1. Verantwortlicher
eh.tax Steuerberatungsgesellschaft mbH
Werrestraße 20a · D-32584 Löhne
Telefon +49 (0) 5732 – 68 09 292 · Telefax +49 (0) 5732 – 68 09 294
info@eh.tax · www.eh.tax
Geschäftsführer: Eike Heidemann · Amtsgericht Bad Oeynhausen HRB 18013 · Sitz der Gesellschaft: Löhne
2. Datenschutzbeauftragter
Wir haben eine externe Datenschutzbeauftragte bestellt:
IITR Datenschutz GmbH
Dr. Sebastian Kraska
Marienplatz 2 · 80331 München
Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter datenschutz@eh.tax, unter info@eh.tax oder telefonisch unter der oben genannten Nummer.
3. Welche Daten wir verarbeiten
Abhängig vom Auftrag verarbeiten wir:
- Bestands- und Kontaktdaten: Name, Anschrift, Kommunikationsdaten, Geburtsdatum, Steuernummer, Identifikationsnummer.
- Steuerlich relevante Daten: Einnahmen und Ausgaben, Belege, Buchführungsdaten, Verträge, Bank- und Kontoinformationen, Vermögens- und Beteiligungsverhältnisse.
- Daten aus der Lohnabrechnung: Entgelt, Sozialversicherung, Steuerklasse, Fehlzeiten, Pfändungen. Hierzu gehören besondere Kategorien nach Art. 9 DSGVO — Gesundheitsdaten aus Arbeitsunfähigkeiten und die Religionszugehörigkeit für die Kirchensteuer.
- Identifizierungsdaten nach dem Geldwäschegesetz, einschließlich Ausweisdaten.
- Daten Ihrer Beschäftigten, Gesellschafter und Angehörigen, soweit sie für den Auftrag erforderlich sind.
Die Daten stammen überwiegend von Ihnen selbst. Ergänzend erhalten wir Daten von Finanzbehörden, Sozialversicherungsträgern, Banken, Ihrem vorherigen Berater oder aus öffentlichen Registern — jeweils nur, soweit dies für den Auftrag notwendig ist.
4. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Erfüllung des Steuerberatungsvertrags: Erklärungen, Jahresabschlüsse, Buchführung, Lohnabrechnung, Beratung | Art. 6 Abs. 1 lit. b DSGVO |
| Erfüllung gesetzlicher Pflichten: Abgabenordnung, Steuerberatungsgesetz, Handelsgesetzbuch, Geldwäschegesetz, Aufbewahrungspflichten | Art. 6 Abs. 1 lit. c DSGVO |
| Besondere Kategorien in der Lohnabrechnung (Gesundheit, Religion) | Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG |
| Organisation der Kanzlei, IT-Sicherheit, Qualitätssicherung, Rechnungsstellung, Geltendmachung und Abwehr von Ansprüchen | Art. 6 Abs. 1 lit. f DSGVO |
| Bewerbungsverfahren | § 26 BDSG, Art. 6 Abs. 1 lit. b DSGVO |
| Einzelfälle außerhalb dieser Zwecke, etwa Werbung oder Referenznennung | Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO — jederzeit widerruflich |
5. Berufsgeheimnis
Als Steuerberatungsgesellschaft sind wir zur Verschwiegenheit verpflichtet (§ 57 StBerG, strafbewehrt über § 203 StGB). Diese Pflicht steht neben dem Datenschutzrecht und wirkt teilweise strenger: Auch wenn eine Übermittlung datenschutzrechtlich zulässig wäre, unterbleibt sie, wenn das Berufsgeheimnis entgegensteht. Dienstleister binden wir nur unter den Voraussetzungen des § 62a StBerG ein und verpflichten sie förmlich zur Verschwiegenheit.
Zuständige Berufsaufsicht ist die Steuerberaterkammer Westfalen-Lippe, Münster.
