Start › Rechtliches

Datenschutzhinweise

Steuerberatung besteht darin, mit Ihren Zahlen und Ihren Verhältnissen zu arbeiten — ohne personenbezogene Daten geht das nicht. Wie wir das tun, worauf wir uns stützen und welche Rechte Sie haben, steht hier.

Stand: August 2026 · Fassung 2.1

1. Verantwortlicher

eh.tax Steuerberatungsgesellschaft mbH
Werrestraße 20a · D-32584 Löhne
Telefon +49 (0) 5732 – 68 09 292 · Telefax +49 (0) 5732 – 68 09 294
info@eh.tax · www.eh.tax
Geschäftsführer: Eike Heidemann · Amtsgericht Bad Oeynhausen HRB 18013 · Sitz der Gesellschaft: Löhne

2. Datenschutzbeauftragter

Wir haben eine externe Datenschutzbeauftragte bestellt:

IITR Datenschutz GmbH
Dr. Sebastian Kraska
Marienplatz 2 · 80331 München

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter datenschutz@eh.tax, unter info@eh.tax oder telefonisch unter der oben genannten Nummer.

3. Welche Daten wir verarbeiten

Abhängig vom Auftrag verarbeiten wir:

Bestands- und Kontaktdaten: Name, Anschrift, Kommunikationsdaten, Geburtsdatum, Steuernummer, Identifikationsnummer.
Steuerlich relevante Daten: Einnahmen und Ausgaben, Belege, Buchführungsdaten, Verträge, Bank- und Kontoinformationen, Vermögens- und Beteiligungsverhältnisse.
Daten aus der Lohnabrechnung: Entgelt, Sozialversicherung, Steuerklasse, Fehlzeiten, Pfändungen. Hierzu gehören besondere Kategorien nach Art. 9 DSGVO — Gesundheitsdaten aus Arbeitsunfähigkeiten und die Religionszugehörigkeit für die Kirchensteuer.
Identifizierungsdaten nach dem Geldwäschegesetz, einschließlich Ausweisdaten.
Daten Ihrer Beschäftigten, Gesellschafter und Angehörigen, soweit sie für den Auftrag erforderlich sind.

Die Daten stammen überwiegend von Ihnen selbst. Ergänzend erhalten wir Daten von Finanzbehörden, Sozialversicherungsträgern, Banken, Ihrem vorherigen Berater oder aus öffentlichen Registern — jeweils nur, soweit dies für den Auftrag notwendig ist.

4. Zwecke und Rechtsgrundlagen

Zweck	Rechtsgrundlage
Erfüllung des Steuerberatungsvertrags: Erklärungen, Jahresabschlüsse, Buchführung, Lohnabrechnung, Beratung	Art. 6 Abs. 1 lit. b DSGVO
Erfüllung gesetzlicher Pflichten: Abgabenordnung, Steuerberatungsgesetz, Handelsgesetzbuch, Geldwäschegesetz, Aufbewahrungspflichten	Art. 6 Abs. 1 lit. c DSGVO
Besondere Kategorien in der Lohnabrechnung (Gesundheit, Religion)	Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG
Organisation der Kanzlei, IT-Sicherheit, Qualitätssicherung, Rechnungsstellung, Geltendmachung und Abwehr von Ansprüchen	Art. 6 Abs. 1 lit. f DSGVO
Bewerbungsverfahren	§ 26 BDSG, Art. 6 Abs. 1 lit. b DSGVO
Einzelfälle außerhalb dieser Zwecke, etwa Werbung oder Referenznennung	Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO — jederzeit widerruflich

5. Berufsgeheimnis

Als Steuerberatungsgesellschaft sind wir zur Verschwiegenheit verpflichtet (§ 57 StBerG, strafbewehrt über § 203 StGB). Diese Pflicht steht neben dem Datenschutzrecht und wirkt teilweise strenger: Auch wenn eine Übermittlung datenschutzrechtlich zulässig wäre, unterbleibt sie, wenn das Berufsgeheimnis entgegensteht. Dienstleister binden wir nur unter den Voraussetzungen des § 62a StBerG ein und verpflichten sie förmlich zur Verschwiegenheit.

Zuständige Berufsaufsicht ist die Steuerberaterkammer Westfalen-Lippe, Münster.

