Kurz gefasst: Artikel 226-13 des Code pénal (Strafgesetzbuch) bestraft jede Offenlegung von geheimhaltungsbedürftigen Informationen durch einen beruflichen Verwahrer. Die Buchhaltungsunterlagen eines Mandanten gehören dazu. Im Zeitalter der Cloud zwingt diese Feststellung dazu, zu prüfen, wo sich Ihre Unterlagen tatsächlich befinden, wer darauf zugreifen kann und was ein Datenleck oder eine behördliche Anordnung nach dem Cloud Act für Ihre Kanzlei bedeuten würde.
Dienstagmittag. Eine Mandantin bittet Sie, die Steuerbilanz des letzten Jahres an ihren neuen Investor zu senden. Sie öffnen Pennylane, exportieren das Dokument, fügen es in eine E-Mail ein und senden es ab. Währenddessen wandert die Datei über Ihren Computer, Ihr Gmail Business-Postfach, die Google-Server und das Postfach des Empfängers. Bevor wir überhaupt die Qualität der Verschlüsselung betrachten, stellen Sie sich die entscheidende Frage: Wie viele Dritte hatten gerade eben ein geheimes Buchhaltungsdokument in ihren Händen?
Artikel 226-13 kennt keine Nuancen
Artikel 226-13 des Code pénal weist eine Besonderheit auf: Er findet automatisch Anwendung, sobald Sie Verwahrer einer geheimen Information sind – sei es aufgrund Ihres Standes oder Berufs oder aufgrund einer Funktion oder eines Auftrags. Für einen Wirtschaftsprüfer oder Steuerberater entsteht diese Eigenschaft bereits durch die einfache Eintragung in die Kammer (Ordre). Es ist kein gesonderter NDA erforderlich und das Berufsgeheimnis muss im Auftragsbrief nicht explizit erwähnt werden. Das Geheimnis ist untrennbar mit dem Beruf verbunden.
„Die Offenlegung einer geheimhaltungsbedürftigen Information durch eine Person, die als Verwahrer derselben fungiert – sei es aufgrund ihres Standes oder Berufs oder aufgrund einer Funktion oder eines vorübergehenden Auftrags –, wird mit einer Freiheitsstrafe von einem Jahr und einer Geldstrafe von 15 000 Euro bestraft.“
Artikel 226-13 des Code pénal
Der Berufskodex der Wirtschaftsprüferkammer (Ordre des experts-comptables) geht in seinen Artikeln 145 ff. noch weiter. Das Berufsgeheimnis wird als « absolut » eingestuft und erstreckt sich auf das gesamte Personal der Kanzlei, auf Praktikanten und sogar auf externe Dienstleister. Die bloße Weitergabe von Dokumenten an einen nicht beaufsichtigten Subunternehmer kann bereits einen berufsrechtlichen Verstoß darstellen.
Warum die Cloud die Spielregeln ändert
Vor 2010 war die Frage des Buchhaltungsgeheimnisses einfach. Die Unterlagen lagen in Papierform in einem Aktenordner in einem abgeschlossenen Schrank. Heute befinden sie sich auf einem geteilten Drive, in Pennylane, in Tiime, in Dext, in einer E-Mail, in WeTransfer und auf der lokalen Kopie des Mitarbeiters im Homeoffice. Der Geltungsbereich des Geheimnisses hat sich nicht geändert. Der technische Anwendungsbereich hingegen ist explodiert.
Doch jedes Mal, wenn ein Dokument den Bereich verlässt, den Sie direkt kontrollieren, gelangt es in den Bereich eines Subunternehmers. Die RGPD regelt diese Beziehung durch Verträge — Data Processing Agreements (DPA) —, aber diese Verträge schaffen keine Souveränität; sie organisieren sie lediglich in Ihrem Namen. Wenn der SaaS-Anbieter aus den USA stammt, kann Sie Ihr DPA nicht vor einer Beschlagnahmung gemäß CLOUD Act schützen. Wenn der Anbieter aufgekauft wurde, wird Ihr DPA ohne Ihr Zutun neu verhandelt. Wenn der Anbieter einen Fehler hat, durch den Ihre Daten offengelegt werden, werden Sie erst nach anderen darüber informiert.
Was die von Ihnen verwendeten Tools wirklich aussagen
Pennylane ist ein französischer Akteur, der inzwischen mit über zwei Milliarden Euro bewertet wird und Anfang 2026 einhundertsiebzig Millionen Euro Kapital aufgenommen hat. Sein Gerichtsstand ist Frankreich. Das ist ein echter Unterschied zu TaxDome oder SmartVault. Dennoch bleibt Pennylane ein gehostetes SaaS-System: Ihre Dokumente liegen auf deren Servern unter deren operativer Kontrolle, und die Compliance ihrer Sicherheit hängt von ihrer Architektur ab. Dies ist beherrschbar, sofern man den DPA auditiert und versteht, dass man sich in einem Auftragsverarbeitungsverhältnis befindet.
