorstellen, dass die DATEV Antwort "ups" lautet. Niemals. Dazu klebt DATEV viel zu sehr an den §§§, wie Sie auch 😇. Ich schätze, da werden Sie sich mit DATEV auf einem Level treffen, wenn man zusammen telefoniert. 

Krass, dass ich diesmal die DATEV verteidige. Macht Euch 3 Kreuze ❌❌❌ in den Kalender 😆. 

[#7]

Wir kommen der Sache näher:

1. Das Unternehmen hatte mal einen DUO account.

2. Die Einstellungen nach dem Link von @metalposaunist waren falsch gesetzt.

3. Es kann sich keiner daran erinnern, diese so gesetzt zu haben. Ist das Default=Ja?

4. Wenn man den Link nicht hat, findet man diese Einstellungen nicht aus der DUO-Oberfläche heraus. Den dargestellten Bröckchenweg konnten jetzt zwei IT-Fachleute und eine ReWe-Kraft in DUO nicht finden. Kann ihn mal jemand zeigen?

[#8]

Hatte nicht @andreashofmeister nicht vor einiger Zeit in einem Thread für Klarheit über die genauen Vertragseinstellungen gesorgt? Ich finde den Thread im Moment nicht wieder.

[#9]

Es gibt zwei Arten als Mdt. mit der Datev Kontakt zu haben:

Mitgliedsgebundenes Mandantengeschäft, Datev im direkten Kontakt von Anfang an

Steuerberater direkt mit Mandant, Datev kann nicht ohne Zustimmung

Wenn in Variante 2 würde ich meinen KV ansprechen, Schreiben direkt an Vorstand und AR mit Hinweis bis wann Stellungnahme zu erfolgen hat, da ansonsten das Thema DSGVO angegangen wird.

Auch in Variante 1 würde ich anfragen, was die wollen und wozu die Daten benötigt werden. Fristsetzung für Antwort…s.o.

Wenn mit den Daten der Unternehmen neue Produkte entwickelt werden sollen, die dann bepreist werden, sollte man schon mit offenen Karten spielen.

[#10]

Moin Moin

Sicher, dass die Umfrage wirklich von der Datev ist?

Mich machen da einige Angaben sehr mißtrauisch.

Die Datev kann auch schon mal zu nicht ganz astreinen Mitteln greifen, um an gewünschte Daten zu kommen (1), aber das ist die Ausnahme. I.d.R. - wie schon Daniel schrieb - wird da alles doppelt abgesichert.

Was suspekt ist:

- das RZ schreibt niemanden an. Das macht ausschließlich die Datev.

- wenn Sie nicht im mitgliedsgebundenen Mandantengeschäft sind (wie sie es schreiben, sind Sie es nicht), darf Datev jenseits der gespeicherten Daten nichts von Ihnen wissen, das für etwas anderes als die Speicherung genutzt wird.

- Die Frage nach der Einwilligung nach der DSGVO macht mich besonders stutzig. Ihr Steuerberater ist der Verantwortliche und hat einen Auftragsverarbeitungsvertrag mit der Datev abgeschlossen. Eine Einwilligung von Ihnen bzgl. dem RZ ist nicht nötig.

- Sie sollen eine Einwilligung geben? Nach Art. 6 Abs. 1a? Kann es nur für irgendetwas besonderes geben, worüber Sie vorher ausgiebig informiert wurden. Für die Arbeit Ihres Steuerberaters wird dies nicht benötigt, ja eine solche Anfrage sollte immer zur Vorsicht mahnen!

- Es wird verboten etwas (bis hin zum kompletten) den Fragebogen zu erzählen? Typisch für Angiffe wie CEO-Fraud und verwandte Vorgehensweisen. Social engineering nennt man die Technik. Rechtlich hat dies bei einer unangeforderten Email ohnehin keine Gültigkeit. Denn es gibt keinen bindenden Vertrag. (2)

- Das weitere unter Schritt 1 ist klar der Versuch, etwas über Sie zu erfahren. Mit den gesammelten Daten können weitere Social engineering-Attacken gegen Sie versucht werden.

Ich hoffe, sie haben nicht geantwortet!!!

Wenn doch, bereiten Sie alle Mitarbeiter und sich selbst gegen Angriffe vor. Lesen Sie im Netz was über CEO Fraud steht,  Und schalten Sie die Polizei ein.

Die Datev würde so wie Sie es schildern im Leben nicht machen!

QJ

(1) Wie war das noch mit der Zustimmung der Administrators, dass die Datev jeden Mitarbeiter bitten darf seine Nutzungsdaten der Datev zu Verfügung zu stellen. Natürlich ohne hinreichende Erklärung, was genau für welchen konkreten Zweck übermittelt wird. Informiert ist etwas anderes. Aber der Admin sollte dies auf die Mitarbeiter loslassen. Das der Admin damit selber sich strafbar machen könnte, scheint nicht gestört zu haben. Zumal so etwas darf nur der Verantwortliche - in dem Fall die Geschäftsführung erlauben. Die sind dann eben auch verantwortlich. Der Administrator darf so etwas weitreichendes gar nicht freigeben nach meiner Ansicht. Und die Argumente dafür sind stark.

