Datenverarbeitung in der Steuerberatung
Trotz der abgestimmten Papiere der Datenschutzkonferenz (DSK), dem Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder existieren nach wie vor Fragestellungen, die von den deutschen Aufsichtsbehörden unterschiedlich beantwortet werden. Dazu gehört beispielsweise die Thematik „Outsourcing von personenbezogener Datenverarbeitung“ – auch in der Steuerberatung.
Bislang hatten sich das LDI NRW (http://t1p.de/ewvo) und das BayLDA (http://t1p.de/82g6) mit gegensätzlichen Bewertungen zum Thema geäußert (vgl. Editorial Datenschutz Newsbox 11/2018, https://t1p.de/gx6a) . Im Streit darüber, ob im Falle der reinen Lohn- und Gehaltsabrechnung oder bei sonstigen, rein technischen Dienstleistungen auch bei Steuerberatern von einer Auftragsverarbeitung auszugehen ist, hatte sich eine weitere Aufsichtsbehörde „zu Wort gemeldet“.
Die Aufsichtsbehörde Baden-Württemberg, die sich bereits in ihrem aktuellen Tätigkeitsbericht (Ziffer 1.10) damit beschäftigte, kam ebenfalls zu dem Schluss kommt, dass in diesen Fällen Auftragsverarbeitung anzunehmen ist. Auch das ULD nimmt wohl eher einer Auftragsverarbeitung an. Diese Ansicht wurde weiteren Entscheidungen u.a. des BverfG und Argumenten in der neuesten Auskopplung des Themas intensiviert und weiter untermauert.
Neues Steuerberatungsgesetz
Dieser Streit dürfte aber wohl nunmehr beendet sein, nachdem am 18. Dezember § 11 Steuerberatungsgesetz geändert worden ist. Es lautet nunmehr wie folgt:
“ 1) 1 Soweit es zur Erfüllung der Aufgaben nach diesem Gesetz erforderlich ist, dürfen personenbezogene Daten verarbeitet werden. 2 Personenbezogene Daten dürfen auch für Zwecke künftiger Verfahren nach diesem Gesetz verarbeitet werden. 3 Besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72) dürfen gemäß Artikel 9 Absatz 2 Buchstabe g der Datenschutz-Grundverordnung (EU) 2016/679 in diesem Rahmen verarbeitet werden.
(2) 1 Die Verarbeitung personenbezogener Daten durch Personen und Gesellschaften nach § 3 erfolgt unter Beachtung der für sie geltenden Berufspflichten weisungsfrei. 2 Die Personen und Gesellschaften nach § 3 sind bei Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gemäß Artikel 4 Nummer 7 der Datenschutz-Grundverordnung (EU) 2016/679. 3 Besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 dürfen gemäß Artikel 9 Absatz 2 Buchstabe g der Datenschutz-Grundverordnung (EU) 2016/679 in diesem Rahmen verarbeitet werden.
Dies dürfte im Ergebnis zumindest den Empfehlungen der Bundessteuerberaterkammer bzgl. einer Klarstellung in § 11 StBerG nahe kommen.
Damit wäre es notwendiger denn je, dass sich die Aufsichtsbehörden mit einer einheitlichen und abgestimmten Meinung dazu äußern.
Verwandte Produkte
Das könnte Sie auch interessieren
-
Webinar Verarbeitungsverzeichnis softwaregestützt erstellen, dokumentieren, pflegen und archivieren
Mit dem webbasierten Management-System DataAgenda Datenschutz Manager können Sie alle Maßnahmen zum Datenschutz erfassen, verwalten und dokumentieren (VVT, DSFA etc.) und so Ihre Rechenschaftspflicht gemäß DS-GVO erfüllen. Der Referent zeigt, wie Sie mit einem Verzeichnis der Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DS-GVO einen zentralen Baustein der Datenschutzdokumentation erstellen. Sie erfahren, wie der DataAgenda Datenschutz Manager
Mehr erfahren -
BSI veröffentlicht Handreichung zur NIS-2-Geschäftsleitungsschulung
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine neue Handreichung zur Geschäftsleitungsschulung im Rahmen der NIS-2-Umsetzung veröffentlicht. Die Publikation richtet sich an Führungsebenen von Unternehmen und Einrichtungen, die künftig unter die NIS-2-Regulierung fallen – also als „wichtige“ oder „besonders wichtige Einrichtungen“ gelten. Ziel ist es, Geschäftsleitungen auf ihre neuen Pflichten im Bereich Cybersicherheit
Mehr erfahren -
Refurbished Notebook mit ungelöschten Daten – wer ist verantwortlich?
Der Erwerb gebrauchter oder „refurbished“ IT-Geräte wirft nicht nur technische, sondern auch datenschutzrechtliche Fragen auf. Besonders heikel wird es, wenn auf einem erworbenen Notebook noch personenbezogene Daten des Vorbesitzers vorzufinden sind. Doch wer trägt in diesem Fall die Verantwortung nach der DS-GVO? Verantwortlichenbegriff nach Art. 4 Nr. 7 DS-GVO Nach Art. 4 Nr. 7 DS-GVO
Mehr erfahren
