Ich hole kontextuell mal etwas aus:
1. In einer StB-Kanzlei ist das Thema Datenschutz in den seltensten Fällen ein Thema der DSGVO, da StBerG § 57 Abs. 1 im Grundsatz viel weiter greift. Das Wort "alles" ist juristisch wenig anfechtbar. Da gibt es kein grau.
In der BOStB § 5 Abs. 2 wird zwar die Möglichkeit der Entbindung von der Verschwiegenheitspflicht aufgeführt, allerdings ist Abs. 3 wiederum recht unmissverständlich:
Steuerberater müssen dafür sorgen, dass Unbefugte während und nach Beendigung ihrer beruflichen Tätigkeit keinen Einblick in Mandantenunterlagen und Mandanten betreffende Unterlagen erhalten.
Wenn durch die Nutzung von TLS nun Unbefugte Einblick in Mandantenunterlagen erhalten, haben wir sowohl einen Verstoß gegen § 5 Abs. 3 der BO (muss sich die Kammer drum kümmern), mMn aber eben auch einen Verstoß gegen § 57 Abs. 1 StBerG.
Sie gilt nicht für Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen.
Immerhin hat man die Chance, dass Satz 3 greift, wenn man sich nur einen schönen Urlaub wünscht. Vorausgesetzt, das Mandatsverhältnis selbst ist öffentlich. Ich vermute allerdings, dass das bei den meisten Mandanten nicht der Fall sein wird.
2. Die Folgen von Verstößen gegen die berufliche Verschwiegenheit oder die DSGVO sind halt sehr schwammig, wenngleich sich das über die letzten 2-3 Jahre bereits erheblich ändert, zumindest bei der DSGVO wird stärker durchgegriffen und empfindliche Strafen verhängt. Aktuelle Beispiele bei denen die Summen öffentlich sind:
| 03.06.2025 | 45.000.000 € | Vodafone | Unzureichende Überprüfung und Überwachung von Unterauftragnehmern und Sicherheitsmängel im Onlineportal. |
| 31.12.2024 | 496.000 € | Finanz-Unternehmen | Verspätetes Informieren von Betroffenen eines Sicherheitsvorfalls. |
| 12.11.2024 | 900.000 € | Dienstleister | Aufbewahrung personenbezogener Daten über Löschfristen hinaus. |
Vielleicht braucht es auch hier mal den Turbo, damit die Ansicht "merkt ja keiner", "weiß ja keiner", "passiert ja nix" verschwindet.
3. Dem Mandanten sind diese Sachen meist auch nur so lange egal und lästig, bis ihm bedauerlicherweise mal ein Schaden entsteht. Wenn sich dann die Ansicht des Mandanten ändert, halten die Vereinbarungen hoffentlich stand. Und man hat auch vorweg ausreichend aufgeklärt, wenn es B2C ist.
@deusex schrieb:
@TLudwig schrieb:
Bei Nutzung von TLS laufen Sie hier mMn komplett in die Haftung.
Ist dem so ? Q.E.D. !
Die versehentliche Weitergabe von Mandanteninformationen, inkl. der Information über die Mandantschaft selbst, verstößt immer gegen § 57 StBerG. Bei vollständiger Verschlüsselung werden keine Informationen preisgegeben und die Haftung bleibt aus.
Ca. 90% meiner Mandate lehnen eine end-to-end, wie bei @irisla , kategorisch ab.
Und nun ?
Zwang ?
Mandatskündigung ?
irisla fragte nach "absichern", "konform" und "sicher". Vielleicht liegt die Lösung in der Akzeptanz, dass es halt nicht "konform" und "sicher" geht.
Das Finanzamt, Krankenversicherungen und viele weitere Unternehmen interessiert es übrigens nicht im geringsten, ob Sie gerne unverschlüsselt kommunizieren möchten. Die geben das halt vor, inkl. den möglichen Kommunikationswegen. Es muss ja auch nicht unbedingt immer die E-Mail sein, samt dem unermüdlichen Versuch ein unsicheres Medium sicher zu basteln.
Tippfehler bei der Eingabe der E-Mail-Adresse ? Hmm . . . Bei allem Respekt @TLudwig , aber dies ist schon sehr theorethisch und jeder hat doch Möglichkeiten im Vorfeld diesbezüglich Sicherheitsmaßnahmen zu treffen, die fehlerhafte Adressangaben gegen Null führen.
Es ist grade so, als warne man davor, auf ein Kuvert den falschen Namen und die falsche Adresse zu schreiben, damit eine Brief nicht fehlversendet wird.
Wie oft tippt man eine E-Mail-Adresse bei Mandanten ein?
Nie, weil Adressbuch/Stammdaten.
Wir wissen beide, wie häufig dieser Fall in der Realität auftaucht. Oder die Rundmail an die Mandanten mit CC statt BCC. Menschen machen Fehler und Menschen tippen Mail-Adressen falsch ab. Oder setzen die falsche Person mit ins CC.
Würde jemand den richtigen Empfänger oder einen enthaltenen Dritten bei der "Datenpanne" informieren, wenngleich er dazu nicht berechtigt ist und sich selbst u.U. haftbar nach Art. 82 und 34 DSGVO machen würde?
Sie sind als Verursacher der Datenpanne sogar verpflichtet diese zu melden und den richtigen Empfänger über die (eventuell) preisgegebenen Daten zu informieren. Auf Art. 34 DSGVO weisen Sie ja hin, siehe auch die Strafe vom 31.12.2024 aus obiger Liste.
Man mag mir Pragmatismus vorwerfen können, aber so manches Mal ist es für mich schon recht erstaunlich, wie man aus fast Nichts, die größten Probleme konstruieren kann.
Vielleicht unterscheiden wir uns da fundamental. Ordentlicher Datenschutz oder in diesem Kontext eher Verschwiegenheit, haben mMn einfach keinen Spielraum für Pragmatismus. Entweder schütze ich die Daten, oder ich schütze Sie nicht. So ein kleines bisschen zu sichern und sich das dann selbst schönreden, ist selten die Lösung.
