Daten sicher an den Steuerberater übergeben: Wie Sie Belege und Buchhaltung DSGVO-konform mit DATEV austauschen

Jeden Monat landen irgendwo zwischen Büro und Steuerberatung Tausende von Belegen in E-Mail-Anhängen: Eingangsrechnungen, Kontoauszüge, Lohnlisten, Reisekostenabrechnungen. Schnell gemacht, aber datenschutzrechtlich heikel, denn in diesen Unterlagen stecken personenbezogene Daten. Dieser Artikel zeigt, warum die E-Mail der falsche Weg ist, wie Sie Buchhaltung und Belege stattdessen verschlüsselt und DSGVO-konform übergeben, und warum DATEV Unternehmen online dafür der etablierte Standard ist. Stand: 2026-11-02.

Wie übergebe ich Daten rechtssicher an den Steuerberater?

Rechtssicher heißt: über einen verschlüsselten Kanal statt per unverschlüsselter E-Mail. Der etablierte Weg ist eine geschützte Austauschplattform wie DATEV Unternehmen online, auf die Sie Belege hochladen und auf die Ihr Steuerberater zugreift. Die Daten liegen verschlüsselt im Rechenzentrum, ein offener E-Mail-Anhang entsteht gar nicht erst.

Der Grund ist einfach: Buchhaltungsunterlagen enthalten fast immer personenbezogene Daten, von Kundennamen über Bankverbindungen bis zu Lohn- und Gehaltsdaten Ihrer Mitarbeitenden. Für deren Übermittlung verlangt die DSGVO technische Schutzmaßnahmen, die zum Risiko passen. Eine geschlossene Plattform erfüllt das von Haus aus, weil die Daten den geschützten Kanal nicht verlassen. Bei einer gewöhnlichen E-Mail haben Sie dagegen keine Kontrolle darüber, wie der Anhang unterwegs und beim Empfänger geschützt ist.

Warum die E-Mail für Belege das falsche Werkzeug ist

Eine normale E-Mail ist wie eine Postkarte: Sie reist über mehrere Server, und ob jeder Abschnitt verschlüsselt ist, entzieht sich Ihrer Kontrolle. Für personenbezogene Daten verlangt die Datenschutzkonferenz aber mindestens eine Transportverschlüsselung, bei sensiblen Daten zusätzlich eine Inhaltsverschlüsselung. Das lässt sich bei gewöhnlicher E-Mail nicht zuverlässig garantieren.

Die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Datenschutzaufsichtsbehörden, hat dazu eine Orientierungshilfe veröffentlicht. Sie stuft nach Risiko ab: Wer personenbezogene Daten per E-Mail versendet, bei denen eine Verletzung der Vertraulichkeit ein normales Risiko bedeutet, muss eine Transportverschlüsselung einsetzen. Bei hohem Risiko, etwa bei Gesundheits-, Sozial- oder umfangreichen Lohndaten, kommen eine qualifizierte Transportverschlüsselung und eine Ende-zu-Ende- beziehungsweise Inhaltsverschlüsselung hinzu. Genau diese durchgehende Absicherung ist bei einer gewöhnlichen E-Mail der Knackpunkt.

Quelle: Datenschutzkonferenz: Orientierungshilfe zur Übermittlung personenbezogener Daten per E-Mail

Braucht man einen AV-Vertrag mit dem Steuerberater?

Nein. Anders als beim IT-Dienstleister oder beim Cloud-Anbieter brauchen Sie mit Ihrem Steuerberater keinen Auftragsverarbeitungsvertrag. Der Gesetzgeber hat mit der Neufassung von § 11 StBerG ausdrücklich klargestellt, dass der Steuerberater bei seiner berufsrechtlichen Tätigkeit ein eigener, unabhängiger Verantwortlicher im Sinne der DSGVO ist, nicht Ihr Auftragsverarbeiter.

