Zum Hilfe-Center
Praxisorganisation

Praxisprofil beantworten und aktuell halten

20 Fragen, aus denen comply die geltenden Pflichten und seine Empfehlungen zusammenstellt, Stand 03.10.2026

1Kurz erklärt

Das Praxisprofil beschreibt Ihre Praxis in 20 Fragen: Zahl der Berufsträger, treuhänderische Tätigkeit, Mitarbeiter, fachliche Mitarbeiter, Größe, Datenverarbeitung, Datenschutz-Folgenabschätzung, Abschlussprüfungen nach § 316 HGB, andere Prüfungen mit einem § 322 HGB nachgebildeten Bestätigungsvermerk, KI-Einsatz, Betreuung der IT, Nachweis der Informationssicherheit, Website, Cookies auf der Website, Verträge mit Verbrauchern, Kleinstunternehmen, eigenes Produkt, eigenes KI-System, Umsatz und Bilanzsumme sowie Einrichtungsart nach dem BSI-Gesetz. Aus den Antworten stellt comply zusammen, welche Rahmenwerke und Pflichten gelten und welchen Weg es zur Informationssicherheit empfiehlt. Jeder gespeicherte Stand bleibt erhalten.

Ändern kann die Organisations-Administration; alle Kanzlei-Mitglieder lesen das Profil.

2So gehen Sie vor

  1. Öffnen. Praxisorganisation, dann Praxisprofil.
  2. Beantworten. Zu jeder Frage steht darunter, wofür die Antwort zählt und auf welcher Quelle das beruht. Lassen Sie eine Frage auf noch offen, rechnet comply mit der Standardannahme.
  3. Anlass festhalten. Im Feld Anlass der Änderung notieren Sie, warum Sie das Profil ändern, zum Beispiel eine neue Mitarbeiterin.
  4. Speichern. Profil speichern legt einen neuen Stand an. Unter Gespeicherte Stände steht jeder Stand mit Datum, Person und den geänderten Antworten.
  5. Jährlich bestätigen. Ist das Profil seit zwölf Monaten nicht gespeichert worden, zeigt die Übersicht einen Hinweis, und die Praxisleitung erhält eine Erinnerung. Prüfen Sie die Antworten und speichern Sie erneut, auch wenn sich nichts geändert hat.

Ändert sich die Lage der Praxis (eine erste Angestellte, mehr als zehn Berufsträger, KI im Einsatz), speichern Sie das Profil sofort. Die Liste der Pflichten folgt am selben Tag.

3Was die Antworten auslösen

AntwortFolge
höchstens zehn Berufsträger und nicht überwiegend treuhänderischDie besonderen internen Sicherungsmaßnahmen und die Unterrichtung der Mitarbeiter nach dem GwG entfallen (WPK-Anordnung vom 27.09.2017 nach § 6 Abs. 9 GwG). Überwiegend heißt: mehr als 50 % des Gesamtumsatzes (WPK AuA Tz. 47).
Mitarbeiter, auch angestellte BerufsangehörigeAlle vor Dienstantritt auf Verschwiegenheit, Datenschutz, Insider-Regeln und die Regelungen der Praxis verpflichten (§ 6 Abs. 3 BS WP/vBP); wer nicht selbst den gleichen Verschwiegenheitsanforderungen unterliegt, zusätzlich in Textform mit Belehrung (§ 50 WPO).
fachliche MitarbeiterDie Praxis sorgt für deren Fortbildung (§ 7 Abs. 1 BS WP/vBP).
in der Regel mindestens 50 BeschäftigteInterne Meldestelle (§ 12 Abs. 2 HinSchG).
in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener DatenDatenschutzbeauftragter (§ 38 Abs. 1 BDSG).
Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegenDatenschutzbeauftragter unabhängig von der Zahl der Beschäftigten (§ 38 Abs. 1 Satz 2 BDSG).
Abschlussprüfungen nach § 316 HGBQualitätskontrolle (§ 57a Abs. 1 WPO), erweitertes Qualitätssicherungssystem (§ 55b Abs. 2 WPO) und jährliche Bewertung mit Bericht (§ 55b Abs. 3 WPO).
andere Abschlussprüfungen mit einem § 322 HGB nachgebildeten BestätigungsvermerkDie Regelungen für Abschlussprüfungen nach § 316 HGB gelten entsprechend (§ 8 Abs. 2 BS WP/vBP), darunter die jährliche Nachschau (§ 63 Nr. 3 BS WP/vBP) und ein Hinweisgebersystem (§ 59 Nr. 1 BS WP/vBP); keine Qualitätskontrolle.
KI-Systeme im beruflichen EinsatzIhre Praxis ist Betreiber (Art. 3 Nr. 4 Verordnung (EU) 2024/1689); es gelten die Pflichten zur KI-Kompetenz (Art. 4 Verordnung (EU) 2024/1689).
IT durch einen IT-Dienstleister oder Cloud-DiensteSie sind Dienstleister: Vertrag in Textform mit Verschwiegenheitsverpflichtung (§ 50a Abs. 3 WPO); comply zeigt den Schritt unter Informationssicherheit.
Nachweis der Informationssicherheit gewünschtcomply markiert unter Informationssicherheit das passende Ziel: Selbstprüfung, Testat nach der Basis-Absicherung oder ISO 27001-Zertifikat. Eine Pflicht entsteht daraus nicht.
eigene WebsitePflichtangaben einschließlich Kammer, Berufsbezeichnung und berufsrechtlicher Regelungen (§ 5 Abs. 1 Nr. 5 DDG) und Datenschutzhinweise (Art. 13 Abs. 1 DSGVO).
Cookies oder ähnliche Techniken, die nicht unbedingt erforderlich sindVorherige Einwilligung (§ 25 Abs. 1 TDDDG), deren Nachweis (Art. 7 Abs. 1 DSGVO).
Verträge mit Verbrauchern über Website oder AppPflichten im elektronischen Geschäftsverkehr (§ 312j Abs. 3 BGB); außer für Kleinstunternehmen auch die Barrierefreiheit (§ 1 Abs. 3 Nr. 5 BFSG).
Kleinstunternehmen (weniger als zehn Personen, Umsatz oder Bilanzsumme höchstens 2 Millionen Euro)Die Barrierefreiheitsanforderungen gelten für Dienstleistungen nicht (§ 3 Abs. 3 BFSG).
eigene Software oder eigener Online-DienstAnbieterwechsel nach dem Data Act (Art. 25 Abs. 1 Verordnung (EU) 2023/2854) und Pflichten als Auftragsverarbeiter (Art. 28 Abs. 3 DSGVO).
eigenes KI-SystemIhre Praxis ist Anbieter (Art. 3 Nr. 3 Verordnung (EU) 2024/1689); es gelten die Transparenzpflichten für Anbieter (Art. 50 Abs. 1 Verordnung (EU) 2024/1689).
Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen EuroZusammen mit einer Einrichtungsart des BSI-Gesetzes: Registrierung beim BSI (§ 33 Abs. 1 BSIG).
Tätigkeit einer Einrichtungsart des BSI-Gesetzes, etwa Cloud-Computing-Dienst oder Managed Services Provider (Anlage 1 BSIG)NIS-2 ab 50 Mitarbeitern oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro (§ 28 Abs. 2 Nr. 3 BSIG), als Vertrauensdiensteanbieter unabhängig von der Größe (§ 28 Abs. 2 Nr. 1 BSIG).

4Gut zu wissen