Glossar / Einbindung von Dienstleistern nach § 62a StBerG
Einbindung von Dienstleistern nach § 62a StBerG
§ 62a StBerG regelt, wann Steuerberater externen Dienstleistern wie IT- oder Cloud-Anbietern Zugang zu Mandantengeheimnissen geben dürfen. Verlangt werden eine sorgfältige Auswahl, ein Vertrag in Textform mit Verschwiegenheitspflicht und bei Auslandsbezug ein vergleichbarer Geheimnisschutz.
Worum geht es bei § 62a StBerG?
Als Steuerberater bist Du zur Verschwiegenheit verpflichtet (§ 57 Abs. 1 StBerG), Verstöße sind nach § 203 StGB strafbar. Trotzdem arbeitet keine Kanzlei ohne externe Hilfe, etwa durch Rechenzentren, Cloud-Anbieter, IT-Systemhäuser oder Aktenvernichter. § 62a StBerG erlaubt Dir, Dienstleistern Zugang zu geschützten Tatsachen zu geben, soweit das für die Dienstleistung erforderlich ist. Dienstleister ist jede andere Person oder Stelle, die Du im Rahmen Deiner Berufsausübung beauftragst.
Strafrechtlich wird das durch § 203 Abs. 3 StGB abgesichert. Danach ist die Offenbarung an mitwirkende Personen erlaubt, soweit sie erforderlich ist. Strafbar machst Du Dich aber, wenn Du nicht dafür sorgst, dass der Dienstleister zur Geheimhaltung verpflichtet ist und dieser ein Geheimnis unbefugt offenbart (§ 203 Abs. 4 Satz 2 Nr. 1 StGB).
Welche Anforderungen gelten für Auswahl und Vertrag?
Du musst den Dienstleister sorgfältig auswählen und die Zusammenarbeit unverzüglich beenden, wenn die Einhaltung der Vorgaben nicht gewährleistet ist (§ 62a Abs. 2 StBerG). In der Praxis heißt das: Zertifizierungen, Serverstandorte, Zugriffskonzepte und Subunternehmer prüfen und das Ergebnis dokumentieren.
Der Vertrag bedarf der Textform (§ 62a Abs. 3 StBerG). Er muss den Dienstleister zur Verschwiegenheit verpflichten und über die strafrechtlichen Folgen einer Pflichtverletzung belehren. Er muss festlegen, dass sich der Dienstleister nur so weit Kenntnis verschafft, wie es für den Auftrag nötig ist. Außerdem regelt der Vertrag, ob weitere Personen eingesetzt werden dürfen. Diese muss der Dienstleister dann ebenfalls in Textform zur Verschwiegenheit verpflichten.
Was gilt für Cloud- und IT-Dienstleister?
Cloud-Software, Hosting und Fernwartung sind typische Anwendungsfälle, weil der Anbieter technisch auf Mandantendaten zugreifen kann. Ist der Dienstleister für die jeweilige Leistung bereits gesetzlich zur Verschwiegenheit verpflichtet, entfällt die gesonderte Verpflichtung in Textform (§ 62a Abs. 7 StBerG). Das Datenschutzrecht bleibt unberührt (§ 62a Abs. 8 StBerG). Meist brauchst Du deshalb zusätzlich einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Dient eine Dienstleistung unmittelbar einem einzelnen Mandat, brauchst Du die Einwilligung dieses Mandanten (§ 62a Abs. 5 StBerG). Für die allgemeine Kanzlei-IT ist eine Einwilligung nicht erforderlich. Die Pflichten zu Auswahl und Vertrag gelten auch mit Einwilligung, es sei denn, der Mandant verzichtet ausdrücklich darauf (§ 62a Abs. 6 StBerG).
Was ist bei Dienstleistern im Ausland zu beachten?
Bei Dienstleistungen im Ausland darfst Du Zugang zu Geheimnissen nur geben, wenn der dortige Geheimnisschutz dem inländischen vergleichbar ist (§ 62a Abs. 4 StBerG). Das gilt nicht, wenn der Schutz der Geheimnisse dies nicht gebietet. Für Mitgliedstaaten der EU wird die Vergleichbarkeit nach überwiegender Auffassung angenommen. Bei Drittländern ist eine Prüfung im Einzelfall nötig.
Für Datenübermittlungen in Drittländer gelten zusätzlich die Art. 44 ff. DSGVO. Beide Prüfungen sind getrennt zu sehen, denn ein datenschutzrechtlich zulässiger Transfer bedeutet nicht automatisch einen vergleichbaren Geheimnisschutz. Prüfe auch, ob ein Anbieter mit Sitz in der EU Support oder Subunternehmer in Drittländern einsetzt.
Fiktives Beispiel: Eine Steuerkanzlei in Offenbach mit acht Arbeitsplätzen stellt auf eine gehostete Kanzleisoftware um. Der Anbieter berechnet EUR 150,00 netto je Arbeitsplatz und Monat, insgesamt EUR 1.200,00 netto monatlich oder EUR 14.400,00 netto im Jahr. Zusätzlich beauftragt die Kanzlei ein IT-Systemhaus mit der Fernwartung für pauschal EUR 300,00 netto im Monat. Mit beiden schließt sie Verträge in Textform mit Verschwiegenheitsverpflichtung, Belehrung und Regelung zu Subunternehmern sowie Verträge zur Auftragsverarbeitung. Die Auswahlprüfung und den Serverstandort in Deutschland dokumentiert sie in ihrer Verfahrensdokumentation.
Typische Fehler und Risiken
- Nur einen Vertrag zur Auftragsverarbeitung abschließen. Er regelt den Datenschutz, ersetzt aber nicht automatisch die berufsrechtliche Verpflichtung nach § 62a Abs. 3 StBerG.
- Subunternehmer übersehen. Viele Cloud-Anbieter nutzen weitere Rechenzentren oder Supportdienstleister, der Vertrag muss regeln, ob das erlaubt ist und wie diese verpflichtet werden.
- Den Drittlandbezug nicht prüfen. Support aus einem Drittland oder ein Speicherort außerhalb der EU erfordert die Prüfung eines vergleichbaren Geheimnisschutzes.
- Die Auswahl nicht dokumentieren. Ohne Nachweis über die sorgfältige Auswahl kannst Du im Streitfall kaum belegen, dass Du Deine Pflichten erfüllt hast.
Häufige Fragen
Gilt § 62a StBerG auch für Reinigungs- oder Aktenvernichtungsdienste?
Brauche ich die Einwilligung meiner Mandanten für eine Cloud-Lösung?
Gilt § 62a StBerG auch für meine Mitarbeiter?
Wann eine Beratung sinnvoll ist
Eine Beratung ist sinnvoll, wenn Du Kanzleisoftware in die Cloud verlagerst, neue IT-Dienstleister einbindest oder Anbieter mit Bezug zu Drittländern nutzt. Gemeinsam prüfen wir Verträge, Auswahlkriterien und Dokumentation und verbinden sie mit Deiner Verfahrensdokumentation.
Auch gesucht als: § 62a StBerG, Inanspruchnahme von Dienstleistungen, Verschwiegenheitsverpflichtung Dienstleister, Cloud Steuerberater, Outsourcing Steuerkanzlei, IT-Dienstleister Kanzlei · Rechtsstand: Oktober 2026, letzte Aktualisierung: 09.10.2026. Allgemeine Information, ersetzt keine Beratung im Einzelfall.
Rechtsgrundlagen und Quellen
