Ein Mandantenportal ist ein zugangsgeschützter Online-Bereich, über den Kanzlei und Mandant Belege, Auswertungen und Verträge austauschen. Das Mandantenportal ersetzt den E-Mail-Anhang durch eine verschlüsselte Ablage mit Rechteverwaltung und Zugriffsprotokoll. Ein Mandantenportal lohnt sich ab regelmäßigem, wiederkehrendem Dokumentenverkehr.
Ein Mandantenportal bündelt Upload, Freigabe und Archiv in einem Zugang und protokolliert jeden Zugriff. Die DSGVO verlangt für den Dokumentenaustausch technische und organisatorische Maßnahmen nach Art. 32 sowie einen Auftragsverarbeitungsvertrag mit dem Portal-Anbieter nach Art. 28. Der Nutzen entsteht über Frequenz: Mandanten mit monatlicher Buchhaltung amortisieren das Portal schneller als Jahresabschluss-Mandanten. Die Hürde liegt selten in der Technik, sondern in der Akzeptanz auf Mandantenseite.
Was ist ein Mandantenportal?
Ein Mandantenportal ist eine webbasierte Plattform, auf der eine Kanzlei jedem Mandanten einen eigenen, rechteverwalteten Bereich zuweist. Der Mandant lädt dort Belege hoch und ruft Auswertungen ab. Die Kanzlei stellt Dokumente ein und steuert, wer welche Datei sieht.
Das Mandantenportal unterscheidet sich von zwei benachbarten Systemen. Ein Dokumentenmanagementsystem (DMS) ist die interne Ablage der Kanzlei mit Versionierung und Aufbewahrungsfristen; es richtet sich an Mitarbeiter, nicht an Mandanten. Ein Datenraum ist ein befristeter, stark protokollierter Freigabebereich für einzelne Vorgänge wie eine Due-Diligence-Prüfung oder einen Unternehmensverkauf. Das Mandantenportal liegt dazwischen: es ist dauerhaft, mandantenbezogen und auf wiederkehrenden Austausch ausgelegt.
Technisch besteht ein Mandantenportal aus vier Bausteinen: Authentifizierung (Login, in der Regel mit zweitem Faktor), Rechteverwaltung (welcher Nutzer sieht welchen Ordner), Transportverschlüsselung plus Verschlüsselung im Ruhezustand, und ein Protokoll, das Upload, Abruf und Löschung mit Zeitstempel festhält. Portale wie DATEV Unternehmen online, DATEV Meine Steuern oder die Mandantenbereiche der Kanzleisoftware-Hersteller bilden diese vier Bausteine ab.
Eine Übersicht der Anbieter und ihrer Einsatzfelder in der Steuerberatung liefert das Verzeichnis unter Mandanten- und Kundenportal für Steuerberatung. Die Begriffsabgrenzung zum internen Ablagesystem steht im Glossareintrag Dokumentenmanagementsystem (DMS).
Wie läuft der Dokumentenaustausch über ein Mandantenportal ab?
Der Austausch über ein Mandantenportal läuft in vier Schritten: Der Mandant lädt den Beleg hoch, das Portal legt ihn im zugewiesenen Ordner ab, die Kanzlei übernimmt ihn in die Verarbeitung, und das Ergebnis erscheint als Auswertung im selben Portal zum Abruf.
Der entscheidende Unterschied zur E-Mail liegt im Besitz der Datei. Bei einem E-Mail-Anhang existiert das Dokument danach in mindestens vier Kopien: im Postausgang des Mandanten, auf dem Mailserver, im Posteingang der Kanzlei und im lokalen Download-Ordner des Bearbeiters. Im Mandantenportal existiert eine Instanz mit definierten Zugriffsrechten. Jede Löschung wirkt an einer Stelle.
Der zweite Unterschied ist die Zuordnung. Ein Portal-Upload trägt Mandantennummer, Zeitstempel und Kategorie bereits im Moment des Hochladens. Ein E-Mail-Anhang trägt einen Dateinamen, den der Mandant vergeben hat. Die manuelle Zuordnung entfällt damit, was direkt in die digitale Belegverarbeitung einläuft — beschrieben in Digitale Belegverarbeitung in der Steuerkanzlei.
Der häufigste Bruch im Portal-Betrieb ist der Rückkanal. Kanzleien stellen Auswertungen sauber ins Portal, beantworten Rückfragen des Mandanten aber weiter per E-Mail — inklusive angehängter Korrekturbelege. Damit entstehen zwei parallele Ablagen, und der Protokoll-Vorteil des Portals entfällt für genau die Dokumente, um die gestritten wird. Wer ein Portal einführt, legt deshalb zuerst fest, welche Kommunikationswege für Belege geschlossen werden, nicht welche geöffnet werden.
Was verlangt die DSGVO von einem Mandantenportal?