6. Empfänger Ihrer Daten
Dienstleister, die für uns arbeiten (Auftragsverarbeiter)
Diese Stellen verarbeiten Daten ausschließlich nach unserer Weisung, auf Grundlage eines Vertrags nach Art. 28 DSGVO und nach förmlicher Verpflichtung zur Verschwiegenheit:
- DATEV eG, Nürnberg — Kanzleisoftware, DATEV Unternehmen online, Rechenzentrumsleistungen einschließlich der Datensicherung des Kanzleibestands
- Microsoft — Microsoft 365 für E-Mail, Dokumente und Videokonferenzen (Teams)
- Systemhaus Cramer GmbH, Hamm — IT-Betreuung, Support und Fernzugriff
- Anthropic Ireland, Limited, Dublin — KI-gestützte Text- und Dokumentenarbeit im Tarif Claude Team; die US-Muttergesellschaft Anthropic PBC ist dabei Unterauftragsverarbeiterin, siehe Abschnitt 7 und 8
- Countful GmbH (Tess), München — KI-gestützte Belegvorerfassung mit DATEV-Schnittstelle. Belege werden von unseren Mandanten selbst hochgeladen
- GrundsteuerDigital — Erstellung von Grundsteuererklärungen
- Google Ireland Ltd. — Google Workspace für den Versandweg unseres Aufnahmeformulars und für Mailtransport, siehe Abschnitt 7
- IONOS SE, Montabaur — Domainverwaltung und DNS, E-Mail-Dienste, Hosting weiterer Websites der Kanzlei sowie Server- und Speicherdienste
- Hostinger International Ltd. — Serverhosting für www.ehtax.org mit unserem Mandantenaufnahme-Formular, Rechenzentrum Frankfurt am Main (siehe Abschnitt 9)
- ALL-INKL.COM — Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf — Hosting von www.eh.tax
- juris GmbH, Saarbrücken — Rechtsdatenbank; wir recherchieren dort nur und geben keine Mandantendaten ein
- Placetel — cloudbasierte Telefonanlage; dort fallen Verbindungsdaten an, bei Bedarf auch Sprachnachrichten
- Freie Buchhaltungs- und Aushilfskräfte — im Einzelfall und nur nach förmlicher Verpflichtung zur Verschwiegenheit nach § 62a StBerG
Stellen, die eigenverantwortlich handeln
- Finanzverwaltung und ELSTER, Sozialversicherungsträger, Minijobzentrale, Berufsgenossenschaften
- Banken und Zahlungsdienstleister im Rahmen des Zahlungsverkehrs
- Die Allianz als unsere Berufshaftpflichtversicherung im Schadensfall und die Steuerberaterkammer Westfalen-Lippe im Rahmen der Berufsaufsicht
- Notare, Rechtsanwälte und Wirtschaftsprüfer — nur, wenn Sie uns damit beauftragen
- Gerichte und Behörden, soweit wir gesetzlich zur Auskunft verpflichtet sind
7. Übermittlung in Drittländer
Ein Teil unserer Dienstleister verarbeitet Daten in den USA oder setzt dort Subunternehmer ein. Für die USA besteht seit dem 10. Juli 2023 ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework), der allerdings nur für zertifizierte Unternehmen gilt und derzeit rechtlich umstritten ist. Wir stützen unsere Übermittlungen deshalb nicht auf diesen Beschluss allein, sondern auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) nach Art. 46 Abs. 2 lit. c DSGVO.
| Empfänger | Land | Grundlage der Übermittlung |
|---|---|---|
| Anthropic PBC (Weitergabe durch Anthropic Ireland) | USA | Unser Vertragspartner ist Anthropic Ireland, Limited in Irland; die Weitergabe an die US-Muttergesellschaft erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission. Eine Zertifizierung nach dem EU-US Data Privacy Framework besteht nicht |
| Microsoft | EU, Subunternehmer in den USA | Data Protection Addendum mit Standardvertragsklauseln; Speicherung im europäischen Raum konfiguriert |
| Google Ireland Ltd. | EU, Subunternehmer in den USA | Data Processing Addendum mit Standardvertragsklauseln |
| Hostinger International Ltd. | Verarbeitung in Frankfurt am Main | Auftragsverarbeitungsvertrag mit Standardvertragsklauseln für den Fall, dass Subunternehmer außerhalb des EWR eingesetzt werden |
Wir haben für diese Übermittlungen jeweils geprüft und dokumentiert, welches Schutzniveau im Empfängerland tatsächlich besteht, und ergänzende Maßnahmen getroffen: Wir übermitteln so wenig wie möglich, ersetzen Namen und Kennungen vor der Übermittlung, verschlüsseln den Transportweg und löschen kurzfristig. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage unter info@eh.tax.
