Lohnunterlagen tauschst Du sicher aus, indem Du mit Deiner Kanzlei einen passenden Übertragungsweg, berechtigte Empfänger und eine überprüfbare Übergabe vereinbarst. Ein Portal kann dafür geeignet sein; E-Mail ist nicht pauschal ausgeschlossen. Entscheidend ist der konkrete Schutzbedarf. Dieser Artikel zeigt Dir einen technischen und organisatorischen Ablauf vom vorbereiteten Datenpaket bis zur bestätigten Verarbeitung. Die Ablaufvorschläge sind praktische Empfehlungen, keine gesetzlich vorgeschriebene Einheitslösung.
Stand: 5. November 2026. Kategorie: Personaldaten und Datenschutz.
Schutzbedarf bestimmen, bevor Du einen Kanal auswählst
Artikel 32 DSGVO, abgedruckt in der BfDI-Broschüre „DSGVO – BDSG“, verlangt risikogerechte technische und organisatorische Maßnahmen, kurz TOM. Dabei zählen unter anderem Stand der Technik, Implementierungskosten, Verarbeitungskontext sowie Eintrittswahrscheinlichkeit und Schwere möglicher Schäden. Die Norm schreibt kein bestimmtes Kanzleiportal vor. Auch die Deutsche Rentenversicherung erläutert den Zusammenhang zwischen Schutzbedarf und erforderlichen Maßnahmen in ihren Hinweisen zu Artikel 32 DSGVO.
Praktisch solltest Du deshalb nicht nur „Lohnabrechnung“ auf eine Checkliste schreiben. Unterscheide einzelne Stammdatenänderungen, monatliche Bewegungsdaten, vollständige Personalbestände und Unterlagen mit Gesundheitsbezug. Frage jeweils: Was könnte eine unberechtigte Person daraus erfahren? Welche Folgen hätte eine manipulierte Bankverbindung? Wie viele Beschäftigte wären betroffen? Unsere Empfehlung: Halte die Bewertung mit Datum, zuständiger Person und gewähltem Verfahren fest.
Beispiel: Ein Unternehmen mit 35 Beschäftigten übermittelt jeden Monat Stunden und Zuschläge. Für eine einzelne Rückfrage braucht die Kanzlei nicht erneut den vollständigen Personalbestand. Unsere Empfehlung: Bereite die erforderliche Änderung gezielt vor und prüfe den Inhalt vor der Freigabe. So kann die zuständige Fachperson die Änderung kontrollieren, ohne zunächst einen unnötig umfangreichen Datenbestand durchsuchen zu müssen.
Zuständigkeiten zwischen Betrieb, Kanzlei und Anbieter klären
Eine Steuerberatungskanzlei ist nicht allein deshalb Auftragsverarbeiter, weil Du ihr Lohndaten übermittelst. § 11 Absatz 2 StBerG ordnet die dort genannten Berufsträger bei der Verarbeitung personenbezogener Mandantendaten als Verantwortliche ein. Ein zusätzlich eingesetzter technischer Anbieter muss gesondert eingeordnet werden; bei Auftragsverarbeitung gilt Artikel 28 DSGVO.
Vereinbare unabhängig davon konkrete Ansprechpartner: Wer stellt Unterlagen bereit, wer prüft sie fachlich, wer verwaltet Zugänge und wer bearbeitet Sicherheitsvorfälle? Benenne außerdem eine Vertretung. So muss bei Urlaub oder Krankheit niemand ein fremdes Passwort übernehmen oder Unterlagen an eine ungeprüfte Ersatzadresse schicken. Halte auch fest, wer bei offenen Rückfragen entscheidet, ob ein Datenpaket berichtigt oder vollständig neu bereitgestellt wird.
E-Mail richtig einordnen: zulässig heißt nicht beliebig
Die DSK-Orientierungshilfe zum E-Mail-Versand, Abschnitte 4.2 und 5, unterscheidet normale und hohe Risiken. Bei normalen Risiken verlangt sie obligatorische Transportverschlüsselung. Bei hohem Vertraulichkeitsrisiko sind regelmäßig Ende-zu-Ende-Verschlüsselung und qualifizierte Transportverschlüsselung erforderlich. Abweichungen hängen von Risiken, Übertragungsweg und kompensierenden Maßnahmen ab. Die Orientierungshilfe konkretisiert die aufsichtsbehördliche Sicht; sie ist kein eigenständiges Gesetz.
Lass deshalb Deine IT und die Kanzlei prüfen, ob der vereinbarte Versand tatsächlich verschlüsselt erfolgt und bei fehlender Verschlüsselung abbricht. „Unser Mailanbieter unterstützt TLS“ beantwortet diese Frage noch nicht. Die DSK erläutert in Abschnitt 5.1 den Unterschied zwischen einer möglichen und einer erzwungenen verschlüsselten Verbindung.
