Ein eigener Praxis-Server oder ein gemieteter? Worauf es für Steuerberater wirklich ankommt

Die Serverfrage stellt eine Kanzlei ihrem IT-Dienstleister, und sie kommt als Hardwarefrage zurück: Rechenleistung, Speicherplatz, Laufzeit, Preis. Die drei Stellen, die diese Entscheidung später überprüfen, fragen nach anderem:

• Der Betriebsprüfer: Fragt nach Aufbewahrungsfristen und danach, ob die Ablage nachvollziehbar ist.
• Der Mandant: Fragt, wer außer der Kanzlei seine Unterlagen sehen kann.
• Die Berufsaufsicht: Fragt nach einem Vertrag in Textform.

Sobald diese drei Antworten vorliegen, ist die Serverfrage beantwortet; bis dahin ist sie eine Beschaffungsentscheidung im Gewand einer Compliance-Entscheidung.

Erst der Vertrag, dann die Maschine

Steuerberater und Steuerbevollmächtigte stehen in § 203 Absatz 1 Nummer 3 StGB unter den Berufsgeheimnisträgern. Seit dem Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen vom 9. November 2017 (BGBl. I S. 3618) dürfen sie externe Dienstleister einbeziehen, ohne dafür die Einwilligung jedes einzelnen Mandanten einzuholen.

Die Steuerberaterkammer München hat die Neuregelung damals als Rechtssicherheit für genau diesen Fall beschrieben. Ein Rechenzentrum, das Kanzleidaten hält, ist ein solcher Dienstleister.

Die Bedingungen stehen in § 62a StBerG:

• Absatz 2 (Sorgfaltspflicht): Verpflichtet die Kanzlei, den Dienstleister sorgfältig auszuwählen und die Zusammenarbeit unverzüglich zu beenden, sobald die Einhaltung der Vorgaben fraglich wird.
• Absatz 3 (Form- und Inhaltsvorschriften): Verlangt einen Vertrag in Textform, in dem der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit verpflichtet wird. Er muss sich verpflichten, sich nur so weit Kenntnis von fremden Geheimnissen zu verschaffen, wie es zur Vertragserfüllung erforderlich ist, und festlegen, ob er weitere Personen heranziehen darf. Darf er es, muss er diese Personen ihrerseits in Textform zur Verschwiegenheit verpflichten.
• Absatz 4 (Auslandsgrenze): Für Dienstleistungen im Ausland ist der Zugang zu fremden Geheimnissen nur eröffnet, soweit der Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist.

Diese Pflicht ist strafbewehrt: Wer als Berufsgeheimnisträger versäumt, mitwirkende Personen zur Geheimhaltung zu verpflichten, macht sich nach § 203 Absatz 4 Satz 2 Nummer 1 StGB selbst strafbar (Freiheitsstrafe bis zu einem Jahr oder Geldstrafe). Der Vertrag gehört damit zu den Teilen der Serverentscheidung, die die Kanzlei selbst herstellt.

So digital die Ablage auch wird, die Fristen bleiben dieselben

Die zweite Pflicht ist älter als jede Cloud-Diskussion. § 147 der Abgabenordnung bindet die Aufbewahrung an Jahre, und die Fristen haben sich zum 1. Januar 2025 durch das Vierte Bürokratieentlastungsgesetz verschoben.

• 10 Jahre: Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte und die Eröffnungsbilanz
• 8 Jahre: Buchungsbelege (seit 2025, zuvor zehn Jahre)
• 6 Jahre: die übrigen aufbewahrungspflichtigen Unterlagen, etwa Geschäfts- und Handelsbriefe

Die IHK Rhein-Neckar führt die drei Fristen im Einzelnen auf; die verkürzte Belegfrist gilt für alle Buchungsbelege, deren Aufbewahrungsfrist zu Beginn des Jahres 2025 noch lief.

Wie die Finanzverwaltung diese Pflichten bei elektronischer Buchführung angewendet sehen will, beschreiben die GoBD, das BMF-Schreiben vom 28. November 2019 in der Fassung des BMF-Schreibens vom 14. Juli 2025. Eine Verfahrensdokumentation, die den Stand von 2019 beschreibt, beschreibt inzwischen einen anderen Stand, und dieses Datum gehört deshalb in die eigene Dokumentation.

Für die Serverfrage folgt daraus eine unbequeme Klarstellung. Adressat dieser Pflichten sind der Steuerpflichtige und die Kanzlei, die für ihn bucht, unabhängig davon, wem die Maschine gehört. Ein Rechenzentrum sagt Verfügbarkeit zu, und die Frist bleibt dort, wo sie das Gesetz hinlegt.