8. Einsatz künstlicher Intelligenz
Wir nutzen KI-Systeme, um Texte zu erstellen und zu prüfen, Unterlagen zu strukturieren, Belege vorzuerfassen und den Posteingang zu ordnen. Dabei können auch vollständige Mandatsunterlagen verarbeitet werden. Wir haben dafür eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt und folgende Grenzen festgelegt:
- Wir geben so wenig ein wie möglich. Namen, Anschriften, Steuernummern und Aktenzeichen ersetzen wir vor der Eingabe durch Platzhalter.
- Vier Bereiche bleiben vollständig ausgeschlossen: Steuerstrafsachen und Selbstanzeigen, besondere Kategorien nach Art. 9 DSGVO wie Gesundheitsdaten und Religionszugehörigkeit, Mandate mit Bezug zu den USA sowie Ausweis- und Identifikationsunterlagen. Diese Daten gehen unter keinen Umständen in ein KI-System.
- Die eingesetzten Anbieter dürfen Ihre Daten vertraglich nicht zum Training ihrer Modelle verwenden.
- Unterhaltungen mit Mandatsbezug löschen wir nach Abschluss der Aufgabe, spätestens nach 30 Tagen.
- Nachrichten an info@eh.tax werden automatisiert vorsortiert, damit sie schneller beim richtigen Bearbeiter landen. Dabei werden nur Absender, Betreff, Datum und Dateinamen von Anhängen ausgewertet — der Nachrichtentext und die Anhänge selbst werden dafür nicht übertragen. Nachrichten zu besonders sensiblen Mandaten sind von diesem Ablauf ausgenommen.
- Ein darüber hinausgehender Zugriff des KI-Systems auf unsere E-Mail-Postfächer ist gesperrt. Er wird nur im Einzelfall für eine bestimmte Aufgabe und einen begrenzten Zeitraum freigegeben und dabei protokolliert.
- Jedes Ergebnis ist ein Entwurf. Steuererklärungen, Abschlüsse und Beratungsaussagen werden ausschließlich von einem Menschen geprüft und freigegeben.
Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.
Wie wir künstliche Intelligenz in der laufenden Buchführung einsetzen, beschreiben wir auf der Seite Buchführung.
9. Mandantenaufnahme über unser Formular
Für die Aufnahme eines neuen Mandats stellen wir unter www.ehtax.org ein Online-Formular bereit. Sie geben dort Ihre Stammdaten ein, unterschreiben die Vollmacht und laden ein Ausweisdokument hoch. Diese Datenschutzhinweise gelten auch für dieses Formular und für www.ehtax.org insgesamt; Verantwortliche ist in beiden Fällen die eh.tax Steuerberatungsgesellschaft mbH.
Die Vollmacht brauchen wir, um Sie gegenüber dem Finanzamt zu vertreten und Ihre dort gespeicherten Daten abrufen zu können (§ 80 AO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Das Ausweisdokument benötigen wir zur Identifizierung nach dem Geldwäschegesetz. Steuerberater sind nach § 2 Abs. 1 Nr. 12 GwG Verpflichtete; bei Begründung einer Geschäftsbeziehung sind wir zur Identifizierung des Vertragspartners verpflichtet (§§ 10, 11 GwG). Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. c DSGVO, nicht Ihre Einwilligung.
Ausweisdokument und Vollmacht werden nach dem Versand der Aufnahme-E-Mail vom Webserver gelöscht; aufbewahrt werden sie ausschließlich in der Kanzlei, für die Dauer der Frist nach § 8 GwG.