Die DSGVO verlangt für ein Mandantenportal zwei getrennte Dinge: technische und organisatorische Maßnahmen nach Art. 32 DSGVO, darunter Verschlüsselung und Zugriffskontrolle, sowie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter, sobald dieser die Daten hostet.
Art. 32 DSGVO nennt Verschlüsselung und Pseudonymisierung ausdrücklich als geeignete Maßnahmen und knüpft den Umfang an das Risiko der Verarbeitung. Steuer- und Mandantendaten gelten als Daten mit hohem Schadenspotenzial, weil sie Einkommens-, Vermögens- und Gesundheitsangaben enthalten können. Für Steuerberater und Rechtsanwälte tritt § 203 StGB hinzu: die Verletzung von Privatgeheimnissen ist strafbewehrt, und Abs. 3 stellt klar, dass die Einbindung mitwirkender Personen — dazu zählen IT-Dienstleister — vertraglich abzusichern ist.
Welche Punkte in den Auftragsverarbeitungsvertrag gehören, von Hosting-Standort über Unterauftragsverarbeiter bis Löschkonzept, steht in Auftragsverarbeitungsvertrag: was beim Softwareeinsatz zu regeln ist.
Ein Mandantenportal ersetzt keine Aufbewahrung. Dokumente, die den GoBD unterliegen, müssen revisionssicher und über die gesetzliche Frist hinweg verfügbar bleiben. Viele Portale löschen Uploads nach einer Vorhaltezeit. Prüfen Sie vor der Einführung, ob das Portal archiviert oder nur transportiert — und wer die Aufbewahrung übernimmt. Dieser Beitrag ersetzt keine Rechtsberatung.
Wann lohnt sich ein Mandantenportal für die Kanzlei?
Ein Mandantenportal lohnt sich, wenn drei Schwellen zusammentreffen: wiederkehrender Dokumentenverkehr, vertraulicher Inhalt und Nachweisbedarf. Trifft nur eine Schwelle zu, genügt in der Regel ein verschlüsselter Einzelversand. Treffen alle drei zu, trägt das Portal seinen Einführungsaufwand.
Dieser Drei-Schwellen-Test lässt sich pro Mandat beantworten:
- Frequenz: Wie oft im Jahr wechseln Dokumente die Richtung? Ein Mandant mit monatlicher Finanzbuchhaltung erzeugt zwölf Zyklen, ein reines Jahresabschluss-Mandat zwei bis drei.
- Vertraulichkeit: Enthalten die Unterlagen Lohndaten, Gesundheitsangaben oder Vermögensaufstellungen? Dann ist die Protokollierung kein Komfort, sondern Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
- Nachweisbarkeit: Muss die Kanzlei belegen können, wann ein Dokument zur Verfügung stand? Fristgebundene Übergaben fallen darunter.
Die Zielmarken des DATEV-Labels „Digitale DATEV-Kanzlei 2026″ zeigen, wo die Branche den Hebel ansetzt. Laut DATEV eG [Stand September 2026] verlangt das Label im Rechnungswesen einen Anteil von 75 Prozent Mandanten mit digitalen Belegen — 15 Prozentpunkte mehr als im Vorjahreskriterium. Im Bereich Steuern liegt die Marke für Mandanten mit digitalen Einkommensteuer-Belegen bei 10 Prozent, angehoben um 5 Prozentpunkte. Betrachtet werden jeweils die letzten 365 Tage.
Die Lücke zwischen 75 Prozent im Rechnungswesen und 10 Prozent bei der Einkommensteuer ist das eigentliche Signal: Der digitale Belegfluss funktioniert dort, wo auf Mandantenseite ein Betrieb mit eigener Buchhaltung sitzt. Bei Privatmandanten bleibt er die Ausnahme.
Woran scheitert die Akzeptanz auf Mandantenseite?
Die Akzeptanz eines Mandantenportals scheitert überwiegend an drei Punkten: einem zweiten Login neben den bereits genutzten Zugängen, unklarer Zuständigkeit für die Ablage, und fehlender Rückmeldung, ob ein Upload angekommen ist.
Der erste Punkt ist eine Frage der Gewohnheit. Mandanten mit eigenem Warenwirtschafts- oder Kassensystem erwarten, dass Belege dort entstehen und automatisch weiterlaufen. Ein Portal, das einen manuellen Upload verlangt, wirkt dann als Rückschritt. Schnittstellen zur Mandantensoftware lösen das, verlagern die Auswahlfrage aber auf die Systemseite — der Ablauf dafür steht in Branchensoftware auswählen: ein Leitfaden in sieben Schritten.
Der zweite Punkt ist organisatorisch. Wenn im Betrieb des Mandanten niemand namentlich für den Upload zuständig ist, wandert die Aufgabe zur Person mit der geringsten Auslastung und bricht bei Urlaub ab. Kanzleien, die eine feste Ansprechperson pro Mandat benennen lassen, berichten von stabileren Zyklen.