Wer den Server mietet, bleibt Verantwortlicher

Datenschutzrechtlich bleibt die Kanzlei auf beiden Wegen Verantwortliche. Artikel 28 DSGVO legt die Auswahl ausdrücklich in ihre Hand: Sie darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag nach Absatz 3 schreibt vor:

• Verarbeitung ausschließlich auf dokumentierte Weisung
• Vertraulichkeitsverpflichtung aller zugriffsberechtigten Personen
• Einhaltung der Bedingungen für Unterauftragsverarbeiter
• Löschung oder Rückgabe der Daten nach Ende der Leistung

Welche Maßnahmen gemeint sind, konkretisiert Art. 32 DSGVO, unter anderem mit der Verschlüsselung personenbezogener Daten. Beim gemieteten Server betrifft das auch die ruhenden Daten auf den Platten und damit die Frage, wer die Schlüssel verwaltet: der Anbieter oder allein die Kanzlei.

Als Nachweis der Garantien dienen in der Praxis eine Zertifizierung des Anbieters nach ISO 27001 oder ein Testat nach dem C5-Kriterienkatalog des BSI. Beides ersetzt nicht die eigene Prüfung, verkürzt sie aber erheblich.

Beim US CLOUD Act maßgeblich ist die Jurisdiktion, der ein Anbieter unterliegt, nicht die Postleitzahl des Rechenzentrums. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben das in ihrer gemeinsamen Antwort vom 10. Juli 2019 so eingeordnet; bei einer europäischen Tochtergesellschaft eines US-Konzerns steht dieselbe Prüfung an.

Für Übermittlungen in die Vereinigten Staaten gilt seit dem 10. Juli 2023 der Angemessenheitsbeschluss der Kommission zum EU-US Data Privacy Framework. Solche Beschlüsse sind überprüfbar und in der Vergangenheit bereits aufgehoben worden, weshalb die Antwort auf die Sitzfrage ein Haltbarkeitsdatum trägt.

Fällt der Server in der Abgabewoche aus, zählt die letzte Sicherung

Der eigene Kanzleiserver hat einen Vorzug, der sich vertraglich schwer nachbilden lässt: Er steht in einem Raum, zu dem die Kanzlei den Schlüssel hat. Er hat auch eine Schwachstelle, und die lässt sich in vier Fragen stellen:

• Wiederherstellung: Wer spielt die Sicherung ein, und wann wurde das zuletzt geübt?
• Wartung: Wer installiert die Sicherheitsupdates in der letzten Maiwoche, wenn dieselbe Person die Fristenkontrolle führt?
• Zutrittskontrolle: Wer hat physischen Zugang zu dem Raum, in dem die Maschine steht, und ist das dokumentiert?
• Hardware-Alterung: Wie alt sind die Festplatten, auf denen Unterlagen liegen, die zehn Jahre erreichen sollen?

Ein gemieteter dedizierter Server verschiebt genau eine dieser vier Fragen: Der Hardwaretausch wird zur Aufgabe des Betreibers, das Alter der Platten ebenfalls. Sicherung, Updates und Zugriffsrechte bleiben, wo sie waren. Bei einem unverwalteten Server verändert die Miete die Eigentumsverhältnisse an der Maschine, nicht die Zuständigkeit für ihren Betrieb.

Für die Wiederherstellung braucht die Kanzlei deshalb zwei Zielwerte, die sie vorab festlegt. Die Recovery Time Objective (RTO) gibt an, wie lange die Kanzlei in der Abgabewoche höchstens ohne Server arbeiten kann. Die Recovery Point Objective (RPO) gibt an, wie viel Arbeit verloren gehen darf: Bei einer nächtlichen Sicherung ist das bis zu ein voller Arbeitstag an Buchungen.

Das Schema dahinter beschreibt die 3-2-1-Regel: drei Kopien der Daten auf zwei unterschiedlichen Medien, eine davon außer Haus. Sie gilt für den Server im Kanzleikeller ebenso wie für den gemieteten, denn eine Sicherung auf derselben Maschine fällt mit ihr aus. Ob die RTO erreichbar ist, zeigt erst die geübte Wiederherstellung aus der ersten Frage.

Auf einen Standort in Deutschland lässt sich der Vertrag festlegen

Damit wird der Standort zu dem, was er tatsächlich ist: eine Angabe, die in Bestellung, Vertrag und Rechnung gehört. Ein europäischer Cloud-Anbieter betreibt seit Juni 2017 ein Rechenzentrum in Limburg an der Lahn und hat für den Standort einen zweiten Bau angekündigt, dessen Inbetriebnahme für das zweite Quartal 2023 vorgesehen war und der die Gesamtkapazität auf rund 80.000 Server erhöhen soll. 