6. Empfänger Ihrer Daten

Dienstleister, die für uns arbeiten (Auftragsverarbeiter)

Diese Stellen verarbeiten Daten ausschließlich nach unserer Weisung, auf Grundlage eines Vertrags nach Art. 28 DSGVO und nach förmlicher Verpflichtung zur Verschwiegenheit:

DATEV eG, Nürnberg — Kanzleisoftware, DATEV Unternehmen online, Rechenzentrumsleistungen einschließlich der Datensicherung des Kanzleibestands
Microsoft — Microsoft 365 für E-Mail, Dokumente und Videokonferenzen (Teams)
Systemhaus Cramer GmbH, Hamm — IT-Betreuung, Support und Fernzugriff
Anthropic Ireland, Limited, Dublin — KI-gestützte Text- und Dokumentenarbeit im Tarif Claude Team; die US-Muttergesellschaft Anthropic PBC ist dabei Unterauftragsverarbeiterin, siehe Abschnitt 7 und 8
Countful GmbH (Tess), München — KI-gestützte Belegvorerfassung mit DATEV-Schnittstelle. Belege werden von unseren Mandanten selbst hochgeladen
GrundsteuerDigital — Erstellung von Grundsteuererklärungen
Google Ireland Ltd. — Google Workspace für den Versandweg unseres Aufnahmeformulars und für Mailtransport, siehe Abschnitt 7
IONOS SE, Montabaur — Domainverwaltung und DNS, E-Mail-Dienste, Hosting weiterer Websites der Kanzlei sowie Server- und Speicherdienste
Hostinger International Ltd. — Serverhosting für unser Mandantenaufnahme-Formular, Rechenzentrum Frankfurt am Main (siehe Abschnitt 9)
ALL-INKL.COM — Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf — Hosting dieser Website
juris GmbH, Saarbrücken — Rechtsdatenbank; wir recherchieren dort nur und geben keine Mandantendaten ein
Placetel — cloudbasierte Telefonanlage; dort fallen Verbindungsdaten an, bei Bedarf auch Sprachnachrichten
Freie Buchhaltungs- und Aushilfskräfte — im Einzelfall und nur nach förmlicher Verpflichtung zur Verschwiegenheit nach § 62a StBerG

Stellen, die eigenverantwortlich handeln

Finanzverwaltung und ELSTER, Sozialversicherungsträger, Minijobzentrale, Berufsgenossenschaften
Banken und Zahlungsdienstleister im Rahmen des Zahlungsverkehrs
Die Allianz als unsere Berufshaftpflichtversicherung im Schadensfall und die Steuerberaterkammer Westfalen-Lippe im Rahmen der Berufsaufsicht
Notare, Rechtsanwälte und Wirtschaftsprüfer — nur, wenn Sie uns damit beauftragen
Gerichte und Behörden, soweit wir gesetzlich zur Auskunft verpflichtet sind

7. Übermittlung in Drittländer

Ein Teil unserer Dienstleister verarbeitet Daten in den USA oder setzt dort Subunternehmer ein. Für die USA besteht seit dem 10. Juli 2023 ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework), der allerdings nur für zertifizierte Unternehmen gilt und derzeit rechtlich umstritten ist. Wir stützen unsere Übermittlungen deshalb nicht auf diesen Beschluss allein, sondern auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) nach Art. 46 Abs. 2 lit. c DSGVO.

Empfänger	Land	Grundlage der Übermittlung
Anthropic PBC (Weitergabe durch Anthropic Ireland)	USA	Unser Vertragspartner ist Anthropic Ireland, Limited in Irland; die Weitergabe an die US-Muttergesellschaft erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission. Eine Zertifizierung nach dem EU-US Data Privacy Framework besteht nicht
Microsoft	EU, Subunternehmer in den USA	Data Protection Addendum mit Standardvertragsklauseln; Speicherung im europäischen Raum konfiguriert
Google Ireland Ltd.	EU, Subunternehmer in den USA	Data Processing Addendum mit Standardvertragsklauseln
Hostinger International Ltd.	Verarbeitung in Frankfurt am Main	Auftragsverarbeitungsvertrag mit Standardvertragsklauseln für den Fall, dass Subunternehmer außerhalb des EWR eingesetzt werden

Wir haben für diese Übermittlungen jeweils geprüft und dokumentiert, welches Schutzniveau im Empfängerland tatsächlich besteht, und ergänzende Maßnahmen getroffen: Wir übermitteln so wenig wie möglich, ersetzen Namen und Kennungen vor der Übermittlung, verschlüsseln den Transportweg und löschen kurzfristig. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage unter info@eh.tax.

