DATEV-Mandantenportal in die Kanzlei-Website einbinden

Würdigung — DATEV ist 2026 immer noch der Standard#

Wer 2026 in eine deutsche Steuerkanzlei kommt, hört wahrscheinlich innerhalb der ersten zehn Minuten den Namen DATEV. Die DATEV eG hat seit 1966 den Berufsstand digitalisiert — von der Lohnabrechnung über die Fibu bis hin zum kompletten Dokumenten-Workflow. Rund 70 % aller deutschen Steuerberater nutzen mindestens ein DATEV-Modul produktiv — Schätzwert (Quellen unten, Marktanteils-Schätzungen schwanken zwischen 62 % und 78 %).

Das macht DATEV zur Default-Wahl für die Mandanten-Kommunikation. Wer als Kanzlei seinen Mandanten einen Beleg-Upload, eine Lohn-Abruf-Möglichkeit oder einen geschützten Dokumenten-Austausch anbieten will, greift in der Regel zu einem der DATEV-Portale. Das ist keine Bevormundung, sondern eine pragmatische Entscheidung — die Schulungs-Infrastruktur ist da, die Mandanten kennen die Logos, das Berufsstand-Vertrauen ist hoch.

Was wir auf vielen Kanzlei-Websites trotzdem sehen: Mandantenportal im Footer als grauer Text-Link, ohne Kontext, ohne klare Beschriftung welcher Mandant welches Portal nutzt, ohne Hinweis was technisch beim Klick passiert. Das ist eine vergebene Chance. Wer das Portal sauber in die Website integriert, senkt Rückfragen am Telefon und gibt Mandanten ein Gefühl von Souveränität im ersten Login-Versuch.

Die DATEV-Portal-Familie: Vier Produkte, vier Zwecke#

DATEV bietet 2026 nicht „ein Mandantenportal", sondern eine Familie von vier zentralen Produkten, die häufig verwechselt werden. Ein klares Verständnis ist die Grundlage für jede Integrations-Entscheidung.

DATEV Unternehmen online (DUO)#

Das meistgenutzte Mandantenportal. Mandanten laden Belege hoch, geben Kassenbücher ein, sehen ausgewertete BWAs und Summen-Saldenlisten. DUO ist 2026 unter https://www.datev.de/duo/ erreichbar; der eigentliche Login läuft über https://apps.datev.de. Persona: jede GmbH, jeder Einzelunternehmer mit laufender Buchhaltung in der Kanzlei.

DATEV DMS (Dokumentenmanagement-System)#

Das interne Kanzlei-DMS, das per „DATEV Bereitstellung" auch Mandanten-Dokumente nach außen liefert. Für Mandanten relevant, wenn sie über das Portal Steuererklärungen, Bilanzen oder Schriftsätze als PDF zur Verfügung gestellt bekommen. Persona: jeder Mandant, der irgendwann ein Dokument von seiner Kanzlei braucht.

DATEV SmartLogin#

Kein Portal, sondern ein Authentifizierungs-Verfahren. Mandant installiert eine Smartphone-App, scannt einen QR-Code auf der Login-Seite, ist eingeloggt. Ersetzt für viele Mandanten die alte SmartCard mit Lesegerät. Persona: technisch unkomplizierter Mandant ohne Behörden-spezifische Anforderungen.

DATEV Meine Steuern#

Das Privatmandanten-Portal für die Einkommensteuer-Erklärung. Mandant lädt Bescheide, Lohnsteuer-Bescheinigungen, Spenden-Belege hoch und sieht im Portal seine Steuer-Übersicht. Persona: Lohn- und Privatmandanten ohne laufende Buchführung.

Entscheidungs-Matrix#

Mandant	Primär-Portal	Authentifizierung	Brücke aus der Kanzlei-Website
GmbH mit laufender Fibu	DATEV Unternehmen online	SmartLogin oder SmartCard	„Login Unternehmen online"
Einzelunternehmer mit Beleg-Upload	DATEV Unternehmen online	SmartLogin	„Belege hochladen"
Privatperson, jährliche ESt	DATEV Meine Steuern	SmartLogin	„Steuer-Portal Privat"
Mandant, der nur Dokumente abruft	DATEV DMS / Bereitstellung	SmartLogin	„Dokumente abrufen"

Diese Matrix gehört auf eine eigene „Mandantenportal"-Unterseite, nicht in einen versteckten Footer-Link. Wer den Mandanten zwingt zu raten, welches der vier Portale für ihn relevant ist, verliert ihn schon vor dem ersten Login.

