Belege per WhatsApp an den Steuerberater: Ist das erlaubt?

Ein Foto der Tankquittung, schnell an die Steuerberaterin geschickt – für viele Unternehmer ist WhatsApp der natürlichste Weg, Belege loszuwerden. Für die Kanzlei ist derselbe Kanal ein Problem, solange er über ein privates Smartphone läuft: Berufsgeheimnis, Datenschutz und GoBD stellen Anforderungen, die ein Messenger auf dem Handy nicht erfüllt.

Die Frage „erlaubt oder nicht“ lässt sich trotzdem nicht mit einem pauschalen Nein beantworten. Es kommt darauf an, welche Variante von WhatsApp genutzt wird, welche Verträge dahinterstehen und was mit dem Beleg passiert, nachdem er angekommen ist. Dieser Beitrag ordnet die drei Varianten ein, benennt die rechtlichen Anforderungen und formuliert die Antwort als „Ja, wenn …“.

Kurzantwort: Ja, wenn …

Belege dürfen per WhatsApp an die Kanzlei übermittelt werden, wenn

1. die Kanzlei die WhatsApp Business Platform (Cloud API) nutzt – nicht ein privates Konto und nicht die kostenlose Business App auf einem Kanzleihandy,
2. mit dem eingesetzten Anbieter ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und eine Verschwiegenheitsverpflichtung nach § 62a StBerG in Textform mit Strafbelehrung bestehen,
3. kein Adressbuch von Kanzleigeräten mit Meta abgeglichen wird,
4. Belege sofort in ein GoBD-konformes System übernommen und nicht im Chat archiviert werden,
5. der Kanal auf Belege und Kurzfragen beschränkt bleibt und keine vertraulichen Beratungsinhalte transportiert,
6. Mandanten informiert sind, dass Metadaten bei Meta anfallen, und der Kanal freiwillig ist.

Fehlt einer dieser Punkte, ist WhatsApp für die Kanzlei nicht der richtige Weg.

Drei Varianten von WhatsApp – und warum die Unterscheidung alles entscheidet

Der wichtigste Unterschied ist das Adressbuch. Die privaten und die Business-App übertragen Telefonnummern aller gespeicherten Kontakte an Meta – auch von Personen, die WhatsApp nicht nutzen und nie zugestimmt haben. Die Landesbeauftragte für den Datenschutz Niedersachsen hält diese Übermittlung ohne Rechtsgrundlage für regelmäßig unzulässig; andere Aufsichtsbehörden teilen diese Einschätzung. Bei der Business Platform gibt es kein Gerät mit Adressbuch, das Problem entfällt.

Berufsgeheimnis: § 203 StGB und § 62a StBerG

Belege enthalten Geheimnisse im Sinne des § 203 StGB – Lieferanten, Preise, Umsätze, bei Lohnbelegen sensible Personaldaten. Wer als Steuerberater einen Dienstleister einbindet, der Zugang zu diesen Daten erhält, muss ihn vorher nach § 62a Abs. 3 StBerG in Textform zur Verschwiegenheit verpflichten und über die strafrechtlichen Folgen belehren. Unterbleibt das und der Dienstleister offenbart ein Geheimnis, ist nach § 203 Abs. 4 Satz 2 Nr. 1 StGB auch der Berufsträger strafbar.

Bei der Business Platform sind mindestens zwei Dienstleister beteiligt: Meta als Betreiber der Cloud API und der Anbieter der Software, die die Nachrichten entgegennimmt. Meta bietet für Unternehmen die Business Data Processing Terms an, in denen sich WhatsApp als Auftragsverarbeiter einordnet – eine berufsrechtliche Verschwiegenheitsverpflichtung mit Strafbelehrung enthalten sie nicht. Die Verpflichtung nach § 62a StBerG muss deshalb mit dem Anbieter der Anbindung geschlossen werden, der seinerseits die Kette zu seinen Subunternehmern regelt. Zusätzlich verlangt § 62a Abs. 4 StBerG bei Dienstleistern im Ausland einen vergleichbaren Geheimnisschutz – ein Argument dafür, den Kanal auf Belege zu beschränken, die ohnehin standardisiert und wenig sensibel sind.

Die BStBK-FAQ zu KI formuliert den Grundsatz für alle Cloud-Dienste gleich: Dienstleister sind sorgfältig auszuwählen und vertraglich zu binden, bevor sie Kenntnis von Mandantendaten erlangen.