Die Zustimmung, die Sie im Formular erteilen, hat einen anderen Zweck: Sie entbindet uns gegenüber den im Formular genannten Stellen von der Verschwiegenheitspflicht, etwa gegenüber Ihrem vorherigen Berater. Diese Entbindung können Sie jederzeit widerrufen; die gesetzliche Pflicht zur Aufbewahrung der Identifizierungsunterlagen bleibt davon unberührt.
Auf dem Weg vom Formular in unser Kanzleipostfach berühren die Unterlagen die in Abschnitt 6 genannten Dienstleister für Serverhosting und Mailtransport. Die Übertragung erfolgt verschlüsselt. Auf dem Webserver werden die Unterlagen unmittelbar nach dem Versand gelöscht; die Zwischenspeicherung beim E-Mail-Versand über Google Workspace löschen wir nach sieben Tagen.
Anmeldung neuer Arbeitnehmer durch Arbeitgeber
Arbeitgebern, für die wir die Lohnabrechnung erstellen, stellen wir unter www.ehtax.org ein Formular zur Anmeldung neuer Beschäftigter bereit. Der Arbeitgeber gibt dort die Angaben aus dem Personalfragebogen ein — Person, Anschrift, Versicherungsnummer, Bankverbindung, Steuer-Identifikationsnummer, Krankenkasse, Beschäftigung und Entlohnung — und lädt die Arbeitspapiere hoch, als PDF oder auf Mobilgeräten als Fotos der einzelnen Seiten; Fotos wandelt der Webserver im Arbeitsspeicher sofort in ein PDF um, Bilddateien werden nicht gespeichert. Wahlweise ergänzt der Arbeitnehmer seine persönlichen Angaben selbst über einen persönlichen Link, den wir an die vom Arbeitgeber genannte E-Mail-Adresse senden; in diesem Fall füllen wir den Personalfragebogen und gegebenenfalls den Antrag auf Befreiung von der Rentenversicherungspflicht aus, und Arbeitnehmer und Arbeitgeber unterschreiben am Bildschirm (einfache elektronische Signatur; die Unterschrift wird als Bild mit Zeitstempel in die PDF-Dokumente eingesetzt).
Diese Daten verarbeiten wir als eigenständig Verantwortliche im Rahmen des Lohnmandats (§ 11 Abs. 2 StBerG) zur Durchführung der Lohnabrechnung und zur Erfüllung der lohnsteuer- und sozialversicherungsrechtlichen Melde- und Aufzeichnungspflichten; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO. Die Angaben werden auf dem Webserver in die Vorlage für unser Lohnprogramm übertragen, verschlüsselt an die Kanzlei übermittelt und unmittelbar nach dem Versand vom Webserver gelöscht. Beim gemeinsamen Weg über Links werden die erfassten Angaben, hochgeladenen Unterlagen und Unterschriften bis zum Abschluss, längstens 14 Tage, verschlüsselt auf dem Server zwischengespeichert; den Schlüssel enthält allein der jeweilige Link. Nach drei Tagen ohne Reaktion erinnern wir die betreffende Person per E-Mail; nach 14 Tagen ohne Abschluss löschen wir alle Zwischendaten und informieren Arbeitgeber und Kanzlei. Der Arbeitgeber erhält eine Bestätigung mit dem Protokoll und den unterschriebenen Dokumenten für seine Entgeltunterlagen, der Arbeitnehmer eine Kopie seines unterschriebenen Fragebogens.