Technische Integration: Sichtbarer Login-Button, sauberes Routing#

Stand der Praxis bei den Top-Kanzleien (z. B. Ebner Stolz, RSM Ebner Stolz, Sonntag & Partner, WTS): ein sichtbarer Login-Button im Header — meistens rechts oben, beschriftet mit „Mandantenportal" oder „DATEV-Login", farblich abgesetzt vom Navigations-Stil. Der Klick führt nicht zur DATEV-Hauptseite, sondern direkt zur passenden Sub-URL.

Korrekte Ziel-URLs (Stand Mai 2026)#

• DATEV Unternehmen online (Web-Anwendung): https://apps.datev.de/duo/
• DATEV SmartLogin-Anmeldeseite: https://www.datev.de/smartlogin/
• DATEV Meine Steuern: https://www.datev.de/meine-steuern/
• DATEV DMS Mandanten-Bereitstellung: kanzlei-spezifischer Bereitstellungs-Link (wird in DATEV-DMS pro Mandant erzeugt; Form: https://www.datev.de/bereitstellung/...)

Wichtig: Die exakten URLs sind DATEV-seitig stabil, aber ändern sich gelegentlich (zuletzt im Frühjahr 2025 wurde apps.datev.de als zentrale Anwendungs-Domain etabliert). Wer das in die Kanzlei-Website hartcodiert, sollte einmal pro Quartal stichprobenartig prüfen.

Code-Snippet — sauberer Login-Button im Header#

Ein minimaler, semantisch sauberer Button-Block in React/Next.jsNext.js · zum GlossarReact-Framework für SSG/SSR/ISR — der aktuelle Standard für moderne Kanzlei-Sites.:

// src/components/datev-login-button.tsx
export function DatevLoginButton() {
  return (
    <a
      href="https://apps.datev.de/duo/"
      target="_blank"
      rel="noopener noreferrer"
      aria-label="DATEV Mandantenportal in neuem Tab öffnen"
      className="rounded-lg bg-emerald-700 px-4 py-2 text-sm font-medium text-white hover:bg-emerald-800"
      data-portal="datev-duo"
    >
      Mandantenportal
      <span aria-hidden="true" className="ml-2">↗</span>
    </a>
  );
}

Drei Details sind hier entscheidend:

1. target="_blank" rel="noopener noreferrer" — der Mandant verlässt die Kanzlei-Website, das Portal öffnet in einem neuen Tab. Dadurch bleibt die Kanzlei-Tab als Rückkehr-Punkt erhalten.
2. aria-label — Screenreader bekommen den Kontext mit, dass es sich um einen externen Login-Vorgang handelt.
3. ↗-Icon — visuelle Markierung, dass der Klick nach außerhalb der Site führt. Mandanten verstehen das intuitiv.

Kein Iframe-Embed möglich#

Eine häufige Fehlannahme: „Wir betten das DATEV-Portal in einen Iframe auf unserer Website ein, dann verlässt der Mandant nie unsere Domain." Das geht aus drei technischen Gründen nicht:

1. DATEV sendet X-Frame-Options: DENY im HTTP-Header für alle Login-Seiten. Browser blocken das Iframe-Loading komplett.
2. DATEV setzt Content-Security-Policy: frame-ancestors 'none' zusätzlich — der modernere CSP-Mechanismus, der auch bei sehr neuen Browsern greift.
3. Cross-Origin-Authentifizierung wäre selbst ohne diese Header problematisch — Cookies, die DATEV im Login-Prozess setzt, würden im Iframe-Kontext der Kanzlei-Domain nicht funktionieren.

Wer das in Werbeprospekten von Web-Agenturen liest („Wir integrieren Ihr DATEV-Portal nahtlos auf Ihrer Website"), sollte stutzig werden. Es funktioniert nicht, weil DATEV das aktiv verhindert — aus guten Sicherheits-Gründen.

Was stattdessen möglich ist#

• Tiefer Direkt-Link zur passenden DATEV-Sub-Anwendung (siehe URLs oben). Funktioniert sauber und ist DATEV-empfohlen.
• Hinweis-Seite vor dem Login auf der eigenen Website: „Sie werden gleich zum DATEV-Portal weitergeleitet. Halten Sie Ihre SmartLogin-App bereit." Diese Brücke kostet einen zusätzlichen Klick, gibt aber unsicheren Mandanten Orientierung.
• Kanzlei-Branding im Hinweis-Block — Logo, kurze Erklärung, Kontakt-Telefonnummer für den Fall, dass der Login fehlschlägt.