Der dritte Punkt ist technisch lösbar: Eine Eingangsbestätigung — als Portal-Benachrichtigung oder als Statusanzeige — nimmt dem Mandanten die Unsicherheit, die ihn sonst zusätzlich zur E-Mail greifen lässt.
💬 Meine Einschätzung
Die gängige Annahme lautet, ein Mandantenportal sei zuerst eine Datenschutzmaßnahme. Die Kriterien des DATEV-Labels 2026 erzählen eine andere Geschichte: Sie messen Quoten — Anteil Mandanten mit digitalen Belegen, Digitalisierungsquote Bank, Anteil E-Rechnung. Gemessen wird also Durchdringung, nicht Sicherheit. Das passt zur Praxis. Ein Portal, das 30 Prozent der Mandanten nutzen, erzeugt Mehraufwand, weil die Kanzlei zwei Wege parallel bedient. Erst jenseits einer kritischen Beteiligung kippt die Rechnung. Deshalb ist die erste Frage bei der Einführung nicht „welches Portal“, sondern „welche Mandantengruppe zieht mit und in welcher Reihenfolge“. Wer mit den monatlich buchenden Betrieben startet und Privatmandate zunächst außen vor lässt, erreicht die kritische Beteiligung im ersten Jahr deutlich eher.
- Mandantenportal = dauerhafter, rechteverwalteter Austauschbereich pro Mandat; DMS = interne Ablage; Datenraum = befristeter Einzelvorgang
- Pflichtbasis: Art. 32 DSGVO (Verschlüsselung, Zugriffskontrolle) plus Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
- Für Berufsgeheimnisträger gilt zusätzlich § 203 StGB, Abs. 3 zur Einbindung mitwirkender Personen
- DATEV-Label „Digitale DATEV-Kanzlei 2026″: 75 % Mandanten mit digitalen Belegen im Rechnungswesen, 10 % bei Einkommensteuer-Belegen (Stand September 2026)
- Drei-Schwellen-Test vor der Einführung: Frequenz, Vertraulichkeit, Nachweisbarkeit — alle drei müssen zutreffen
Häufige Fragen zum Mandantenportal
Ist ein Mandantenportal für Steuerberater Pflicht?
Nein. Eine Pflicht zum Mandantenportal besteht nicht. Pflicht ist der Schutz der übermittelten Daten nach Art. 32 DSGVO und die Wahrung der Verschwiegenheit nach § 203 StGB. Ein Portal ist ein Weg, diese Pflichten nachweisbar zu erfüllen.
Was unterscheidet ein Mandantenportal von einem Datenraum?
Ein Datenraum ist auf einen befristeten Vorgang mit festem Teilnehmerkreis zugeschnitten, etwa eine Due-Diligence-Prüfung. Ein Mandantenportal läuft dauerhaft pro Mandat und ist auf wiederkehrenden Austausch ausgelegt.
Reicht eine verschlüsselte E-Mail statt eines Portals?
Für einzelne Versendungen genügt verschlüsselter Versand. Für wiederkehrenden Austausch fehlen der E-Mail die Rechteverwaltung, die zentrale Löschbarkeit und das Zugriffsprotokoll.
Wer haftet, wenn Daten im Portal des Anbieters abfließen?
Die Kanzlei bleibt Verantwortliche im Sinne der DSGVO. Der Anbieter ist Auftragsverarbeiter. Die Zuständigkeiten, Meldewege und Haftungsfragen regelt der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Wie viele Mandanten müssen mitmachen, damit sich das Portal rechnet?
Eine allgemeingültige Zahl existiert nicht. Die Rechnung kippt, sobald die Kanzlei den parallelen E-Mail-Weg für Belege schließen kann — solange beide Wege offen bleiben, entsteht Doppelaufwand.
Quellen und weiterführende Literatur
- DATEV eG — Kriterien zur Labelvergabe „Digitale DATEV-Kanzlei 2026″, datev.de (Stand September 2026)
- Verordnung (EU) 2016/679 (DSGVO) — Art. 5 Abs. 2, Art. 28, Art. 32, eur-lex.europa.eu
- Strafgesetzbuch § 203 — Verletzung von Privatgeheimnissen, gesetze-im-internet.de
- Bundesministerium der Finanzen — GoBD, Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form, bundesfinanzministerium.de
- Bundessteuerberaterkammer — Hinweise zur Verschwiegenheitspflicht und zum Einsatz von Dienstleistern, bstbk.de
Verantwortlicher Redakteur
Markus Götz
Markus Götz verantwortet Inhalt und Redaktion von Branchen-Software im Sinne von § 18 Abs. 2 MStV. Er betreibt mehrere deutschsprachige Fach- und Vergleichsportale und verantwortet hier die Auswahl der Datenquellen, die Methodik hinter den Vergleichen und die redaktionelle Linie. Hinweise auf veraltete oder falsche Angaben nimmt er direkt entgegen: markus@branchen-software.de