Dext, das zur IRIS-Gruppe gehört, ist britischen Ursprungs — und damit nach dem Brexit für Fragen des Datentransfers außerhalb der Europäischen Union. Tiime ist französisch, kleiner und auf das Segment der Selbstständigen und Freelancer fokussiert. Cegid, EBP und Sage sind etablierte Anbieter, bleiben aber schwerfällige Stacks, die für kleine Kanzleien, die ein Kundenportal wünschen, nicht gut geeignet sind.
Auf der amerikanischen Seite sind TaxDome und SmartVault Referenzen, die von zehntausenden Kanzleien im englischsprachigen Raum genutzt werden. Ihre Architektur ist solide, ihr Ökosystem ist leistungsstark. Doch ihr Gerichtsstand für die Unternehmensgründung setzt Ihre Kundendokumente mechanisch dem Cloud Act aus. Für eine französische Kanzlei ist das kein Detail.
Zehnjährige Aufbewahrungsfrist: Was Artikel R. 123-200 des Handelsgesetzbuchs besagt
Zum Steuergeheimnis kommt die Aufbewahrungspflicht hinzu. Artikel R. 123-200 des Handelsgesetzbuchs (Code de commerce), ergänzt durch Artikel L. 102 B der Abgabenordnung (Livre des procédures fiscales), schreibt die Aufbewahrung von Belegen für zehn Jahre ab Abschluss des Geschäftsjahres vor. Diese Verpflichtung ist keine bloße Formalität: Sie wird regelmäßig kontrolliert, und deren Nichteinhaltung führt zu Steuernachzahlungen und Sanktionen.
Zehn Jahre sind mehr als die durchschnittliche Lebensdauer einer SaaS-Lösung. Es ist länger als ein typischer Zyklus aus Übernahme und Rebranding. Wenn Ihr Anbieter schließt oder sein Geschäftsmodell ändert, müssen Sie in der Lage sein, alle gespeicherten Dokumente in einer nutzbaren und prüfbaren Form abzurufen. Echte Portabilität, nicht nur behauptete. Dies ist technisch bei den meisten SaaS-Lösungen machbar, doch die operativen Kosten für eine zehnjährige Migration von Dokumenten sind selten budgetiert.
Die elektronische Rechnung 2026 löst das Problem nicht, sie verlagert es
Der Übergang zur obligatorischen elektronischen Rechnungsstellung zwischen Unternehmen, geplant ab September 2026 für Großunternehmen und 2027 für Kleinstunternehmen sowie KMU, wird die Rechnungsflüsse auf zertifizierte Plattformen zentralisieren. Dies ist vorteilhaft für die Rückverfolgbarkeit dieser speziellen Kategorie von Dokumenten. Es deckt jedoch keine anderen Dokumente ab: Bankverbindungen (RIB), Kundenverträge, Rechtsstatus, Wohnsitznachweise, URSSAF-Bescheinigungen oder Kontoauszüge. All diese Dokumente werden weiterhin über andere Kanäle gesammelt, und genau diese verursachen die größten Probleme hinsichtlich der Datensouveränität.
Kriterien für eine saubere Sammelkette
Bevor Sie sich Client Vault oder ein anderes Tool ansehen, sollten Sie die folgende Prüfmatrix anwenden. Hosting bei einem französischen oder europäischen Anbieter, Gerichtsstand des Anbieters in Frankreich oder der EU. Bereichsbezogene Speicherung pro Kunde — kein allgemeiner Ordner, der für das gesamte Team zugänglich ist. Nachvollziehbare Protokollierung von Zugriffen, Uploads, Validierungen und Löschungen. Strukturierte Anforderung von Dokumenten anstelle von freier E-Mail-Kommunikation. DSGVO-Konformität in Bezug auf Aufbewahrungsfristen, Recht auf Löschung und Datenübertragbarkeit. Unabhängigkeit von einem einzelnen Anbieter: Sollte das Tool vom Markt verschwinden, erhält die Kanzlei ihre Daten in einem nutzbaren Format zurück.
Diese Matrix ermöglicht die Bewertung von Pennylane, TaxDome, SmartVault oder jeder anderen Lösung. Pennylane erfüllt die Kriterien der redaktionellen Souveränität, bleibt jedoch eine SaaS-Lösung. TaxDome verliert die redaktionelle Souveränität. SmartVault ebenso. Ein WordPress-Stack mit einem souveränen Tresor erfüllt alle sechs Kriterien, vorausgesetzt, der Hosting-Anbieter wird sorgfältig gewählt.
