Datenschutz im Treuhandbüro: revDSG, Löhne und Kundendaten
Von Advisorn · aktualisiert am 26. Oktober 2026
Kurz gesagt
Ein Treuhandbüro ist Verantwortlicher für die Daten seiner eigenen Kunden und Mitarbeitenden, in der Regel aber Auftragsbearbeiter, wenn es für einen Kunden die Löhne oder die Buchhaltung führt (Art. 9 DSG). Für diese Mandate braucht es einen Auftragsbearbeitungsvertrag mit jedem Kunden, Sicherheitsmassnahmen, die Finanz- und Lohndaten angemessen sind, und die Pflicht, den Kunden bei einer Verletzung der Datensicherheit sofort zu informieren (Art. 24 Abs. 3 DSG).
Die typischen Daten
- Daten der Kunden und ihrer Kontaktpersonen;
- Löhne, AHV-Daten, Quellensteuer und Sozialversicherungen der Mitarbeitenden der Kunden;
- Steuererklärungen, Bankauszüge und Buchhaltung;
- Arztzeugnisse und krankheitsbedingte Absenzen, für die Versicherungen;
- die Daten des eigenen Personals.
Besonders schützenswerte Personendaten
In den Löhnen verbergen sich besonders schützenswerte Personendaten: Die Kirchensteuer verrät die Religionszugehörigkeit, Krankheitsabsenzen und Taggelder verraten Gesundheitsdaten (Art. 5 lit. c DSG). Sie sind entsprechend zu schützen.
Zwei verschiedene Rollen
Für die eigenen Kunden, die eigenen Mitarbeitenden und das Marketing entscheidet das Treuhandbüro selbst: Es ist Verantwortlicher, mit allen Pflichten. Wenn es die Löhne verarbeitet oder die Buchhaltung nach den Weisungen des Kunden führt, bearbeitet es die Daten im Auftrag des Kunden: Es ist Auftragsbearbeiter, und der Kunde muss mit ihm einen Vertrag haben (Art. 9 DSG).
Bei der Steuerberatung oder der Revision, wo das Treuhandbüro selbst entscheidet, wie es arbeitet, kann es eigenständiger Verantwortlicher sein: Das klärt man am besten Mandat für Mandat.
Was in den Vertrag mit dem Kunden gehört
- Gegenstand und Dauer der Bearbeitung, Kategorien von Daten und von Personen;
- Weisungen, Verschwiegenheit und Sicherheitsmassnahmen;
- die Liste der Unterauftragsbearbeiter, etwa der Buchhaltungs- oder Lohnsoftware in der Cloud;
- die Unterstützung bei Begehren betroffener Personen und bei Verletzungen der Datensicherheit;
- die Rückgabe oder Löschung der Daten am Ende des Mandats, unter Vorbehalt der Aufbewahrungsfristen.
Berufsgeheimnis
Revisoren, die nach dem Obligationenrecht zur Verschwiegenheit verpflichtet sind, unterstehen dem Berufsgeheimnis (Art. 321 StGB). Für die übrigen Mandate ergibt sich die Verschwiegenheit aus dem Vertrag: Sie ist auch für die Mitarbeitenden und die Unterauftragsbearbeiter schriftlich festzuhalten.
Verwandte Fragen
- Braucht es einen Vertrag mit Anbietern, die Daten für uns bearbeiten?
- Was sind gemeinsam Verantwortliche?
- Welche Massnahmen zur Datensicherheit verlangt das neue DSG?
- Wie lange dürfen Personendaten aufbewahrt werden?
- Eine E-Mail mit Personendaten ging an die falsche Person: Ist das eine Verletzung?
- Darf man Microsoft 365 oder Google Workspace mit dem neuen DSG nutzen?
Nützliche Vorlagen
- Vorlage Auftragsbearbeitungsvertrag (Art. 9 DSG, Art. 28 DSGVO)
- Vorlage Datenschutzerklärung für Kunden und Vertragspartner
- Vorlage technische und organisatorische Sicherheitsmassnahmen (TOM)
- Vorlage Richtlinie zur Aufbewahrung von Daten mit den Fristen
- Vorlage Verfahren bei einer Verletzung der Datensicherheit (Data Breach)
- Vorlage Vertraulichkeitsverpflichtung und Weisungen für Mitarbeitende
Die anderen Branchen
Allgemeine Informationen, keine Beratung zu Ihrem Fall: Für Ihren Fall zählt der Gesetzestext, und in einer Branche mit eigenen Regeln auch diese.