Zum Inhalt springen

Dürfen Steuerberater Microsoft 365 nutzen?

Veröffentlicht am , SOFI Team, 5 Min. LesezeitFachartikel

Kaum eine Frage kommt in Kanzleigesprächen so zuverlässig wie diese. Und kaum eine wird so unterschiedlich beantwortet: Der eine Berater hat gehört, die Datenschutzbehörden hätten Microsoft 365 „verboten", die andere nutzt es seit Jahren und hat noch nie ein Problem gehabt. Beides stimmt so nicht: Ein pauschales Verbot gibt es nicht, ein Freifahrtschein aber auch nicht. Zwischen beidem liegen ein paar Hausaufgaben und die wichtigste davon kennen erstaunlich wenige Kanzleien.

Was das Gesetz verlangt

Der Rahmen ist derselbe wie bei jedem externen Dienstleister, der mit Mandatsgeheimnissen in Berührung kommen kann. § 203 Abs. 3 StGB erlaubt es Berufsgeheimnisträgern, sonstige mitwirkende Personen einzubeziehen, soweit das für deren Tätigkeit erforderlich ist; ein Cloud-Anbieter fällt darunter. Absatz 4 macht daraus eine Pflicht mit Zähnen: Der Berufsträger muss dafür sorgen, dass die mitwirkende Person zur Geheimhaltung verpflichtet wird, sonst macht er sich selbst strafbar. § 62a StBerG konkretisiert das für Steuerberater: sorgfältige Auswahl des Dienstleisters, Vertrag in Textform mit strafbewehrter Verschwiegenheitsverpflichtung, Regelungen für Subunternehmer.

Ein Standard-Auftragsverarbeitungsvertrag nach Art. 28 DSGVO deckt das nicht automatisch ab. Es braucht die berufsrechtliche Verpflichtung obendrauf.

Die Hausaufgabe, die kaum jemand kennt

Für diese Verpflichtung stellt Microsoft ein eigenes Vertragsdokument bereit: die Zusatzvereinbarung für Berufsgeheimnisträger zum Microsoft Customer Agreement, im Englischen „German Data Secrecy Amendment" (Fassung November 2021). Darin erkennt Microsoft die strafrechtlichen Folgen der §§ 203, 204 StGB ausdrücklich an, verpflichtet sich, von fremden Geheimnissen nur so weit Kenntnis zu nehmen, wie es die Vertragserfüllung erfordert, und sichert zu, dass sowohl eigene Mitarbeiter als auch Subunternehmer mindestens in Textform zur Verschwiegenheit verpflichtet werden. Die DATEV kommt in ihrer Stellungnahme zur M365-Nutzung in Kanzleien (Stand 04/2024) zu dem Ergebnis, dass diese Muster-Geheimhaltungsvereinbarung „den Anforderungen von § 62a StBerG genügt", und hält den Einsatz von Microsoft 365 für Angehörige steuerberatender Berufe grundsätzlich für möglich.

Zwei Dinge daran werden regelmäßig übersehen. Erstens: Die Zusatzvereinbarung gilt nicht automatisch. Sie muss aktiv abgeschlossen werden, üblicherweise über den Microsoft-Partner der Kanzlei. Zweitens: Sie ist befristet. Sie endet spätestens mit dem letzten Tag des 36. Kalendermonats nach Annahme, braucht also eine Wiedervorlage. Eine Kanzlei, die sie 2022 unterschrieben und seither nicht angefasst hat, arbeitet heute möglicherweise ohne.

Und die Datenschutzbehörden?

Die Geschichte ist differenzierter, als beide Lager sie erzählen. Die Datenschutzkonferenz stellte am 24.11.2022 fest, der Nachweis, Microsoft 365 datenschutzrechtskonform zu betreiben, könne „auf der Grundlage des von Microsoft bereitgestellten ‚Datenschutznachtrags vom 15. September 2022' nicht geführt werden". Das war ein harter Satz, aber kein Verbot und das Berufsrecht war dort gar nicht Gegenstand.

