17.02.2026 · Fachbeitrag · Datenschutz/Haftung

DATEV-Panne in LODAS – Wer haftet und was ist zu tun?

von RA Dr. jur. Dario Arconada, LL. M., Hannover, steuerberatung-niedersachsen.de und Prof. Dr. jur. Steffen Kroschwald, LL.M., Pforzheim, hs-pforzheim.de

Anfang Januar 2026 berichteten mehrere Quellen über einen Datenschutzvorfall im DATEV-Lohnsystem LODAS. Als Auslöser werden eine Störung und ein anschließender fehlerbehafteter „Workaround“ beschrieben. In der Folge wurden Probe-Lohnabrechnungen zeitweise falschen Empfängern/Kunden zugeordnet. Der Beitrag ordnet den Vorfall in die Rechtslage ein und gibt eine praxisfeste Checkliste, was Kanzleien tun können, wenn geschützte Daten durch eine Datenschutzpanne in falsche Hände gelangen.

Was war passiert?

Aufgrund einer technischen Störung konnten Probe-Lohnabrechnungen Anfang Januar 2026 nicht korrekt an die Auftraggeber zurückgesendet werden. Eine am nächsten Tag implementierte Lösung führte zu einem Fehler, bei dem sensible Gehaltsdokumente an falsche Empfänger gesendet wurden. Diese Dokumente enthielten persönliche Daten wie Namen, Adressen und Einkommensinformationen, die ein hohes Risiko für Missbrauch darstellen. DATEV informierte die Datenschutzbehörde und betroffene Kanzleien. Für die ist das nicht nur ein „IT-Ärger“, sondern ein Fall mit DSGVO-, Haftungs- und Berufsrechtsdimension und mit der praktischen Frage: Muss die einzelne Kanzlei „gerade stehen“, obwohl der Fehler bei DATEV passiert?

Datenschutzverletzung ja – auch ohne „Datenabfluss“

Eine „Verletzung des Schutzes personenbezogener Daten“ gemäß DSGVO liegt bereits bei einer Verletzung der (Daten-)Sicherheit vor, die etwa zu unbefugter Offenlegung oder zu unbefugtem Zugang zu den Daten führt (Art. 4 Nr. 12 DSGVO). Wenn fremde Lohn-/Gehaltsdokumente in einem anderen Mandanten-Kanzleikontext angezeigt oder abrufbar waren, ist eine DSGVO-relevante Verletzung gegeben, selbst wenn der Zeitraum kurz war und die Daten nicht „im Internet gelandet“ sind.