Ratgeber

Belege per WhatsApp an den Steuerberater: was erlaubt ist und was nicht

Von Kontevia••7 Min. Lesezeit•Keine Steuerberatung, bitte mit Ihrem Steuerberater abstimmen

Ein Foto vom Bon, kurz an den Steuerberater geschickt, fertig. So läuft es in vielen kleinen Betrieben, und die Frage "darf ich das?" stellt sich meist erst, wenn die Kanzlei abwinkt. Die Antwort hat zwei Seiten: Für den Unternehmer gelten andere Regeln als für den Steuerberater. Dieser Beitrag sortiert, wer was darf, wo das Adressbuch zum Problem wird und warum Belege besser an einen Verarbeiter gehen, der sie strukturiert an die Kanzlei weitergibt, statt direkt in den Chat des Steuerberaters.

Zwei Rollen, zwei Regelwerke

Der Unternehmer

Für Sie als Inhaber eines Restaurants, Hotels oder Handwerksbetriebs gilt die DSGVO. Schicken Sie eine Eingangsrechnung per Messenger, verarbeiten Sie personenbezogene Daten (Name des Lieferanten, Ansprechpartner, Kontodaten). Das ist erlaubt, wenn eine Rechtsgrundlage besteht und die Verarbeitung sicher ist. Eine strafbewehrte Schweigepflicht trifft Sie als Unternehmer in der Regel nicht.

Der Steuerberater

Steuerberater sind Berufsgeheimnisträger. Nach § 203 Abs. 1 Nr. 3 StGB macht sich strafbar, wer als Steuerberater unbefugt ein fremdes Geheimnis offenbart, das ihm in seiner beruflichen Eigenschaft anvertraut wurde. § 57 Abs. 1 StBerG verpflichtet Steuerberater zur verschwiegenen Berufsausübung; die Verschwiegenheitspflicht "bezieht sich auf alles, was in Ausübung des Berufs bekannt geworden ist". Seit der Reform 2017 dürfen Steuerberater nach § 62a StBerG Dienstleister einschalten, müssen diese aber sorgfältig auswählen, in Textform zur Verschwiegenheit verpflichten und über die strafrechtlichen Folgen belehren.

Das ist der Kern des Problems: Was Sie als Unternehmer unbedenklich senden dürfen, darf der Steuerberater nicht ohne Weiteres über denselben Kanal zurückspielen oder dort verarbeiten.

Was die Berufsorganisationen sagen

Die DWS-Publikation "Kanzlei intern" vom September 2018, die die Steuerberaterkammer Nürnberg ihren Mitgliedern bereitstellt, beschreibt genau den typischen Fall: Ein Mandant fotografiert eine Eingangsrechnung und schickt sie per WhatsApp mit der Bitte um Stellungnahme. Die Bewertung ist deutlich. Der Nutzer erteilt WhatsApp die Berechtigung, die Telefonnummern aller gespeicherten Kontakte auszulesen, und die App bietet keine Möglichkeit, nur einzelne Kontakte freizugeben. Die Übermittlung der Kontaktdaten von Mandanten braucht nach Art. 6 Abs. 1 DSGVO eine Rechtsgrundlage. Für Mandanten ohne WhatsApp-Konto fehlt sie. Fazit der Autoren: Externe Datenschützer empfehlen überwiegend, WhatsApp in der Kommunikation mit Mandanten auszuschließen. Wer eingehende Nachrichten auf demselben Weg beantwortet, bewege sich "mindestens in einer Grauzone".

Die Landesbeauftragte für den Datenschutz Niedersachsen hat 2018 ein Merkblatt zu WhatsApp veröffentlicht, das die Übermittlung der Adressbuchkontakte als zentrales Problem benennt. Die DWS-Autoren stützen sich darauf.

Für Unternehmen ohne Berufsgeheimnis ist die Lage weniger streng. Ein Webinar-Handout des Bayerischen Wirtschaftsministeriums vom 25. Juni 2025 gibt die Sicht des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) so wieder: Der Einsatz von WhatsApp im Kundenkontakt sei zulässig unter der Bedingung, dass der Kunde vor Beginn der Kommunikation auf etwaige Datenschutzrisiken aufmerksam gemacht wurde. Dasselbe Handout rät von der internen Nutzung von WhatsApp Business, etwa unter Mitarbeitern, ab.

