Zwei Firmen/Mandanten bei DUO die bei der selben Bank sind und über selben Benutzer abgeholt werden

[#1]

Hallo zusammen,

ich habe in DUO zwei Mandanten (2 Firmen) an meinem Nutzeraccount hängen, da ich in beiden Firmen Geschäftsführer bin.

Beide Mandanten haben ihr Bankkonto bei der selben Bank.

Um beide Bankkonten via HBCI/FinTS abzuholen, nutze ich meinen persönlichen HBCI/FinTS Zugang. Beide Bankkonten der beiden Firmen können mit meinem HBCI Profil abgeholt werden. Funktioniert in Outbank, MoneyMoney usw. problemlos.

Nun habe ich für den ersten Mandanten das Bankkonto mit HBCI/FinTS in DUO hinterlegt/verknüpft. Funktioniert einwandfrei, Zahlungen werden abgeholt.

Sobald ich aber nun das zweite Bankkonto im zweiten Mandanten einrichten will via HBCI/FinTS, bekomme ich immer eine Fehlermeldung, dass diese Bank-Connection bereits existiert (obwohl sie in dem Mandanten nicht existiert). Da ich selbst Softwareentwickler bin, vermute ich, dass hier der Unique-Index in der Datenbank auf den reinen Bank/HBCI-Profil Namen gelegt wurde und ebenfalls nur am DUO-User/Zugang hängt (weniger am Mandanten). Daher der Fehler.

Korrekterweise müsste dies ein Unique Index auf einen zusammengesetzten Schlüssel (Compound Key) sein, der ebenfalls die Mandanten ID enthält, wenn man hier überhaupt mit uniqueness arbeiten muss.

Daher die Frage: Kann man den Fehler auf DUO Seite irgendwie lösen? Wie machen das andere Kunden? Gibt es Workarounds? Oder liegt der Fehler noch ganz woanders? Ansonsten gibt es für mich gerade keine Möglichkeit zwei Mandanten anständig mit Bankanbindung bei der selben Bank zu nutzen. Der Fall sollte ja nicht selten sein und bei einer Software die Mandanten fähig ist, würde ich erwarten das so etwas geht.

Als Workaround fällt mir aktuell nur ein, dass ich einen neuen Nutzer/User bei der Bank anlegen lasse (für einen Mitarbeiter oder virtuellen, erfundenen Mitarbeiter) und diesen dann im zweiten DUO Mandanten für das abholen der Zahlungsströme nutze (da zweites HBCI Zugangsprofil). Das wäre aber sehr dreckig und ich müsste der Bank erstmal erklären, warum ich so etwas überhaupt tun muss.....

[#2]

Sehr schön wieder herausgearbeitet d👍! Das Problem dürfte es hier bereits in der Community mehrfach geben. Ggf. kann daher die Suche schon weiterhelfen. Ich habe gerade keine Lösung parat. 

[#3]

Ich kenn die Lösung nicht, verstehe das Problem technisch nicht einmal vollständig.

Allerdings denke ich gleich wieder rechtlich / haftungsrechtlich und stelle mir die Frage ob bei zwei rechtlich voneinander getrennten Firmen es nicht auch aus Gründen der Transparenz und des Datenschutzes (und wer weiß noch was) auch eine klare Trennung von Zugangsrechten etc. in diesem Zusammenhang sinnvoll wäre.

Zielführende und praktische Lösungen sind hervorragend, die rechtliche Seite sollte aber auch nicht zu kurz kommen.

Wahrscheinlich hier gar nicht hilfreich, aber ich finde das Thema durchaus spannend.  

[#4]

Der Gedanke ist korrekt. Jedoch nicht gänzlich. Da die HBCI/FinTS Profile benutzerbezogen sind (auch bei der Bank), ist es korrekt, dass die Bankverbindungen irgendwie am Nutzer hängen und nicht direkt rein am Mandanten. Denn der HBCI Abruf erfolgt ja mit dem Profil einer natürlichen Person. Anders ist es bei fast allen Banken nicht möglich (korrekterweise).

D.h. mit meinem persönlichen HBCI Profil bei der VR und Grenke Bank, hole ich zur Zeit 2 verschiedene Bankkonten von zwei verschiedenen GmbHs ab. Finde ich generell nicht schlecht, ist eigentlich auch ein Feature (Single Sign On und Bankzugriff wird via Rechte gesteuert).