Seither hat sich die Lage messbar verschoben:

Zeitpunkt Ereignis
24.11.2022 DSK-Festlegung: Nachweis auf Basis des damaligen Datenschutznachtrags nicht führbar; kein Verbot, Berufsrecht nicht Gegenstand
04/2024 DATEV-Stellungnahme: Einsatz grundsätzlich möglich, Zusatzvereinbarung genügt § 62a StBerG
Februar 2025 Microsoft schließt die EU Data Boundary ab; auch technische Supportdaten bleiben in EU und EFTA
14.11.2025 HBDI nach Verhandlungen mit Microsoft: M365 kann in Hessen datenschutzkonform genutzt werden
08.07.2026 VISCHER-Matrix (Schweiz) bewertet M365-Nutzung mit Berufsgeheimnissen als möglich, mit Auflagen

Der HBDI-Befund gilt formal für Hessen; es ist gleichwohl die erste umfassende positive Bewertung einer deutschen Aufsichtsbehörde. Und der Blick in die Schweiz lohnt, weil die Wirtschaftskanzlei VISCHER dort eine laufend gepflegte Bewertungsmatrix gängiger KI- und Cloud-Tools veröffentlicht. Für Microsoft 365 Copilot mit Berufsgeheimnissen lautet ihr Befund:

„Möglich, sofern die nötigen Zusätze abgeschlossen werden und ohne Nutzung von Bing Search und ohne Anthropic-Modelle." (VISCHER, Stand 08.07.2026)

Die Systematik dahinter ist übertragbar und deckt sich mit dem deutschen Rahmen: Zusätze abschließen, Konfiguration prüfen, Risikoentscheid dokumentieren.

Bleibt der CLOUD Act

Einen Punkt kann man nicht wegmoderieren: Microsoft ist ein US-Anbieter und der CLOUD Act gilt unabhängig davon, wo Daten gespeichert sind. Das betrifft jede Kanzlei mit Microsoft 365 genauso wie jeden anderen US-Clouddienst. Microsofts eigener Transparenzbericht zeigt, wie selten Herausgaben von Enterprise-Inhalten tatsächlich sind, dokumentiert seit 2025 aber auch erste Fälle mit EU-Bezug. Was der CLOUD Act genau regelt, was die Zahlen hergeben und was dagegen hilft, haben wir in einem eigenen Beitrag aufgeschrieben: Der CLOUD Act, nüchtern erklärt.

Die Checkliste für die Kanzlei

  1. Zusatzvereinbarung abschließen. Für Berufsgeheimnisträger, über den Microsoft-Partner; Abschlussdatum notieren, Wiedervorlage vor Ablauf der 36 Monate.
  2. Dokumentieren. Aktuellen AVV und Produktbedingungen ablegen; die Nutzung festhalten (welche Dienste, welche Daten), wie es die Rechenschaftspflicht der DSGVO verlangt.
  3. Konfiguration prüfen. Insbesondere Websuche-Funktionen, bevor Mandantendaten im Spiel sind.
  4. Einordnung behalten. Die rechtliche Bewertung bleibt Sache der Kanzlei; im Zweifel Berufskammer oder Anwalt fragen.

Für KI-Funktionen gelten eigene Prüfpunkte, die über diesen Beitrag hinausgehen; unsere quellenbelegte Gegenüberstellung zu Microsoft 365 Copilot behandelt sie im Detail. Und weil uns die Frage oft gestellt wird: SOFI ersetzt Microsoft 365 nicht, sondern bindet es als Datenquelle an, vom Postfach bis SharePoint; wie das zusammenspielt, zeigt SOFI for Tax. Die Grundlagen zum Berufsgeheimnis beim KI- und Cloud-Einsatz stehen im Ratgeber zum § 203 StGB.

Dieser Beitrag ist eine allgemeine redaktionelle Einordnung (Stand Juli 2026) und keine Rechtsberatung. Für die Beurteilung konkreter Sachverhalte wende dich an einen Rechtsanwalt oder deine Berufskammer.

Quellen

Zurück zur Übersicht

Weitere Beiträge

Fachartikel, 3 Min. Lesezeit

DATEV DMS mit KI auswerten

DATEV DMS mit KI auswerten: wie Kanzleien Dokumente, Belege und Bescheide aus dem Dokumentenmanagement strukturiert erfassen und durchsuchbar machen.

Fachartikel, 3 Min. Lesezeit

KI in der Steuerkanzlei scheitert am Datenzugriff

Warum KI-Projekte in Steuerkanzleien am Datenzugriff scheitern: Die Modelle sind gut genug, aber ohne kontrollierte DATEV-Anbindung bleibt KI ein Textgenerator.