DSGVO: Steuerberater – Verantwortlicher oder Auftragsverarbeiter?

Regelmäßig werden Lohn- und Gehaltsabrechnungen oder Jahresabschlüsse durch einen (externen) Steuerberater erstellt. Hierbei stellt sich die Frage, ob Steuerberater aufgrund ihrer Tätigkeit als Verantwortliche oder als Auftragsverarbeiter im Sinne der Datenschutzgrundverordnung (DSGVO) anzusehen sind. Diese Frage wurde bisher unterschiedlich beantwortet:

Nach einer Ansicht ist die Leistung der Steuerberater eine eigenverantwortlich erbrachte Fachleistung, sodass keine Verträge zur Auftragsverarbeitung geschlossen werden müssen. Demgegenüber haben sich die Aufsichtsbehörden bislang unterschiedlich zu der Frage positioniert und danach unterschieden, welche Tätigkeit der Steuerberater ausführt und wie weisungsgebunden er dabei ist.

Der Gesetzgeber hat mit einer Neufassung des § 11 Steuerberatungsgesetz (StBerG) jetzt für Klarheit gesorgt: Der neue § 11 StBerG trat zum 18.12.2019 in Kraft. In dessen Absatz 2 ist nun ergänzt, dass die Verarbeitung personenbezogener Daten durch Personen und Gesellschaften nach § 3 StBerG unter Beachtung der für sie geltenden Berufspflichten weisungsfrei erfolgt. Ein Steuerberater handelt im Rahmen seiner berufsrechtlichen Tätigkeit also nicht weisungsgebunden und ist daher als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO anzusehen. So auch jetzt in der genannten Vorschrift: „Die Personen und Gesellschaften nach § 3 sind bei Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gemäß Artikel 4 Nummer 7 der Datenschutz-Grundverordnung (EU) 2016/679.“

Diese Neuregelung betrifft sämtliche Tätigkeiten des Steuerberaters, es wird daher nicht anhand der Art der erfolgten Tätigkeit unterschieden. Zudem nennt die Gesetzesbegründung bei den Tätigkeiten explizit die Erstellung von Lohn- und Gehaltsabrechnungen.

Auch wenn nun keine Auftragsverarbeitung vorliegt, sollte bedacht werden, dass gegebenenfalls – je nach Auftragsverhältnis – eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO in Betracht kommt.

Thomas Haschert Mag. iur., Fachanwalt für Arbeitsrecht, Fachanwalt für internationales Wirtschaftsrecht, Datenschutzbeauftragter der Kanzlei, Datenschutzauditor