Was DATEV ist

DATEV ist der Softwareanbieter der steuerberatenden Berufe in Deutschland. Die DATEV eG ist eine Genossenschaft mit Sitz in Nürnberg und gehört ihren rund 40.000 Mitgliedern, vor allem Steuerberatern, Rechtsanwälten und Wirtschaftsprüfern. Sie betreibt eigene Rechenzentren in der Region Nürnberg.

Die Plattform umfasst Programme für Finanzbuchführung, Jahresabschluss, Lohn und Steuern, die Kanzleiorganisation und mit DATEV Unternehmen online eine gemeinsame Arbeitsumgebung für Kanzleien und ihre Mandanten. Abgerechnet wird ein laufendes Entgelt je Produkt.

Wofür es eingesetzt wird

Steuerkanzleien erstellen mit DATEV Buchführung, Löhne, Abschlüsse und Steuererklärungen für ihre Mandanten. Unternehmen nutzen DATEV meist über ihre Kanzlei, etwa um Belege und Bankdaten in DATEV Unternehmen online bereitzustellen. Viele andere Programme exportieren Buchungsdaten im DATEV-Format.

DATEV stellt das Angebot gerade auf Cloud-Betrieb um. Ab Oktober 2026 zieht DATEV Kanzleimanagement in die Cloud, Rechnungswesen, Lohn und Steuern sollen folgen. DATEV setzt dafür auf eigene Rechenzentren, nutzt aber nach eigenen Angaben auch Microsoft Azure für Teile des Portfolios und für den KI-Assistenten DATEV Copilot.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz der DATEV-Plattform durch Kanzlei und Unternehmen mit Datenhaltung im DATEV-Rechenzentrum; Fragen zu Selbstbetrieb und Quellcode sind für die Cloud-Dienste sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	Anbieter ist die DATEV eG, eine eingetragene Genossenschaft mit Sitz in Nürnberg (Genossenschaftsregister Nürnberg Nr. 70). Sie gehört laut eigener Darstellung ihren rund 40.000 Mitgliedern aus steuerberatenden, rechtsberatenden und wirtschaftsprüfenden Berufen; eine Konzernmutter gibt es nicht. Beleg: Impressum (Informationen nach DDG) · Warum DATEV (Genossenschaft, Mitglieder, Rechenz… · Pressemappe Jahrespressekonferenz 2026
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	DATEV selbst unterliegt keinem Drittstaatsrecht und betreibt nach Angaben vom Juli 2026 eigene Cloud-native Rechenzentren in der Metropolregion Nürnberg mit eigenem Personal. Zugleich nutzt DATEV laut Pressemeldung vom Oktober 2024 Microsoft Azure 'als wichtige Grundlage' für die Cloud-Weiterentwicklung eines Teils des Portfolios, ohne die Produkte zu nennen; der DATEV Copilot läuft in einem von DATEV verwalteten Bereich bei Microsoft Azure. Microsoft unterliegt als US-Konzern dem CLOUD Act. Welche Teile der bewerteten Plattform betroffen sind, ist offen. Beleg: Pressemappe Jahrespressekonferenz 2026 · Pressemeldung: DATEV steigert Umsatz und Kundenb… · Pressemeldung: DATEV baut Zusammenarbeit mit Mic… · DATEV Copilot (MyDATEV Cloud-Anwendungen)
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Schutz gegen Zugriff durch Betreiber und Behörden. Kanzleiprogramme lassen sich derzeit noch lokal installieren, sodass Daten in der Kanzlei bleiben können; diese On-Premises-Varianten laufen nach DATEV-Angaben ab 2026 schrittweise aus. Für Daten im DATEV-Rechenzentrum, etwa in DATEV Unternehmen online, ist eine Verschlüsselung mit Schlüsseln ausschließlich beim Kunden nicht dokumentiert. Beleg: 2026 beginnt die Umstellung (Portfolioentwicklung) · 10 Gründe für DATEV Unternehmen online
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Die DATEV eG ist eine eingetragene Genossenschaft mit Sitz in Nürnberg (Genossenschaftsregister Nürnberg, GenReg Nr. 70) und gehört ihren rund 40.000 Mitgliedern. Ein Kontrollwechsel in den letzten 24 Monaten ist nicht bekannt und bei dieser Rechtsform nicht angelegt. Beleg: Impressum (Informationen nach DDG) · Warum DATEV (Genossenschaft, Mitglieder, Rechenz…

