Dokumente sicher hochladen: was eine Kanzlei-Website dafür braucht

Das Wichtigste in Kürze

• Ein Upload über HTTPS an einen Ort, den die Kanzlei kontrolliert, ist sicherer als E-Mail-Anhänge, die in mehreren Postfächern liegen bleiben.
• Jeder Dienstleister, der die Dateien speichert, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Der Upload-Speicher ist kein Archiv: Die siebenjährige Aufbewahrung nach § 132 BAO gilt für die abgelegten Unterlagen, nicht für die Kopie im Upload-Ordner.
• Gibt es schon ein Mandantenportal, gehört ein klarer Link darauf auf die Website statt eines zweiten Uploads.
• Berufsrechtliche Fragen zur Verschwiegenheit klärst du mit der Kammer, nicht mit der Webagentur.

Damit Mandantinnen und Mandanten Dokumente sicher hochladen können, braucht eine Kanzlei-Website eine verschlüsselte Übertragung, einen klar festgelegten Speicherort, einen Vertrag mit jedem Dienstleister, der die Daten sieht, und eine Regel, wann Uploads wieder gelöscht werden. Oft ist der beste Weg dorthin ein Link auf das Mandantenportal, das die Kanzlei ohnehin schon nutzt.

Nimm eine Steuerberatung mit sechs Leuten. Im Februar schicken Mandanten Lohnzettel, Kontoauszüge und Mietverträge per E-Mail, manche als Foto, manche als ZIP-Datei, manche an die falsche Kollegin. Das Sekretariat sortiert Anhänge, statt Rückfragen zu beantworten. Ein sauberer Upload-Weg auf der Website ändert das, wenn er zu den Abläufen in der Kanzlei passt.

Was eine Website für deine Steuerberatung insgesamt braucht, zeigt unsere Branchenseite. Wie wir Websites für Betriebe in Graz grundsätzlich aufbauen, steht in der Übersicht. Hier geht es nur um den Weg der Unterlagen.

Upload oder E-Mail: was ist der Unterschied?

Ein Upload über eine verschlüsselte Verbindung bringt die Datei direkt an einen Ort, den die Kanzlei kontrolliert. Eine E-Mail legt Kopien in mehreren Postfächern ab, auf die niemand mehr zugreifen oder die niemand mehr löschen kann, sobald sie verschickt sind.

Eine normale E-Mail ist in der Regel nur auf dem Weg zwischen den Mailservern verschlüsselt, und auch das nur, wenn beide Seiten es unterstützen. Im Postfach des Absenders, bei dessen Anbieter und in deinem Postfach liegen die Anhänge danach im Klartext. Für einen Lohnzettel mit Sozialversicherungsnummer ist das kein guter Ort.

Die DSGVO nennt in Artikel 32 die Verschlüsselung personenbezogener Daten ausdrücklich als Beispiel für geeignete technische Maßnahmen [Q1]. Welche Maßnahmen für deine Kanzlei angemessen sind, hängt vom Risiko ab und gehört in dein Datenschutzkonzept.

Dokumente sicher hochladen: was eine Kanzlei-Website dafür braucht

Ein sicherer Upload besteht aus mehr als einem Formularfeld mit Büroklammer. Diese fünf Punkte müssen geklärt sein, bevor der erste Mandant eine Datei schickt.

1. Verschlüsselte Übertragung: Die Seite mit dem Upload läuft ausschließlich über HTTPS. Das ist heute Standard, gehört aber trotzdem geprüft.
2. Speicherort: Du weißt, auf welchem Server die Dateien landen, bei welchem Anbieter und in welchem Land. „Irgendwo beim Website-Baukasten“ ist keine Antwort.
3. Zugriff: Nur die zuständigen Personen in der Kanzlei sehen die Uploads, mit eigener Anmeldung und am besten mit einem zweiten Faktor wie einem Code am Handy.
4. Verträge: Mit jedem Dienstleister, der die Dateien speichert oder verarbeitet, gibt es einen Auftragsverarbeitungsvertrag.
5. Löschung: Es ist festgelegt, wann eine Datei aus dem Upload-Speicher verschwindet, nachdem sie in der Kanzleisoftware abgelegt ist.

