Datenstandort Schweiz

Treuhand und Datenschutz: Mandantendaten im Projekttool

Für: Inhaber und Mandatsleiter in Treuhand- und Revisionsfirmen.

Kurz erklärt

Treuhandfirmen verarbeiten Personendaten ihrer Mandanten als Auftragsbearbeiter und eigene Daten als Verantwortliche. Lohn- und Steuerdaten gelten als besonders schützenswert. Ein Projekttool sollte Mandate organisieren (Fristen, Aufgaben, Zeit), nicht die Finanzdaten selbst speichern — und braucht Rollen, Audit-Log und einen AVV.

Ein Treuhandbüro ist ein Datenschutz-Sonderfall, ohne es zu merken: Es kennt Löhne, Steuererklärungen, Krankheitstage und Scheidungen seiner Mandanten. Nach revDSG sind das besonders schützenswerte Daten mit erhöhten Anforderungen. Gleichzeitig ist das Geschäft ohne Cloud-Werkzeuge nicht mehr führbar. Die Lösung liegt in der Trennung: Was organisiert das Tool, was speichert es?

Rollen: Auftragsbearbeiter und Verantwortlicher

Für die Lohnbuchhaltung eines Mandanten ist der Treuhänder Auftragsbearbeiter — er braucht einen Vertrag mit dem Mandanten. Für die eigenen Mitarbeiter- und Kundendaten ist er Verantwortlicher. Das Projekttool sieht in der Regel nur die zweite Kategorie plus Mandatsorganisation: Name des Mandanten, Fristen, Aufgaben, erfasste Zeit. Genau diese Beschränkung sollte man bewusst treffen.

Was ins Projekttool gehört — und was nicht

Bewährte Trennung:

Ins Tool: Mandat als Projekt, wiederkehrende Fristen (MWST, Lohnausweise, Steuererklärung), Aufgaben, Zeiterfassung, Rechnung
Nicht ins Tool: Lohndaten, Steuererklärungen, Bankauszüge, Kopien von Ausweisen — die bleiben in der Fachsoftware und der Dokumentablage
Grauzone: Kommentare und Anhänge. Regel festlegen: keine Personendaten Dritter in Aufgabenkommentaren

Aufbewahrung und Löschung

Geschäftskorrespondenz und Buchhaltungsbelege unterliegen zehn Jahren Aufbewahrung (OR 958f). Aufgaben und Zeiteinträge sind Arbeitsmittel, keine Belege — sie dürfen nach Mandatsende gelöscht werden, sobald die Rechnung gestellt ist. Ein Löschkonzept mit zwei Fristen (Belege 10 Jahre, Arbeitsmittel z. B. 2 Jahre) genügt für die meisten Büros.

Häufige Fragen

Brauche ich als Treuhänder ein Bearbeitungsverzeichnis?

Unter 250 Mitarbeitenden nur bei besonders schützenswerten Daten in grossem Umfang oder Profiling mit hohem Risiko. Lohnbuchhaltung für viele Mandanten kann darunter fallen — im Zweifel ist das Verzeichnis eine Nachmittagsarbeit und schadet nie.

Darf ich Mandanten ins Projekttool einladen?

Ja, mit eingeschränktem Zugriff nur auf ihr eigenes Mandat. Das ist oft datensparsamer als Mail-Verkehr mit Anhängen.

Was ist mit dem Revisionsgeheimnis?

Für Revisionsstellen gelten zusätzlich OR 730b und die Standesregeln. Die Grundsätze sind dieselben wie beim Anwaltsgeheimnis: Hilfsperson, Geheimhaltungsklausel, beschränkter Zugriff.