--- title: "Datenschutz in der Beratung: Mandantendaten und Rollen" description: "Beratungshäuser verarbeiten fremde Daten in fremden Systemen. Welche Rolle Sie dabei haben und wo § 203 StGB hinzukommt." canonical: "https://www.dsb-datenschutz.de/datenschutz/branchen-consulting/" --- # Datenschutz in der Beratung Beratungshäuser, Kanzleien, Steuerberatungen und Ingenieurbüros haben ein Merkmal gemeinsam: Sie arbeiten überwiegend mit **fremden** Daten. Der **Datenschutz** in der **Beratung** dreht sich deshalb weniger um eigene Prozesse als um die Frage, in welcher Rolle Sie fremde Daten anfassen – und was Ihre Auftraggeber dafür von Ihnen verlangen dürfen. ## Zuerst: In welcher Rolle handeln Sie? Die Antwort fällt anders aus als bei IT-Dienstleistern, und das ist der häufigste Irrtum. **Als Berufsgeheimnisträger sind Sie eigenständig verantwortlich.** Rechtsanwältinnen, Steuerberater und Wirtschaftsprüfer erbringen eine weisungsfreie, eigenverantwortliche Leistung. Sie handeln nicht auf Weisung des Mandanten, sondern nach ihrem Berufsrecht. Ein Vertrag zur Auftragsverarbeitung ist hier meist gerade nicht das richtige Instrument – wer ihn dennoch unterschreibt, behauptet eine Weisungsbindung, die es nicht gibt. **Als Dienstleister ohne eigene Berufspflichten** – Unternehmensberatung, Personalberatung, Marktforschung, IT-nahe Beratung – kann Auftragsverarbeitung vorliegen, etwa wenn Sie Daten des Kunden in dessen Auftrag auswerten. Dann gilt [Art. 28 DSGVO](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/) mit allem, was daran hängt. **Gemischt** ist der Normalfall: Ein Projekt kann beide Teile enthalten. Die Rolle ist deshalb je Leistung zu bestimmen, nicht je Kunde – und das Ergebnis gehört in den Vertrag. ## Wo § 203 StGB hinzukommt Für Berufsgeheimnisträger tritt neben das Datenschutzrecht die strafbewehrte Schweigepflicht. Der praktische Unterschied zeigt sich bei Ihren eigenen Dienstleistern: Cloudanbieter, IT-Wartung, Schreibbüro, Aktenvernichtung. § 203 Abs. 3 StGB erlaubt es, mitwirkende Personen einzubeziehen – verlangt aber, sie zur Verschwiegenheit zu verpflichten. Diese Verpflichtung ist zusätzlich zum datenschutzrechtlichen Vertrag nötig und gehört dokumentiert. Wer nur den Vertrag hat, hat die strafrechtliche Seite offen gelassen. ## Die Fragen, die Ihre Mandanten stellen werden Beratungshäuser bekommen zunehmend dieselben Fragebögen wie IT-Dienstleister – ausgelöst durch [Art. 28 Abs. 1](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-28/) und, bei größeren Auftraggebern, durch [NIS-2](https://www.dsb-datenschutz.de/frameworks/nis-2/) und die Lieferkettenanforderungen. Vorbereitet gehören: die Beschreibung Ihrer [technischen und organisatorischen Maßnahmen](https://www.dsb-datenschutz.de/datenschutz/beratung-technisch-organisatorische-massnahmen/), die Liste Ihrer Unterauftragnehmer, der Nachweis der Verpflichtung Ihrer Beschäftigten, Ihre Regelung zur Aufbewahrung – und, wenn Sie an Konzerne oder die öffentliche Hand verkaufen, ein Nachweis über die Informationssicherheit. Für kleinere Häuser genügt oft ein Bericht nach [DIN SPEC 27076](https://www.dsb-datenschutz.de/informationssicherheit/wissen-was-ist-din-spec-27076/); wo ein Zertifikat verlangt wird, führt der Weg über [ISO 27001](https://www.dsb-datenschutz.de/frameworks/iso-27001/) oder [VdS 10000](https://www.dsb-datenschutz.de/frameworks/vds-10000/). Wie Sie umgekehrt Ihre eigenen Dienstleister prüfen, steht unter [Lieferantenaudit](https://www.dsb-datenschutz.de/informationssicherheit/wissen-lieferanten-audit/). ## Die Stellen, an denen es tatsächlich schiefgeht Nicht im Vertragswerk, sondern im Alltag: **Mandantendaten in privaten Ablagen.** Ein Entwurf im privaten Cloudspeicher, weil es schneller ging. Dagegen hilft eine [Datenklassifizierung](https://www.dsb-datenschutz.de/informationssicherheit/wissen-daten-klassifizierung/) mit klaren Umgangsregeln – und ein freigegebener Weg, der bequem genug ist. **Unterwegs und im Homeoffice.** Gespräche in Bahn und Café, Bildschirme in Videokonferenzen, Unterlagen zu Hause. Siehe [physische Sicherheit](https://www.dsb-datenschutz.de/informationssicherheit/wissen-physische-sicherheit/). **Projektdaten nach Projektende.** Sie bleiben liegen, weil niemand zuständig ist. Aufbewahrungspflichten aus dem Berufsrecht rechtfertigen die Akte, nicht die Arbeitskopie im Projektlaufwerk – die Fristen gehören ins [Löschkonzept](https://www.dsb-datenschutz.de/datenschutz/beratung-loeschkonzept/). **KI-Werkzeuge mit Mandantentext.** Der aktuell schnellste Weg, eine Verschwiegenheitspflicht zu verletzen. Was hineindarf und was nicht, gehört in eine [KI-Richtlinie](https://www.dsb-datenschutz.de/ki-compliance/wissen-ki-richtlinien/). ## Kontakt Sie sollen einen Auftragsverarbeitungsvertrag unterschreiben und sind unsicher, ob er zu Ihrer Rolle passt? Genau das prüfen wir vorher. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Alle Branchen im Überblick](https://www.dsb-datenschutz.de/datenschutz/branchen/)