Dazu kommt die Bedienung. Mandanten laden oft vom Handy hoch, also braucht der Upload Fotos direkt aus der Kamera, mehrere Dateien auf einmal und eine klare Bestätigung, was angekommen ist. Welche Hürden Formulare sonst unbrauchbar machen, zeigt unser Beitrag über abgebrochene Formulare.

Wer braucht einen Auftragsverarbeitungsvertrag?

Jeder Dienstleister, der die hochgeladenen Dateien im Auftrag der Kanzlei speichert oder verarbeitet, braucht einen Vertrag nach Artikel 28 DSGVO. Das betrifft typischerweise den Hosting-Anbieter der Website, den Anbieter des Upload-Dienstes und gegebenenfalls die Agentur, die das System betreut.

Laut Artikel 28 Absatz 3 muss dieser Vertrag unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegen [Q1]. Viele große Anbieter stellen solche Verträge standardmäßig bereit. Prüf, ob der Vertrag wirklich für den Dienst gilt, den du nutzt, und leg ihn zu deinen Unterlagen.

Für Steuerberatungen kommt die berufliche Verschwiegenheit dazu. Das Wirtschaftstreuhandberufsgesetz 2017 hält in § 80 fest, dass Berufsberechtigte zur Verschwiegenheit über die ihnen anvertrauten Angelegenheiten verpflichtet sind (Fassung Februar 2026) [Q2]. Was das für die Auswahl deiner Dienstleister konkret bedeutet, klärst du mit der Kammer der Steuerberater:innen und Wirtschaftsprüfer oder deiner Rechtsberatung.

Wie lange bleiben hochgeladene Dokumente liegen?

Der Upload-Speicher ist ein Postkasten, kein Archiv. Sobald eine Datei in der Kanzleisoftware abgelegt ist, hat sie im Upload-Bereich nichts mehr verloren.

Die eigentliche Aufbewahrung richtet sich nach anderen Regeln. § 132 der Bundesabgabenordnung verlangt, dass Bücher, Aufzeichnungen und die dazugehörigen Belege sieben Jahre aufbewahrt werden, gerechnet ab dem Ende des Jahres, in dem die Eintragung erfolgt ist, und länger, solange sie für ein anhängiges Abgabenverfahren von Bedeutung sind (RIS, abgerufen September 2026) [Q3]. Elektronische Aufbewahrung ist laut § 132 Abs. 2 zulässig, wenn eine vollständige, geordnete, inhaltsgleiche und urschriftgetreue Wiedergabe bis zum Ablauf der Frist jederzeit gewährleistet ist [Q3].

Diese Pflicht trifft die Unterlagen im Archiv, nicht die Kopie im Upload-Ordner. Die DSGVO verlangt mit dem Grundsatz der Speicherbegrenzung in Artikel 5, Daten nicht länger als nötig in personenbezogener Form zu halten [Q1]. Leg deshalb eine feste Frist fest, nach der Uploads automatisch gelöscht werden, und schreib sie in die Datenschutzerklärung.

Mandantenportal verlinken oder eigenen Upload bauen?

Wenn deine Kanzlei bereits ein Mandantenportal nutzt, ist ein gut sichtbarer Link darauf fast immer die bessere Lösung als ein zweiter Upload auf der Website. Die Unterlagen landen dann dort, wo die Buchhaltung ohnehin arbeitet.

In Österreich verbreitet ist zum Beispiel BMD Com, eine Mandantenplattform, über die Mandanten laut Hersteller Belege hochladen, über eine App vom Handy aus übermitteln und über einen integrierten Messenger Rückfragen klären; der Hersteller nennt Verschlüsselung und eine optionale Zwei-Faktor-Anmeldung (abgerufen September 2026) [Q4]. Andere Kanzleisoftware bringt eigene Portale mit. Welches für dich passt, entscheidest du mit deinem Softwarepartner, nicht mit deiner Webagentur.