Das ist ein wichtiger Unterschied, der in der Praxis oft durcheinandergeht. Weil der Steuerberater nicht nach Ihren Weisungen arbeitet, sondern eigenverantwortlich und an sein Berufsrecht gebunden, scheidet eine Auftragsverarbeitung aus. Die seit Dezember 2019 geltende Regelung stellt klar, dass das auch für Nebenleistungen wie die Lohn- und Gehaltsabrechnung gilt. Sie müssen also keinen AV-Vertrag nach Art. 28 DSGVO mit der Kanzlei schließen und sollten einen solchen auch nicht unterschreiben, wenn er Ihnen angeboten wird, weil er die Rechtslage falsch abbildet.

Was dagegen bleibt, ist Ihre eigene Pflicht zur sicheren Übermittlung. Dass kein AV-Vertrag nötig ist, heißt nicht, dass Sie die Daten unverschlüsselt verschicken dürfen. Für den Weg der Daten zu Ihrem Steuerberater sind Sie als Absender verantwortlich, und hier greift Art. 32 DSGVO. Wo ein AV-Vertrag dagegen sehr wohl Pflicht ist, etwa bei Ihrem IT-Dienstleister oder bei Cloud-Diensten, lesen Sie im Beitrag zum AV-Vertrag für KMU.

Quelle: § 11 StBerG: Verarbeitung personenbezogener Daten, Gesetze im Internet

Was die DSGVO technisch verlangt

Maßgeblich ist Art. 32 DSGVO. Er verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und nennt die Verschlüsselung personenbezogener Daten ausdrücklich als Beispiel. Übersetzt heißt das: Je sensibler die Daten, desto stärker muss der Schutz auf dem Übertragungsweg sein. Für Belege und Lohndaten ist das keine Kür, sondern Pflicht.

Die Orientierungshilfe der Datenschutzkonferenz macht daraus eine praktikable Abstufung. Bei normalem Schutzbedarf genügt eine Transportverschlüsselung, die den Kanal zwischen den Systemen absichert. Bei hohem Schutzbedarf, der bei umfangreichen Lohn- oder Gesundheitsdaten schnell erreicht ist, braucht es zusätzlich eine Inhaltsverschlüsselung, die das Dokument selbst schützt, unabhängig vom Transportweg. Eine geschlossene Austauschplattform setzt genau an diesem Punkt an: Die Belege verlassen den geschützten Bereich nie als offener Anhang, sondern liegen verschlüsselt im Rechenzentrum und werden über geschützte Zugänge abgerufen.

Quelle: Verordnung (EU) 2016/679 (DSGVO)Verordnung (EU) 2016/679, Art. 32: Sicherheit der Verarbeitung.

Der Vergleich: Welcher Weg taugt wofür

Nicht jeder Übertragungsweg ist gleich geeignet. Die unverschlüsselte E-Mail fällt aus, verschlüsselte Spezialwege sind umständlich, und eine geschützte Plattform wie DATEV Unternehmen online ist für den laufenden Belegaustausch der praktikabelste und sicherste Weg. Entscheidend ist, dass der gewählte Weg die Anforderungen aus Art. 32 DSGVO ohne Zusatzaufwand im Alltag erfüllt.

Es gibt zwischen diesen beiden Polen weitere Wege, etwa Ende-zu-Ende-verschlüsselte E-Mail mit S/MIME oder PGP, gesicherte Upload-Portale oder verschlüsselte Datenräume. Technisch sind sie möglich, im Buchhaltungsalltag aber oft umständlich, weil sie Schlüsselverwaltung oder Medienbrüche mit sich bringen. Für den regelmäßigen Austausch mit der Steuerberatung hat sich deshalb die integrierte Plattform durchgesetzt, weil sie Übertragung, Verarbeitung und Ablage in einem geschützten Kanal zusammenführt.

DATEV Unternehmen online: der etablierte Standard

DATEV Unternehmen online ist eine internetbasierte Plattform, über die Sie Belege und Buchhaltungsdaten mit Ihrer Steuerberatung austauschen. Sie laden Belege hoch, diese liegen verschlüsselt im DATEV-Rechenzentrum in Deutschland, und Ihr Steuerberater greift von dort auf die laufende Buchführung zu. Der unverschlüsselte E-Mail-Anhang entfällt komplett.