Authentifizierung 2026: SmartLogin vs. SmartCard vs. mIDentity#

DATEV hat in den letzten zehn Jahren mehrere Authentifizierungs-Wege parallel betrieben. Stand Mai 2026 ist die Lage:

SmartLogin-App (Empfehlung für die meisten Mandanten)#

Die DATEV SmartLogin-App auf dem Smartphone. Mandant öffnet die Login-Seite am Computer, scannt einen QR-Code, gibt in der App eine PIN ein, ist eingeloggt. Kein Lesegerät, keine zusätzliche Hardware.

• Stärken: niedrige Einstiegshürde, kostenlos, funktioniert auf iOS und Android, mehrere Mandate auf einem Gerät verwaltbar.
• Schwächen: Mandant muss sein Smartphone griffbereit haben; Verlust des Smartphones erfordert Re-Onboarding über die Kanzlei.

SmartLogin im Browser (PIN-Verfahren)#

Variante für Mandanten ohne Smartphone — Login per Benutzername + Browser-PIN. DATEV hat diese Variante 2023 als Übergangslösung freigegeben. Stand 2026 weiterhin verfügbar, aber DATEV empfiehlt aktiv den Wechsel zur SmartLogin-App.

SmartCard mit Lesegerät (Alt-Verfahren, weiterhin verfügbar)#

Die klassische DATEV-Anmeldung mit Chipkarte und USB-Lesegerät. 2026 nur noch für Mandanten relevant, die aus regulatorischen Gründen eine physische Karte brauchen (vereinzelt im Behörden- oder Finanzdienstleister-Umfeld). Für den Durchschnitts-Mandanten überdimensioniert.

mIDentity (DATEV-Hardware-Token)#

USB-Stick mit integriertem Chip — eine Mischung aus SmartCard und USB-Stick. Für Berufsträger mit hohen Sicherheits-Anforderungen, weniger für Mandanten. Wer das als Mandant verlangt bekommt, sollte nachfragen, ob es wirklich nötig ist.

Praktische Empfehlung 2026#

Für 90 % der neuen Mandanten: SmartLogin-App. Das ist die schnellste, günstigste und nutzerfreundlichste Variante. Die Kanzlei-Website kann den Mandanten in der Hinweis-Seite vor dem Login darauf hinweisen, dass die App vorab im App-Store/Play-Store heruntergeladen werden sollte.

DSGVO bei DATEV: Verantwortlicher vs. Auftragsverarbeiter#

Hier wird es juristisch heikel, weil viele Kanzleien die Rollen-Verteilung zwischen sich, DATEV und dem Mandanten nicht sauber abbilden. Drei Fallunterscheidungen:

Fall A — Kanzlei nutzt DATEV-Software für eigene Buchführungs-Aufgaben#

Die Kanzlei verarbeitet Mandanten-Daten in DATEV-Anwendungen (Fibu, Lohn, Jahresabschluss). DATEV stellt die Software bereit, hostet die Daten auf eigenen Servern in Nürnberg. DATEV ist hier Auftragsverarbeiter nach Art. 28 DSGVODSGVO · zum GlossarEU-Datenschutz-Grundverordnung — regelt seit 2018 jede Verarbeitung personenbezogener Daten in der EU.. Die Kanzlei ist der Verantwortliche. Es braucht einen Auftragsverarbeitungs-Vertrag (AVVAVV · zum GlossarAuftragsverarbeitungsvertrag nach Art. 28 DSGVO — Pflicht zwischen Verantwortlichem und Dienstleister.) — den DATEV als „Vereinbarung zur Auftragsverarbeitung" zur Verfügung stellt und der von jedem DATEV-Mitglied unterzeichnet wird.

Fall B — Mandant nutzt DATEV Unternehmen online direkt#

Der Mandant erfasst selbst Daten in DUO — eigene Kassenbücher, Belege, Lohn-Daten. Hier wird es interessant: DATEV positioniert sich in der eigenen Datenschutz-Information als eigenständiger Verantwortlicher für die Daten, die der Mandant selbst einspielt. Das ergibt sich aus dem direkten Vertragsverhältnis zwischen DATEV und dem Endnutzer (Mandant), die DATEV-AGB sind die Vertragsbasis.

Praktisch bedeutet das: der Mandant ist gegenüber DATEV in einer eigenen Datenschutz-Beziehung, die Kanzlei haftet nicht für die Datenverarbeitung des Mandanten auf der DUO-Oberfläche. Die Kanzlei haftet erst, wenn sie die Daten aus DUO in ihre eigene DATEV-Software übernimmt — dann gilt wieder Fall A.

