Treuhand & Steuerberatung — Mandantenformulare

Ein Treuhänder, ein Steuerberater oder ein Wirtschaftsprüfer hält ein vollständigeres Bild des Lebens seiner Mandanten als fast jeder andere Berufsstand. Löhne und Boni, Hypothekarauszüge, Wertschriftenportfolios, ausländische Konten, Familientrusts, Geschäftsbücher, Trennungsvereinbarungen, Erbteilungen — alles fliesst jedes Jahr im Januar, jedes Quartal, bei jedem Abschluss durch denselben Eingangskanal. In den meisten Praxen ist dieser Kanal aber immer noch ein E-Mail-Anhang oder ein generisches Webportal, dessen Anbieter jedes Dokument mitlesen kann, bevor es im Mandantendossier landet.

Schweizerform ist genau für dieses Eingangsproblem gebaut. Jede Übermittlung — eine Steuererklärungs-Checkliste, eine Mandatsannahme, ein Lohnausweis, eine eingescannte Geschäftsrechnung — wird im Browser des Mandanten verschlüsselt, bevor sie unsere Server erreicht. Wir können sie technisch nicht lesen. Für Schweizer Treuhandbüros, Steuerberater und prüfungsnahe Praxen verwandelt diese Eigenschaft — kombiniert mit Schweizer Hosting und einer auf das nDSG ausgerichteten Architektur — den lauten, fehleranfälligen E-Mail- und Shared-Drive-Workflow in eine belastbare Kontrolle, ohne jeden Mandanten in einen unternehmensweiten Portal-Login zu zwingen.

Warum E-Mail und generische Portale beim Steuer- und Treuhand-Intake versagen

Die meisten Treuhandpraxen sammeln Mandantendokumente über drei Standardkanäle: E-Mail-Anhänge, ein generisches Shared Drive (Google Drive, OneDrive, Dropbox) oder ein generisches Formular-Tool, das die Kanzlei einmal abonniert und nie wieder ersetzt hat. Jeder dieser Kanäle hat dieselbe strukturelle Eigenschaft: Jemand anderes als Mandant und Praxis kann die Dokumente im Klartext lesen — der E-Mail-Anbieter, der Cloud-Storage-Anbieter, das Personal des Formularanbieters und seine Integrationspartner, jeder, der einen davon kompromittiert, und jede Behörde, die einem davon einen rechtmässigen Auftrag zustellt.

Bei wenig sensiblen Übermittlungen ist das in Ordnung. Wenn ein Treuhänder das vollständige Steuererklärungspaket einer Familie sammelt, entsteht ein sehr spezifisches und vermeidbares Problem: Das gesamte Finanzleben des Mandanten liegt im Klartext auf mindestens einem Drittanbieter-Server, typischerweise ausserhalb der Schweiz.

• Ein neuer Mandant lädt Lohnausweise, Bankauszüge, Wertschriftenverzeichnisse und eine Trennungsvereinbarung hoch; die Datenbank des Formularanbieters enthält ein lesbares Finanzprofil des gesamten Haushalts, bevor der Partner das Dossier öffnet
• Ein KMU-Inhaber übermittelt ein Jahr Buchhaltungsbelege und Lieferantenrechnungen über ein generisches Formular; Lieferanten, Löhne und Margen sind in den Systemen und Analysen des Anbieters offengelegt
• Ein vermögender Mandant offenbart ausländische Konten, Trust-Strukturen und Erbflüsse für eine Steuererklärung; diese Erzählung — inklusive Gegenparteien und Beträge — liegt auf der Anbieter-Infrastruktur
• Ein GwG-Identifikationspaket (Pass, Wohnsitzbestätigung, Herkunftsnachweis) wird auf ein Dokumenten-Formular hochgeladen; die Datei wird vom Antivirus des Anbieters gescannt, gesichert und oft in US-gehostetem Cloud-Speicher verarbeitet
• Ein behördliches Auskunftsersuchen, ein Steuer-Editionsbefehl oder eine Vorladung trifft den Formularanbieter; sie erreicht das Finanzleben Ihres Mandanten, ohne dass dieser je benachrichtigt wird

Wie Schweizerform Vertraulichkeit über den gesamten Praxisprozess wahrt

Schweizerform ist eine Zero-Knowledge-Ende-zu-Ende-verschlüsselte Formularplattform. Die Verschlüsselung geschieht im Browser des Mandanten, bevor irgendwelche Daten sein Gerät verlassen. Nur Inhaber des Access Codes des Formulars können Übermittlungen entschlüsseln. Wir — der Anbieter — können es nicht.

Konkrete Eingangs-Formulare in der Treuhand- und Steuerpraxis

Jährliches Steuererklärungs-Intake (Privatpersonen)

Der klassische Januar-bis-April-Workload: Lohnausweise, Pensionsausweise, Bank-Jahresübersichten, Hypothekarzinsbelege, Wertschriftenverzeichnisse, abzugsfähige Auslagen, Liegenschaftsdokumente, Familienstandsänderungen. Ein einziges verschlüsseltes Eingangsformular ersetzt das Hin-und-Her-Spiel mit Dutzenden E-Mail-Anhängen und gibt dem Mandanten eine klare Checkliste, die er von jedem Gerät ausfüllen kann.