Was Client Vault einer Steuerkanzlei bietet
Client Vault erstellt als WordPress-Plugin einen privaten Bereich für jeden Kunden Ihrer Kanzlei. Wenn Sie eine Steuererklärung, eine Bankverbindung oder einen Vertrag anfordern, lädt Ihr Kunde das Dokument in diesen Bereich hoch. Jeder Upload wird validiert und mit einem Zeitstempel versehen. Der Verlauf bleibt einsehbar und rechtssicher. Wenn Sie ein Dokument an einen Kollegen oder einen Wirtschaftsprüfer weiterleiten, laden Sie es aus Ihrem Tresor herunter und versenden es über den Kanal Ihrer Wahl, behalten dabei jedoch eine zentrale Aufzeichnung.
Der Vorteil der WordPress-Architektur liegt darin, dass sie sich in Ihren bestehenden Tech-Stack integriert, anstatt ihn zu ersetzen. Sie behalten Pennylane für die Buchhaltung, Dext für die OCR und fügen Client Vault für die sichere Sammlung von Dokumenten außerhalb des Zahlungsverkehrs hinzu. Die WordPress-Hooks ermöglichen es, Ihren Tresor mit Ihrem CRM, Ihrem E-Mail-System und Ihren Automatisierungen zu verbinden. Es geht um Koexistenz statt Konkurrenz.
Für WordPress-Agenturen, die Kanzleien ausstatten: Genau dies ist die Art von Bereitstellung, bei der Sie einen sichtbaren Mehrwert bieten. Wahl des französischen Hosters, Konfiguration des SSL-Zertifikats, Integration mit Pennylane per Webhook, Schulung der Mitarbeiter, jährlicher Support. Eine Kanzlei mit fünf Mitarbeitern stellt einen reproduzierbaren Einsatz dar, den Sie als Paket anbieten können.
Ehrliche Grenzen
Client Vault ist keine Buchhaltungssoftware. Es ersetzt weder Pennylane noch Tiime oder Cegid. Dies ist auch nicht seine Aufgabe. Es ergänzt Ihren Stack im Bereich der Dokumentensammlung und des Kundenportals. Es erstellt auch keine elektronischen Rechnungen im Sinne der zugelassenen Plattformen für 2026: Hierfür nutzen Sie weiterhin Ihre Rechnungsstellungslösung und die offizielle Plattform.
Schließlich erfordert Souveränität technische Vermittlung. Wenn Sie keine vertrauenswürdige WordPress-Agentur haben oder sich mit der Wartung einer WP-Website nicht wohlfühlen, ist der Nutzen weniger deutlich. Für eine Kanzlei, die den geringstmöglichen technischen Aufwand wünscht und eine SaaS-Abhängigkeit akzeptiert, bleibt ein Standard-Pennylane einfacher. Der souveräne Weg erfordert Engagement.
Lernen wir uns kennen
Wenn Sie Wirtschaftsprüfer, Steuerberater oder eine WordPress-Agentur sind, die Kanzleien betreut, und Sie sich für die Souveränität bei der Sammlung von Dokumenten interessieren, lassen Sie uns per Videokonferenz sprechen. Zwanzig bis dreißig Minuten, um Ihre Situation zu verstehen, Ihren aktuellen Stack zu prüfen und zu sehen, wie ein souveräner WordPress-Weg mit dem, was Sie bereits nutzen, kombiniert werden kann.
Häufig gestellte Fragen
Gilt Artikel 226-13 für Wirtschaftsprüfer?
Ja. Die Eintragung in die Kammer verleiht automatisch den Status eines Verwahrers von Informationen, die dem Berufsgeheimnis unterliegen. Der Ethikkodex der Kammer qualifiziert das Berufsgeheimnis in den Artikeln 145 ff. als absolut und dehnt es auf alle Mitglieder der Kanzlei sowie auf beauftragte externe Dienstleister aus.
Verstößt das Speichern von Kundendokumenten auf Google Drive gegen das Berufsgeheimnis?
Nicht automatisch, aber es ist ein Risikobereich. Google Drive ist ein Auftragsverarbeiter im Sinne der RGPD: Sie müssen über einen DPA verfügen, die Analyse von Datentransfers außerhalb der EU prüfen sowie die Segmentierung und Nachvollziehbarkeit gewährleisten. In der Praxis bietet ein unstrukturiertes geteiltes Laufwerk diese Garantien nicht.
Ist Pennylane konform mit Artikel 226-13?
Pennylane ist ein französischer Akteur, der einen DPA und eine sichere Architektur anbietet. Dies entbindet die Kanzlei nicht davon, ihre eigene Auftragsverarbeitungsbeziehung zu qualifizieren und ihre Verpflichtungen zu erfüllen. Pennylane ist mit einem konformen Ansatz kompatibel, aber die Compliance bleibt eine geteilte Verantwortung.