Fall C — Kanzlei stellt Mandanten Dokumente per DATEV-Bereitstellung zur Verfügung#

Hier ist die Kanzlei eindeutig der Verantwortliche — sie entscheidet, welches Dokument an welchen Mandanten geht. DATEV ist Auftragsverarbeiter, der Transport-Vorgang läuft über DATEV-Infrastruktur. Der Standard-AVV deckt das ab.

Was das für die Kanzlei-Website bedeutet#

In der Datenschutzerklärung der Kanzlei-Website gehört ein eigener Abschnitt zur DATEV-Anbindung. Er sollte mindestens folgende Punkte benennen:

• Welche DATEV-Portale die Kanzlei aktiv nutzt.
• Dass beim Klick auf den Login-Button der Mandant auf eine externe Domain (apps.datev.de) weitergeleitet wird.
• Dass für die Datenverarbeitung im DATEV-Portal die DATEV-Datenschutzerklärung gilt (Link: https://www.datev.de/web/de/datev-news/datenschutz-bei-datev/).
• Dass die Kanzlei selbst keine personenbezogenen Daten im Login-Vorgang erhebt (kein Tracking-Cookie auf der Login-Brücken-Seite).

Wer das nicht abbildet, schafft eine Lücke zwischen Behauptung und Realität — die selbst abmahnfähig ist. Mehr zu Cookie- und Tracking-Frei-Architektur in unserem Artikel zur cookielosen Kanzlei-Website.

Mandanten-Schulung: Der 90-Minuten-Workshop ist Stand der Praxis#

Eine technisch saubere Portal-Anbindung nutzt nichts, wenn der Mandant beim ersten Login scheitert. Daher: jeder neue Mandant, der DATEV-Portal nutzen soll, braucht ein 90-Minuten-Onboarding. Das ist 2026 Stand der Praxis bei den meisten gut geführten Kanzleien.

Inhalt eines typischen Onboarding-Workshops#

• Block 1 (15 Min): Warum das Portal? Welche Daten gehen wo hin? Welche bleiben in der Kanzlei?
• Block 2 (20 Min): Installation der SmartLogin-App auf dem Mandanten-Smartphone, erste Anmeldung.
• Block 3 (30 Min): Praktische Übung: Beleg fotografieren, hochladen, in DUO sehen.
• Block 4 (15 Min): Abruf eines bereitgestellten Dokuments (z. B. letzte BWA).
• Block 5 (10 Min): Wer ist Ansprechpartner bei welchen Fragen? Telefon-Hotline der Kanzlei, DATEV-Service-Hotline.

Der Workshop kann entweder vor Ort in der Kanzlei oder per Video-Call stattfinden. Pauschal-Aufschlag der meisten Kanzleien: 150–250 € netto, einmalig pro Mandant. Wer das in den Onboarding-Prozess einbaut, spart später Stunden an Telefon-Support.

Die häufigsten Fehler bei der DATEV-Portal-Integration#

Aus der Beobachtung von etwa 50 Kanzlei-Websites im Mai 2026 (stichprobenartig, nicht systematisch — nach unserer Einschätzung repräsentativ für den deutschen Mittelstand):

Fehler 1 — Kein sichtbarer Login-Button#

Der Mandanten-Portal-Link versteckt sich im Footer, in 9-Punkt-Schrift, neben dem Impressum-Link. Mandanten finden ihn nicht. Auswirkung: monatlich mehrere Telefon-Anfragen „Wo finde ich den Login?".

Lösung: Login-Button gehört in den Header, rechts oben, farblich abgesetzt vom Rest der Navigation. Mindestgröße: Touch-Target 44 × 44 Pixel (Apple-HIG-Standard, der auch auf Desktop tragfähig ist).

Fehler 2 — Cookie-Banner blockt den Redirect#

Auf Kanzlei-Websites mit Consent-Management-Plattform (Cookiebot, OneTrust) liegt häufig ein modaler Banner über dem ganzen Content. Der Mandant kann den Login-Button erst klicken, nachdem er die Cookie-Auswahl getroffen hat. Manche Banner-Implementierungen blocken sogar Tab-Navigation, was Screenreader-Nutzer komplett ausschließt.

Lösung: Entweder cookielose Architektur (unsere Empfehlung, siehe verlinkter Artikel) oder ein Banner, das nicht-blockierend ist und den Login-Button erreichbar lässt.

Fehler 3 — Mandanten verwechseln die Portale#

Die Kanzlei bietet sowohl DUO als auch Meine Steuern an, aber die Website beschriftet beide nur als „Mandantenportal". Mandanten klicken den falschen Link, scheitern beim Login (weil sie für das andere Portal registriert sind) und rufen verärgert an.