DSGVO: Adressbuch, Metadaten, Drittland

Drei datenschutzrechtliche Fragen bleiben auch bei der Business Platform:

• Metadaten. Wer wann mit wem kommuniziert, ist für Meta sichtbar – unabhängig von der Verschlüsselung der Inhalte. Die Kanzlei muss Mandanten darüber in der Datenschutzinformation aufklären und den Kanal freiwillig anbieten.
• Drittlandtransfer. Meta setzt Standardvertragsklauseln über ein Data Transfer Addendum ein; für die Cloud API bietet Meta optional eine lokale Speicherung in bestimmten Regionen an. Prüfen Sie, welche Konfiguration Ihr Anbieter nutzt, und dokumentieren Sie die Transfer-Folgenabschätzung.
• Speicherdauer. Meta nennt für die Cloud API eine maximale Aufbewahrung von 30 Tagen. Belege gehören danach nicht in den Chat, sondern in ein System mit Zugriffskontrolle, Unveränderbarkeit und Aufbewahrung über acht Jahre.

Praxisregeln für Kanzleien

1. Nur ein Kanal, nur eine Nummer. Eine geschäftliche Rufnummer auf der Business Platform, keine WhatsApp-Konten auf Kanzleihandys.
2. Verträge vor dem ersten Beleg. AVV mit dem Anbieter der Anbindung, Verschwiegenheitsverpflichtung nach § 62a StBerG, Prüfung der Business Data Processing Terms von Meta, Aktennotiz zur Auswahl.
3. Automatische Übernahme. Jedes Foto wird direkt in den Belegeingang übernommen, mit Zeitstempel und Zuordnung zum Mandanten. Der Chat ist Transportweg, nicht Archiv.
4. Inhaltliche Grenze. Belege, Terminfragen, Statusmeldungen – ja. Steuererklärungen, Bescheide, Beratungsinhalte, Personalunterlagen – nein. Diese Grenze gehört in die Mandanteninformation.
5. Kein Adressbuch, keine Gruppen. Kontakte werden nicht auf Geräten gespeichert, Gruppenchats mit mehreren Mandanten sind ausgeschlossen.
6. Mitarbeitende verpflichten und schulen. § 62 StBerG für Beschäftigte, klare Anweisung, welche Inhalte über den Kanal laufen dürfen.
7. Verfahrensdokumentation ergänzen. Der Kanal ist Teil des Belegflusses und gehört in die Dokumentation zum ersetzenden Scannen.

Was Mandanten wissen sollten

Als Unternehmer dürfen Sie Belege per WhatsApp schicken, wenn Ihre Kanzlei diesen Weg ausdrücklich freigegeben hat. Fragen Sie nach, ob die Business Platform im Einsatz ist – die Antwort erkennen Sie daran, dass Sie an eine geschäftliche Nummer schreiben und eine automatische Eingangsbestätigung erhalten. Schicken Sie keine Steuerbescheide, Verträge oder Lohnunterlagen über den Kanal; dafür gibt es das Portal. Und heben Sie Papierbelege auf, bis die Kanzlei bestätigt hat, dass das Foto lesbar und vollständig ist – erst dann greift das ersetzende Scannen.

Alternativen

Wer den Aufwand für die Business Platform scheut oder den Metadaten-Abfluss an Meta vermeiden will, hat drei Alternativen mit ähnlich niedriger Hürde für Mandanten:

• Kanzlei-App mit Fotoerfassung. Ein Klick, Foto, fertig – ohne Messenger und ohne Drittland.
• Upload-Link je Mandant. Kein Login nötig, Belege landen direkt im Belegeingang.
• E-Mail-Postfach je Mandant. Der schwächste, aber überall verfügbare Weg; für Eingangsrechnungen, die ohnehin als E-Mail kommen, sinnvoll.

Für die meisten Kanzleien ist die Kombination aus Portal-App als Hauptweg und WhatsApp Business Platform als Nebenweg für Kleinbelege ein tragfähiger Kompromiss.

So unterstützt Ordista

Ordista bietet den Belegeingang per WhatsApp über die Business Platform an – neben App und E-Mail – und übernimmt jedes Foto direkt in den Belegeingang der Kanzlei, wo die KI-Vorkontierung geprüft und freigegeben wird. Fehlende Belege fordert die Plattform beim Mandanten nach, vertrauliche Inhalte laufen über das Mandantenportal mit Nachrichten und Freigaben statt über den Messenger. Die Übergabe an DATEV erfolgt per Buchungsdatenservice, Belegbilderservice oder EXTF.