10. Wie lange wir speichern
| Unterlagen | Dauer |
|---|---|
| Handakten zum Mandat | 10 Jahre nach Ablauf des Jahres, in dem der Auftrag endete (§ 66 StBerG) |
| Bücher, Aufzeichnungen, Jahresabschlüsse | 10 Jahre (§ 147 AO) |
| Buchungsbelege | 8 Jahre (§ 147 AO) |
| Lohnkonten | 6 Jahre (§ 41 EStG) |
| Aufzeichnungen nach dem Geldwäschegesetz | 5 Jahre (§ 8 GwG) |
| Bewerbungsunterlagen nach einer Absage | 6 Monate |
| Eingaben in KI-Systeme, Unterhaltungen und Zwischenergebnisse | bis zu 30 Tage |
| Aufnahmeformular: Unterlagen auf dem Webserver | unmittelbar nach dem Versand |
| Aufnahmeformular: Zwischenspeicherung beim E-Mail-Versand (Google Workspace) | 7 Tage |
| Arbeitnehmer-Anmeldung: Zwischenspeicher für die Links (Angaben, Unterlagen, Unterschriften) | bis zum Abschluss, längstens 14 Tage |
| Server-Logfiles dieser Website | 7 Tage |
Nach Ablauf der Fristen löschen wir. Solange eine gesetzliche Aufbewahrungspflicht besteht, können wir Daten nicht löschen — wir sperren sie dann für die weitere Verarbeitung.
11. Diese Website (www.ehtax.org)
Server-Logfiles
www.ehtax.org läuft auf einem von uns gemieteten Server der Hostinger International Ltd. im Rechenzentrum Frankfurt am Main. Beim Aufruf werden automatisch IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browsertyp und Betriebssystem protokolliert. Zweck ist der technische Betrieb und die Abwehr von Angriffen, Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden spätestens nach sieben Tagen gelöscht.
Formulare
Was Sie in unsere Formulare eingeben, wird verschlüsselt an unseren Server übertragen, dort in eine Nachricht an unsere Kanzlei überführt und nach dem Versand vom Server gelöscht. Einzelheiten zu Vollmacht, Ausweisdokument und Speicherdauer stehen in Abschnitt 9 und 10. Eine Zwischenspeicherung unvollständiger Eingaben auf unserem Server findet nicht statt; verlassen Sie die Seite, sind Ihre Eingaben weg.
Cookies und Reichweitenmessung
Diese Website setzt keine Cookies, speichert nichts auf Ihrem Gerät und setzt keine Analyse-, Marketing- oder Tracking-Dienste ein. Es werden keine Skripte oder Inhalte von fremden Servern geladen.
Schriftarten
Die verwendete Schrift wird von unserem eigenen Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen externen Anbieter.
12. Ihre Rechte
- Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung, soweit keine Aufbewahrungspflicht besteht (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Widerspruchsrecht nach Art. 21 DSGVO
Soweit wir Daten auf ein berechtigtes Interesse stützen, können Sie der Verarbeitung widersprechen. Wir verarbeiten die Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen.
Wenden Sie sich für alle Anliegen an info@eh.tax. Wir antworten innerhalb eines Monats. Bitte haben Sie Verständnis dafür, dass wir vorher Ihre Identität prüfen — gerade das Berufsgeheimnis verbietet es uns, Auskunft an die falsche Person zu erteilen.
13. Beschwerderecht
Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4 · 40213 Düsseldorf
www.ldi.nrw.de
14. Pflicht zur Bereitstellung
Für die Erfüllung eines Steuerberatungsauftrags sind Ihre Daten erforderlich — teils aufgrund des Vertrags, teils aufgrund gesetzlicher Vorgaben wie der Abgabenordnung oder des Geldwäschegesetzes. Ohne diese Daten können wir den Auftrag nicht ausführen oder müssen ihn beenden.
15. Änderungen
Wir passen diese Hinweise an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Der Bereich der Drittlandübermittlungen (Abschnitt 7) ist derzeit besonders in Bewegung; die jeweils gültige Fassung finden Sie stets hier.
eh.tax Steuerberatungsgesellschaft mbH · Werrestraße 20a · D-32584 Löhne · +49 (0) 5732 – 68 09 292 · info@eh.tax · www.eh.tax
Geschäftsführer: Eike Heidemann · Amtsgericht Bad Oeynhausen HRB 18013 · Sitz der Gesellschaft: Löhne
Fassung 2.3 · Stand September 2026