Problematisch ist halt nur die DATEV DUO Implementation, da diese aus meiner Perspektive nicht ganz korrekt implementiert ist. Entweder man hat keine "Doppelt"-Prüfung über z.B. einen unique-Index (verhindert das man doppelte Entitäten anlegen kann), oder wenn man das doppelt Anlegen einer Bankverbindung verhindern möchte, dann bitte wenigstens so, dass der Unqiue Index (die Prüfung auf Dopplung/Duplikate von Bankverbindungen) jeweils nur im Mandanten-Kontext passiert und NICHT wie aktuell über Mandanten Grenzen hinweg.

Datenschutzrechtlich ist es insofern kritisch, weil man darüber theoretisch reverse-engineeren kann, welche Bankkonten beim anderen Mandaten verwendet werden (Institute). Letztendlich aber wieder unkritisch, da dies ja nur geht, wenn ich (mein Account) eh schon dem Mandanten zugeordnet bin und der Fehler nur bei Nutzung des selben HBCI Zugangsprofils auftritt.

[#5]

BTW: EBICS ist an dieser Stelle (afaik) auch keine Abhilfe, da es sich mit EBICS 1:1 so verhält und man dann auch 2 EBICS Benutzer bei der Bank braucht. 

Falls das nicht stimmt, bitte mich korrigieren.

[#6]

Ich habe es in der Kombination noch nicht mit EBICS getestet, da ich wenn möglich kein EBICS nutzen möchte. EBICS hat aus meiner Perspektive diverse Nachteile und wurde mir ebenfalls von einigen technischen Abteilungen einiger Banken abgeraten. Wortlaut war immer das viele Steuerberater EBICS empfehlen, die Banken es jedoch nicht empfehlen, da die Bank hierfür ein aufwändiges parallel System betreiben und die Daten dort hin spiegeln muss. Daher kostet EBICS oft auch extra. Ebenfalls ist EBICS nicht wie HBCI/FinTS Echtzeit, sondern die Daten sind mind. 1 Tag verzögert.

Das letzte mal als ich ein Bankkonto via EBICS in DUO einrichten wollte, bin ich ebenfalls an der Einrichtung gescheitert und habe es irgendwann aufgegeben. Die HBCI/FinTS Anbindung über figoAPI läuft super und klappt in der Regel sofort bei der Ersteinrichtung.

@metalposaunist hattest du die selben Probleme mit den Bankkonten?

[#7]

---

@whitenexx  schrieb:

Die HBCI/FinTS Anbindung über figoAPI läuft super und klappt in der Regel sofort bei der Ersteinrichtung.

---

Ganz ehrlich? Sie Glückspilz. HBCI via finAPI ist eigentlich die größte Katastrophe, weil es etliche Fehler gibt und teilweise nicht alles in allen Browsern geht und, und, und. Ja, der StB rät zu EBICS, weil es läuft. 1x eingerichtet und man hat Ruhe - vor PSD2. Ich sitze in der IT eines StBs und bin über jeden EBICS User / Umsteller mehr als froh! @jjunker wird mir da beipflichten können.

Die Einrichtung ist in meinen Augen noch einfacher als finAPI. Ich könnte hier einen Roman schreiben, was man alles erlebt und das erst letzte Woche mit Flicker-TAN und Sparkasse und ach ... 😩 schlimm. 

Und: die TAN bei HBCI kommt ggf. immer öfter aufs Smartphone. Und welcher Unternehmer möchte bzw. welcher Mitarbeiter will sich so eine App aufs private Smartphone laden, wenn es kein geschäftliches gibt? Dann geht nur TAN Generator Gerät ... 

EBICS mit DATEV SmartCard / mIDentity und für die GF via SmartLogin und EBICS klappt auch unterwegs mobil im Safari am MacBook. 

Welche Gründe wurde Dir gegen EBICS genannt?  

Kann man Dir @whitenexx bei EBICS dann wann helfen? Ist echt easy 😊. Wenn man schon zwischen finTS und XS2A unterscheiden muss und man beide braucht, um alles machen zu können und ... aaach. Blicke ich als Techniker nicht mal mehr durch. 

---

@whitenexx  schrieb:

@metalposaunist hattest du die selben Probleme mit den Bankkonten?

---

Nein, aber ich kenne dein Problem. Wie gesagt, wurde hier auch schon oft diskutiert aber getan hat sich nichts. 

Und streng genommen - HBCI = Home Banking Computer Interface in einer Firma? Da beißt sich ja die Katze in den Schwanz 😋. EBICS ist eigentlich das richtige Modell für Firmen, da nur mit EBICS z.B. das 4-Augen-Prinzip möglich ist. Siehe auch: Zahlungsfreigabe Unternehmen Online

[#8]

Okay, krass das zu hören! Kann ich gut nachvollziehen.

