Update Datenschutz Nr. 72
Steuerberater sind keine Auftragsverarbeiter
Viele Unternehmen nehmen die Dienste von Steuerberatern in Anspruch. Neben der klassischen Steuerberatung werden häufig auch andere Tätigkeiten, wie zum Beispiel die Lohnbuchführung eines Unternehmens, von Steuerberatern übernommen. Für die Bearbeitung dieser Aufgaben müssen zwangsläufig personenbezogene Daten der Beschäftigten an den Steuerberater übermittelt werden. Die datenschutzrechtliche Bewertung solcher Übermittlungen war bisher umstritten. Durch eine zum Jahreswechsel 2020 in Kraft getretene Neufassung des § 11 Steuerberatungsgesetz (StBerG) hat sich der Gesetzgeber bemüht, an dieser Stelle Klarheit zu schaffen.
Hintergrund
Werden externe Dienstleister in Anspruch genommen und müssen diese bei ihren Tätigkeiten personenbezogene Daten verarbeiten, kann es erforderlich sein, eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DS-GVO zu schließen. Das Gesetz sieht vor, dass ein Auftragsverarbeiter nach den Weisungen des Auftraggebers handelt. Das schließt umgekehrt eine Auftragsverarbeitung aus, wenn der Dienstleister bei seinen Tätigkeiten weisungsfrei handelt. In diesen Fällen ist der „Beauftragte“ kein Auftragsverarbeiter, sondern ein eigenständiger Verantwortlicher. Ein solcher Fall von Weisungsfreiheit liegt bei Steuerberatern unstrittig bei ihrer Kerntätigkeit, der Steuerberatung vor. Dabei handeln sie unabhängig, eigenverantwortlich (§ 57 StBerG) und somit weisungsfrei. Eine Auftragsverarbeitung ist damit nicht vereinbar.
Alte Rechtslage
Bisher wurde allerdings unterschiedlich beurteilt, wie Tätigkeiten eines Steuerberaters jenseits dieser Kerntätigkeit datenschutzrechtlich zu beurteilen sind. Konkret wurde vor allem um die Einordnung der in § 6 Nr. 4 StBerG genannten Hilfstätigkeiten gestritten. Nach dieser Vorschrift sind u. a. das Buchen laufender Geschäftsvorfälle, die laufende Lohnabrechnung und das Fertigen der Lohnsteuer-Anmeldungen keine Tätigkeiten, die exklusiv Steuerberatern und den sonst den in §§ 3, 3a, 4 StBerG bezeichneten Personen vorbehalten sind. Das nahmen einige Datenschutzaufsichtsbehörden zum Anlass, diese Tätigkeiten nicht zum Kernbereich der Tätigkeiten eines Steuerberaters zu zählen (z.B. www.baden-wuerttemberg.datenschutz.de/steuerberater-und-lohnbuchhaltung/). Deswegen würden diese Tätigkeiten auch nicht eigenverantwortlich – mit anderen Worten weisungsfrei – ausgeführt werden. Das hatte nach dieser Auffassung zur Folge, dass für Hilfstätigkeiten eines Steuerberaters eine Auftragsverarbeitung erforderlich war.
Andere Aufsichtsbehörden sowie die Berufsverbände der Steuerberater hatten demgegenüber die Auffassung vertreten, dass es sich auch bei diesen Hilfstätigkeiten um weisungsfreie Aufgabenerfüllung handelt. Demnach war keine Auftragsverarbeitung erforderlich.