Das Adressbuch-Problem

Der Messenger und die WhatsApp Business App synchronisieren die Kontakte des Telefons mit WhatsApp. Jede Nummer im Adressbuch wird an den Anbieter übermittelt, auch die von Personen, die WhatsApp nicht nutzen und nie zugestimmt haben. Deshalb reicht es nicht, "nur Belege" zu schicken: Das Problem entsteht, bevor die erste Nachricht gesendet wird.

Die DWS-Publikation nennt als praxistaugliche Lösungen entweder ein separates Gerät nur für Kontakte, die eingewilligt haben, oder das Sperren des Adressbuchzugriffs direkt nach der Installation, was den Komfort stark einschränkt. Das Webinar-Handout des Wirtschaftsministeriums kommt zum gleichen Schluss: Beim privaten Messenger ist die Weitergabe der Kontakte ohne deren Einverständnis das Kernproblem, bei der Business App besteht es ebenfalls, und automatische Backups sollten abgeschaltet werden.

WhatsApp Business App und WhatsApp Business Platform (API)

Es gibt drei verschiedene Produkte, und die Unterschiede sind für den Datenschutz entscheidend:

Produkt Läuft auf Adressbuch Vertrag zur Auftragsverarbeitung Speicherort der Nachrichten
WhatsApp Messenger (privat) Smartphone Wird synchronisiert Nicht vorgesehen Vom Nutzer nicht steuerbar
WhatsApp Business App Smartphone Wird synchronisiert Laut Handout möglich, Adressbuch-Problem bleibt Vom Nutzer nicht steuerbar
WhatsApp Business Platform (API) Server des Unternehmens oder eines Dienstleisters Kein Zugriff, keine App Mit dem Dienstleister nach Art. 28 DSGVO; WhatsApp als Verarbeiter nach den Business Data Processing Terms Region wählbar, für Europa "DE"

Bei der Business Platform gibt es kein Telefon mit Adressbuch. Nachrichten laufen über eine Schnittstelle zum Server des Unternehmens oder seines Dienstleisters. Nach der Dokumentation von Meta lässt sich bei der Registrierung einer Nummer mit dem Parameter "data_localization_region" festlegen, wo Nachrichteninhalte ruhend gespeichert werden; für Europa ist der Wert "DE" (Deutschland) vorgesehen, daneben "CH" und "GB". Texte, Bilder und Dokumente liegen dann in der gewählten Region. Für die Verarbeitung nennt Meta eine Dauer von bis zu 60 Minuten, danach werden Inhalte außerhalb der Region gelöscht. Telefonnummern aus geteilten Kontaktkarten liegen unabhängig davon in Meta-Rechenzentren.

Vertraglich tritt WhatsApp nach den WhatsApp Business Data Processing Terms (Stand 22. August 2025) als Auftragsverarbeiter auf, der nur auf Weisung des Unternehmens handelt, mit Vertraulichkeitspflichten, technischen Maßnahmen und Meldung von Datenschutzverletzungen. Vertragspartner für Unternehmen im EWR ist WhatsApp Ireland Limited; Unterauftragsverarbeiter können auch in den USA sitzen, dafür gelten die Data Transfer Addenda.

Auftragsverarbeitung: Art. 28 DSGVO

Wer Belege von einem Dienstleister annehmen, erkennen und weitergeben lässt, braucht mit diesem einen Vertrag zur Auftragsverarbeitung. Nach Art. 28 Abs. 1 DSGVO dürfen Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien bieten. Art. 28 Abs. 3 DSGVO verlangt einen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Betroffenen festlegt und unter anderem Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, die Bedingungen für weitere Auftragsverarbeiter und die Löschung nach Vertragsende regelt. Lassen Sie sich die Liste der Unterauftragsverarbeiter mit Standort geben.

