§ 62a StBerG: Dienstleister für Bankbuchungen und OPOS-Abstimmung einsetzen

Wann greift § 62a StBerG bei ausgelagerter Bank- und OPOS-Arbeit?

§ 62a StBerG regelt, unter welchen Voraussetzungen Steuerberater und Steuerbevollmächtigte einem Dienstleister den Zugang zu Tatsachen eröffnen dürfen, die ihrer Verschwiegenheitspflicht nach § 57 Abs. 1 StBerG unterliegen. Dienstleister ist nach Absatz 1 jede andere Person oder Stelle, die die Kanzlei im Rahmen ihrer Berufsausübung mit Dienstleistungen beauftragt. Der Zugang ist erlaubt, soweit er für die Inanspruchnahme der Dienstleistung erforderlich ist.

Wer Kontoumsätze eines Mandanten kontieren und Zahlungen offenen Posten zuordnen lässt, eröffnet genau diesen Zugang. Ein Kontoauszug und eine OPOS-Liste enthalten Kunden und Lieferanten des Mandanten, Beträge, Zahlungsziele, Gehalts- und Darlehenszahlungen. Das gilt unabhängig vom Arbeitsweg: Ob der Dienstleister per Fernzugriff im DATEV der Kanzlei bucht oder Kontoumsätze und OPOS-Liste als Datei erhält und einen Buchungsstapel zurückgibt, ändert an der Einordnung nichts.

Die Tätigkeit selbst, das Buchen laufender Geschäftsvorfälle, nennt § 6 StBerG (Buchen laufender Geschäftsvorfälle) als Ausnahme vom Verbot der unbefugten Hilfeleistung in Steuersachen. § 62a StBerG beantwortet eine andere Frage: nicht, ob der Dienstleister die Arbeit ausführen darf, sondern ob die Kanzlei ihm dafür Mandatsgeheimnisse zugänglich machen darf.

Welche Pflichten hat die Kanzlei nach § 62a Abs. 2 und 3 StBerG?

Das Gesetz nennt vier Pflichten, die bei jeder Beauftragung zu erfüllen sind:

1. Sorgfältige Auswahl (Abs. 2 Satz 1). Das Gesetz gibt keine Kriterien vor. Nachvollziehbar dokumentieren lassen sich Qualifikation der eingesetzten Personen, Arbeitsweg, Zugriffskonzept, eingesetzte Systeme und Unterauftragnehmer.
2. Beendigung bei fehlender Gewähr (Abs. 2 Satz 2). Die Zusammenarbeit ist unverzüglich zu beenden, wenn nicht gewährleistet ist, dass der Dienstleister die vertraglichen Vorgaben aus Absatz 3 einhält. Der Vertrag sollte deshalb ein Kündigungsrecht ohne Frist für diesen Fall vorsehen.
3. Vertrag in Textform (Abs. 3 Satz 1). Textform bedeutet nach § 126b BGB eine lesbare Erklärung auf einem dauerhaften Datenträger, in der die Person des Erklärenden genannt ist. Eine eigenhändige Unterschrift nennt die Vorschrift nicht.
4. Drei Pflichtinhalte (Abs. 3 Satz 2). Der Dienstleister ist unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten (Nr. 1). Er ist zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als es zur Vertragserfüllung erforderlich ist (Nr. 2). Und es ist festzulegen, ob er weitere Personen zur Vertragserfüllung heranziehen darf (Nr. 3).

Die Belehrung bezieht sich auf § 203 StGB. Nach § 203 Abs. 3 Satz 2 StGB dürfen Berufsgeheimnisträger fremde Geheimnisse gegenüber sonstigen mitwirkenden Personen offenbaren, soweit das für die Inanspruchnahme ihrer Tätigkeit erforderlich ist. Die mitwirkende Person macht sich nach § 203 Abs. 4 Satz 1 StGB selbst strafbar, wenn sie ein solches Geheimnis unbefugt offenbart; das Gesetz sieht Freiheitsstrafe bis zu einem Jahr oder Geldstrafe vor. Nach § 203 Abs. 4 Satz 2 Nr. 1 StGB wird ebenso bestraft, wer als Berufsträger nicht dafür gesorgt hat, dass eine mitwirkende Person, die unbefugt offenbart, zur Geheimhaltung verpflichtet wurde.

