Dateifreigabe im Rechnungswesen: Leitfaden bewährter Praktiken

Buchhaltungsdateien bewegen sich ständig zwischen einer Kanzlei und ihren Mandanten – Buchführungsexporte, Steuererklärungsunterlagen, Kontoauszüge, Lohnlisten und Quelldaten. Jeder Transfer muss die Berufsverschwiegenheit der Steuerberater nach §§ 57, 62 StBerG, den Datenschutz nach DSGVO sowie die Anforderungen des BSI an die Informationssicherheit erfüllen. Laut BSI-Grundschutz sollten vertrauliche Finanzdokumente mit TLS 1.3 übertragen und mit AES-256-GCM im Ruhezustand verschlüsselt werden. Der praktische Stack für die meisten kleinen bis mittelgroßen Kanzleien: ein Mandantenportal wie DATEV Unternehmen Online oder SmartVault, DATEV oder ADDISON für die Steuervorbereitung mit integriertem verschlüsseltem Austausch, DocuSign für Signaturworkflows und ein verschlüsselter Ad-hoc-Dienst für den Stoßbetrieb in der Steuerfrühjahrssaison.

Mandantenportale: DATEV, SmartVault, ShareFile, TaxDome

DATEV Unternehmen Online ist der Standard in deutschen Steuerberatungskanzleien und bietet direkten Datenaustausch zwischen Mandant und Berater mit DSGVO-konformer Infrastruktur in Deutschland. SmartVault und ShareFile (von Citrix) bieten internationale Alternativen. Canopy und TaxDome bündeln Portal, Kanzleiverwaltung und Rechnungsstellung. Eine typische Kleinkanzlei (3 bis 10 Steuerberater, 200 bis 800 Mandanten) wählt basierend auf Workflow-Kompatibilität. Schlüsselfunktionen: AES-256-GCM-Verschlüsselung im Ruhezustand, TLS 1.3 bei der Übertragung, SSO-Integration, getrennte Berater-/Mandanten-Rollen und Aufbewahrungsrichtlinien pro Dokumenttyp. Die Mandantenseite testen – wenn das Portal-UX schmerzhaft ist, wechseln Mandanten zurück zu E-Mail-Anhängen, und das Sicherheitsniveau der Kanzlei bricht zusammen.

Datenkategorisierung nach Sensitivität

Nicht alle Buchhaltungsdateien sind gleich sensibel. Eine leere Organizer-Vorlage ist öffentlich. Eine Probebilanez ist vertrauliche Geschäftsinformation. Eine Lohnmeldung mit Sozialversicherungsnummern ist hochrisiko-PII nach DSGVO Art. 9 und dem BDSG. Eine Einkommensteuerklärung mit Bankkontonummern löst zusätzliche Sorgfaltspflichten aus. Dokumente beim Upload in Kategorien einteilen – Öffentlich / Intern / Vertraulich / Eingeschränkt – und die Klassifikation in Aufbewahrungs- und Zugriffsrichtlinien durchsetzen.

Steuersaison-Skalierungsprobleme

Von Januar bis zum 31. Juli (Abgabefrist für Steuerberater in Deutschland) steigt das Dateiübertragungsvolumen einer Steuerkanzlei auf das 10-Fache an. Ein einzelnes Erklärungspaket kann 80 bis 200 Dokumente pro Mandant umfassen – Lohnsteuerbescheinigungen, Kapitalertragssteuerbescheinigungen, K-1-Äquivalente, Hypothekenabrechnungen, Spendenquittungen. Für eine Kanzlei mit 500 Steuermandanten sind das 40.000 bis 100.000 Dokumente in 90 Tagen. Portale mit Massenupload, automatischer OCR-Verarbeitung und mobiler Foto-Upload-Funktion senken den Aufwand deutlich.

Kommunikationskanal mit dem Finanzamt

Das ELSTER-Portal des Bundeszentralamts für Steuern ermöglicht die sichere digitale Kommunikation zwischen Steuerberaterinnen und Finanzbehörden. Steuererklärungen werden elektronisch über ELSTER übermittelt. Auf keinen Fall Steuerdokumente per unverschlüsselter E-Mail an Behörden senden – E-Mail-Server übertragen Inhalte im Klartext, und das Finanzamt wird auf solche Übertragungen nicht einsteigen. Wenn das Finanzamt Unterlagen für eine Betriebsprüfung anfordert, das elektronische Postfach in Mein ELSTER oder das Portal Ihres Bundeslandes nutzen.

Vollmachten und § 102 AO-Verschwiegenheit

Das Steuerberatungsgeheimnis nach § 102 AO und § 57 StBerG verbietet die Weitergabe mandantenbezogener Daten ohne Einwilligung. Vollmachten für Dritte (ein Kreditinstitut, das Steuererklärungen anfordert, ein Anwalt in einem Scheidungsverfahren) müssen vor jeder Übertragung schriftlich vorliegen. DocuSign oder Adobe Sign mit Identitätsnachweis verwenden. Unterschriebene Vollmachten für die Verjährungsfrist aufbewahren – bei erheblicher Steuerverkürzung bis zu 10 Jahre.

Kontoauszug- und Transaktionsdaten-Import

Buchhaltungssoftware wie DATEV, Lexware oder Sage liest Bankdaten über FinTS/HBCI direkt von deutschen Kreditinstituten ein. Mandanten erteilen eine Einzugsermächtigung, die App liest Transaktionen für den autorisierten Zeitraum und die Daten fließen in die Buchhaltungssoftware. Für Banken ohne FinTS-Anbindung laden Mandanten PDF- oder CSV-Kontoauszüge manuell hoch. PDF-Kontoauszüge überschreiten für ein Geschäftskonto oft 20 MB pro Jahr – über der E-Mail-Anhangslimit. Ein Portal mit Massenordner-Upload oder ein verschlüsselter Link für einmalige Aufhol-Batches bei neuen Mandanten löst das.

Jahresabschluss-Prüfungs- und Reviewdateien

Für Kanzleien mit Abschlussprüfungsleistungen brauchen Prüfungsarbeitspapiere eine Aufbewahrung bis zum Ende der Aufbewahrungsfrist – nach § 147 AO in der Regel 10 Jahre für Bücher und Aufzeichnungen, 6 Jahre für Geschäftsbriefe. Arbeitspapiere umfassen Planungsunterlagen, Unterstützungsrechnungen, Vollständigkeitserklärungen und Befragungsnotizen. Für den Dateiaustasch zwischen dem leitenden Prüfer und dem Mandanten-Controller übernimmt das Kanzleiportal die eingehenden Dokumente.

Mandantenabgänge und Übergaben

Wenn ein Mandant zu einem anderen Steuerberater wechselt, fordert dieser die Akten nach § 66 StBerG an. Der abgebende Berater muss die mandanteneigenen Unterlagen (Quelldokumente, frühere Erklärungen) herausgeben, kann aber kanzleieigene Arbeitspapiere einbehalten. Die Übergabe erfolgt in der Regel über ein sicheres Portal oder einen verschlüsselten Link – kein USB-Stick, der verloren gehen kann. Nach § 66 StBerG ist innerhalb einer angemessenen Frist zu reagieren; einen Workflow bereithalten, keine Improvisation.

Testen Sie es auf https://hexatransfer.com – kostenlos, ohne Konto, bis 10 GB. Für den Mandanten, der am 30. Juli abends die fehlende Jahresbescheinigung findet: ein 24-Stunden-verschlüsselter Zero-Knowledge-Link ermöglicht die fristgerechte Einreichung, ohne die DSGVO-Vorgaben zu brechen.