Lösung: Eine eigene Unterseite /mandantenportal/ mit einer klaren Entscheidungs-Matrix. Jedes Portal mit eigenem Button, eigenem Untertitel und einer Ein-Satz-Beschreibung („Für Unternehmen mit laufender Buchhaltung" vs. „Für Privatpersonen mit jährlicher Einkommensteuer").

Fehler 4 — Veraltete URLs#

DATEV hat im Frühjahr 2025 mehrere Sub-Domains konsolidiert. Wer noch auf alte URLs (https://www.datev-dms.de o. ä.) verlinkt, bekommt einen Redirect zu https://www.datev.de — und der Mandant landet auf der DATEV-Hauptseite ohne klare Wegweisung zum Login.

Lösung: Quartalsweiser URL-Check — manuell ein Mal klicken, ob die Login-Seite direkt aufpoppt. Bei Änderungen die Kanzlei-Website nachziehen.

Fehler 5 — Keine Fallback-Kommunikation bei DATEV-Ausfall#

Wenn DATEV-Server-Probleme haben (Stand 2026 selten, aber kommt vor — typisch Sonntag-Wartungs-Fenster), zeigt die Kanzlei-Website weiter den Login-Button. Mandanten klicken, sehen eine DATEV-Fehlerseite, rufen die Kanzlei an. Das Telefonat ist vermeidbar.

Lösung: Eine zusätzliche Hinweis-Sektion auf der Mandantenportal-Unterseite mit Verlinkung auf den DATEV-Status (https://www.datev.de/web/de/service-und-support/storungs-meldungen/). Bei systematischen Ausfällen kann die Kanzlei dort prüfen und einen Banner schalten.

Zusammenfassung#

Die DATEV-Mandantenportal-Integration in die Kanzlei-Website ist 2026 keine technische Hexerei — aber sie verlangt drei Entscheidungen: erstens, welche der vier DATEV-Portale die Kanzlei aktiv anbietet (DUO, DMS, SmartLogin als Auth-Verfahren, Meine Steuern). Zweitens, wie der Login-Button im Header sichtbar und erreichbar wird (kein Iframe — DATEV blockt das aktiv). Drittens, wie die DSGVO-Rollenverteilung in der Datenschutzerklärung sauber abgebildet wird (Kanzlei als Verantwortlicher in Fibu-Kontext, DATEV als eigenständiger Verantwortlicher beim Mandanten-Direkt-Login in DUO).

Wer das ergänzt um eine eigene Mandantenportal-Unterseite mit Entscheidungs-Matrix und einen 90-Minuten-Onboarding-Workshop für neue Mandanten, senkt die Telefon-Anfragen-Last spürbar — wir haben in unseren ersten Mandanten-Projekten Reduktionen von 30–50 % gesehen, allerdings auf kleiner Stichprobenbasis (nach unserer Einschätzung repräsentativ, nicht systematisch validiert).

Die häufigsten Fehler sind nicht technische, sondern organisatorische: versteckter Footer-Link, Cookie-Banner-Blocker, fehlende Portal-Differenzierung, veraltete URLs, fehlende Ausfall-Kommunikation. Alle fünf sind in wenigen Stunden behebbar — wenn jemand mit Web-Kompetenz und DATEV-Kenntnis Hand anlegt.

---

Wenn Sie Ihr DATEV-Portal sauber in Ihre Website einbinden wollen — als Bestandteil eines Relaunchs oder als gezielte Anpassung — sprechen Sie uns an: Erstgespräch vereinbaren. Eine vollständige Bestandsaufnahme Ihrer aktuellen Portal-Integration ist Teil des Hebel-Audits (890 €, voll anrechenbar auf ein Folge-Mandat).

Quellen#

• DATEV eG — Produkte & Services — abgerufen 2026-05-29
• DSGVO Art. 28 (Auftragsverarbeitung) + Art. 26 (Gemeinsam Verantwortliche), VO EU 2016/679 — abgerufen 2026-05-29
• StGB § 203 — Verletzung von Privatgeheimnissen (Abs. 1 Nr. 3, Abs. 4 mitwirkende Personen) — abgerufen 2026-05-29

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechtsberatung im Einzelfall. DATEV-URLs und Portal-Bezeichnungen ändern sich; maßgeblich ist die jeweils aktuelle DATEV-Dokumentation. Die DSGVO-Rollenverteilung im Einzelfall gehört in die anwaltlich geprüfte Datenschutzerklärung.