Mandatsannahme und Engagement-Briefe

Neue Mandate beginnen mit einem Mandatsbrief, einer Bestätigung des Leistungsumfangs, einer Honorarregelung und (bei regulierten Mandaten) einer GwG-Identifikation. Diese Daten über ein einziges verschlüsseltes Formular einzuziehen, hält unterschriebene Mandatsbriefe, Ausweiskopien und Angaben zum wirtschaftlich Berechtigten aus generischer E-Mail und aus dem Klartext-Speicher des Formularanbieters fern.

KMU-Buchhaltung und Jahresabschluss-Intake

Quartalsweise MWST-Abrechnungen und Jahresabschlüsse erfordern Belegscans, Lieferantenrechnungen, Lohnexports, Bankabstimmungen und Management-Kommentare. Ein verschlüsseltes Formular hält dieses Bündel aus generischen Shared Drives heraus — nützlich sowohl für die Vertraulichkeit als auch für eine saubere Spur, was der Mandant in welcher Version an welchem Tag geliefert hat.

GwG-Identifikation, Herkunftsnachweis und KYC

Treuhänder und bestimmte Steuerberater unterstehen der GwG-Sorgfaltspflicht, wenn sie regulierte Vermittlungstätigkeiten ausüben. Ausweisdokumente, Erklärungen zum wirtschaftlich Berechtigten und Herkunftsnachweise müssen erhoben, aufbewahrt und vertraulich behandelt werden. Ein Zero-Knowledge-Kanal hält dieses GwG-Paket ausserhalb des Lese-Scopes des Anbieters, während die Praxis es weiterhin über die gesetzliche Aufbewahrungsfrist halten kann.

Lohn-Onboarding und Mitarbeiterdaten

Lohn-Outsourcing erfordert AHV-Nummern, Bankverbindungen, Familienzulagen, Lohnzusammensetzungen und manchmal Pfändungsanordnungen. Verschlüsselt man das Onboarding-Formular, erhält die Praxis die nötigen Daten, ohne die Mitarbeitenden des Mandanten dem Klartext-Speicher eines Drittanbieters auszusetzen.

Grenzgänger- und Expat-Steuererklärungen

Grenzgänger, US-Personen in der Schweiz und Expats sammeln Formulare (W-2, 1099, P60, Form 8938, FBAR-Daten, Bestätigungen ausländischer Konten, Doppelbesteuerungs-Wohnsitzzertifikate), die eines Tages drei Steuerverwaltungen prüfen könnten. Das Original-Intake Ende-zu-Ende verschlüsselt zu halten, ist die stärkste Position, wenn ein Mandant später eine Wohnsitzfrage oder eine Behördenanfrage erlebt.

Revisionsunterstützung und Spezialmandate

Eingeschränkte Revisionen, ordentliche Revisionen, Bewertungen und forensische Mandate brauchen einen strukturierten Kanal, über den der Mandant Aufstellungen, Verträge und Stellungnahmen liefert. Ein pro Mandat verschlüsseltes Formular mit eigenem Access Code hält jede Mandatsevidenz sauber getrennt und ausserhalb der Anbietersicht.

Was Mandanten, Anbieter und Behörden sehen

Regulatorischer und beruflicher Kontext: nDSG, DSGVO, GwG, Berufsgeheimnis

Schweizer Treuhänder, Buchhalter und Steuerberater bewegen sich in mehreren überlappenden Regelwerken. Das totalrevidierte Datenschutzgesetz (nDSG, in Kraft seit 1. September 2023) verlangt verhältnismässige technische und organisatorische Massnahmen (Art. 8) und bindet Auftragsbearbeiter (Art. 9). Für Mandate im GwG-Anwendungsbereich müssen Identifikations- und WB-Unterlagen erhoben, mindestens zehn Jahre aufbewahrt und vertraulich behandelt werden. Treuhand|Suisse, EXPERTsuisse und EXPERTfit-Standesregeln fügen über die vertraglichen NDAs hinaus weitere Berufsgeheimnis-Pflichten hinzu. Art. 321 StGB stellt die Verletzung des Berufsgeheimnisses bei bestimmten regulierten Berufen unter Strafe.

Europäische Mandanten und in der EU ansässige Angehörige bringen die DSGVO ins Spiel: Steuer- und Finanzinformationen über identifizierbare Personen sind personenbezogene Daten, und jeder Verarbeiter in der Kette (auch Ihr Formularanbieter) ist Teil der Verantwortungs-Oberfläche, die das Datenschutzregime des Mandanten interessiert. Ein Zero-Knowledge-Kanal verkleinert diese Oberfläche — der Anbieter hält die Daten nie in einer Form, in der er zur Herausgabe gezwungen werden könnte —, ohne die berufs- und vertragsrechtlichen Pflichten der Praxis zu beseitigen.

