Datenverarbeitung in der Steuerberatung

Trotz der abgestimmten Papiere der Datenschutzkonferenz (DSK), dem Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder existieren nach wie vor Fragestellungen, die von den deutschen Aufsichtsbehörden unterschiedlich beantwortet werden. Dazu gehört beispielsweise die Thematik „Outsourcing von personenbezogener Datenverarbeitung“ – auch in der Steuerberatung.

Bislang hatten sich das LDI NRW (http://t1p.de/ewvo) und das BayLDA (http://t1p.de/82g6) mit gegensätzlichen Bewertungen zum Thema geäußert (vgl. Editorial Datenschutz Newsbox 11/2018, https://t1p.de/gx6a) . Im Streit darüber, ob im Falle der reinen Lohn- und Gehaltsabrechnung oder bei sonstigen, rein technischen Dienstleistungen auch bei Steuerberatern von einer Auftragsverarbeitung auszugehen ist, hatte sich eine weitere Aufsichtsbehörde „zu Wort gemeldet“.

Die Aufsichtsbehörde Baden-Württemberg, die sich bereits in ihrem aktuellen Tätigkeitsbericht (Ziffer 1.10) damit beschäftigte, kam ebenfalls zu dem Schluss kommt, dass in diesen Fällen Auftragsverarbeitung anzunehmen ist. Auch das ULD nimmt wohl eher einer Auftragsverarbeitung an. Diese Ansicht wurde weiteren Entscheidungen u.a. des BverfG und Argumenten in der neuesten Auskopplung des Themas intensiviert und weiter untermauert.

Neues Steuerberatungsgesetz

Dieser Streit dürfte aber wohl nunmehr beendet sein, nachdem am 18. Dezember § 11 Steuerberatungsgesetz geändert worden ist. Es lautet nunmehr wie folgt:

“ 1) 1 Soweit es zur Erfüllung der Aufgaben nach diesem Gesetz erforderlich ist, dürfen personenbezogene Daten verarbeitet werden. 2 Personenbezogene Daten dürfen auch für Zwecke künftiger Verfahren nach diesem Gesetz verarbeitet werden. 3 Besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72) dürfen gemäß Artikel 9 Absatz 2 Buchstabe g der Datenschutz-Grundverordnung (EU) 2016/679 in diesem Rahmen verarbeitet werden.

(2) 1 Die Verarbeitung personenbezogener Daten durch Personen und Gesellschaften nach § 3 erfolgt unter Beachtung der für sie geltenden Berufspflichten weisungsfrei. 2 Die Personen und Gesellschaften nach § 3 sind bei Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gemäß Artikel 4 Nummer 7 der Datenschutz-Grundverordnung (EU) 2016/679. 3 Besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 dürfen gemäß Artikel 9 Absatz 2 Buchstabe g der Datenschutz-Grundverordnung (EU) 2016/679 in diesem Rahmen verarbeitet werden.

Dies dürfte im Ergebnis zumindest den Empfehlungen der Bundessteuerberaterkammer bzgl. einer Klarstellung in § 11 StBerG nahe kommen.

Damit wäre es notwendiger denn je, dass sich die Aufsichtsbehörden mit einer einheitlichen und abgestimmten Meinung dazu äußern.