Und ja, HBCI ist eigentlich nicht für den Business Bereich konzipiert, aber wir nutzen es halt weil's bisher für uns noch mit am besten funktioniert hatte. Okay, dann gebe ich EBICS noch eine Chance. Wir sollten uns übrigens mal kennen lernen 😄.

[#9]

Hallo, 

im Normalfall sollte es möglich sein, einen PIN/TAN-Benutzer nur einmalig bei einem Bankkonto zu initialisieren und beim zweiten Bankkonto erscheint der Benutzer dann automatisch.

Allerdings kann es bei 2 Bankkonten vorkommen, dass es einen Unterschied macht, zu welchem Bankkonto der PIN/TAN-Benutzer zuerst initialisiert wird. Es muss das Hauptkonto sein, welches initialisiert wird. 

Wenn Sie nicht bereits auf EBICS umgestiegen sind 😏, können Sie versuchen den vorhandenen Benutzer zu löschen und die Initialisierung zuerst mit dem anderen Konto im anderen Bestand durchzuführen. 

Ansonsten können Sie sich auch gerne im Service zu DATEV Unternehmen online melden, damit wir uns den Sachverhalt gemeinsam anschauen können. Vielen Dank!

[#10]

... wenn man z.B. bei der VOBA xx Konten verschiedener Mandanten mit einem VRNetkey einer Person verknüpft, hat diese Person mit diesem einen Zugang bzw. mit diesem einen VRNetkey Zugriff auf alle xx Konten und kann 'in einem Rutsch' per HBCI die Bankumsätze aller xx Konten abrufen.

Um die Konten verschiedener Unternehmen 'sauber' zu trennen, müsste man mehrere (oder gar viele) VRNetkeys erstellen lassen.

Nachtrag:

... ich spreche hier von Bankingsoftware außerhalb von Datev.

... wie finAPI das handhabt, weiß ich nicht

... wir machen bisher einen großen Bogen um finAPI

[#11]

Um es korrekt zu trennen dürfte man kein HBCI nutzen, dass ein einen persönlichen Nutzer-Account bei der Bank gebunden ist. Da es aber an einem Nutzerprofil/Zugangsprofil hängt, wie bei jeder Bank (nicht nur VOBA, wo es einfach nur semantisch VRNetkey heißt), ist es auch korrekt das es am DATEV-User (SmartLogin, Datevkey oder wie auch immer man es nennen will) hängt und ebenfalls bei den Banken an nur einem Zugangsprofil hängt. So kann man bei Bedarf entweder den Nutzer vollständig sperren, oder eben nur das Recht auf ein bestimmtes Bankkonto verwehren. Das ist sauber im Rechte und User Management.

Nicht korrekt ist wie schon beschrieben, dass der Unqiue Index (die Prüfung auf Dopplung/Duplikate von Bankverbindungen) bei DUO jeweils Mandanten übergreifend passiert. Das ist aus meiner Perspektive ein Fehler seitens DATEV Unternehmen Online. Vermutlich einfach weil das setzen eines sogenannten Unique-Indexes in der Datenbank programmiertechnisch einfacher ist, als es auf einen zusammengesetzten Schlüssel (kontext abhängig) zu programmieren und man da nicht genau hingeguckt hat, sodass es in den Release gekommen ist.

[#12]

aus meiner Sicht müsste der Zugang bis auf Benutzer-/Mitarbeiter-Ebene einschränkbar sein.

Viele Mandanten haben viele Konten, darunter auch Konten, die nur der Kontoinhaber selbst oder einzelne Mitarbeiter (z.B. wg. Lohnzahlungen, Darlehen, Kapitalanlagen etc.) sehen sollen.

... hängen aber sämtliche Konten an einem Benutzerprofil (bei der Bank), öffnet sich beim Zugriff gleich die ganze 'Büchse der Pandora', sehr unerwünscht und evtl. schädlich.

[#13]

Hallo,

es handelt sich hierbei nicht um einen Fehler seitens DATEV Unternehmen online, sondern um die Logik von finAPI:

• Eine Bank Connection ist ein mit gegebenen Zugangsdaten initialisierter PIN/TAN-Benutzer über FinTS oder XS2A (d. h. ein hergestellter Kommunikationskanal mit der Bank).
• Die Bank Connection befindet sich auf der Ebene des HBCI-Benutzers bei der Bank, d. h. ist nicht bankkontenspezifisch, sondern kontenübergreifend.
• Somit ist die Initialisierung des PIN/TAN-Benutzers in DATEV Unternehmen online nur einmal und nicht pro Konto nötig.
• Diese Bank Connection ist bei finAPI gespeichert und personenbezogen, d. h. in der DATEV-Welt bestandsübergreifend.

