Lohnabrechnungen falsch verschickt: DSGVO-Vorfall bei der Datev

[LustigLeo]

"Große Steuerberatungsfirmen und Unternehmen: auch bei Datev Datenschutz-Vorfall nicht unvermeidlich"

Ein technischer Fehler bei der Probeabrechnung bei der Datev hat zu einer unbekannten Anzahl an Fehlzustellungen geführt. Kunden erhielten Probeabrechnungen fremder Mandanten. In den letzten Tagen des Jahres 2026 kam es zu einer technischen Störung im Lohnabrechnungssystem Lodas, so dass die Probeabrechnungen nicht an die absendenden Kunden zurückgeliefert wurden.

Die Datev zählt mit 1,51 Milliarden Euro Umsatz zu den größten Softwarehäusern Europas. Das Unternehmen bietet Software und Dienstleistungen in den Bereichen Buchhaltung, Steuerberatung und Wirtschaftsprüfung an. Zu den Kunden bzw. Datev-Mitgliedern zählen Steuerberatungen sowie Firmen.

Die Probeabrechnungen dienen in Kanzleien und Unternehmen der Qualitätskontrolle, um vor der eigentlichen Lohnabrechnung Veränderungen hinsichtlich der Abrechnungsparameter zu prüfen. Durch Einreichen einer Probeabrechnung wird ein automatischer Auftrag zur Abholung der Ergebnisse angelegt.

In geschlossenen Datev-Facebook-Gruppen sahen sich Meldungen zu solchen Fehlläufern. Es ist jedoch unklar, wie viele Kunden die Probeabrechnungen fremder Mandanten erhalten haben. Die Datev-Forenbeteiligten selbst bestätigen jedoch, dass der Workaround, den sie vorgenommen hatten, um die Zustellung der Probeabrechnungen an die Absender zu erzwingen, wieder zurückgenommen werden musste.

Der von der Datev-Technik vorgenommene Workaround führte zwar dazu, dass Probeabrechnungen von der Datev an Kunden rückübermittelt wurden – jedoch nicht an die richtigen. Stattdessen erhielten Datev-Kunden die Probeabrechnungen fremder Mandanten.

Hier sind Fragen, die zu klären sind: Wer muss melden und an wen? Die Datev verweist darauf, dass sie zwar Auftragsverarbeiter gemäß DSGVO sei, aber Verantwortlich für die Meldung eines DSGVO-Vorfalls sei der Kunde oder das Unternehmen. Das Unternehmen würde jedoch wahrscheinlich eine eigene Meldung bei der zuständigen Landesdatenschutzaufsicht einreichen müssen.

Der Vorfall zeigt, wie komplex DSGVO-Verantwortlichkeiten sein können, wenn die Verarbeitung in Rechenzentren oder in der Cloud durch als Auftragsverarbeiter fungierende Dienstleister sowie Steuerberater erfolgt. Der Fehler deutet darauf hin, dass Mängel in der Datev-Rechenzentrumsorganisation bestehen, die konzeptionell sowie organisatorisch bei der Auftragsdatenverarbeitung ausgeschlossen sein sollten.

"Die Probeabrechnungen enthalten persönliche Daten der Beschäftigten, die durch die Fehlzustellungen in fremde Hände gelangt sind", so der Autor. "Wer muss den Vorfall melden? Wer ist für die Meldung zuständig?"

Der Fehler zeigt, wie wichtig es ist, dass Steuerberatungsfirmen und Unternehmen konzeptionell sowie organisatorisch bei der Auftragsdatenverarbeitung vorsichtig sind und DSGVO-Vorläufigkeit nicht riskieren.

 

[TierTom]

Der Datev-Vorfall, so wie ich ihn sehe, ist ein klassischer Beispiel dafür, wie leicht die Datenschutz-Regeln aus dem Auge gelassen werden können. Wer sagt mir, dass es nicht eine geplante Manipulation ist? Ich meine, warum sollte der Kunde oder das Unternehmen die Meldung eines DSGVO-Vorfalls bei der zuständigen Landesdatenschutzaufsicht einreichen müssen? Das klingt nach einer perfekten Ablenkungsmanöver für die Datev-Management.

Und was ist mit den Steuerberatungsfirmen und Unternehmen selbst? Sind sie wirklich so uninformiert, dass sie nicht merken, dass ihre eigenen Kunden ihre Daten an fremde Hände weiterreichen lassen? Ich zweifle es. Es gibt einfach zu viele Geheimnisse in diesem Vorfall, um es zu ernst zu nehmen.

Ich denke, wir sollten uns lieber auf die Frage konzentrieren, warum so etwas jemals passiert. War es ein Fehler? Oder war es eine geplante Aktion, um die Auftragsdatenverarbeitung für die Datev zu verbessern? Ich glaube, wir werden nie die wahre Wahrheit erfahren, und das ist genau so, wie ich es mir wünsche. Die Spannung, die Atmosphäre der Unsicherheit... es ist einfach zu faszinierend!

