Aktuelle Cyberangriffe auf externe Dienstleister zeigen, dass nicht nur große IT-Unternehmen, sondern auch kleinere spezialisierte Anbieter zunehmend in den Fokus von Cyberkriminellen geraten. So waren bei einem Angriff auf einen Fotodienstleister umfangreiche personenbezogene Daten von Kunden und deren Auftraggebern betroffen. Auch die Uniklinik Köln infor-mierte über einen Cyberangriff auf einen externen Abrechnungsdienstleister, bei dem Daten von rund 30.000 Patienten abgegriffen wurden, darunter insbesondere Namen, Adressen, Behandlungsdaten und einzelne Finanzdaten.
Die Fälle verdeutlichen, dass externe Dienstleister ein erhebliches Einfallstor für Datenschutz-vorfälle darstellen können. Dies ist auch für Steuerberater von Bedeutung, die bei der Verar-beitung von Mandantendaten regelmäßig auf externe Dienstleister zurückgreifen.
Beauftragt ein Steuerberater etwa ein Rechenzentrum, einen Lohnabrechnungsdienstleister oder den Anbieter eines Dokumentenmanagementsystems mit der Verarbeitung personenbezogener Daten, bleibt er als Verantwortlicher nach der Datenschutz-Grund-verordnung (DSGVO) grundsätzlich für die Verarbeitung verantwortlich. Der Auftragsver-arbeiter handelt insoweit als „verlängerter Arm“ des Verantwortlichen. Ein Datenschutzvorfall beim Dienstleister kann daher auch für den Steuerberater Pflichten auslösen, etwa zur Meldung gegenüber der zuständigen Aufsichtsbehörde oder zur Benachrichtigung betroffener Mandanten.
Der Bundesgerichtshof (BGH) hat die Pflichten des Verantwortlichen gegenüber Auftragsver-arbeitern in seinem Urteil vom 11. November 2025 (Az.– VI ZR 396/24) weiter konkretisiert. Danach muss der Verantwortliche insbesondere sicherstellen, dass personenbezogene Daten nach Beendigung einer Auftragsverarbeitung tatsächlich gelöscht oder zurückgegeben werden. Verbleiben Daten entgegen den getroffenen Vereinbarungen beim Auftragsverarbeiter und werden später etwa infolge eines Cyberangriffs abgegriffen und im Darknet veröffentlicht oder angeboten, kann bereits der Verlust der Kontrolle über diese Daten einen immateriellen Schaden i. S. d. Art. 82 Abs. 1 DSGVO begründen.
ISO-27001-Zertifizierung allein genügt nicht
Auch eine ISO-27001-Zertifizierung des Dienstleisters ersetzt die erforderliche Kontrolle nicht. Sie belegt grundsätzlich, dass ein Informationssicherheitsmanagementsystem eingerichtet wurde und dieses zum Zeitpunkt der Zertifizierung den Anforderungen der Norm entsprach. Daraus lässt sich jedoch nicht ohne Weiteres ableiten, dass die für das konkrete Auftragsverhältnis vereinbarten technischen und organisatorischen Maßnahmen (TOM) tatsächlich vollständig umgesetzt wurden.
Insbesondere lässt sich anhand einer ISO-27001-Zertifizierung regelmäßig nicht abschließend beurteilen, ob beispielsweise vereinbarte Maßnahmen zur Verschlüsselung, Protokollierung oder Zugriffskontrolle für die konkret eingesetzten Systeme und im vereinbarten Umfang umgesetzt werden. Auch ein Statement of Applicability (SoA) stellt für sich genommen keinen vollständigen Nachweis über die tatsächliche Umsetzung sämtlicher vertraglich vereinbarter Schutzmaßnahmen dar.
Soweit ein konkreter Nachweis über die Umsetzung der vereinbarten TOM erforderlich ist, sollten daher ergänzende Unterlagen eingeholt werden. In Betracht kommen beispielsweise detaillierte Beschreibungen der technischen und organisatorischen Maßnahmen, Prüf- und Auditberichte oder Ergebnisse von Penetrationstests.
Steuerberater sollten deshalb nicht allein auf Zertifizierungen des Auftragsverarbeiters vertrauen, sondern die vereinbarten Schutzmaßnahmen angemessen kontrollieren und entsprechende Nachweise dokumentieren. Dies gilt sowohl bei der Auswahl und während der Zusam-menarbeit als auch bei deren Beendigung. Auf diese Weise können Risiken für Mandantendaten frühzeitig erkannt und mögliche Haftungsfolgen bei Datenschutzvorfällen reduziert werden.
