Kurz gesagt: Als Treuhandbüro bearbeitest du fremde Personendaten im Kern deines Geschäfts, Lohndaten, Steuererklärungen, Betreibungen. Für diese Mandatsdaten bist du meist Auftragsbearbeiter deiner Kundschaft. Deine Website ist davon getrennt zu betrachten, und dort fehlt erstaunlich oft das Einfachste.
Von 18 geprüften Schweizer Treuhand-Websites hatten 5 gar keine lesbare Datenschutzerklärung, bei 15 fand der Scan mindestens einen Punkt zum Nachbessern.
Warum das unangenehmer ist als beim Coiffeur
Nicht wegen des Gesetzes, das gilt für alle gleich, sondern wegen der Erwartung. Wer Mandanten um Lohnausweise, AHV-Nummern und Kontoauszüge bittet, wird an der eigenen Sorgfalt gemessen. Eine fehlende Erklärung auf der eigenen Seite ist dann kein Formfehler, sondern ein Argument gegen dich, sobald jemand genau hinschaut.
Zwei Rollen sauber trennen
Für deine Website bist du verantwortlich. Kontaktformular, Newsletter, Statistik, Hosting. Darüber informierst du in deiner Datenschutzerklärung.
Für Mandatsdaten bist du in der Regel Auftragsbearbeiter. Deine Kundin bleibt verantwortlich, du bearbeitest in ihrem Auftrag. Dafür braucht es keinen Abschnitt auf der Website, sondern eine Vereinbarung im Mandatsverhältnis (Art. 9 revDSG).
Diese Trennung schafft Klarheit und verkürzt die Erklärung erheblich.
Der Punkt mit dem Berufsgeheimnis
Ein verbreiteter Irrtum: Treuhänderinnen und Treuhänder unterstehen nicht dem Berufsgeheimnis nach Art. 321 StGB. Die Bestimmung zählt die Berufe abschliessend auf, genannt sind unter anderem Anwälte, Notare, Ärzte und die nach Obligationenrecht zur Verschwiegenheit verpflichteten Revisoren. Wer ein Revisionsmandat führt, fällt also darunter, die gewöhnliche Buchführung nicht. Vertraulichkeit schuldest du trotzdem, sie ergibt sich aus dem Auftragsverhältnis.
Was auf Treuhand-Websites läuft
Meist wenig: eine Statistik, Schriftarten, ein Kontaktformular, gelegentlich ein Kundenportal. Genau dieses Portal ist der Punkt, den keine Vorlage trifft, denn dort werden Dokumente hochgeladen. Wer eines betreibt, beschreibt, wo es liegt und wer Zugriff hat.
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz (revDSG) verlangt in Art. 19, dass du bei der Beschaffung von Personendaten angemessen informierst: wer verantwortlich ist, zu welchem Zweck du bearbeitest und wer die Daten sonst noch zu sehen bekommt. Geht etwas ins Ausland, kommt nach Art. 19 Abs. 4 der Staat dazu und die Grundlage dafür.
Empfänger sind nicht nur die grossen Namen. Auch dein Hosting-Anbieter ist einer, ebenso das Terminwerkzeug, der Newsletter-Versand und die Treuhandstelle, die deine Buchhaltung macht. Das Gesetz lässt zu, sie als Kategorien zu nennen statt einzeln, aber weglassen darfst du sie nicht.
Bussen bis CHF 250'000 sieht Art. 60 revDSG vor, allerdings nur bei Vorsatz, nur auf Strafantrag und gegen die verantwortliche natürliche Person statt gegen die Firma. In der Praxis ist das selten der Anlass. Häufiger ist eine Anfrage: jemand will wissen, welche Daten du über ihn hast, oder eine Kundin fragt, warum ihre Adresse bei einem Anbieter in den USA liegt. Wer dann nichts vorzuweisen hat, steht schlecht da, und zwar vor der Kundschaft, nicht vor einer Behörde.