Als PDF downloaden - Haufe.de

Der Gesetzgeber
verpflichtet auch
die Kanzleien dazu,
sich mit dem Thema
Datenschutz intensiv
auseinanderzusetzen.
Prüfung der Arbeitsabläufe
und der IT-Struktur in der Kanzlei
Die Zusammenarbeit startete mit einer Prüfung
der Arbeitsabläufe sowie der IT-Struktur
in der Kanzlei. So wurde ein Turnus für den
Wechsel von Passwörtern eingeführt und die
IT-Sicherheit verbessert. Mandantendaten liegen
ausschließlich auf dem Kanzleiserver.
Die Arbeitsplatzrechner, sogenannte Thin
Clients, speichern keine Daten, sondern nehmen
Verbindung mit dem Windows Terminal
Server auf. Dieser steht in einem verschlossenen,
klimatisierten Raum mit Notstromversorgung,
zu dem nur wenige Personen
Zutritt haben. Dazu zählen die Mitarbeiter
des IT-Systempartners.
Auch bei Fremdfirmen wie IT-Systempartnern,
Reparaturdiensten oder Aktenvernichtern
werden Kanzleien per BDSG zu einer
sorgfältigen Auswahl und einem schriftlichen
Auftrag verpflichtet, in dem festgelegt wird,
wie diese mit den Daten umgehen müssen.
„Wer hundertprozentigen Datenschutz will,
darf wahrscheinlich keine Daten haben“,
lautet die nüchterne Erkenntnis von StB
Carsten Schulz. Dabei nutzt HSP eine zeitgemäße
technische Infrastruktur. Sämtliche
Notebooks verwenden einen Fingerabdruck-
Scanner zur Identifikation des Nutzers. Daten
werden auf der Festplatte verschlüsselt abgelegt.
Mandantendaten liegen im Rechenzentrum
der Datev.
Bei deren ASP-System gilt das Prinzip Besitz
und Wissen: Der Anwender benötigt eine
Smart Card, die mit einem USB-Anschluss
verbunden wird, zusätzlich gibt der Nutzer
sein Kennwort ein, um eine Verbindung zum
Server aufzubauen. „Selbst wenn Rechner
und Smart Card entwendet werden, kann
der Dieb damit nichts anfangen“, sagt Schulz.
Das gleiche Prinzip kommt bei Datev Net Pro
Mobil zum Einsatz: Ist der Steuerberater mit
Smartphone und Tablet-PC unterwegs, muss
er beispielsweise ein Kennwort eingeben.
Der zweite Schlüssel für die Datenverbindung
zum Server ist eine Nummer (TAN),
die per SMS auf das Smartphone oder Handy
geschickt wird. „Wichtig ist, dass es sich um
zwei getrennte Geräte handelt“, so Schulz.
Sicherheit in der
Kommunikation oft vernachlässigt
So groß Datenschutz bei der IT-Infrastruktur
geschrieben wird, in der Kommunikation
mit dem Mandanten sieht es oft anders aus.
E-Mails sind so offen wie Postkarten und
viele Mandanten hängen Word- oder Excel-
Dateien mit persönlichen beziehungsweise
geschäftlichen Daten dran. Die HSP Gruppe
verschickt ihre Mails signiert, das bedeutet,
der Empfänger kann sicher sein, von wem er
oder sie die elektronische Nachricht erhalten
» Tipps für den Datenschutz in der Kanzlei
StB Willy Klöcker seine Entscheidung, die
der Kanzleichef bereits vor sechs Jahren
getroffen hat. Die Kanzlei Klöcker Ravenberg
Meintrup aus dem nordrhein-westfälischen
Ladbergen beschäftigt 16 Mitarbeiter. Bei der
Größe ist ein DSB Pflicht, doch will Klöcker
nicht auf die Arbeitskraft eines Mitarbeiters
verzichten, wenn sich dieser weiterbildet
beziehungsweise seiner Aufgabe als DSB
widmet. Der externe DSB kommt regelmäßig
nach Voranmeldung in die Kanzlei, bespricht
mit den Mitarbeitern aktuelle Themen und
Neuerungen. Dabei bringt er Erfahrung und
Wissen aus anderen Unternehmen mit ein,
wie diese die gesetzlichen Vorschriften in die
Praxis umsetzen.
Folgende Punkte sollten Steuerkanzleien in
Zusammenhang mit dem Datenschutz im Blick haben:
Schriftliche Ernennung eines Datenschutzbeauftragten (ab dem 10. Mitarbeiter,
BDSG §4 f.)
Zugangsschutz bei allen Geräten per Kennwort beziehungsweise Fingerabdruck-
Scanner (Laptop, Tischrechner, Smartphones, Tablet-PCs)
Regelmäßige Änderung der Passwörter
Datensicherung (Backups) und deren Aufbewahrung (am besten außerhalb der
Kanzlei)
Zugangskontrolle zum Server-Raum sowie dem Archiv
Server in der Kanzlei: unterbrechungsfreie Stromversorgung, Einbruch-, Brand- und
Wasserschutz
Server in einem Rechenzentrum: Referenzen, Qualitätssiegel wie z.B. ISO 27001
zur IT-Sicherheit
Datenvernichtung (digital und Papier) über Dienstleister oder eigenen Schredder
(es existieren fünf Sicherheitsstufen)
Internetrichtlinie: Private Mail- und Internetnutzung, Nutzung von Cloud-Speicherdiensten
Zugangskontrolle zu den Räumlichkeiten: besetzter Empfang
Datenschutzhinweise auf der Kanzleiwebsite (Cookies, Google-Analytics etc.)
Regelung über telefonische Auskünfte
Schriftliche Datenschutzvereinbarung für die Mitarbeiter
Information an Mandanten über Art der Datenverarbeitung und -speicherung
Quelle: Autor
www.steuer-consultant.de
2 _ 13 SteuerConsultant 45