Ein eigener Upload auf der Website lohnt sich dann, wenn es kein Portal gibt oder wenn Interessenten vor der Mandatsübernahme Unterlagen schicken sollen, etwa für ein Angebot. Er muss dieselben fünf Punkte von oben erfüllen und sollte die Dateien nicht per E-Mail weiterleiten, sondern an einem geschützten Ort ablegen.

Wie wir Uploads auf Websites umsetzen

Auf den Websites, die wir bauen, führen wir Unterlagen nicht über unverschlüsselte E-Mail-Anhänge, sondern verlinken das Mandantenportal oder setzen einen verschlüsselten Upload ein. Einen Anfrageweg mit Datei-Upload haben wir zum Beispiel für Sabrinas Paracord Werkstatt gebaut, einen Online-Shop für handgemachte Hundehalsbänder: Dort laden Kundinnen für Sonderanfertigungen eigene Farbmuster direkt im Anfrageweg hoch.

Ein Farbmuster ist kein Lohnzettel, aber die Fragen sind dieselben: Wohin geht die Datei, wer sieht sie, wann ist sie wieder weg. Diese drei Fragen gehören bei Kanzleien vor die erste Zeile Code, am besten gemeinsam mit der Person, die in der Kanzlei für den Datenschutz zuständig ist. Wie so ein Upload mit Fotos in einem anderen Gewerk aussieht, zeigt unser Beitrag zum Anfrageformular für Elektriker.

Checkliste: deinen Upload-Weg in einer Stunde prüfen

Diese Fragen kannst du ohne Agentur beantworten:

1. Welche Wege nutzen Mandanten heute für Unterlagen? Schreib alle auf, auch WhatsApp.
2. Steht auf deiner Website klar, welcher Weg der richtige ist?
3. Läuft die Upload-Seite ausschließlich über HTTPS?
4. Weißt du, bei welchem Anbieter und in welchem Land die Dateien gespeichert werden?
5. Gibt es mit diesem Anbieter einen Auftragsverarbeitungsvertrag, und liegt er in deinen Unterlagen?
6. Wer in der Kanzlei hat Zugriff, und ist ein zweiter Anmeldefaktor aktiv?
7. Wann werden Uploads gelöscht, und steht das in der Datenschutzerklärung?
8. Bekommt der Mandant nach dem Hochladen eine Bestätigung, was angekommen ist?

Wann du keinen eigenen Upload brauchst

Wenn deine Kanzlei ein Mandantenportal hat und alle aktiven Mandanten es nutzen, brauchst du keinen zweiten Upload auf der Website. Dann reicht ein Button „Zum Mandantenportal“ im Kopfbereich und eine kurze Seite, die neuen Mandanten erklärt, wie sie ihren Zugang bekommen.

Auch eine kleine Kanzlei mit wenigen, langjährigen Mandanten, die ihre Unterlagen persönlich vorbeibringen, braucht keinen Upload. Wichtiger ist dann, dass die Website erklärt, welche Unterlagen bis wann gebraucht werden.

Wenn du den Weg der Unterlagen in deiner Kanzlei einmal mit uns durchdenken willst: Erstgespräch buchen.

Quellen und weiterführende Informationen

[Q1] EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), Art. 5, 28 und 32 (abgerufen September 2026)

[Q2] RIS: Wirtschaftstreuhandberufsgesetz 2017, § 80 Verschwiegenheitspflicht (Fassung vom 19.02.2026)

[Q3] RIS: Bundesabgabenordnung, § 132 Aufbewahrung (abgerufen September 2026)

[Q4] BMD: BMD Com Mandantenplattform (Herstellerseite, abgerufen September 2026)