Unsere Empfehlung für den Arbeitsalltag: Nutze gewöhnliche Benachrichtigungsmails möglichst ohne Lohndaten im Betreff oder Nachrichtentext. Eine Mitteilung wie „Unterlagen für Oktober stehen bereit“ genügt häufig. Lege außerdem fest, dass niemand bei einem Übertragungsfehler eigenmächtig auf einen schwächer geschützten Versand ausweicht. Der Ersatzweg sollte ebenso abgestimmt sein wie der reguläre Austausch.
Was Ende-zu-Ende-Verschlüsselung zusätzlich leistet
Transportverschlüsselung schützt die Verbindung; Ende-zu-Ende-Verschlüsselung schützt die Nachrichteninhalte bis zur vorgesehenen Entschlüsselung. Als Verfahren erläutert das BSI S/MIME und OpenPGP. Eine digitale Signatur dient dagegen der Integrität und der Authentizität des Absenders, nicht der Geheimhaltung. Diese Aufgaben trennt die BSI-Leitlinie zur sicheren E-Mail-Nutzung, Abschnitt 1.4.3. Die ältere Leitlinie dient hier nur zur Erklärung der technischen Grundlagen, nicht als Vorgabe aktueller Algorithmen oder Schlüssellängen.
Prüfe vor dem Regelbetrieb gemeinsam mit der Kanzlei: Wer entschlüsselt, wie wird dessen Schlüssel geprüft und wie funktioniert eine berechtigte Vertretung? Teste auch den Umgang mit einem abgelaufenen Schlüssel. Ein verschlüsselter Anhang hilft im Monatsabschluss nicht, wenn ausschließlich eine abwesende Person ihn öffnen kann. Unsere Empfehlung: Richte die sichere Vertretung vorher ein, nicht erst unter Zeitdruck.
Ein Portal anhand seiner Funktionen prüfen
Behandle die folgende Liste als Prüfhilfe für die Auswahl, nicht als starre gesetzliche Funktionsliste. Lass Dir die Umsetzung zeigen, statt Dich auf Begriffe wie „sicher“ oder „DSGVO-konform“ zu verlassen. Frage bei einem Zertifikat nach Aussteller, Gültigkeit und geprüftem Umfang. Übertrage eine Aussage zum Rechenzentrum nicht ungeprüft auf das gesamte Austauschverfahren.
- Zugänge: Gibt es persönliche Konten, Mehrfaktor-Authentisierung und einen geregelten Wiederherstellungsweg?
- Berechtigungen: Lässt sich der Zugriff auf die erforderlichen Unternehmen und Personen begrenzen?
- Übertragung und Speicherung: Welche Verschlüsselung wird wo eingesetzt, und wer kann entschlüsseln?
- Nachvollziehbarkeit: Sind Bereitstellung, Änderungen, Downloads und Sperrungen erkennbar?
- Betriebsende: Wie funktionieren Datenexport, Zugangsentzug, Löschung und der Umgang mit Sicherungskopien?
Führe als Praxistest einen Austausch mit erfundenen Personaldaten durch: Kann ein unberechtigtes Konto die Datei sehen? Funktioniert ein gesperrter Zugang noch? Welche Meldung erscheint bei einem fehlgeschlagenen Upload? Dokumentiere die Ergebnisse und offene Punkte, bevor echte Lohnunterlagen übertragen werden. Vereinbare für jeden offenen Punkt eine zuständige Person und eine Entscheidung über die Freigabe des Verfahrens.
Der monatliche Austausch in fünf überprüfbaren Schritten
1. Datenpaket vorbereiten
Sammle die vereinbarten Unterlagen in einem zugriffsbeschränkten Arbeitsbereich. Verwende eindeutige Namen, beispielsweise „BetriebA_2026-10_Bewegungsdaten_V02“. Verzichte auf Diagnosen oder vollständige Personaldaten in Dateinamen. Prüfe Monat, Unternehmen, Personalnummern und Dateiinhalte. Unsere Empfehlung: Lass besonders kritische Änderungen wie Bankverbindungen von einer zweiten Person gegen die freigegebene Grundlage kontrollieren.
2. Empfänger und Ziel kontrollieren
Öffne das vereinbarte Portal über ein gespeichertes Lesezeichen oder kontrolliere die vollständige Empfängeradresse. Verifiziere neue Adressen und ungewöhnliche Änderungswünsche über einen bereits bekannten Kontaktweg. Verschicke nicht allein deshalb Unterlagen, weil eine Nachricht das Kanzleilogo trägt oder besonderen Zeitdruck behauptet. Notiere bei einem bestätigten Wechsel, ab wann der neue Empfänger verwendet werden soll.