Neue Rechtslage
Der Gesetzgeber hat mit der Neuregelung des § 11 StBerG in dieser umstrittenen Frage Klarheit geschaffen. § 11 Abs. 2 S. 1 StBerG n. F. besagt, dass Handlungen nach § 3 StBerG weisungsfrei vorgenommen werden. Nach § 11 Abs. 2 S. 2 StBerG n. F. sind die Handelnden dabei Verantwortliche im Sinne der DS-GVO. § 3 StBerG thematisiert die geschäftsmäßigen Hilfeleistungen in Steuersachen, d. h. das gesamte Spektrum an Tätigkeiten eines Steuerberaters. Über § 5 StBerG sind auch die in § 6 Abs. 4 StBerG genannten Hilfstätigkeiten erfasst. Damit steht insgesamt fest, dass das Tätigwerden eines Steuerberaters für einen Mandaten keiner Auftragsverarbeitung bedarf, sofern der Steuerberater die im StBerG vorgesehenen Aufgaben erfüllt. Er handelt immer weisungsfrei. Der Grund für die Regelung ist laut Gesetzesbegründung, dass ein Steuerberater auch bei den in § 6 Abs. 4 StBerG genannten Hilfstätigkeiten steuerrechtliche Prüfungen vornimmt, dabei seinen Berufspflichten unterliegt und deswegen eigenständig und weisungsfrei arbeitet.
§ 11 Abs. 2 S. 3 StBerG bestimmt schließlich, dass auch besonders sensible Daten im Sinne des Art. 9 DS-GVO, wie zum Beispiel Gesundheitsdaten, für die Erfüllung der Aufgaben verarbeitet werden dürfen. Dabei handelt es sich ebenfalls um eine Klarstellung.
Fazit und praktische Folgen
Unter dem Gesichtspunkt der Rechtsklarheit sind die Änderungen zu begrüßen. Die uneinheitlichen Auffassungen der Aufsichtsbehörden werden damit beseitigt. Wer einen Steuerberater beauftragt, muss sich auch bei Hilfstätigkeiten nicht mehr um den Abschluss einer Auftragsverarbeitung kümmern, da der Steuerberater eigenständiger Verantwortlicher ist. Nichtsdestotrotz muss die Datenübermittlung – wie jede Verarbeitung personenbezogener Daten – auf einen Erlaubnistatbestand aus Art. 6 DS-GVO gestützt werden.
Umgekehrt bedeutet die Neuregelung für Steuerberater als Verantwortliche, dass sie eigenverantwortlich alle Pflichten der DS-GVO einhalten müssen. In bestimmten Sonderkonstellationen kann auch eine gemeinsame Verantwortung nach Art. 26 DS-GVO zwischen Steuerberater und Auftraggeber in Betracht kommen. Das hängt jedoch davon ab, wie das Vertragsverhältnis im konkreten Einzelfall ausgestaltet ist.
Man kann die Entscheidung des Gesetzgebers, Lohnabrechnungen in gleicher Weise wie Steuerberatung der eigenständigen Tätigkeit eines Steuerberaters zuzuordnen, mit guten Gründen kritisieren. Lohnabrechnungen sind eher buchhalterischer Art und unterliegen aufgrund ihrer Natur viel engeren Vorgaben als eine steuerrechtliche Beratungsleistung. Der Steuerberater wird damit gegenüber anderen Dienstleistern, die in dem Bereich tätig sind, bevorzugt.
Außerdem kann bezweifelt werden, ob der nationale Gesetzgeber solche Regelungen über Verantwortlichkeit und Auftragsverarbeitung überhaupt treffen kann. Dadurch werden Regelungen der DS-GVO modifiziert, die als höherrangiges EU-Recht grundsätzlich nur durch den EU-Gesetzgeber umgeschrieben werden können. Art. 4 Nr. 7 a.E. DS-GVO, der die Verantwortlichkeit regelt, lässt sich zwar so verstehen, dass nationale Gesetzeber die Verantwortlichkeit näher bestimmen können. Demgegenüber sieht Art. 28 DS-GVO aber gerade keine Öffnungsklausel vor. Mittelbar beeinflusst der deutsche Gesetzgeber aber Art. 28 DS-GVO, wenn er über das Merkmal der Weisungsfreiheit Tätigkeiten aus dem Anwendungsbereich der Norm herausnimmt. Diese Frage nach der Regelungskompetenz des deutschen Gesetzgebers müssen jedoch die Gerichte klären. Für alle Rechtsanwender gilt der neue § 11 StBerG in seiner bestehenden Form.