DATEV ist im deutschen Rechnungswesen fest verankert: Die als Genossenschaft organisierte DATEV zählte zum 30. Juni 2026 rund 40.176 Mitglieder, überwiegend Steuerberatungs- und Wirtschaftsprüfungskanzleien, und überschritt bei der Kundenbasis erstmals die Marke von 1,01 Millionen. Allein im ersten Halbjahr 2026 wurden über die DATEV-Systeme mehr als 51 Millionen E-Rechnungen verarbeitet. Das Unternehmen betreibt dafür eigene, cloud-native Rechenzentren in Deutschland. Für Sie als Unternehmer heißt das vor allem: Die Wahrscheinlichkeit, dass Ihre Kanzlei ohnehin mit DATEV arbeitet, ist hoch, und der Belegtransfer darüber ist eingespielt.

Quelle: DATEV: Umsatz und Kundenbasis, Presseinformation (Stand 30.06.2026)

In der Praxis gibt es mehrere Wege, Belege einzustellen: Sie scannen oder fotografieren Papierbelege und laden sie per Drag-and-drop oder über die Upload-App hoch, oder Sie leiten elektronisch erhaltene Rechnungen über eine persönliche Upload-Mail-Adresse direkt in die Plattform weiter, ohne sie offen an die Kanzlei zu mailen. Buchungsrelevante Daten aus Ihrer Warenwirtschaft oder Kasse lassen sich zusätzlich automatisiert übertragen. Wichtig bleibt: Die Plattform sichert den Transport, für den sicheren Zugang auf Ihrer Seite sind Sie zuständig.

Schritt für Schritt: sicheren Belegtransfer einrichten

Der Weg von der E-Mail-Gewohnheit zum sicheren Belegtransfer ist überschaubar und einmalig. Danach läuft die Übergabe schneller und sicherer als vorher. Die folgenden fünf Schritte bringen Sie von der Entscheidung in den laufenden Betrieb.

1. 1
   Mit der Steuerberatung abstimmen
   Klären Sie, welche Plattform Ihre Kanzlei nutzt. In den allermeisten Fällen ist das DATEV Unternehmen online. Legen Sie gemeinsam fest, welche Belegarten Sie künftig digital übergeben und in welchem Rhythmus, etwa laufend oder monatlich gebündelt.
2. 2
   Zugänge und Benutzerkonten anlegen
   Jede Person, die Belege einstellt, bekommt ein eigenes Benutzerkonto, keine geteilten Sammelzugänge. Die Zugänge werden mit Mehr-Faktor-Authentifizierung abgesichert und laufen idealerweise über Ihre bestehende Benutzerverwaltung mit, damit sie beim Weggang eines Mitarbeitenden zuverlässig gesperrt werden.
3. 3
   Erfassungsweg festlegen
   Entscheiden Sie pro Belegart den Weg: Papierbelege scannen oder per App fotografieren, elektronische Rechnungen über die persönliche Upload-Mail-Adresse weiterleiten, buchungsrelevante Daten aus Kasse oder Warenwirtschaft automatisiert übertragen. Ein klarer Weg je Belegart verhindert, dass doch wieder etwas per offener E-Mail rausgeht.
4. 4
   Internen Ablauf dokumentieren
   Halten Sie in einer kurzen Anweisung fest, wer welche Belege bis wann einstellt und wie mit den Originalen verfahren wird. Das gehört zu Ihrer Verfahrensdokumentation nach GoBD und nimmt im Alltag die Unsicherheit heraus.
5. 5
   Aufbewahrung und Archivierung regeln
   Legen Sie fest, wie die Originalbelege und die digitalen Kopien GoBD-konform und unveränderbar aufbewahrt werden. Die Übergabe an den Steuerberater ersetzt Ihre eigene Aufbewahrungspflicht nicht. Ein sauberes Backup Ihrer digitalen Belege gehört dazu.

Die größte Hürde ist erfahrungsgemäß nicht die Technik, sondern die Gewohnheit. Wenn der sichere Weg genauso schnell ist wie die alte E-Mail, setzt er sich durch. Deshalb lohnt es sich, die Erfassung so einfach wie möglich zu machen, etwa über die Foto-App direkt beim Einkauf, und die Grundregel klar zu kommunizieren: Belege gehen ausschließlich über die Plattform, nie mehr als offener E-Mail-Anhang.