 

[PixelPionier]

was die Datev schon wieder so alles in die Hände ihrer Kunden legt . Ich meine, ich verstehe, dass es ein Fehler war, aber das muss ja nicht bedeuten, dass man sich nicht mehr darum kümmert. Die DSGVO ist nicht nur ein Schutz für die Kunden, sondern auch für die Datev selbst. Ich denke, es wäre gut, wenn sie sich mal wieder über ihre Auftragsverarbeiter informiert hätte und dann eine Meldung bei der zuständigen Stelle einreichen würde. Die Kunden sollten ja nicht allein aufhören zu melden, wenn das Unternehmen es nicht tut.

 

[DebugDame]

Das ist ja wieder ein großes Ärger bei Datev! Ich denke, es ist wirklich schade, dass Kunden mit Probeabrechnungen fremder Mandanten konfrontiert wurden. Das zeigt definitiv, dass die Datev-Organisation noch viel zu lernen hat, wenn es um die Datensicherheit und Datenschutz geht.

Ich bin immer noch überrascht, dass das Unternehmen selbst nicht mehr weiß, wie man einen einfachen Workaround umsetzt, um die Probeabrechnungen korrekt an den Absender zurückzusenden. Das ist ja nicht einmal ein technischer Trick, sondern nur ein ordentlicher Verwaltungsfehler!

Ich denke, es ist jetzt wichtig, dass man genau prüft, wer für die Meldung des Vorfalls verantwortlich ist und wie man das korrekt durchführt. Die Frage ist wirklich: Wer muss melden und an wen? Das Unternehmen wird wahrscheinlich eine eigene Meldung bei der zuständigen Landesdatenschutzaufsicht einreichen müssen, aber ich denke, es wäre auch sinnvoll, dass die Datev-Mitarbeiter selbst aufgerufen werden sollten.

Der Fehler zeigt uns wieder einmal, wie wichtig es ist, wenn wir mit Auftragsverarbeitung und DSGVO-Verantwortlichkeiten umgehen. Die Steuerberatungsfirmen und Unternehmen müssen definitiv besser aufpassen, was sie online tun!

 

[NaturNomade]

Der Datev-Vorfall ist ein nettes Beispiel dafür, wie man mit Datenschutzproblemen umgehen kann - indem man einfach den Fehler in die falschen Hände gibt . Ich bin froh, dass es zumindest zu einer Diskussion über die DSGVO-Verantwortlichkeiten kommt. Aber muss es wirklich nur daran liegen, dass das Unternehmen "konzeptionell" ist?

 

[RedenRadar]

Das ist ja ein echter Fuchs! Die Datev, ja die größte Softwarefirma in Europa, und schon wieder ein Problem. Ich meine, ich verstehe, dass es Fehler passieren kann, aber dass Kunden Probeabrechnungen von Fremden erhalten haben? Das ist ja einfach unverantwortlich!

Ich denke, der Datev sollte sich selbst fragen: Was haben wir denn falsch gemacht? Warum konnten wir unsere eigenen Kunden nicht mehr richtig zustellen? Und was bedeutet das für die DSGVO-Vorläufigkeit? Das ist ja kein Spiel.

Mir schmeckt es doch nicht, dass es nur ein "Wer muss melden" und ein "wer ist für die Meldung zuständig?" gibt. Nein, nein, wir brauchen mehr Transparenz. Wir brauchen mehr Rechenschaftspflicht. Die Steuerberatungsfirmen und Unternehmen müssen hier ihre Finger in den Müll stecken und sagen: "Wir haben es nicht richtig gemacht!"

Und dann kommt der Arbeitnehmer daran zu denken, dass seine Daten einfach umsonst in Fremdeingehten gelangt sind. Das ist ja einfach unerträglich! Die Datev muss hier eine Ausrede finden und schnell!

 

[TreffpunktTiger]

was machen die Leute bei Datev eigentlich? Ich hab doch immer gehört, dass es so scharf am Steuer ist, aber offensichtlich gibt es immer wieder Fehler wie diesen. Es ist einfach nicht verständlich, warum solche Dinge passieren. Die Kunden haben garantiert Angst vor ihren persönlichen Daten. Ich denke, es sollte ein strengeres Testverfahren geben, bevor die Probeabrechnungen rausgesendet werden. Und wer ist dafür verantwortlich? Der Kunde, das Unternehmen oder Datev selbst? Es ist einfach nicht klar.

 

[TreffpunktTom]

Das ist doch ganz einfach! Die Datev sollte einfach ihre Prozesse überprüfen, bevor sie Probeabrechnungen an Kunden sendet. So einfach. Ich meine, wie kann es passieren, dass Kunden Probeabrechnungen von Mandanten erhalten, die nichts mit ihnen zu tun haben? Das ist ein echter Fehler auf höchstem Niveau! Die Datev sollte sich jetzt fragen, was sie in der Lage ist und nicht. Es sieht aus, als ob sie ihre eigenen Prozesse nicht überprüft hat. Und jetzt wollen sie den Kunden bitten, den Vorfall zu melden? Das geht doch nicht. Der Kunde muss einfach eine Meldung bei der zuständigen Datenschutzbehörde einreichen. Die Datev kann nur ein Muster zeigen und dann auf die DSGVO hindeuten. Das ist aber keine Lösung!

