Datentransfer mandant cloud dsgvo

Skill Klotzkette/claude-fuer-deutsches-recht/steuerrecht-anwalt-und-berater/skills/datentransfer-mandant-cloud-dsgvo

⚠️ Experimentelle Skill-Sammlung für deutsches Recht (Arbeits-, Gesellschafts-, Insolvenz-, Datenschutz-, Prozessrecht u.a.) – inzwischen verbessert und im Alltag getestet, aber weiterhin Experiment. Bitte selber ausprobieren, Issues/PRs willkommen! Keine Rechtsberatung. Mandatsgeheimnis (§§ 203/204 StGB, § 43e BRAO), DSGVO, US-Transfer, KI-VO & Co

Install

npx -y skills add Klotzkette/claude-fuer-deutsches-recht --skill datentransfer-mandant-cloud-dsgvo

Assembled from the repository path, not quoted from the project. Check it against their README if it does not work.

What its author says it does

Copied from the file, not written here

Wenn es um Datentransfer Mandant-Cloud — DSGVO-Aspekte in Steuerrecht – Steuerberater und Anwälte geht: prüft Frist, Form, Zuständigkeit, Rechtsweg und Sofortmaßnahmen; liefert eine Fristen- und Risikoampel mit Sofortschritten.

SKILL.md

4.7 KB, as published. Nobody here has run it

Datentransfer Mandant-Cloud — DSGVO-Aspekte

Fachlicher Anker

Normen: § 6a, Art. 28 DSGVO, § 57.
Entscheidungs-/Quellenanker: Tragende Rechtsprechung nur mit Gericht, Datum, Aktenzeichen und frei prüfbarer Quelle einsetzen; keine Entscheidung aus Modellwissen erzwingen.
Quellenhygiene: references/quellenhygiene.md und references/zitierweise.md beachten.

Kernsachverhalt

Beim Datentransfer zwischen Mandant, StB und Cloud-Dienstleistern muss DSGVO-Konformitaet sichergestellt sein. Wesentliche Aspekte: AVV nach Art. 28 DSGVO mit jedem Auftragsverarbeiter, TOM (technisch-organisatorische Maßnahmen), Drittlandtransfer-Prüfung (USA-Server problematisch), Einhaltung der Daten-Minimierung. Bei Verstoss: Bussgeld bis 4 Prozent Jahresumsatz.

Kaltstart-Rueckfragen

Welche Cloud-Dienstleister sind im Einsatz (DATEV, BuchhaltungsButler, sevDesk, Microsoft, Google)?
Liegen AVV mit allen Auftragsverarbeitern vor?
Welche Daten werden gespeichert (Mandantendaten, Lohndaten, Mitarbeiterdaten)?
Welcher Server-Standort (EU, Drittland)?
Welche TOM-Maßnahmen?
Welche Mandantenkommunikation Datenschutzhinweise?
Welche Sicherheits-Vorfaelle in der Vergangenheit?
Welche Berufsverschwiegenheit (§ 57 StBerG)?

Rechtlicher Rahmen

Primaernormen

DSGVO Art. 5 — Grundsaetze.

DSGVO Art. 28 — Auftragsverarbeiter.

DSGVO Art. 32 — Sicherheit der Verarbeitung.

DSGVO Art. 44-50 — Drittlandtransfer.

§ 57 Abs. 1 StBerG — Verschwiegenheit.

§ 203 StGB — Verletzung Berufsgeheimnis.

Verwaltungsanweisungen

Aufsichtsbehoerden DSK-Beschlüsse.
Schrems II-Urteil EuGH (Drittlandtransfer USA).

Workflow

Phase 1 — Auftragsverarbeitungs-Inventar

Dienstleister	Datenart	EU-Server	AVV
DATEV	Mandantendaten	Ja	Ja
Microsoft 365	E-Mail, Office	Teilweise EU	Ja, mit Standardvertragsklauseln
Google Workspace	E-Mail, Storage	EU/USA	Ja
BuchhaltungsButler	Mandanten-Buchhaltung	EU	Ja
Zoom	Videokonferenz	Mix	Ja

Phase 2 — AVV-Prüfung Art. 28 DSGVO

Schriftlicher AVV-Vertrag.
Inhalte: Verarbeitungstaetigkeit, Daten-Kategorien, TOM-Bestimmungen, Sub-Verarbeiter, Pflichten beidseitig.
Aktualitaet prüfen.

Phase 3 — Drittlandtransfer Prüfung

USA-Server: nach Schrems II zusaetzliche Maßnahmen erforderlich.
Standardvertragsklauseln (SCC).
Transfer Impact Assessment (TIA).
Bei sensiblen Daten (Mandantenidentifizier, Gesundheitsdaten): EU-Server bevorzugen.

Phase 4 — TOM-Maßnahmen

Bereich	Maßnahmen
Vertraulichkeit	Verschluesselung Transport (TLS), Verschluesselung at-rest
Integritaet	Hashverfahren, Audit-Logs
Verfuegbarkeit	Backup, Redundanz
Belastbarkeit	Disaster Recovery
Wiederherstellbarkeit	Backup-Restore
Prüfverfahren	Regelmäßige Audits
Pseudonymisierung	wo möglich

Phase 5 — Mandantenkommunikation

Datenschutzhinweise gem. Art. 13 DSGVO bei Mandatsaufnahme.
Information bei wesentlichen Änderungen.
Mandantenanfragen Art. 15 DSGVO beantworten.

Phase 6 — Datenschutz-Folgenabschaetzung (DSFA)

Bei umfangreicher Verarbeitung personenbezogener Daten.
Bei systematischer Profilbildung.
Bei besonderen Datenkategorien.

Strategie und Praxis-Tipps

Die Berufsverschwiegenheit nach § 57 StBerG ist durch § 203 Abs. 1 Nr. 3 StGB strafrechtlich abgesichert; die Einbeziehung externer Dienstleister (Cloud-Anbieter) erfordert nach § 203 Abs. 3, 4 StGB die schriftliche Verpflichtung des Dienstleisters auf die Schweigepflicht — entsprechende Klauseln im AVV prüfen.
Rechtsprechung live prüfen: Keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über amtliche oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
DSGVO-Bussgelder bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO) — Compliance unverzichtbar.
Jaehrliche DSGVO-Prüfung im Kanzleiteam (Verzeichnis Verarbeitungstaetigkeiten, AVV-Mappe, TOM-Liste aktualisieren).
StBVV: DSGVO-Compliance-Beratung für Mandanten als separater Auftrag nach § 13 StBVV (Beratung) oder als Bestandteil der Buchfuehrungspauschale.

Quellen und Updates

Stand: 05/2026.

DSGVO Art. 5, 13, 28, 32, 44-50.
StBerG § 57.
StGB § 203.
Schrems II-Urteil EuGH.
DSK-Beschlüsse.