Warum Belege nicht direkt in den Chat der Kanzlei gehören

Selbst wenn Sie als Unternehmer senden dürfen: Ihr Steuerberater kann die Belege nicht sauber aus einem Messenger heraus verarbeiten. Fotos liegen im Chat, nicht im Buchhaltungssystem. Es gibt keine Prüfung auf Duplikate, keine Zuordnung zu Lieferant und Steuersatz, keine Pflichtangabenprüfung, und die Kanzlei trägt das Risiko aus § 203 StGB und § 57 StBerG für jede Antwort im selben Kanal.

Sinnvoller ist die Trennung der Rollen: Sie schicken Belege an einen Verarbeiter, mit dem Sie einen Vertrag nach Art. 28 DSGVO haben und der die WhatsApp Business Platform ohne Adressbuch nutzt. Der Verarbeiter liest die Belege aus, prüft sie und übergibt sie strukturiert an die Kanzlei, zum Beispiel in DATEV Unternehmen online oder als Export. Der Steuerberater bekommt die Belege in seinem System und muss selbst keinen Messenger betreiben.

Alternativen: E-Mail und Upload

E-Mail ist für Belege unproblematischer als ein privater Messenger, weil kein Adressbuch synchronisiert wird. Inhalte sind aber ohne zusätzliche Verschlüsselung auf dem Transportweg nicht geschützt, und die Kanzlei bekommt lose Einzelmails. Ein Upload in ein Portal (etwa DATEV Unternehmen online mit DATEV Upload mobil) ist der Weg, den viele Kanzleien bevorzugen; er setzt einen Vertrag, ein Zugangsmedium und etwas Disziplin im Betrieb voraus. Für Betriebe, in denen Belege ohnehin auf dem Handy landen, ist die Kombination aus Business Platform und strukturierter Übergabe oft die praktischere Lösung. Welcher Weg passt, besprechen Sie am besten mit Ihrer Kanzlei.

Was Kontevia dabei übernimmt

Kontevia startet in Deutschland mit ersten Pilotbetrieben. So ist der Ablauf angelegt:

Kontevia nutzt die WhatsApp Business Platform von WhatsApp Ireland Ltd., keine App auf einem Telefon, und greift nicht auf Ihr Adressbuch zu. Mit Kontevia schließen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; Belegbilder, erkannte Daten und das Archiv liegen auf Servern in der Europäischen Union. Kontevia liest Beträge, Umsatzsteuer, Lieferant und Positionen aus, prüft Duplikate und Pflichtangaben und erstellt einen Buchungsvorschlag. Ihr Steuerberater bekommt die Belege über DATEV Unternehmen online oder als Export, nie über WhatsApp. Er prüft und bucht; WhatsApp ist bei Kontevia ein Angebot, keine Pflicht, E-Mail und Upload stehen gleichwertig zur Verfügung.

Quellen

Stand der Angaben: 10. Oktober 2026. Dieser Beitrag ersetzt keine Rechtsberatung.

Quellen und Rechtsgrundlagen

  1. § 203 StGB, Verletzung von Privatgeheimnissen
  2. § 57 StBerG, Allgemeine Berufspflichten
  3. § 62a StBerG, Inanspruchnahme von Dienstleistungen
  4. Art. 28 DSGVO, Auftragsverarbeiter
  5. DWS Kanzlei intern 9/2018: Nutzung von WhatsApp in Steuerberatungskanzleien (bereitgestellt von der Steuerberaterkammer Nürnberg)
  6. Bayerisches Staatsministerium für Wirtschaft: Webinar-Handout WhatsApp Business, 25. Juni 2025 (mit Position des BayLDA)
  7. LfD Niedersachsen: Merkblatt zur Nutzung von WhatsApp (2018)
  8. Meta for Developers: WhatsApp Cloud API, Local Storage
  9. Meta for Developers: WhatsApp Cloud API, Registration (data_localization_region)
  10. WhatsApp Business Data Processing Terms, Stand 22. August 2025

Der Pendelordner bleibt im Regal

Fotografieren Sie Belege per WhatsApp, Kontevia liest sie aus und übergibt sie an Ihre Steuerkanzlei. Server und Verarbeitung in der EU, Auftragsverarbeitungsvertrag inklusive. Die ersten Betriebe starten kostenlos und mit persönlicher Einrichtung.

Kostenlos testenSo funktioniert es
Keine Installation
Keine Einarbeitung
Server in der EU

Weitere Artikel