Relevante Funktionen für Treuhand- und Steuerpraxen

• Zero-Knowledge-Ende-zu-Ende-Verschlüsselung auf jeder Übermittlung — kein Lesezugriff des Anbieters auf Steuererklärungen, Abschlüsse oder Ausweise
• Verschlüsselte Dokument- und Bilduploads — Lohnausweise, Bank-Jahresauszüge, Belege, gescannte Pässe, Geschäftsrechnungen
• Mehrsprachige Formulare (EN / DE / FR / IT) ab Werk — entscheidend für Schweizer kantonsübergreifende Praxen und grenzüberschreitende Mandate
• Pro-Formular-Access-Codes — pro Mandat, Partner oder Jahresabschluss-Kampagne
• Schweizer Hosting mit nDSG-konformer Datenverarbeitungs-Architektur — Antwort-Payloads verlassen die Schweiz nicht
• Audit-Log der Entschlüsselungs-Ereignisse (wer hat wann eine Übermittlung geöffnet) ohne Inhalt offenzulegen
• Strukturierter Datenexport nach Entschlüsselung — für Steuersoftware, Buchhaltung und DMS
• Kostenloser Tarif, damit ein Partner ein Steuer-Intake-Formular pilotieren kann, bevor die Kanzlei flächendeckend ausrollt

Häufige Einwände

"Unsere Steuersoftware hat bereits ein Mandantenportal."

Anbieter-Portale eignen sich gut für laufende Mandanten, die bereits einen Login haben. Bei Erst-Intakes (Prospekt vor Mandatsannahme) und bei einmaligen Anfragen (ein einziges Dokument von jemandem ausserhalb des Portal-Userkreises) sind sie meist schwach. Ein Zero-Knowledge-Formular sitzt am Eintrittspunkt — bevor ein Portal-Konto existiert — und ergänzt das bestehende System, statt es zu ersetzen.

"Wir verschlüsseln bereits at rest. Reicht das nicht?"

Verschlüsselung at rest schützt davor, dass jemand die Disk stiehlt. Sie schützt nicht vor dem eigenen Personal des Anbieters, vor seiner Analyse-Pipeline, vor seinen Subprozessoren oder vor einem rechtmässigen Editionsbefehl an den Anbieter — denn der Anbieter hält die Schlüssel weiterhin selbst. Ende-zu-Ende-Zero-Knowledge ändert das: Der Anbieter hält die Schlüssel nicht, also bleiben die Daten für ihn unlesbar, egal wer fragt.

"Wenn wir den Access Code verlieren, ist die Übermittlung weg."

Korrekt — und gewollt. Empfohlene Praxis ist dokumentierte Schlüssel-Custody: ein versiegelter Access Code in der Kanzlei, geteilte Custody zwischen zwei Partnern oder ein Hardware-Sicherheitsmodul in grösseren Praxen. Das Verfahren vermeidet Single-Person-Failure und erhält die Eigenschaft, dass der Anbieter nicht zur Herausgabe von Daten gezwungen werden kann, die er nicht lesen kann.

"Unsere Mandanten adoptieren kein weiteres Tool."

Es gibt keine Client-Installation. Der Mandant klickt einen Link, füllt das Formular (in seiner Sprache) aus, lädt Dokumente hoch und sendet ab. Die Verschlüsselung passiert automatisch im Browser; das Erlebnis entspricht jedem Web-Formular. Nur die Praxis muss etwas Neues lernen — meist eine 15-minütige interne Einführung.

"Wir nutzen bereits E-Mail mit passwortgeschützten ZIPs."

Passwortgeschützte ZIPs sind Gewohnheit, werden aber meist in einer Folge-Mail oder SMS geteilt, in beiden Postfächern aufbewahrt und vom Antivirus und Filter des E-Mail-Anbieters indexiert. Sie erzeugen ausserdem Support-Aufwand, wenn ein Mandant das Passwort vertippt. Ein gebrandetes verschlüsseltes Formular ersetzt den Ad-hoc-ZIP-Workflow durch einen einzigen, prüfbaren Kanal — und beseitigt die Passwort-Recovery-Tickets.

Einen Schweizerform-Eingangskanal einführen

Fazit

Treuhand- und Steuerpraxen versprechen in jedem Mandatsbrief Vertraulichkeit. Der Eingangskanal — E-Mail-Anhänge, generische Portale, Ad-hoc-ZIPs — entspricht diesem Versprechen meist nicht. Ein Formularanbieter, der das vollständige Finanzleben eines Haushalts mitlesen kann, ist eine Vertraulichkeits-Abhängigkeit, die Mandanten, Aufseher und ein zukünftiger Audit zunehmend hinterfragen werden.

Schweizerform liefert eine direkte Antwort: Zero-Knowledge-Ende-zu-Ende-Verschlüsselung auf jedem Formular, Schweizer Hosting und eine an nDSG- und EU-DSGVO-Erwartungen ausgerichtete Architektur. Kein Bezahl-Upgrade für Sicherheit. Keine US-Cloud-Abhängigkeit für Antwortdaten. Keine drittlesbare Kopie des Steuerlebens Ihres Mandanten auf einem Server, den Sie nicht kontrollieren.