Steuerberater ist auch bei Lohnbuchhaltung kein Auftragsverarbeiter

Die Tätigkeit von Steuerberatern im Bereich der Lohnbuchhaltung war in den vergangenen Jahren immer wieder Gegenstand der Diskussion. Es stellte sich die Frage, ob hier eine Vereinbarung zur Auftragsverarbeitung erforderlich ist. Während beispielsweise die datenschutzrechtlichen Aufsichtsbehörden in Bayern dies verneinten, fordern Nordrhein-Westfalen und Baden-Württemberg eine Vereinbarung zur Auftragsverarbeitung bei Lohnbuchhaltung durch den Steuerberater. Laut Rechtanwalt Dr. Christian Lenz, spricht gegen eine Auftragsverarbeitung, dass auch die Lohnbuchhaltung durch einen Steuerberater eine Steuerberatung darstellt und insofern weisungsfrei auf Basis des Mandatsvertrags erfolgt. Die Bundessteuerberaterkammer sah im Abschluss einer Vereinbarung zur Auftragsverarbeitung durch den Steuerberater sogar einen Berufsrechtsverstoß.

Das Kurzpapier Nr. 13 der Datenschutzkonferenz (DSK) behandelt die Thematik dergestalt, dass die Einbeziehung von Steuerberatern in der Regel keine Auftragsverarbeitung sei. Der Bereich der Lohnbuchhaltung durch den Steuerberater wird jedoch nicht explizit aufgegriffen. 

Änderung des Steuerberatergesetzes gibt Klarheit

Nun hat der Gesetzgeber zum 18.12.2019 durch eine Änderung des Steuerberatungsgesetzes (StBerG) reagiert. In § 11 StBerG heißt es nun:

㤠11 Verarbeitung personenbezogener Daten

(1) Soweit es zur Erfüllung der Aufgaben nach diesem Gesetz erforderlich ist, dürfen personenbezogene Daten verarbeitet werden. Personenbezogene Daten dürfen auch für Zwecke künftiger Verfahren nach diesem Gesetz verarbeitet werden. Besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung (EU) 679/2016 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72) dürfen gemäß Artikel 9 Absatz 2 Buchstabe g der Datenschutz-Grundverordnung (EU) 2016/679 in diesem Rahmen verarbeitet werden.

(2) Die Verarbeitung personenbezogener Daten durch Personen und Gesellschaften nach § 3 erfolgt unter Beachtung der für sie geltenden Berufspflichten weisungsfrei. Die Personen und Gesellschaften nach § 3 sind bei Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gemäß Artikel 4 Nummer 7 der Datenschutz-Grundverordnung (EU) 2016/679. Besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung (EU) 679/2016 dürfen gemäß Artikel 9 Absatz 2 Buchstabe g der Datenschutz-Grundverordnung (EU) 2016/679 in diesem Rahmen verarbeitet werden.

(3) § 83 dieses Gesetzes und § 30 der Abgabenordnung stehen dem nicht entgegen.“

Maßgeblich ist das letzte Wort in § 11 Abs. 2 Satz 1 StBerG „weisungsfrei“. Denn eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO erfolgt nicht „weisungsfrei“, sondern „weisungsabhängig“.

Bestätigt wird dies auch durch die Gesetzesbegründung:

„In § 11 Absatz 2 Satz 1 StBerG wird ergänzt, dass die Verarbeitung personenbezogener Daten durch Personen und Gesellschaften nach § 3 StBerG unter Beachtung der für sie geltenden Berufspflichten weisungsfrei erfolgt. D. h. dies gilt auch für das „Buchen laufender Geschäftsvorfälle“, „laufende Lohnabrechnung“ und „Fertigen der Lohnsteuer-Anmeldungen“, denn die Leistung des mit der Lohnbuchführung beauftragten Steuerberaters umfasst die eigenverantwortliche Prüfung und Anwendung der gesetzlichen Bestimmungen. Mit dieser Regelung werden die berufsrechtlichen Pflichten des Steuerberaters als Berufsgeheimnisträger zur unabhängigen, eigenverantwortlichen, gewissenhaften und verschwiegenen Berufsausübung sichergestellt.“

Im Ergebnis dürfte die Diskussion, ob mit dem Steuerberater eine Vereinbarung zur Auftragsverarbeitung zu schließen ist, erledigt sein: Es bedarf keiner Vereinbarung zur Auftragsverarbeitung mit dem Steuerberater. 

Folgende Schlussfolgerungen lassen sich aus der gesetzlichen Neuregelung ziehen:

• Die Gesetzesänderung betrifft nur das Datenschutzrecht. Offensichtlich wollte der Gesetzgeber nur regeln, wie durch den Steuerberater personenbezogene Daten zu verarbeiten sind und dass Steuerberater keine Vereinbarung zur Auftragsverarbeitung benötigen.
• Hiervon unabhängig treffen den Steuerberater die allgemeinen datenschutzrechtlichen sowie die berufsrechtlichen Verpflichtungen im Hinblick auf Datensicherheit und Geheimhaltung, die durch ein entsprechendes Managementsystem gewährleistet werden sollten.
• Im Bereich der Lohnbuchhaltung durch sogenannte Nicht-Steuerberater (z.B. Abrechnungszentren) bedarf es weiter eine Vereinbarung zur Auftragsverarbeitung im Sinne von Art. 28 DSGVO.