Bei solchen Anbietern lässt sich der Standort eines dedizierten Servers so festlegen, dass er in Angebot, Bestellung und Rechnung gleich lautet.

Wer Angebote zur Serververmietung für Unternehmen vergleicht, findet die technischen Eckdaten meist vollständig ausgewiesen. Für eine Kanzlei zählen davon vor allem diese Punkte:

• Standort: Ist das Rechenzentrum in Deutschland vertraglich festgelegt?
• Speicher: Sind die Platten gespiegelt, damit ein Defekt nicht zum Datenverlust führt?
• Verschlüsselung: Lassen sich ruhende Daten verschlüsseln, und wer verwaltet die Schlüssel?
• Netzwerk: Ist ein DDoS-Schutz enthalten, und ist die Bandbreite garantiert oder nur „bis zu“?
• Preisstruktur: Kommt zur Monatsmiete eine einmalige Einrichtungsgebühr hinzu?

Ein solches Angebot liefert Hardware, und die rechtlichen Dokumente entstehen daneben:

• Auftragsverarbeitungsvereinbarung (AVV nach Art. 28 DSGVO): Stellen die meisten Anbieter standardisiert bereit.
• Verpflichtung nach § 62a Abs. 3 StBerG: Ruht auf einer anderen Rechtsgrundlage (inkl. Belehrung über strafrechtliche Folgen) und entsteht außerhalb des automatisierten Bestellprozesses.

Eine Kanzlei, die einen Server mietet, holt danach zwei Verträge ein. Das ist der Zusatzaufwand des Mietwegs gegenüber dem eigenen Server, und es ist der Punkt, den eine Kanzlei vor der Bestellung klären sollte.

Das Rechnen über fünf Jahre beginnt bei der Arbeitszeit

Die Rahmenbedingungen verschieben sich derzeit ohnehin: DATEV verlagert die eigenen Lösungen ab 2026 schrittweise in die Cloud, die On-Premises-Varianten laufen aus. Nach Angaben von DATEV nimmt die Umstellung ab Herbst 2026 im Bereich Kanzleimanagement Fahrt auf, es folgen Bereiche wie Lohn, Finanzbuchhaltung und Steuern. Ein Enddatum für den lokalen Betrieb steht damit offen und gehört in jede Fünfjahresrechnung als unsichere Größe.

Rechnen lässt sich trotzdem, sobald die Annahmen offen liegen. Am Beispiel einer Kanzlei mit 10 Mitarbeitenden:

• Mietkosten der Hardware (ADVANCE-1): 136,99 € / Monat = 1.643,88 € / Jahr, also 8.219,40 € in 5 Jahren, mit der einmaligen Installationsgebühr von 136,99 € insgesamt 8.356,39 €
• Administrationsaufwand (extern eingekauft): 4 Std. / Monat zu 90 € = 360 € / Monat, also 21.600,00 € in 5 Jahren (rund das 2,6-fache der Mietkosten samt Installation)

Lizenzen, Backupspeicher und Migrationsaufwand kommen hinzu. Die Größenordnung zeigt deutlich: Die Entscheidung fällt auf der Arbeitszeitzeile, nicht auf der Mietzeile. Beim eigenen Server steht dieselbe Zeile in der Rechnung, dazu die Erstinvestition, der Ersatz nach vier bis fünf Jahren und der Strom.

Beide Wege enden bei denselben Dokumenten

Vier Fragen tragen die Entscheidung, und alle vier werden aus Unterlagen beantwortet. Welche Frist gilt für das, was auf der Maschine liegt, sechs, acht oder zehn Jahre? Wer ist Auftragsverarbeiter, und liegt der Vertrag nach Artikel 28 DSGVO vor? Liegt daneben die Verpflichtung nach § 62a Absatz 3 StBerG in Textform vor, mit Belehrung und mit der Regelung zu weiteren Personen? Und nennen Angebot, Bestellung und Rechnung denselben Standort?

Die dritte Frage beantwortet ein eigener Server anders, weil die Kanzlei ihn selbst betreibt. Die übrigen beantwortet er genauso wie ein gemieteter, und der Nachweis liegt in beiden Fällen in derselben Ablage: im Vertrag, in der Verfahrensdokumentation und in der Liste der Zugriffsberechtigten. Eine Kanzlei, die diese drei Ordner vor dem Produktkatalog öffnet, hat die Serverfrage meist schon entschieden.