(2) Das ist wie mit den Email-Disclaimern. Sind alle ungültig, weil sie erst nachdem man die Email angeschaut hat zu lesen sind. Ehrlich gesagt besser wäre es: "Wenn diese Email irrtümlich an Sie geschickt wurde, bitten wir Sie uns zu informieren und die Mail zu löschen. Vielen Dank dafür." Oder so ähnlich.

[#11]

Wir sind recht sensibel und achten bei solchen Vorgängen auf diese Dinge, u.a. weil wir im Digitalisierungsumfeld , in einer anderen Gesellschaft, tätig sind. Aber vielen Dank nochmal für die Hinweise! Es trifft allerdings einen Bereich, den wir operativ mitbegleiten und der 500km von uns entfernt aufgestellt ist. Allerdings war ich der erste der die Mail geöffnet hat - die Kollegen sagten: Ist nicht mein Zuständigkeitsbereich. 😂

Und ja, bis zu einem selbst bestimmten Punkt haben wir dann mal reingeschaut, aber wir haben für solche Dinge bewusst einen Rechner, der ohne Netzwerk und ohne sensible Daten läuft. Aber man weiß ja nie... 

Ich habe dann mal eine Anfrage an die persönlich genannte Absenderin der E-Mail unter datev.de (Bereich DATEV Research & Customer Insights) gestellt. Die Domäne unter die Umfrage läuft lautet auf DATEV-Umfrage.de. 

Ich bleibe dran, weil es mich einfach ärgert! 

Da bleiben 4 Sachen aktuell hängen:

1. Ich kann die Einstellungen zur Einwilligung nicht in dem mir zur Verfügung stehenden System finden. Das geht nur mit dem Link vom Metallposaunisten.

2. Bei einigen Installationen scheint die Defaulteinstellung der Installation, "JA" zu sein. Das haben wir über mehrere Firmen im DUO nun geprüft (und die Einstellungen geändert).

3. Die Steuerberaterin für diese Beraternummer zuckt auch nur mit den Achseln und würde es sich nicht wünschen. Ist allerdings nicht wirklich ein Digitalprofi.

4. Zu diesem Unternehmen gibt es seit min. 2 Jahren keinen aktiven DUO. 

[#12]

Moin Stefanii

Liest sich für mich als ob Sie wirklich vorsichtig waren. Sehr gut!

Nur weil Datev in einem Email-Absender steht muss das nicht stimmen.

Ich habe gerade mal datev-umfrage.de unter whois erfragt, dies ist eine reguläre Datev-URL. Ist allerdings noch die Frage, ist die Mail wirklich von dieser Adresse abgeschickt worden. Dies steht im Email-Header. Diesen können sie in Outlook einsehen unter: Email öffnen, dann über Datei->Eigenschaften. Schauen Sie vor allem auf den "Return to"-Eintrag.

Ich kann mir nicht vorstellen, dass die Datev wirklich ein Mail verschickt mit den von Ihnen geschilderten Eigenschaften. Da müsste eine Abteilung so ziemlich alle anderen mit Sicherheit und Datenschutz und anderen Rechten befassten Abteilungen ignoriert haben. Ich kann mir das nicht vorstellen, dass eine solche Mail von der Datev verschickt wird. Absolut nicht.

Entweder ist die Mail korrekt, dann stellt sich die Frage, ist da jemand bei der Datev Irre geworden, oder die Datev wurde bei der Domäne gehackt oder aber die Absenderadresse wurde gefälscht.

Mehr Erklärungen habe ich nicht. Und letztere halte ich an wahrscheinlichsten , ehrlich gesagt, den Hack für sehr unwahrscheinlich, aber dass jemand auf die Idee einer solchen Email kommt und diese auch an Mandanten verschicken darf, da müssen wirkklich viele Instanzen bei der Datev ignoriert worden sein. Und letzteres kann ich mir nicht vorstellen.

QJ

[#13]

Wir haben jetzt schon mal die Rückmeldung von der Damen, die eine E-Mailadresse bei der DATEV hat, dass Sie die Umfrage an uns geschickt hat.

Vielleicht kann mir ja doch noch jemand den Weg zeigen, ob und wie man als DUO-Nutzer in den Teil der Einstellungen kommt, in dem man diese Datenschutzeinstellungen ändern kann, wenn man nicht den Link von @metalposaunist hat.

Wir sitzen in den nächsten Tagen mit Kollegen aus dem Unternehmen zusammen und werden diskutieren, was wir aus dem Thema in Sachen Datenschutz machen werden. Dafür möchte ich als Themenführer halbwegs stabil vorbereitet sein. 😎

[#14 · Accepted solution]

Wir haben uns interne entschieden, die Zeit mit anderen Themen zu verwenden. Das Verhalten der DATEV - und da bleibe ich dabei - halte ich aus zwei Gründen für fragwürdig:

1. Anschreiben des Endkunden am StB. vorbei halte ich für nicht OK, wenn es nicht anonymisiert ist. 

2. Das die Datenschutzeinstellungen nicht aus DuO erreicht werden können und bei diesem Unternehmen im Default auf "alles machen" stehen, halte ich für anrüchig.

Aber diese Journey ist hier am Ende!