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	DATEV gibt an, die Daten von DATEV Unternehmen online im DATEV-Rechenzentrum in Deutschland zu halten. Die Vereinbarung zur Auftragsverarbeitung legt keinen Ort der Verarbeitung fest (Verweis auf die Leistungsbeschreibungen) und berechtigt DATEV in Ziff. 6d, personenbezogene Daten an Dienstleister in Drittländern zu übermitteln. Eine Leistungsbeschreibung mit Standortzusage und Angaben zu Backups wurden nicht gefunden. Beleg: 10 Gründe für DATEV Unternehmen online · Vereinbarung zur Auftragsverarbeitung
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	teilweise	Auslegung: Betrieb im eigenen RZ oder bei frei gewähltem Dienstleister. Kanzleiprogramme können bislang lokal oder in gehosteten Umgebungen wie DATEV-SmartIT betrieben werden; DATEV entwickelt aber nur noch in der Cloud weiter und stellt die Programme ab 2026 auf Cloud-Betrieb im eigenen Rechenzentrum um. Cloud-Dienste wie DATEV Unternehmen online laufen ausschließlich im DATEV-Rechenzentrum. Beleg: 2026 beginnt die Umstellung (Portfolioentwicklung) · Produktinfo Kanzleien: DATEV-SmartIT · 10 Gründe für DATEV Unternehmen online
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	nicht belegbar	Eine Dokumentation zu Telemetrie- und Diagnosedaten der DATEV-Programme und deren Abschaltbarkeit wurde nicht gefunden. Die AGB verweisen für Daten, die DATEV als Verantwortliche verarbeitet, auf die Datenschutzhinweise; diese wurden nicht geprüft. Beleg: General Terms and Conditions of DATEV eG (englis…
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Die Vereinbarung zur Auftragsverarbeitung enthält keine Regelung zu KI-Training. Sie erlaubt DATEV, Auftragsdaten zu anonymisieren und für Produktverbesserungen zu nutzen (Ziff. 15), und Verarbeitung zur Entwicklung neuer DATEV-Produkte (Ziff. 16c). Beide Klauseln kann der Kunde streichen; das ist ein Widerspruch im Sinne eines Opt-out. Beleg: Vereinbarung zur Auftragsverarbeitung · FAQs zum Datenschutz (DS-GVO)

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Die DATEV-Software ist proprietär; die AGB gewähren nur ein befristetes Nutzungsrecht gegen laufendes Entgelt. Ein Quellcode unter OSI-Lizenz ist nicht verfügbar. Beleg: General Terms and Conditions of DATEV eG (englis…
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt proprietäre DATEV-Programme und das DATEV-Rechenzentrum voraus; lokale Installationen benötigen zudem Microsoft SQL Server, für den eigene Nutzungsbedingungen gelten. Beleg: General Terms and Conditions of DATEV eG (englis… · Vertragliche Informationen (Geschäftsbedingungen… · 10 Gründe für DATEV Unternehmen online
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Laut AGB erlischt das Nutzungsrecht mit Vertragsende, für Mitglieder auch mit Ende der Mitgliedschaft; lokal installierte Programme sind zu deinstallieren, der Zugang zu den Produkten wird gesperrt. Auch der Zugriff auf die Daten endet laut DATEV spätestens mit Ende der Mitgliedschaft. Beleg: General Terms and Conditions of DATEV eG (englis… · Offboarding-Assistent: Informationen zum Archivi…

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Das Informationssicherheitsmanagement der DATEV eG ist nach ISO/IEC 27001:2022 zertifiziert (alle Standorte in Deutschland einschließlich der Rechenzentren, gültig bis 28.10.2027); dazu kommen ISO 27017 und ISO 27701 sowie für DATEV-SmartIT ein ISAE-3402-Typ-2-Bericht. Ein BSI-C5-Testat für DATEV selbst wurde nicht gefunden. Beleg: Zertifikat ISO/IEC 27001:2022 DATEV eG · Zertifikate (Datenschutz und Sicherheit) · DATEV-SmartIT: Zertifizierungen · Follow-up Erfahrungsaustausch Informationssicher…
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	DATEV veröffentlicht eine security.txt mit Meldeadresse des Security Operations Center, verschlüsselter Kommunikation, Meldeformular und einer Danksagungsseite für Sicherheitsforscher. Ein öffentliches Verzeichnis von Sicherheitshinweisen oder eine Patchpolitik mit Fristen wurde nicht gefunden. Beleg: security.txt
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	ja	Vertragspartner ist die DATEV eG in Nürnberg; die AGB (Fassung 01.01.2025) sehen deutsches Recht unter Ausschluss des UN-Kaufrechts und Nürnberg als ausschließlichen Gerichtsstand vor. Beleg: General Terms and Conditions of DATEV eG (englis… · Impressum (Informationen nach DDG)
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Laut Auftragsverarbeitung führt DATEV die weiteren Auftragsverarbeiter produktspezifisch im Hilfe-Dokument 1000192 und informiert vorab über beabsichtigte Änderungen, mit Einspruchsfrist von 4 Wochen. Das Hilfe-Dokument ließ sich nicht maschinell abrufen; ob es Standorte je Dienstleister nennt, ist daher nicht geprüft. Beleg: Vereinbarung zur Auftragsverarbeitung · FAQs zum Datenschutz (DS-GVO)
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	Laut DATEV-FAQ dient die Drittlandklausel (Ziff. 6d AVV) der Fehlerbehebung bei kritischen Störungen, bei der Hersteller und Supportunternehmen Fehlerprotokolle oder Speicherauszüge einsehen; dabei sei nicht ausgeschlossen, dass Kundeninformationen enthalten sind. Die Zustimmung des Kunden ergibt sich aus der allgemeinen Genehmigung im AVV mit Widerspruchsrecht bei Änderungen, nicht aus einer Freigabe je Fall. Von wo DATEV-eigenes Personal die Rechenzentrumssysteme betreibt, ist nicht ausdrücklich dokumentiert. Beleg: FAQs zum Datenschutz (DS-GVO) · Vereinbarung zur Auftragsverarbeitung