3. Übertragen und Bereitstellung prüfen
Kontrolliere nach der Übertragung Dateiname, Version, Größe und angezeigten Status. Falls das Verfahren eine Vorschau oder ausdrückliche Freigabe vorsieht, schließe diesen Schritt bewusst ab. Informiere die zuständige Person knapp über die Bereitstellung. Notiere bei einer Fehlermeldung den Zeitpunkt und Fehlertext, ohne sensible Inhalte in ein ungeschütztes Supportticket zu kopieren.
4. Eingang und Verarbeitung auseinanderhalten
Vereinbare getrennte Rückmeldungen für „eingegangen“, „inhaltlich geprüft“ und „im Lohnsystem verarbeitet“. Bewerte einen Download nicht als fachliche Freigabe. Frage bei Importdateien ausdrücklich nach abgewiesenen Datensätzen und notwendigen Nacharbeiten. Unsere Empfehlung: Halte offene Rückfragen in einer gemeinsamen Übergabeliste fest, jeweils mit Verantwortlichem und vereinbartem Termin. So bleibt erkennbar, welche Übergabe bereits abgeschlossen ist und welche noch eine Entscheidung benötigt.
5. Korrekturen eindeutig übergeben
Erstelle bei Änderungen eine klar bezeichnete neue Version und erkläre, ob sie die vorherige vollständig ersetzt oder nur ergänzt. Beispiel: „V03 ersetzt V02 vollständig; geändert wurden die Stunden für Personalnummer 104.“ Bitte um Bestätigung, welche Fassung tatsächlich verarbeitet wurde. Vermeide parallele Korrekturen per Telefon, E-Mail und Portal ohne zusammenführenden Vermerk.
Fehlerfälle vor dem Abrechnungstermin regeln
Unsere Empfehlung: Lege für einen Portalausfall einen vorher geprüften Ersatzweg und einen Ansprechpartner fest. Bei abgelaufenen Freigaben sollte eine neue, kontrollierte Bereitstellung erfolgen. Bei einem Personalwechsel entziehe den bisherigen Zugang und richte die Vertretung gezielt ein. Prüfe außerdem regelmäßig, ob lokale Downloads noch benötigt werden; trenne Arbeitskopien von aufzubewahrenden Unterlagen. Vereinbare dafür Zuständigkeiten und dokumentierte Löschregeln.
Für eine fehlgeleitete Datei lautet unsere praktische Empfehlung: weiteren Versand stoppen, Freigaben sperren, zuständige Personen informieren und den Ablauf sichern. Dokumentiere Empfänger, Inhalte, Zeitpunkt und mögliche Zugriffe. Verlasse Dich nicht darauf, dass eine Rückruffunktion die Offenlegung rückgängig gemacht hat. Sorge dafür, dass die datenschutzrechtliche Bewertung ohne vermeidbare Verzögerung beginnt.
Nach Artikel 33 DSGVO muss der Verantwortliche eine Datenschutzverletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden, außer wenn voraussichtlich kein Risiko für Betroffene besteht. Eine verspätete Meldung ist zu begründen; Verletzungen sind zu dokumentieren. Bei voraussichtlich hohem Risiko sind zusätzlich Betroffene unverzüglich zu benachrichtigen, vorbehaltlich der Ausnahmen aus Artikel 34 Absatz 3. Lass diese Bewertung fachkundig vornehmen.
Quellen
- DSGVO – BDSG, Broschüre mit dem deutschen Verordnungstext, Bundesbeauftragte für den Datenschutz und die Informationsfreiheit; insbesondere Artikel 28 und 32–34. Abruf: 05.11.2026.
- Art. 32 DSGVO: Sicherheit der Verarbeitung, Deutsche Rentenversicherung, veröffentlicht am 02.09.2026. Abruf: 05.11.2026.
- Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail, Datenschutzkonferenz, Stand 16.06.2021, insbesondere Abschnitte 4.2 und 5. Abruf: 05.11.2026.
- § 11 StBerG: Verarbeitung personenbezogener Daten, Gesetze im Internet, Bundesministerium der Justiz und Bundesamt für Justiz. Abruf: 05.11.2026.
- Sichere Nutzung von E-Mail: Leitlinie ISi-Mail-Client, Bundesamt für Sicherheit in der Informationstechnik, Version 1.0, insbesondere Abschnitt 1.4.3; technische Grundlagen. Abruf: 05.11.2026.