Wann muss der Mandant einwilligen (§ 62a Abs. 5 StBerG)?

Nach Absatz 5 darf die Kanzlei bei Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, den Zugang zu fremden Geheimnissen nur eröffnen, wenn der Mandant darin eingewilligt hat. Die Abgrenzung verläuft zwischen Leistungen für den Kanzleibetrieb insgesamt, etwa IT-Betrieb oder Aktenvernichtung, und Leistungen für ein bestimmtes Mandat.

Ein Beispiel zeigt, warum die Bank- und OPOS-Arbeit in der Regel mandatsbezogen ist. Die Kanzlei lässt für das Mandat Werkstatt Ruhr GmbH den Oktober bearbeiten. Am 14.10.2026 gehen 2.874,26 € von der Brandt Elektrotechnik ein, die damit zwei Rechnungen begleicht (vereinfacht, SKR03, Sachkontenlänge 4):

Um diese zwei Zeilen zu erzeugen, sieht der Dienstleister den Namen des Kunden, die Rechnungsnummern, die Beträge und das Zahlungsverhalten. Jede dieser Angaben gehört zu genau einem Mandat. Nach unserer Lesart dient die Leistung damit unmittelbar dem einzelnen Mandat; die Kanzlei sollte deshalb von der Einwilligungspflicht nach Absatz 5 ausgehen.

Drei Punkte sind dabei zu beachten:

• Form. § 62a Abs. 5 StBerG schreibt für die Einwilligung keine Form vor. Die Textform ist eine Empfehlung, weil die Kanzlei die Einwilligung im Streitfall nachweisen muss.
• Die übrigen Pflichten bleiben. Nach Absatz 6 gelten die Absätze 2 und 3 auch dann, wenn der Mandant eingewilligt hat, es sei denn, er hat ausdrücklich auf ihre Einhaltung verzichtet.
• Zeitpunkt. Die Einwilligung muss vorliegen, bevor der Dienstleister Daten des Mandats erhält. Das gilt auch für ein Probemandat.

Ob eine Klausel in den allgemeinen Auftragsbedingungen der Kanzlei als Einwilligung ausreicht, lässt sich dem Gesetzestext nicht entnehmen. Ein Fachbeitrag in „Kanzleiführung professionell“ (IWW Institut, 18.04.2024) rät, die Möglichkeit der Auslagerung in der Mandatsvereinbarung mit dem Mandanten zu regeln. Klären Sie die Form mit Ihrer Steuerberaterkammer oder berufsrechtlich; eine gesonderte Erklärung je Mandat ist der vorsichtigere Weg.

Für die Außendarstellung folgt daraus eine klare Grenze. White-Label heißt, dass der Dienstleister gegenüber dem Mandanten nicht auftritt: kein eigener Kontakt, kein eigenes Logo, keine eigene Rechnung an den Mandanten. Es heißt nicht, dass der Einsatz des Dienstleisters dem Mandanten gegenüber verschwiegen wird. Wie eine solche Zusammenarbeit bei Abstimmwerk aufgebaut ist, beschreibt die Seite White-Label für Steuerkanzleien: Bankbuchungen und OPOS-Abstimmung. Organisatorische Fragen der Auslagerung behandelt der Beitrag Bankbuchungen und OPOS-Abstimmung als Steuerkanzlei auslagern.

Unterauftragnehmer und Leistungen im Ausland (Abs. 3 Nr. 3, Abs. 4)

Der Vertrag muss festlegen, ob der Dienstleister weitere Personen heranziehen darf. Ist das erlaubt, muss dem Dienstleister auferlegt werden, diese Personen ihrerseits in Textform zur Verschwiegenheit zu verpflichten. Wer zu den weiteren Personen zählt, sagt das Gesetz nicht. Vorsichtig ausgelegt sind das nicht nur freie Mitarbeiter, sondern auch Rechenzentrums- und Hosting-Anbieter sowie Anbieter von KI-Schnittstellen, sobald sie Zugang zu Mandatsdaten erhalten können.

