Datenschutz-Folgenabschätzung (DSFA)
nach Art. 35 DSGVO · Stand: 20. Mai 2026 · Steuer-Online MF GmbH
1. Anlass & Zielsetzung
Diese DSFA bewertet die Verarbeitungsvorgänge der Plattform tools.steuersoft.de, soweit personenbezogene Daten verarbeitet werden. Sie dokumentiert mögliche Risiken und Schutzmaßnahmen nach Art. 35 DSGVO.
Hinweis vorab: Die Plattform ist so gestaltet, dass keine Mandantendaten serverseitig persistiert werden. Die DSFA umfasst daher hauptsächlich die unvermeidbaren technischen Verarbeitungen (IP, User-Agent, URL-Pfade) und das Risiko-Profil der Plattform insgesamt.
2. Verarbeitungsvorgänge im Überblick
| Vorgang | Kategorie | Speicherort | Risikoeinstufung |
|---|---|---|---|
| Webseiten-Auslieferung | IP, User-Agent, URL | Server-Logs (lokal, 30 Tage) | niedrig |
| Mandantendaten-Eingabe in Tools | Steuer-/Stammdaten | Browser LocalStorage des Nutzers (24 h Auto-Wipe) | niedrig |
| PDF/Bild-Upload (Bescheid-Checker) | Steuer-Dokumente | Browser-RAM (nicht persistiert) | niedrig |
| Tool-zu-Tool-Übergabe | Mandantendaten | Einmal-Token im LocalStorage (TTL 60 s) | niedrig |
| OCR / PDF-Analyse | Steuer-Dokumente | Browser-WASM (clientseitig) | niedrig |
| Backups | nur Plattform-Code + öffentliche Datenbanken | Server-FS + Off-Site Storage Box | niedrig |
Es liegen keine Verarbeitungsvorgänge mit hohem Risiko im Sinne von Art. 35 Abs. 3 DSGVO vor (kein Profiling, keine besonderen Kategorien personenbezogener Daten serverseitig, keine systematische Überwachung öffentlicher Bereiche, kein Scoring).
3. Risiken & Schutzmaßnahmen
3.1 Risiko: Server-Übernahme durch Angreifer
Auswirkung: Theoretisch Manipulation der ausgelieferten Tools (z.B. eingeschleuste Tracking-Skripte, Phishing-Forms).
Auswirkungs-Reichweite: Hoch (alle Nutzer der Plattform).
Eintrittswahrscheinlichkeit: Niedrig (gehärteter Server, regelmäßige Updates).
Schutzmaßnahmen:
- SSH-Key-only-Login, IP-Whitelisting für administrative Zugänge
- Fail2ban, automatische Sicherheits-Updates der Distribution
- Subresource-Integrity (SRI) auf clientseitigen JS-Libraries: Manipulation wird durch Browser erkannt
- Content-Security-Policy (CSP) blockiert Skript-Ausführung aus fremden Quellen
- Versionierter Plattform-Code, jederzeit aus Backup wiederherstellbar
Restrisiko: niedrig
3.2 Risiko: Browser-Schwachstelle / Cross-Site-Scripting
Auswirkung: Mandantendaten aus LocalStorage werden exfiltriert.
Auswirkungs-Reichweite: Pro Nutzer (Einzelfall).
Eintrittswahrscheinlichkeit: Sehr niedrig (CSP aktiv, keine fremden Skripte).
Schutzmaßnahmen:
- CSP mit
connect-src 'self',frame-ancestors 'none' - HTTP-Header
X-Frame-Options: SAMEORIGIN,X-Content-Type-Options: nosniff - Permissions-Policy: Geolocation/Mikrofon/USB plattformweit deaktiviert
- Auto-Wipe von LocalStorage-Akten nach 24 h Inaktivität
Restrisiko: niedrig
3.3 Risiko: Geteilter Arbeitsplatz / nachfolgender Nutzer sieht Daten
Auswirkung: Mandantendaten im Browser sichtbar für Folge-Nutzer.
Auswirkungs-Reichweite: Pro Endgerät.
Eintrittswahrscheinlichkeit: Niedrig bis mittel (abhängig von Endgeräte-Disziplin).
Schutzmaßnahmen:
- Auto-Wipe nach 24 h Inaktivität (automatisch)
- Manueller „🧹 Alle löschen"-Button in jedem persistenten Tool
- Hinweise im UI zur Nutzung im Inkognito-Modus bei sensiblen Mandaten
- Empfehlung in TOM-Dokument: Bildschirmschutz / Filesystem-Verschlüsselung auf Endgeräten
Restrisiko: niedrig (unter Voraussetzung der Endgerät-Disziplin)
3.4 Risiko: URL-Manipulation / Phishing-Klone
Auswirkung: Nutzer geben Mandantendaten auf einem nachgemachten Plattform-Klon ein.
Auswirkungs-Reichweite: Pro Vorfall.
Eintrittswahrscheinlichkeit: Sehr niedrig (gezielte Angriffe).
Schutzmaßnahmen:
- HTTPS / Let's-Encrypt-Zertifikat, HSTS aktiv
- Domain ist über die Steuer-Online MF GmbH registriert und stabil seit Jahren
- Aufklärung der Nutzer über Original-URL in Schulungsmaterial
Restrisiko: niedrig
3.5 Risiko: Datenübertragung an Auftragsverarbeiter / Dritte
Auswirkung: Mandantendaten gelangen ungewollt an Hetzner, IONOS, Let's Encrypt, Cloud-KI-Anbieter.
Auswirkungs-Reichweite: Keine — Mandantendaten werden technisch nicht serverseitig verarbeitet.
Eintrittswahrscheinlichkeit: Bauartlich ausgeschlossen.
Schutzmaßnahmen:
- Architektur „client-only": Eingaben in Tools verlassen den Browser nicht
- Embeddings-Modell für semantische Suche läuft auf Plattform-Server, nicht bei Cloud-KI-Anbietern
- Keine API-Calls an OpenAI/Anthropic/Google mit Mandanten-Inhalten
- Auftragsverarbeiter (Hetzner, IONOS) haben AV-Verträge nach Art. 28 DSGVO
Restrisiko: niedrig
4. Gesamteinschätzung
Aus der Verarbeitungsstruktur der Plattform ergibt sich:
- Es liegen keine Verarbeitungsvorgänge mit hohem Risiko für die Rechte und Freiheiten natürlicher Personen vor.
- Sämtliche identifizierten Restrisiken sind durch technische und organisatorische Maßnahmen (siehe TOM-Dokument) angemessen mitigiert.
- Die Architektur „client-only" eliminiert die Hauptrisiken klassischer Web-Anwendungen (Server-Datenleak, Insider-Threat).
Eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO ist nicht erforderlich.
5. Verantwortlicher und Datenschutzbeauftragter
Verantwortlicher: Steuer-Online MF GmbH, Wallstr. 7, 66740 Saarlouis
Geschäftsführer: Martin Frankenreiter
Datenschutz-Anfragen: info@steuer-online.de
Aufsichtsbehörde: Unabhängiges Datenschutzzentrum Saarland
6. Revision & Änderungsprotokoll
Diese DSFA wird mindestens jährlich überprüft und bei wesentlichen Änderungen der Verarbeitungsvorgänge angepasst.
- 20.05.2026: Erstveröffentlichung. Bewertung auf Basis der Client-only-Architektur, CSP/HSTS/SRI eingeführt, Auto-Wipe LocalStorage, Token-Handoff statt URL-Parameter.