Aus diesen Gründen kommt die Meldung „Bank Connection Already Exists“ immer dann, wenn über finAPI ein (personenbezogener) Kommunikationskanal (z. B. FinTS) mit den gegebenen Zugangsdaten bereits hergestellt wurde und nun in derselben Konstellation (Person/Zugangsdaten/Schnittstelle) erneut hergestellt werden soll.

[#14]

Das mag zwar sein, dann gibt finAPI einen eindeutigen Token für eine eindeutige Verbindung zurück. Ist ja per se nicht falsch. Dann sollte es doch zumindest möglich sein, diese Verbindung/Token für mehrere Mandanten zu nutzen, da dieser ja sowieso an meinem DATEV User hängt und nicht am Mandanten? D.h. sofern ich ein Unternehmen verlasse, verschwindet auch somit die eingerichtete Bankverbindung und erfordert das neue einrichten mit dem jeweils neuen Zuständigen für diese Aufgabe. 

Dies sollte ein vertretbarer Aufwand sein, wenn man die HBCI (Home Banking Schnittstelle) nutzt und sich dem dadurch ja sowieso bewusst ist.

Eigentlich müsste DUO mich beim anlegen eines bereits bestehenden HBCI/FinTS/XS2A Zahlungsprofils informieren "Achtung, Zugangsprofil existiert bereits und wurde mit dem Mandanten XY verknüpft. Wollen Sie dieses Zugangsprofil auch mit dem aktuell ausgewählten Mandanten verknüpfen/nutzen? JA [ ] NEIN [ ]".

[#15]

---

@whitenexx  schrieb:

Ich habe es in der Kombination noch nicht mit EBICS getestet, da ich wenn möglich kein EBICS nutzen möchte. EBICS hat aus meiner Perspektive diverse Nachteile und wurde mir ebenfalls von einigen technischen Abteilungen einiger Banken abgeraten. Wortlaut war immer das viele Steuerberater EBICS empfehlen, die Banken es jedoch nicht empfehlen, da die Bank hierfür ein aufwändiges parallel System betreiben und die Daten dort hin spiegeln muss. Daher kostet EBICS oft auch extra. Ebenfalls ist EBICS nicht wie HBCI/FinTS Echtzeit, sondern die Daten sind mind. 1 Tag verzögert.

Das letzte mal als ich ein Bankkonto via EBICS in DUO einrichten wollte, bin ich ebenfalls an der Einrichtung gescheitert und habe es irgendwann aufgegeben. Die HBCI/FinTS Anbindung über figoAPI läuft super und klappt in der Regel sofort bei der Ersteinrichtung.

@metalposaunist hattest du die selben Probleme mit den Bankkonten?

---

Sehr spannend...Meine Erfahrung ist, dass nur technisch gut aufgestellte Banken EBICS auch ordentlich einrichten und beraten können. EBICS steht einfach für Electronic Banking Internet Communication Standard und nicht für eine kostengünstige Homebanking-Lösung. Gerade wenn Sie mehrere Firmen und/oder Konten haben, welche noch unterschiedliche Banken betreffen ist EBICS in der Benutzerfreundlichkeit nicht zu schlagen, unabhängig mit welchem Programm diese eingerichtet sind. Bei EBICS ist auch ein Echtzeitabruf möglich, aber nicht mit den DATEV-Programmen. Hier haben sich Ihre Bankberater/Ansprechpartner meines Erachtens diverser fake news bedient... 

[#16]

---

@metalposaunist  schrieb:

BTW: EBICS ist an dieser Stelle (afaik) auch keine Abhilfe, da es sich mit EBICS 1:1 so verhält und man dann auch 2 EBICS Benutzer bei der Bank braucht. 

Falls das nicht stimmt, bitte mich korrigieren.

---

confirmed

[#17]

Dank ein bisschen privatem Austausch mit @metalposaunist bin ich auf den entscheidenden Punkt gekommen und kann nun noch besser nachvollziehen, wie DUO im Hintergrund Bankverbindungen managed und habe die Lösung gefunden.

HBCI Zugangsprofile (vermutl. auch EBICS) sind personenbezogen und hängen daher definitiv am DATEV UN Online User.