Prüffragen an den Dienstleister:

• Welche Unterauftragnehmer können auf welche Daten zugreifen, und an welchem Standort?
• Liegt für jeden eine Verschwiegenheitsverpflichtung in Textform vor?
• Welche Daten sieht eine eingesetzte KI-Komponente: Klardaten oder pseudonymisierte Daten?
• Wie wird die Kanzlei informiert, bevor ein Unterauftragnehmer wechselt?

Für Dienstleistungen, die im Ausland erbracht werden, verlangt Absatz 4 zusätzlich, dass der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, der Schutz der Geheimnisse gebietet das nicht. Diese Prüfung liegt bei der Kanzlei. Eine Leistungserbringung im Inland erspart sie.

Bei Abstimmwerk unterstützt KI nur bei Klärfällen und erhält ausschließlich pseudonymisierte Daten; die Zuordnung der Zahlungen erfolgt durch eine deterministische Abstimm-Engine. Wie die Einstufung der Buchungen funktioniert, erläutert der Beitrag zur Konfidenz bei der KI-gestützten Bankabstimmung.

Wie verhält sich § 62a StBerG zu Art. 28 DSGVO?

§ 62a Abs. 8 StBerG stellt klar, dass die Vorschriften zum Schutz personenbezogener Daten unberührt bleiben. Berufsrecht und Datenschutzrecht gelten nebeneinander und schützen Verschiedenes: das Berufsrecht das Mandatsgeheimnis, auch von juristischen Personen, die DSGVO personenbezogene Daten natürlicher Personen. Ein Auftragsverarbeitungsvertrag ersetzt deshalb die Verpflichtung nach § 62a Abs. 3 StBerG nicht, und umgekehrt.

Ob ein Dienstleister, der weisungsgebunden für die Kanzlei bucht, datenschutzrechtlich Auftragsverarbeiter ist, hängt von der konkreten Ausgestaltung ab und ist im Einzelfall zu prüfen. In der Praxis werden beide Verträge geschlossen, ergänzt um die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

Checkliste: Vertragspaket, Pflicht und Empfehlung

Reihenfolge für die Umsetzung:

1. Auswahl dokumentieren, Unterauftragnehmer und Arbeitsweg klären.
2. Dienstleistungsvertrag mit Verschwiegenheitsverpflichtung und Belehrung in Textform schließen.
3. Auftragsverarbeitungsvertrag und technische und organisatorische Maßnahmen prüfen und schließen.
4. Einwilligung des Mandanten einholen und zur Mandatsakte nehmen.
5. Zugriffe einrichten oder Datenaustausch festlegen; erst danach Daten übergeben.
6. Einhaltung in festen Abständen prüfen und das Ergebnis festhalten.

Dieser Beitrag gibt den Gesetzesstand wieder und ersetzt keine berufsrechtliche Beratung. Auslegungsfragen klären Sie mit Ihrer Steuerberaterkammer.

Quellen und Stand

Stand: 11.11.2026. Alle Quellen abgerufen am 11.11.2026.

• § 62a StBerG – Inanspruchnahme von Dienstleistungen (gesetze-im-internet.de)
• § 6 StBerG – Ausnahmen vom Verbot der unbefugten Hilfeleistung in Steuersachen (gesetze-im-internet.de)
• § 126b BGB – Textform (gesetze-im-internet.de)
• § 203 StGB – Verletzung von Privatgeheimnissen (gesetze-im-internet.de)
• Verordnung (EU) 2016/679 (DSGVO), Art. 28 und 32 (EUR-Lex)
• Kanzleiführung professionell (IWW Institut), 18.04.2024: Berufsrechtliche Voraussetzungen für die Auslagerung von Buchhaltungsdienstleistungen

Häufige Fragen

Abstimmwerk bucht für Steuerkanzleien die Kontoumsätze ihrer DATEV-Mandate und stimmt jeden Monat alle Konten ab: Kontenabstimmung in DATEV · Bankbuchungen in DATEV · OPOS-Abstimmung in DATEV · White-Label für Kanzleien · Festpreise je Mandat

Weiterlesen

Den ganzen Monatsablauf von der Datenbasis bis zur Festschreibung beschreibt der Praxis-Guide zur Bank- und OPOS-Abstimmung mit DATEV.