Sind TaxDome oder SmartVault für eine französische Kanzlei akzeptabel?
Ihr Gründungsstandort in den USA unterwirft sie dem CLOUD Act. Dies erfordert von der Kanzlei eine spezifische Datenschutz-Folgenabschätzung, zusätzliche technische Maßnahmen sowie eine erhöhte Wachsamkeit bei Änderungen der DPA. Die Konformität ist nicht unmöglich, aber in der Umsetzung komplexer als bei einem französischen oder europäischen Anbieter.
Welche Strafe droht einer Kanzlei bei fahrlässiger Offenlegung?
Artikel 226-13 des französischen Strafgesetzbuches sieht eine Freiheitsstrafe von einem Jahr sowie eine Geldstrafe von 15 000 € vor. Strafrechtliche Sanktionen sind in der Praxis selten, jedoch sind administrative Bußgelder der CNIL sowie berufsständische Disziplinarmaßnahmen an der Tagesordnung. Hinzu kommt der Reputationsschaden.
Wie lange müssen Buchhaltungsunterlagen aufbewahrt werden?
Artikel R. 123-200 des Handelsgesetzbuches (Code de commerce) und Artikel L. 102 B der Abgabenordnung (Livre des procédures fiscales) schreiben eine Aufbewahrungsfrist von zehn Jahren ab Abschluss des Geschäftsjahres vor. Dies gilt für Belege, Geschäftsbücher und Verwaltungsunterlagen.
Was besagt die DSGVO in Bezug auf buchhalterische Kundenunterlagen?
Die DSGVO schreibt die Sicherheit der Verarbeitung (Artikel 32), die Rückverfolgbarkeit, die vertragliche Einbindung von Auftragsverarbeitern (Artikel 28) sowie die Begrenzung der Aufbewahrungsfristen (Artikel 5) vor. Für Buchhaltungsunterlagen haben die steuerrechtlichen Aufbewahrungsfristen Vorrang, jedoch finden alle weiteren Prinzipien uneingeschränkt Anwendung.
{ „@context“: „https://schema.org“, „@type“: „Article“, „headline“: „Art. 226-13 et secret comptable : ce que la dématérialisation change“, „author“: {„@type“: „Person“, „name“: „Dragan Stamenkovic“}, „datePublished“: „2026-05-10“, „dateModified“: „2026-05-10“, „publisher“: {„@type“: „Organization“, „name“: „Client Vault“}, „mainEntityOfPage“: „https://clientvault.pro/blog/art-226-13-secret-comptable-numerique“ }{ „@context“: „https://schema.org“, „@type“: „FAQPage“, „mainEntity“: [ {„@type“: „Question“, „name“: „L’article 226-13 s’applique-t-il aux experts-comptables ?“, „acceptedAnswer“: {„@type“: „Answer“, „text“: „Oui. L’inscription à l’Ordre confère la qualité de dépositaire d’informations secrètes.“}}, {„@type“: „Question“, „name“: „Stocker des pièces clients sur Google Drive viole-t-il le secret comptable ?“, „acceptedAnswer“: {„@type“: „Answer“, „text“: „Pas mécaniquement mais c’est une zone à risque qui demande DPA, analyse de transferts et cloisonnement.“}}, {„@type“: „Question“, „name“: „Pennylane est-il conforme à l’article 226-13 ?“, „acceptedAnswer“: {„@type“: „Answer“, „text“: „Pennylane est français et propose un DPA. La conformité reste partagée entre éditeur et cabinet.“}}, {„@type“: „Question“, „name“: „TaxDome ou SmartVault sont-ils acceptables pour un cabinet français ?“, „acceptedAnswer“: {„@type“: „Answer“, „text“: „Leur juridiction américaine les expose au CLOUD Act, ce qui impose une analyse d’impact spécifique.“}}, {„@type“: „Question“, „name“: „Quelle peine encourt un cabinet qui révèle par négligence ?“, „acceptedAnswer“: {„@type“: „Answer“, „text“: „Un an d’emprisonnement et 15 000 euros d’amende au titre de l’article 226-13. Sanctions CNIL et ordinales également possibles.“}}, {„@type“: „Question“, „name“: „Combien de temps faut-il conserver les pièces comptables ?“, „acceptedAnswer“: {„@type“: „Answer“, „text“: „Dix ans à compter de la clôture de l’exercice (article R. 123-200 Code de commerce, article L. 102 B LPF).“}}, {„@type“: „Question“, „name“: „Que dit le RGPD sur les pièces comptables clients ?“, „acceptedAnswer“: {„@type“: „Answer“, „text“: „Sécurité du traitement (art. 32), encadrement des sous-traitants (art. 28), limitation des durées (art. 5).“}} ] }