Diese Zugangsprofile sind daher mandantenübergreifend nutzbar, nur kann man dies nicht auf den ersten Blick sehen, wenn man zwei Bankverbindungen in zwei verschiedenen Mandanten zeitversetzt einrichtet.

D.h. wenn man zwei Firmen/Mandanten bei der selben Bank über das selbe HBCI Zugangsprofil abrufen muss, muss man wie folgt vorgehen (die Reihenfolge ist enorm wichtig):

1) In den Mandanteneinstellungen BEIDER Mandaten die Bankkonten hinterlegen. 

2) Nun in EINEM der beiden Mandanten die HBCI, FinTS, EBICS Verbindung einrichten. 

Die finAPI btw. HBCI/FinTS Server wird anschließend alle mit dem Nutzer verbundenen Bankkonten zurück geben und DATEV Unternehmen Online verknüpft mandantenübergreifend ALLE Bankkonten die auf die Connection matchen.

Dies ist nicht ersichtlich und wird nirgendwo angezeigt, jedoch funktioniert der Abruf der Konten im Banken-Modul anschließend, egal in welchem Mandaten man sich befindet.

Falls man eines der Bankkonten in einem Mandaten schon eingerichtet hatte, empfehle ich diese erstmal zu löschen um mit einer sauberen Einrichtung beginnen zu können. Ansonsten hat man ggf. ein altes Zahlungsprofil hinterlegt, dass das neue zweite Konto nicht enthält und DUO kann dann auch nichts zuordnen.

[#18]

Hallo @whitenexx 

Danke für die ausführlichen Erfahrungsberichte. Ich habe nämlich jetzt aktuell dieselbe Situation: 1 bestehender HBCI-Zugang und 2 Mandate, die darauf zugreifen sollen. 

Nun versuche ich mich gerade an der Idee, diesen Zugang für die Kto.umsätze für beide Mandanten zu nutzen. 

Meine Frage wäre nun aber: Gibt es bereits Erfahrungen mit Zahlungen aus DUO in solch einer Konstellation? Würde mich mal interessieren, ob dies ebenso klappt.

Danke schonmal im Vorwege

LG

[#19]

@whitenexx: Right. So wird's gemacht! 👍 Danke Dir!

@Susanne_Müller: Na entscheidend ist ja der HBCI User, der mit einem DATEV Unternehmen Online Medium (SmartCard/SmartLogin) verknüpft wird. Daher sollten Zahlungen auch funktionieren. Arbeiten mehr als 1 Person mit UO in 2 Mandanten, brauchen diese 2 Personen bei allen Banken auch einen eigenen HBCI Benutzer. 

[#20]

@metalposaunist: Danke für die Antwort! 🙂 - Bin zwar auch schon seit Jahren in DUO unterwegs, aber diese Konstellation hatte ich bisher tatsächlich noch nicht - man lernt hier ja auch nie aus... 😉

Diese meisten konnte ich bisher eher von EBICS überzeugen, da dort tatsächlich weniger Probleme, vor allem mit so bestimmten Banken. Mein Mandant hat sich in diesem Fall entschieden, einen separaten HBCI-Zugang für die 2. Firma einzurichten. 

[#21]

---

@Susanne_Müller  schrieb:

Diese meisten konnte ich bisher eher von EBICS überzeugen, da dort tatsächlich weniger Probleme, vor allem mit so bestimmten Banken. 

---

Interessanterweise hatte ich gestern einen Mandanten bei der Sparkasse, die bisher EBICS machen und die Sparkasse das Verfahren aber abschaffen will. Das glaube ich nicht und wenn ja, wäre das sehr traurig zumal der Mandant im Funkloch sitzt und das WLAN auch nicht richtig funktioniert und damit pushTAN oder allg. eine App am Smartphone eher Schwierigkeiten macht 😂 danke, liebe Sparkasse!

[#22]

... die Sparkassen müssen eben sparen .... wie der Name schon sagt 😁

... ein Bankmitarbeiter hat mir aktuell in epischer Breite sein Leid geklagt, z.B. dass mit den normalen Bankgeschäften nichts mehr zu 'verdienen' sei und ist erst wieder aufgeblüht, als es um das Thema Kapitalanlagen ging 😁

[#23]

@whitenexx 

Vielen Dank für die Zusammenfassung.

Hatte das Problem heute auch.

Es geht mittlerweile noch schneller.

1.Bankkonto bei einem der beiden Mandanten anlegen.

2.HBCI Benutzer bearbeiten und neu initialisieren. 

Danach sind alle Bankkonten abrufbar.

Viele Grüße,

Daniel Bergbauer