DSGVO-konforme Website für die Steuerkanzlei

Warum die Kanzlei-Website besonderer Sorgfalt bedarf

Für viele Mandant:innen ist die Website der erste Kontaktpunkt mit einer Kanzlei – oft noch vor dem ersten Telefonat. Sobald dort personenbezogene Daten verarbeitet werden, gelten die Anforderungen der Datenschutz-Grundverordnung (DSGVO). Zwar fallen die typischen Angaben, die Mandant:innen über ein Kontaktformular hinterlassen, in der Regel nicht unter die besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO wie etwa Gesundheitsdaten. Dennoch sind die Informationen, mit denen Steuerkanzleien arbeiten, hochsensibel: Einkommensverhältnisse, Vermögenswerte, Bankverbindungen, familiäre und unternehmerische Zusammenhänge. Hinzu kommt die berufsrechtliche Verschwiegenheitspflicht nach § 80 WTBG 2017, die über die DSGVO hinausgeht und für den gesamten Umgang mit Mandantendaten gilt – auch auf der Website.

Ein unbedachtes Freitextfeld im Kontaktformular etwa lädt Interessent:innen dazu ein, Details zu einer laufenden Betriebsprüfung oder zu einer komplexen Vermögensstruktur zu hinterlassen – und schon liegen besonders schützenswerte Informationen in einem Postfach, das nicht für diesen Zweck ausgelegt ist. Sorgfältiger Umgang mit diesen Daten nützt beiden Seiten: den Mandant:innen und der Kanzlei. Datenschutz ist damit kein lästiges Pflichtprogramm, sondern ein sichtbares Signal für Seriosität und Vertrauenswürdigkeit.

Rechtliche Grundlagen im Überblick

Für eine Kanzlei-Website sind vor allem drei Bausteine relevant. Erstens eine Datenschutzerklärung, die verständlich, aktuell und auf die tatsächlich eingesetzten Dienste bezogen ist. Zweitens ein vollständiges und korrektes Impressum: Für reglementierte Berufe verlangt § 5 Abs. 1 E-Commerce-Gesetz (ECG) unter anderem Angaben zur zuständigen Kammer – bei Steuerberater:innen die Kammer der Steuerberater:innen und Wirtschaftsprüfer:innen (KSW) –, zur Berufsbezeichnung und einen Hinweis auf die anwendbaren berufsrechtlichen Vorschriften. Drittens eine klare Rechtsgrundlage für jede einzelne Datenverarbeitung – von der Terminbuchung für ein Erstgespräch bis zum Newsletter-Versand.

Welche Angaben eine Datenschutzerklärung konkret enthalten muss, fasst die Wirtschaftskammer in ihrer Checkliste zu den Informationspflichten nach DSGVO und TKG zusammen. Wichtig ist, dass die Erklärung kein einmal erstelltes Standarddokument bleibt, sondern zu den Diensten passt, die aktuell eingesetzt werden – etwa ein neues Mandantenportal, ein Buchungstool für Beratungstermine (siehe AVV nach Art. 28 DSGVO bei Terminbuchungssystemen) oder ein neuer Hosting-Anbieter. Eine jährliche Durchsicht ist gut investierte Zeit, denn Verstöße gegen Informationspflichten können empfindlich sanktioniert werden.

Cookies, Einwilligung und Kontaktformulare

Werden Cookies oder vergleichbare Technologien eingesetzt, die nicht technisch notwendig sind – etwa für Analyse-Tools oder eingebettete Karten –, braucht es eine informierte, freiwillige und vor dem Setzen des Cookies eingeholte Einwilligung. Ein reiner Hinweisbanner ohne echte Wahlmöglichkeit genügt nicht. Für Kanzleien empfiehlt sich ein Consent-Tool, das die Einwilligung dokumentiert und granular zwischen notwendigen, funktionalen und analytischen Diensten unterscheidet.

Beim Kontaktformular gilt: So wenig wie möglich, so viel wie nötig. Für eine erste Anfrage reichen Name, Kontaktdaten und ein kurzes Anliegen. Ein unbegrenztes Freitextfeld sollte vermieden oder zumindest mit einem Hinweis versehen werden, keine vertraulichen Unterlagen oder Belege hochzuladen – dafür ist ein gesichertes Mandantenportal der richtige Weg. Wer Termine zusätzlich per E-Mail oder SMS ankündigt, braucht dafür eine eigene Grundlage – siehe Rechtssichere Terminerinnerungen; für Gespräche per Video gilt Ähnliches (Videoberatung in der Kanzlei). Auch die Übertragung sollte verschlüsselt erfolgen (HTTPS), und eingehende Anfragen gehören in ein Postfach mit angemessenem Zugriffsschutz.

Typische Stolpersteine vermeiden

In der Praxis häufen sich wenige, aber wiederkehrende Fehler: veraltete Datenschutzerklärungen nach einem Wechsel des Hosting- oder E-Mail-Anbieters, eingebettete Drittanbieter-Inhalte (etwa Videos oder Schriftarten), die ohne Einwilligung personenbezogene Daten übertragen, oder ein Kontaktformular ohne Verschlüsselung. Auch fehlt häufig ein klarer Hinweis darauf, dass die Website keine individuelle steuerliche oder rechtliche Beratung ersetzt und erste Anfragen kein Mandatsverhältnis begründen.

Eine regelmäßige Überprüfung dieser Punkte – idealerweise gemeinsam mit der Webagentur und bei Bedarf einer rechtlichen Beratung – schafft Sicherheit für Kanzlei und Mandant:innen gleichermaßen. Wer unsicher ist, ob die eigene Website diesen Anforderungen entspricht, kann Kontakt aufnehmen und die Website gemeinsam mit Taxeon überprüfen lassen.

Quellen und weiterführende Informationen

• Datenschutzgesetz (DSG) – RIS
• E-Commerce-Gesetz (ECG) – RIS
• Datenschutzerklärung: Informationspflichten nach DSGVO und TKG – WKO
• Österreichische Datenschutzbehörde