Aufbewahrung nicht vergessen: GoBD und Fristen

Die Übergabe an den Steuerberater entbindet Sie nicht von der eigenen Aufbewahrung. Als Unternehmer bleiben Sie verpflichtet, Ihre Belege ordnungsgemäß und über die gesetzlichen Fristen aufzubewahren. Seit dem Vierten Bürokratieentlastungsgesetz gilt für Buchungsbelege wie Rechnungen und Zahlungsbelege eine verkürzte Frist von acht statt zehn Jahren.

Die Fristen im Überblick: Buchungsbelege acht Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB, seit Januar 2025 verkürzt), Bücher, Inventare und Jahresabschlüsse weiterhin zehn Jahre, Geschäftsbriefe sechs Jahre. Digitale Belege müssen dabei GoBD-konform aufbewahrt werden, also vollständig, nachvollziehbar, unveränderbar und über die gesamte Frist les- und auswertbar. Ein einfaches Verschieben in einen Ordner reicht nicht, wenn sich die Dateien unbemerkt ändern oder nach einem Geräteausfall verloren gehen könnten. Hier greift Ihr Backup-Konzept: Wie Sie das solide aufsetzen, lesen Sie im Beitrag zu Backup-Strategien für Unternehmen.

Quelle: § 147 AO: Ordnungsvorschriften für die Aufbewahrung von Unterlagen, Gesetze im Internet

Was kostet ein sicherer Belegtransfer?

Die Kosten bleiben überschaubar und hängen vor allem von der Nutzerzahl und den gebuchten Modulen ab. Die Plattformlizenz läuft meist pro Mandant oder Nutzer, dazu kommt ein einmaliger Aufwand für die Einrichtung der Zugänge und die Absicherung mit MFA. Gemessen am Risiko einer Datenpanne ist das eine kleine, planbare Investition.

Die eigentliche Rechnung geht anders auf: Ein sicherer, eingespielter Belegtransfer spart jeden Monat Zeit beim Sortieren, Nachreichen und Suchen, und er nimmt das Risiko einer teuren Datenpanne vom Tisch. Für die meisten Betriebe amortisiert sich der Aufwand allein über die eingesparte Hin-und-Her-Kommunikation mit der Kanzlei.

Wie ITCC dabei unterstützt

ITCC ist Ihr externer IT-Dienstleister, keine Steuerberatung und keine Rechtsberatung. Welche Belege Sie wie verbuchen und welche Fristen im Detail gelten, klärt Ihr Steuerberater. Was wir übernehmen, ist die technische und organisatorische Seite der sicheren Datenübergabe: Wir richten die Zugänge zu DATEV Unternehmen online oder zur Plattform Ihrer Kanzlei sauber ein, sichern sie mit Mehr-Faktor-Authentifizierung ab und binden sie an Ihre bestehende Benutzerverwaltung an, damit ausscheidende Mitarbeitende zuverlässig gesperrt werden.

Dazu gehört, dass der Erfassungsweg im Alltag funktioniert, dass keine Belege mehr als offener E-Mail-Anhang verschickt werden und dass Ihre digitalen Belege GoBD-konform und mit einem belastbaren Backup aufbewahrt werden. Die Zugänge folgen denselben Grundregeln wie bei MFA und Passwortmanagern und beim Onboarding neuer Mitarbeitender: geprüfte Identitäten, klare Rechte, keine Sammelkonten. Welche weiteren DSGVO-Pflichten im Betrieb gelten, fasst der Beitrag zu den DSGVO-Pflichten für KMU zusammen.

Wenn Sie Belege und Buchhaltung heute noch per E-Mail an Ihren Steuerberater schicken und das sauber umstellen wollen, schauen wir uns gemeinsam an, was zu Ihren Abläufen passt. Für Betriebe im Raum Pfalz, Rhein-Neckar und Rhein-Main ist ein Erstgespräch der einfachste Weg zu einer ehrlichen Einschätzung.

Gespräch vereinbaren