Anlage 3 zum Auftragsverarbeitungsvertrag

Verpflichtung zur Verschwiegenheit nach § 62a StBerG

Fassung vom 28.09.2026 | Leistung: „Abschlussplaner"

Beteiligte

Berufsgeheimnisträgerin / Auftraggeberin (Kanzlei)

Mitwirkende Person im Sinne des § 62a StBerG (Dienstleister)

1. Anlass und Gegenstand

(1) Die Kanzlei bedient sich der Hoffmann & Stolzenberg Kanzlei Operating Systems UG (haftungsbeschränkt) – nachfolgend „KanzleiOS" – als Dienstleisterin für die Bereitstellung und den Betrieb der Web-Anwendung „Abschlussplaner". Die Anwendung dient der Planung von Jahresabschluss-Aufträgen der Kanzlei.

(2) Im Rahmen des Betriebs, der Fehlerbehebung und der Datensicherung hat KanzleiOS technisch Zugriff auf die in der Instanz der Kanzlei gespeicherten Daten. Diese Daten – insbesondere Mandantennamen, Mandantennummern, Auftragsarten, Fristen und Honorare – sind Tatsachen, die der Kanzlei in ihrer Eigenschaft als Steuerberaterin bzw. Steuerberatungsgesellschaft anvertraut oder bekannt geworden sind. Sie unterliegen der beruflichen Verschwiegenheitspflicht nach § 57 Abs. 1 StBerG.

(3) Die Kanzlei ist nach § 62a Abs. 1 StBerG berechtigt, Dienstleistenden Zugang zu fremden Geheimnissen zu eröffnen, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Nach § 62a Abs. 3 StBerG ist der Vertrag mit dem Dienstleister in Textform zu schließen; darin ist der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten. Diese Verpflichtung erfolgt mit dieser Anlage.

(4) Diese Anlage ist Bestandteil des zwischen den Parteien geschlossenen Auftragsverarbeitungsvertrags nach Art. 28 DSGVO und tritt neben die dort geregelten datenschutzrechtlichen Pflichten. Sie ersetzt diese nicht.

2. Belehrung

KanzleiOS und die für KanzleiOS tätigen Personen werden hiermit über Folgendes belehrt:

(1) § 203 StGB – Verletzung von Privatgeheimnissen. Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als mitwirkender Person einer Steuerberaterin oder eines Steuerberaters anvertraut worden oder sonst bekannt geworden ist, macht sich strafbar. Nach § 203 Abs. 4 StGB gilt dies auch für Personen, die im Rahmen der Vorbereitung auf den Beruf oder im Rahmen einer Tätigkeit für eine berufsgeheimnisverpflichtete Person mitwirken. Der Verstoß ist mit Freiheitsstrafe oder Geldstrafe bedroht. Der Versuch kann strafbar sein. Die Strafbarkeit besteht auch nach dem Tod der betroffenen Person und nach Beendigung der Tätigkeit fort.

(2) § 62a StBerG – Inanspruchnahme von Dienstleistungen. Steuerberaterinnen und Steuerberater dürfen Dienstleistenden den Zugang zu fremden Geheimnissen eröffnen, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Dienstleistende sind zur Verschwiegenheit zu verpflichten und über die strafrechtlichen Folgen einer Pflichtverletzung zu belehren. Sie dürfen fremde Geheimnisse nur offenbaren oder verwerten, soweit dies zur Erbringung der Dienstleistung erforderlich ist.

(3) Weitergabe innerhalb der Leistungskette. Nimmt KanzleiOS ihrerseits Dritte in Anspruch, die Zugang zu den Geheimnissen erhalten können, so hat KanzleiOS diese nach Maßgabe von § 62a Abs. 3 Nr. 3 StBerG ebenfalls zur Verschwiegenheit zu verpflichten und entsprechend zu belehren.

(4) Berufsrechtliche und zivilrechtliche Folgen. Eine Verletzung der Verschwiegenheitspflicht kann neben strafrechtlichen Folgen auch Schadensersatzansprüche sowie eine außerordentliche Kündigung der Vertragsbeziehung nach sich ziehen.

3. Verpflichtungserklärung von KanzleiOS

KanzleiOS verpflichtet sich gegenüber der Kanzlei:

(1) über alle fremden Geheimnisse, die KanzleiOS im Zusammenhang mit der Erbringung der Dienstleistung anvertraut werden oder sonst bekannt werden, Verschwiegenheit zu bewahren und sie weder unbefugt zu offenbaren noch zu verwerten;

(2) von den Daten nur insoweit Kenntnis zu nehmen und sie nur insoweit zu verarbeiten, wie dies für den Betrieb der Anwendung, für die Fehlerbehebung und für die Datensicherung erforderlich ist;

(3) die Daten nicht für eigene Zwecke zu nutzen, insbesondere nicht zu Auswertungs-, Statistik-, Trainings-, Referenz- oder Vermarktungszwecken;

(4) Auskünfte an Dritte – auch an Behörden – nicht ohne vorherige Abstimmung mit der Kanzlei zu erteilen, soweit dem keine gesetzliche Pflicht entgegensteht; besteht eine gesetzliche Auskunftspflicht, informiert KanzleiOS die Kanzlei unverzüglich, sofern dies rechtlich zulässig ist;

(5) die Verpflichtung zur Verschwiegenheit zeitlich unbegrenzt und damit auch nach Beendigung der Vertragsbeziehung einzuhalten;

(6) nach Beendigung der Vertragsbeziehung sämtliche Unterlagen, Datenträger und Daten nach Maßgabe des Auftragsverarbeitungsvertrags herauszugeben oder zu löschen und nichts zurückzubehalten.