8. Einsatz künstlicher Intelligenz

Wir nutzen KI-Systeme, um Texte zu erstellen und zu prüfen, Unterlagen zu strukturieren, Belege vorzuerfassen und den Posteingang zu ordnen. Dabei können auch vollständige Mandatsunterlagen verarbeitet werden. Wir haben dafür eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt und folgende Grenzen festgelegt:

Wir geben so wenig ein wie möglich. Namen, Anschriften, Steuernummern und Aktenzeichen ersetzen wir vor der Eingabe durch Platzhalter.
Vier Bereiche bleiben vollständig ausgeschlossen: Steuerstrafsachen und Selbstanzeigen, besondere Kategorien nach Art. 9 DSGVO wie Gesundheitsdaten und Religionszugehörigkeit, Mandate mit Bezug zu den USA sowie Ausweis- und Identifikationsunterlagen. Diese Daten gehen unter keinen Umständen in ein KI-System.
Die eingesetzten Anbieter dürfen Ihre Daten vertraglich nicht zum Training ihrer Modelle verwenden.
Unterhaltungen mit Mandatsbezug löschen wir nach Abschluss der Aufgabe, spätestens nach 30 Tagen.
Nachrichten an info@eh.tax werden automatisiert vorsortiert, damit sie schneller beim richtigen Bearbeiter landen. Dabei werden nur Absender, Betreff, Datum und Dateinamen von Anhängen ausgewertet — der Nachrichtentext und die Anhänge selbst werden dafür nicht übertragen. Nachrichten zu besonders sensiblen Mandaten sind von diesem Ablauf ausgenommen.
Ein darüber hinausgehender Zugriff des KI-Systems auf unsere E-Mail-Postfächer ist gesperrt. Er wird nur im Einzelfall für eine bestimmte Aufgabe und einen begrenzten Zeitraum freigegeben und dabei protokolliert.
Jedes Ergebnis ist ein Entwurf. Steuererklärungen, Abschlüsse und Beratungsaussagen werden ausschließlich von einem Menschen geprüft und freigegeben.

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

Wie wir künstliche Intelligenz in der laufenden Buchführung einsetzen, beschreiben wir auf der Seite Buchführung.

9. Mandantenaufnahme über unser Formular

Für die Aufnahme eines neuen Mandats stellen wir ein Online-Formular auf einem eigenen Server bereit. Sie geben dort Ihre Stammdaten ein und laden Vollmacht und Ausweisdokument hoch. Das ist gesetzlich vorgegeben: Die Abgabenordnung verlangt die Vollmacht, das Geldwäschegesetz die Identifizierung. Rechtsgrundlage ist deshalb Art. 6 Abs. 1 lit. c DSGVO und nicht Ihre Einwilligung — wir könnten das Mandat ohne diese Unterlagen nicht übernehmen.

Die Zustimmung, die Sie im Formular erteilen, hat einen anderen Zweck: Sie entbindet uns gegenüber den im Formular genannten Stellen von der Verschwiegenheitspflicht, etwa gegenüber Ihrem vorherigen Berater. Diese Entbindung können Sie jederzeit widerrufen; die gesetzliche Pflicht zur Aufbewahrung der Identifizierungsunterlagen bleibt davon unberührt.

Auf dem Weg vom Formular in unser Kanzleipostfach berühren die Unterlagen die in Abschnitt 6 genannten Dienstleister für Serverhosting und Mailtransport. Die Übertragung erfolgt verschlüsselt. Zwischenspeicherungen im Verarbeitungsablauf löschen wir nach sieben Tagen.

10. Wie lange wir speichern

Unterlagen	Dauer
Handakten zum Mandat	10 Jahre nach Ablauf des Jahres, in dem der Auftrag endete (§ 66 StBerG)
Bücher, Aufzeichnungen, Jahresabschlüsse	10 Jahre (§ 147 AO)
Buchungsbelege	8 Jahre (§ 147 AO)
Lohnkonten	6 Jahre (§ 41 EStG)
Aufzeichnungen nach dem Geldwäschegesetz	5 Jahre (§ 8 GwG)
Bewerbungsunterlagen nach einer Absage	6 Monate
Eingaben in KI-Systeme, Unterhaltungen und Zwischenergebnisse	bis zu 30 Tage
Zwischenspeicherungen im Aufnahmeablauf	7 Tage
Server-Logfiles dieser Website	7 Tage

Nach Ablauf der Fristen löschen wir. Solange eine gesetzliche Aufbewahrungspflicht besteht, können wir Daten nicht löschen — wir sperren sie dann für die weitere Verarbeitung.

