Anfang Januar 2026 informierte DATEV über eine technische Störung im Zusammenhang mit der LODAS-Probeabrechnung. In vielen Kanzleien stellte sich danach dieselbe Frage: Müssen Mandanten – oder sogar deren Mitarbeiter – jetzt informiert werden? Dieser Beitrag ordnet den Vorfall rechtlich ein und zeigt, worauf es in der Praxis ankommt.
Datenschutzvorfälle entstehen selten geplant – aber regelmäßig dort, wo komplexe IT-Systeme unter hoher Last betrieben werden. Genau das war Anfang Januar 2026 der Fall, als DATEV ihre Mitglieder über eine Störung im Zusammenhang mit der LODAS-Probeabrechnung informierte.
Die kurze Antwort auf die Frage nach einer Mandanteninformation lautet: nicht automatisch. Die längere Antwort ist differenzierter – und lohnt einen genaueren Blick, weil die DS-GVO bewusst zwischen Datenschutzverletzung, Behördenmeldung und Information der Betroffenen unterscheidet.
Was ist passiert – und warum sorgt das für Unsicherheit?
Im Rahmen einer technischen Störung bei der Probeabrechnung kam es in einem eng begrenzten Zeitfenster dazu, dass einzelne Probeabrechnungen innerhalb des Systems falsch zugeordnet wurden. DATEV informierte hierüber transparent, meldete den Vorfall zentral an die Datenschutzaufsichtsbehörden und leitete technische Gegenmaßnahmen ein.
In einer späteren Klarstellung teilte DATEV zudem mit, dass einzelne Kanzleien zwar fremde Probeabrechnungen erhalten hätten, eigene Daten jedoch nicht offengelegt worden seien. Genau an dieser Stelle entsteht in der Praxis häufig Unsicherheit: Was gilt datenschutzrechtlich, wenn diese Einschätzung nicht zutrifft oder nicht mit letzter Sicherheit überprüfbar ist?
Wichtig
Selbst wenn eigene Daten betroffen sein sollten, folgt daraus nicht automatisch eine Pflicht zur Information von Mandanten oder Mitarbeitern. Entscheidend ist, ob die DS-GVO ein hohes Risiko für die betroffenen Personen annimmt.
Datenschutzrechtlich entscheidend ist nicht der Vorfall – sondern das Risiko
Eine Datenschutzverletzung im Sinne von Art. 4 Nr. 12 DS-GVO liegt bereits dann vor, wenn personenbezogene Daten unbefugt offengelegt werden. Bei einer falschen Zuordnung von Probeabrechnungen mit Lohn- und Gehaltsdaten ist dieser Tatbestand grundsätzlich naheliegend. Auch eine Meldung an die Aufsichtsbehörde nach Art. 33 DS-GVO kann erforderlich sein und wurde in dem geschilderten Kontext zentral organisiert.
Der zentrale Punkt für die Kanzleipraxis ist jedoch Art. 34 DS-GVO: Eine Information der betroffenen Personen (regelmäßig: Arbeitnehmer der Mandanten) ist nur dann verpflichtend, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat. Diese Schwelle ist bewusst hoch angesetzt.
Warum im LODAS-Sachverhalt regelmäßig kein „hohes Risiko“ vorliegt
Selbst wenn man – streng zugunsten einer Vorsichtsbetrachtung – unterstellt, dass eigene Probeabrechnungsdaten kurzfristig offengelegt worden sein sollten, fehlt es an typischen Risikomerkmalen, die Art. 34 DS-GVO voraussetzt. Die Daten gelangten nicht in die Öffentlichkeit, nicht an ungebundene Dritte und nicht in ein unkontrolliertes Umfeld.
Empfänger waren ausschließlich andere Steuerberater bzw. DATEV-Mitglieder, also Personen, die berufsrechtlich und vertraglich zur Verschwiegenheit verpflichtet sind. Hinzu kommt: Es handelt sich um Probeabrechnungen, der Zeitraum war eng begrenzt und es liegen typischerweise keine Hinweise auf Speicherung, Weitergabe oder missbräuchliche Nutzung vor. In dieser Gesamtschau wird die Schwelle zum „hohen Risiko“ regelmäßig nicht überschritten.
Praxis-Impuls
Nicht jede Datenschutzverletzung ist ein Kommunikationsnotfall – wohl aber jede ein Prüfungsfall. Der Schlüssel ist eine nachvollziehbare Risikobewertung und eine saubere Dokumentation.
Was Steuerberater dennoch tun sollten
Auch wenn keine Informationspflicht besteht, bedeutet das nicht, dass der Vorgang folgenlos bleibt. Datenschutzrecht verlangt in solchen Situationen vor allem eines: eine eigenständige, dokumentierte Bewertung. In der Praxis heißt das, die Informationen des Dienstleisters aufzubewahren, den Vorgang intern einzuordnen und festzuhalten, warum keine Information nach Art. 34 DS-GVO erfolgt ist.
Genau hier liegen die typischen Stolperstellen: Nicht das Unterlassen einer Mandanteninformation ist das Problem, sondern eine fehlende oder nicht dokumentierte Entscheidung. In unserer Beratungspraxis unterstützen wir Steuerkanzleien dabei, solche Vorfälle zeitnah einzuordnen, die Risikobewertung belastbar zu dokumentieren und – falls erforderlich – passgenaue Kommunikation vorzubereiten.
Musteranschreiben für Mandanten – als Download
Für Kanzleien, die dennoch proaktiv oder auf Nachfrage reagieren möchten, haben wir ein rechtlich geprüfteres Musteranschreiben erstellt. Es ordnet den Sachverhalt verständlich ein, vermeidet Schuldanerkenntnisse und bleibt konsequent im Rahmen der DS-GVO.
Download
Muster: Mandanten-Antwort zum LODAS-Vorfall (Art. 34 DS-GVO)
Muster herunterladen ({{Hinweis: Link/Datei in Shopify hinterlegen und DOWNLOAD_URL ersetzen}})
Hinweis: Dieser Beitrag stellt keine Rechtsberatung im Einzelfall dar. Die Bewertung hängt immer von den konkreten Umständen (Datenkategorien, Empfängerkreis, Nachweise zur Löschung, Hinweise auf Missbrauch) ab.
Fazit
Der LODAS-Vorfall zeigt sehr deutlich, worum es im Datenschutzrecht praktisch geht: nicht um reflexhafte Information um jeden Preis, sondern um strukturierte Risikobewertung und eine Dokumentation, die gegenüber Mandanten und Aufsichtsbehörden tragfähig ist.
Wenn Sie als Steuerkanzlei einen vergleichbaren Vorfall einordnen müssen, ist es sinnvoll, frühzeitig die richtigen Weichen zu stellen: rechtlich sauber, kommunikativ angemessen und mit einem belastbaren Nachweis über die getroffene Entscheidung.
