Datenverarbeitung in der Steuerberatung

Steuerberater und Auftragsverarbeitung

Trotz der abgestimmten Papiere der Datenschutzkonferenz (DSK), dem Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder existieren nach wie vor Fragestellungen, die von den deutschen Aufsichtsbehörden unterschiedlich beantwortet werden. Dazu gehört beispielsweise die Thematik „Outsourcing von personenbezogener Datenverarbeitung“ – auch in der Steuerberatung.

Bislang hatten sich das LDI NRW (http://t1p.de/ewvo) und das BayLDA (http://t1p.de/82g6) mit gegensätzlichen Bewertungen zum Thema geäußert (vgl. Editorial Datenschutz Newsbox 11/2018, https://t1p.de/gx6a) . Im Streit darüber, ob im Falle der reinen Lohn- und Gehaltsabrechnung oder bei sonstigen, rein technischen Dienstleistungen auch bei Steuerberatern von einer Auftragsverarbeitung auszugehen ist, hatte sich eine weitere Aufsichtsbehörde „zu Wort gemeldet“.

Die Aufsichtsbehörde Baden-Württemberg, die sich bereits in ihrem aktuellen Tätigkeitsbericht (Ziffer 1.10) damit beschäftigte, kam ebenfalls zu dem Schluss kommt, dass in diesen Fällen Auftragsverarbeitung anzunehmen ist. Auch das ULD nimmt wohl eher einer Auftragsverarbeitung an. Diese Ansicht wurde weiteren Entscheidungen u.a. des BverfG und Argumenten in der neuesten Auskopplung des Themas intensiviert und weiter untermauert.

Neues Steuerberatungsgesetz

Dieser Streit dürfte aber wohl nunmehr beendet sein, nachdem am 18. Dezember § 11 Steuerberatungsgesetz geändert worden ist. Es lautet nunmehr wie folgt:

“ 1) 1 Soweit es zur Erfüllung der Aufgaben nach diesem Gesetz erforderlich ist, dürfen personenbezogene Daten verarbeitet werden. 2 Personenbezogene Daten dürfen auch für Zwecke künftiger Verfahren nach diesem Gesetz verarbeitet werden. 3 Besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72) dürfen gemäß Artikel 9 Absatz 2 Buchstabe g der Datenschutz-Grundverordnung (EU) 2016/679 in diesem Rahmen verarbeitet werden.

(2) 1 Die Verarbeitung personenbezogener Daten durch Personen und Gesellschaften nach § 3 erfolgt unter Beachtung der für sie geltenden Berufspflichten weisungsfrei. 2 Die Personen und Gesellschaften nach § 3 sind bei Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gemäß Artikel 4 Nummer 7 der Datenschutz-Grundverordnung (EU) 2016/679. 3 Besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 dürfen gemäß Artikel 9 Absatz 2 Buchstabe g der Datenschutz-Grundverordnung (EU) 2016/679 in diesem Rahmen verarbeitet werden.

Dies dürfte im Ergebnis zumindest den Empfehlungen der Bundessteuerberaterkammer bzgl. einer Klarstellung in § 11 StBerG nahe kommen.

Damit wäre es notwendiger denn je, dass sich die Aufsichtsbehörden mit einer einheitlichen und abgestimmten Meinung dazu äußern.

Letztes Update:05.01.20

  • Gemeinsame Verantwortlichkeit: Die neue Auftragsverarbeitung?

    Gemeinsame Verantwortlichkeit: Die neue Auftragsverarbeitung?

    Seminar

    2020-03-12, 09:00 | Berlin

    2020-03-12, 09:00 | Berlin

    2020-09-01, 08:00 | Frankfurt/M.

    2020-09-01, 08:00 | Frankfurt/M.

    1059.10 € Mehr erfahren
  • Stand der Technik

    Handreichung zum Stand der Technik

    Sowohl das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme“ (IT-Sicherheitsgesetz bzw. ITSiG) als auch die europäische Datenschutz-Grundverordnung (DS-GVO) erwähnen den Begriff des Stands der Technik als eine Forderung, an der sich die IT-Sicherheit orientieren soll. Im Bereich des technischen Datenschutzes fordert die DS-GVO in Art. 32 DS-GVO zum Schutze der Rechte und Freiheiten natürlicher Personen

    Mehr erfahren
  • Wegweiser

    LDI NRW aktualisiert FAQ zum DSB

    Mit dem Inkrafttreten der Datenschutz-Grundverordnung (DS-GVO) existiert erstmals eine europaweit verbindliche verpflichtende Regelung zur Bestellung betrieblicher und behördlicher Datenschutzbeauftragter. Während die EG-Datenschutzrichtlinie (95/46/EG) die Verpflichtung zur Bestellung von Datenschutzbeauftragten lediglich als Alternative vorsah, um die Meldepflicht gegenüber der Datenschutzaufsichtsbehörde entfallen zu lassen, wird sich mit Geltung der DS-GVO ab dem 25. Mai 2018 eine Bestellpflicht

    Mehr erfahren
  • Kündigung wegen Missbrauch von Kundendaten

    Missbrauch von Kundendaten: Fristlose Kündigung

    In seinem Urteil vom 15.01.2020 hat das Arbeitsgericht Siegen entschieden, dass der Missbrauch von Kundendaten durch einen IT-Mitarbeiter die fristlose Kündigung des Arbeitsverhältnisses rechtfertigen kann. Nach Ansicht des Arbeitsgerichts ist ein IT-Mitarbeiter verpflichtet, sensible Kundendaten zu schützen und darf diese nicht zu anderen Zwecken missbrauchen. Ein Verstoß gegen diese Pflichten rechtfertige in der Regel eine

    Mehr erfahren