4. Verpflichtung der eingesetzten Personen

(1) KanzleiOS verpflichtet alle natürlichen Personen, die im Rahmen der Leistungserbringung Zugang zu Daten der Kanzlei erhalten können – insbesondere Geschäftsführung, Beschäftigte, freie Mitarbeitende und sonstige Beauftragte –, vor Aufnahme der Tätigkeit schriftlich oder in Textform zur Verschwiegenheit nach § 62a StBerG und belehrt sie über § 203 StGB.

(2) KanzleiOS dokumentiert die erfolgten Verpflichtungen und legt sie der Kanzlei auf Anforderung vor.

(3) Derzeit eingesetzte Personen mit möglichem Zugriff:

Außer dem Geschäftsführer haben derzeit keine weiteren Personen Zugriff auf Daten der Kanzlei.

5. Weiterverpflichtung von Unterauftragnehmern (§ 62a Abs. 3 Nr. 3 StBerG)

(1) KanzleiOS setzt zur Leistungserbringung die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, als Betreiberin der Serverinfrastruktur ein: den Cloud-Server im Rechenzentrum Nürnberg und eine Storage Box für Sicherungskopien in Falkenstein/Vogtland. Auf der Storage Box liegen nur mit AES-256 verschlüsselte Stände, deren Schlüssel Hetzner nicht hat. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht seit dem 17.09.2026.

(2) KanzleiOS ist dafür verantwortlich sicherzustellen, dass die Hetzner Online GmbH sowie jeder weitere hinzugezogene Dienstleister, der Zugang zu Geheimnissen der Kanzlei erhalten kann, nach Maßgabe von § 62a Abs. 3 Nr. 3 StBerG zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen belehrt wird.

(3) Eine gesonderte Verpflichtungserklärung der Hetzner Online GmbH nach § 62a StBerG liegt derzeit nicht vor; die Hetzner Online GmbH ist über ihren Auftragsverarbeitungsvertrag zur Vertraulichkeit verpflichtet. KanzleiOS bemüht sich um eine gesonderte Erklärung.

(4) KanzleiOS informiert die Kanzlei unverzüglich, sobald der Nachweis nach Absatz 3 vorliegt oder sobald feststeht, dass er nicht beigebracht werden kann.

(4a) Der Versand der Anmelde-Mails läuft über die Resend, Inc., USA (siehe AVV Anlage 2). Übermittelt werden nur E-Mail-Adressen, Anzeigenamen und Anmeldecodes der Mitarbeitenden der Kanzlei, keine Mandantendaten. Nach Auffassung von KanzleiOS erhält Resend damit keinen Zugang zu fremden Geheimnissen im Sinne des § 57 StBerG.

(5) Vor der Hinzuziehung weiterer Dienstleister mit möglichem Zugang zu Geheimnissen gilt das Verfahren nach § 7 des Auftragsverarbeitungsvertrags. Die Verpflichtung nach Absatz 2 ist Voraussetzung der Hinzuziehung.

6. Technische Absicherung des Geheimnisschutzes

Ergänzend zu dieser Verpflichtung gelten die im Auftragsverarbeitungsvertrag (Anlage 1) beschriebenen technischen und organisatorischen Maßnahmen, insbesondere:

• Anmeldung ausschließlich mit zweitem Faktor (TOTP); Konten werden nur durch KanzleiOS angelegt,
• je Kanzlei eine eigene Instanz mit eigener Datenbank und eigenem Betriebssystem-Nutzer, keine gemeinsame Datenbank; gemessen: keine Instanz kann die Datenbank einer anderen lesen,
• Anfragen an eine Instanz nur mit einem kanzleieigenen Geheimnis über den Anmeldedienst,
• Transportverschlüsselung über TLS,
• verschlüsselte tägliche Sicherungen mit Rücklesen und Prüfsumme, zusätzlich verschlüsselt auf einer Storage Box in Falkenstein,
• administrativer Serverzugriff ausschließlich über SSH-Schlüssel,
• Protokollierung der Anmeldungen am Anmeldedienst und der SSH-Anmeldungen am Server (eine Aufzeichnung jedes einzelnen Datenzugriffs gibt es nicht, siehe TOM O6).

7. Geltungsdauer

Diese Verpflichtung gilt ab Vertragsschluss, überdauert die Beendigung des Auftragsverarbeitungsvertrags und des Hauptvertrags und ist zeitlich unbefristet.

Abschluss

Die Verpflichtung wird im Online-Bestellvorgang von KanzleiOS in Textform (§ 62a Abs. 3 StBerG) vereinbart. Die Kanzlei erklärt die Verpflichtung mit Absenden der Bestellung; KanzleiOS erklärt:

Hiermit bestätige ich, die vorstehende Belehrung zur Kenntnis genommen und verstanden zu haben, und verpflichte mich für die Hoffmann & Stolzenberg Kanzlei Operating Systems UG (haftungsbeschränkt) sowie persönlich zur Verschwiegenheit nach § 62a StBerG.

Jona Hoffmann, Geschäftsführer Hoffmann & Stolzenberg Kanzlei Operating Systems UG (haftungsbeschränkt)