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Buchführungsdaten lassen sich im DATEV-Format exportieren, einer von DATEV beschriebenen CSV-Textdatei, die viele andere Programme lesen; für Betriebsprüfungen gibt es einen Export nach dem GoBD-Beschreibungsstandard. Beide Belege stammen aus Sekundärquellen. Ein vollständiger Export aller Daten in offenen Formaten ist nicht dokumentiert. Beleg: FAQ: DATEV-Export aus Lexware buchhaltung in Fre… · Betriebsprüfung 2026: Drei DATEV-Lücken, die jed… · Daten sicher übermitteln und archivieren (Rechnu…
5.2 Offene Standards für Anmeldung und Schnittstellen?	teilweise	Die Online-Schnittstellen nutzen laut Sekundärquelle OAuth 2.0 mit OpenID Connect und PKCE; für den Produktivbetrieb sind der Status als Schnittstellenpartner und eine technische Abnahme durch DATEV nötig. Die Dokumentation im DATEV Developer Portal war nicht abrufbar. Eine Anmeldung über SAML oder OIDC mit eigenem Identitätsanbieter des Kunden wurde nicht belegt. Beleg: DATEV Unternehmen online connector: Application…
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Exporte wie der Datenservice Export Rechnungswesen und der GoBD-Export lassen sich vom Anwender selbst anstoßen. Mit Ende der Mitgliedschaft endet aber der Zugriff auf die Daten, das Langzeitarchiv im DATEV-Rechenzentrum steht nur Mitgliedern offen. Kosten eines vollständigen Exports wurden nicht gefunden. Beleg: Daten sicher übermitteln und archivieren (Rechnu… · Betriebsprüfung 2026: Drei DATEV-Lücken, die jed… · Offboarding-Assistent: Informationen zum Archivi…

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welche DATEV-Produkte auf Microsoft Azure laufen. DATEV nennt dafür 2024 nur einen Teil des Portfolios.
Wie Verschlüsselung und Schlüsselverwaltung im DATEV-Rechenzentrum geregelt sind.
Wie Auftragsverarbeitung, Unterauftragnehmer sowie Support- und Diagnosedaten vertraglich geregelt sind.
Ob DATEV ein BSI-C5-Testat für die Cloud-Dienste anstrebt.
Was ein vollständiger Export beim Ausscheiden kostet und welche Daten er umfasst.
Bis wann lokale Installationen für Rechnungswesen, Lohn und Steuern betrieben werden können.
Ob das Hilfe-Dokument 1000192 für DATEV Unternehmen online und die Kanzleisoftware Standorte je Auftragsverarbeiter nennt, weil die Seite nur per JavaScript lädt und nicht abgerufen werden konnte.
Welche Drittland-Dienstleister konkret Zugriff auf Protokolle oder Speicherauszüge erhalten, weil das nur im Hilfe-Dokument 1000192 steht.
Ob die Leistungsbeschreibungen von DATEV Unternehmen online und der Kanzleisoftware den Speicherort im DATEV-Rechenzentrum in Deutschland einschließlich Backups vertraglich festlegen, weil der AVV darauf verweist und sie nicht gefunden wurden.
Welche Dienstleister in welchen Drittländern laut Hilfe-Dokument 1000192 Daten erhalten, weil das Dokument nicht abgerufen wurde.

Fragen vor einer Entscheidung

Welche der von Ihnen genutzten DATEV-Produkte laufen auf Microsoft Azure, und welche ausschließlich in DATEV-Rechenzentren?
Wann wird Ihre lokale Installation auf den Cloud-Betrieb umgestellt, und was ändert sich dabei für Datenhaltung und Zugriff?
Liegt Ihnen der Auftragsverarbeitungsvertrag mit der Liste der Unterauftragnehmer vor?
Wie sichern Sie Ihre Daten in einem auswertbaren Format, falls die Zusammenarbeit mit DATEV oder mit Ihrer Kanzlei endet?
Sollen Mitarbeitende den DATEV Copilot nutzen, und ist die Internetrecherche über Microsoft Bing dabei abgeschaltet?

DATEV