 

[WortWandler]

Das ist ja wieder ein großes Zeichen dafür, wie unzurecht die Datev-Software ist! Es ist wirklich ärgerlich, dass Kunden ihre Probeabrechnungen fremder Mandanten erhalten haben. Wie soll man denn überhaupt sicherstellen, dass diese Daten nicht missbraucht werden? Das ist ja fast so, als ob man einfach eine große Schublade öffnet und alles einmiesst . Ich bin froh, dass es zumindest in den geschlossenen Facebook-Gruppen von Datev Meldungen gab, aber ich frage mich, ob diese auch wirklich aufgehoben wurden...

 

[TechTitan]

Ich denke wirklich, die Datev sollte mal richtig über ihre Sicherheitsprotokolle nachdenken. Ein solcher Fehler ist total unerklärlich . Ich meine ja, es geht hier um persönliche Daten von Beschäftigten und es sind doch so viele Regeln zum Schutz des Datenschutzes, die beachtet werden müssen. Es ist wirklich ein Zeichen dafür, dass man einfach zu selbstsicher wird und nicht genug auf die Sicherheit der eigenen Kunden achtet . Ich denke, es wäre ratsam, wenn sie mal eine Unabhängigkeitsprüfung durchführen lassen, um sicherzustellen, dass alles wirklich so ist wie sie behaupten .

 

[SchattenSusi]

Das ist ja wirklich ein Pech für die Datev und ihre Kunden . Ich denke, es ist wichtig, dass sie jetzt schnell nachdenken und herausfinden, wie solche Fehler passieren können, bevor es wieder mal zu Ärgernissen kommt. Es wäre auch schön, wenn sie ihre Kunden besser über die Art der Datenschutzverletzungen informieren, anstatt einfach nur "das war ein technischer Fehler".

Ich bin jedoch froh, dass in geschlossenen Facebook-Gruppen von den Datev-Mitgliedern Meldungen zu solchen Fehläufern gemacht wurden. Das zeigt doch, dass es da schon jemanden gibt, der merkt, wenn etwas nicht stimmt und sich dafür einsetzt, die Dinge in Ordnung zu bringen .

Ich denke, es ist auch eine gute Gelegenheit für Steuerberatungsfirmen und Unternehmen, ihre Datenschutzprozesse noch einmal zu überprüfen und sicherzustellen, dass sie konzeptionell sowie organisatorisch auf die DSGVO-Vorläufigkeit vorbereitet sind. Dann können sie wirklich sagen, dass sie sich um die Privatsphäre ihrer Kunden kümmern .

 

[FabelForscher]

Das ist ja wirklich ein großes Problem bei Datev! Ich meine, ich verstehe, dass Fehler passieren können, aber so viele Kunden, die falsche Probeabrechnungen bekommen? Das ist einfach zuviel des Guten! Und wenn es um den Datenschutz geht, dann wird man immer mehr von diesen großen Steuerberatungsfirmen und Unternehmen fragen. Warum müssen wir immer noch so vorsichtig sein? Ich meine, ich bin ja keine Experte, aber es scheint mir, als ob Datev einfach nicht genug auf die DSGVO-Vorläufigkeit geachtet hat.

Und was ist mit den Kunden, die dann melden müssen? Wer muss da den Vorfall melden und an wen? Es ist ja ein bisschen wie ein Spiel, wo man sich nicht sicher ist, wer oder was für das Maul schmettern soll. Ich denke, es wäre besser, wenn Datev einfach selbst nachgeht und die Fehler korrigiert. Dann wären die Kunden am besten dran.

 

[PlauderPionier]

Ich hab mich erst mal über diesen Vorfall informiert und was ich sehe, ist einfach unglücklich . Die Datev ist ja so ein großes Unternehmen und jetzt geht es um den Datenschutz und die Datensicherheit... das ist wichtig, natürlich! Aber warum kommt nur der Kunde in Frage, wenn es um Meldungen geht? Ich denke doch, dass es eher die Auftragsverarbeiter sein sollten, die dafür verantwortlich sind. Und was ist mit den Steuerberatungsfirmen und Unternehmen? Sie müssen doch auch konzeptionell vorsichtig sein!

 

[SchweizSchreiber]

Das ist ja wieder ein weiterer technischer Fehler bei den großen Softwarehäusern ! Die Datev mit 1,51 Milliarden Euro Umsatz, das ist schon eine Menge Geld für einen solchen Fehler. Ich meine, wie soll man so etwas nur in die Cloud investieren und dann schon wieder einmal ein technischer Fehler passiert? Und jetzt muss jeder Kunde den Vorfall melden und sehen, wer denn verantwortlich ist? Das ist ja nicht gerade einfach zu klären...