11. Diese Website

Server-Logfiles

Beim Aufruf erfasst unser Hoster ALL-INKL.COM (Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf) automatisch IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browsertyp und Betriebssystem. Zweck ist der technische Betrieb und die Abwehr von Angriffen, Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden nach sieben Tagen gelöscht.

Kontaktaufnahme

Wenn Sie uns über das Kontaktformular, per E-Mail oder telefonisch erreichen, verarbeiten wir Ihre Angaben zur Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Führt die Anfrage zu einem Mandat, gelten die Fristen aus Abschnitt 10; andernfalls löschen wir die Anfrage, sobald sie erledigt ist.

Cookies

Diese Website setzt keine Cookies. Analyse-, Marketing- oder Tracking-Dienste setzen wir nicht ein. Lediglich für die Kartendarstellung merkt sich Ihr Browser Ihre Entscheidung im Sitzungsspeicher (sessionStorage); dieser Eintrag wird gelöscht, sobald Sie den Browser-Tab schließen. Er ist zur Umsetzung Ihrer eigenen Entscheidung unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG.

Schriftarten

Die auf dieser Website verwendete Schrift wird von unserem eigenen Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen externen Anbieter; es werden dabei keine Daten an Dritte übertragen.

Kartendarstellung (Google Maps)

Auf unserer Kontaktseite bieten wir eine Karte des Dienstes Google Maps an. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Die Karte wird nicht automatisch geladen. Beim Aufruf der Seite sehen Sie zunächst nur eine von unserem Server ausgelieferte Anfahrtsskizze; es wird keine Verbindung zu Google hergestellt. Erst wenn Sie ausdrücklich auf „Karte laden“ klicken, wird die Karte nachgeladen. Dabei werden Ihre IP-Adresse sowie technische Angaben zu Ihrem Browser an Google übertragen und können in die USA übermittelt werden.

Rechtsgrundlage für das Laden ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Für die Übermittlung in die USA stützt sich Google auf das EU-US Data Privacy Framework, dem Google LLC beigetreten ist; ergänzend gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Ein den europäischen Anforderungen entsprechendes Schutzniveau kann trotz dieser Grundlagen nicht in jedem Fall gewährleistet werden.

Sie können Ihre Einwilligung jederzeit für die Zukunft widerrufen, indem Sie den Browser-Tab schließen — Ihre Entscheidung wird nur für die laufende Sitzung gespeichert. Ohne Einwilligung bleibt die Anfahrtsskizze sichtbar; Sie verlieren dadurch keine Information. Näheres zur Datenverarbeitung durch Google: policies.google.com/privacy.

12. Ihre Rechte

Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung, soweit keine Aufbewahrungspflicht besteht (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Daten auf ein berechtigtes Interesse stützen, können Sie der Verarbeitung widersprechen. Wir verarbeiten die Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen.

Wenden Sie sich für alle Anliegen an info@eh.tax. Wir antworten innerhalb eines Monats. Bitte haben Sie Verständnis dafür, dass wir vorher Ihre Identität prüfen — gerade das Berufsgeheimnis verbietet es uns, Auskunft an die falsche Person zu erteilen.

13. Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4 · 40213 Düsseldorf
www.ldi.nrw.de

14. Pflicht zur Bereitstellung

Für die Erfüllung eines Steuerberatungsauftrags sind Ihre Daten erforderlich — teils aufgrund des Vertrags, teils aufgrund gesetzlicher Vorgaben wie der Abgabenordnung oder des Geldwäschegesetzes. Ohne diese Daten können wir den Auftrag nicht ausführen oder müssen ihn beenden.

15. Änderungen

Wir passen diese Hinweise an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Der Bereich der Drittlandübermittlungen (Abschnitt 7) ist derzeit besonders in Bewegung; die jeweils gültige Fassung finden Sie stets hier.

eh.tax Steuerberatungsgesellschaft mbH · Werrestraße 20a · D-32584 Löhne · +49 (0) 5732 – 68 09 292 · info@eh.tax · www.eh.tax
Geschäftsführer: Eike Heidemann · Amtsgericht Bad Oeynhausen HRB 18013 · Sitz der Gesellschaft: Löhne
Fassung 2.1 · Stand August 2026