Unternehmen, die personenbezogene Daten ihrer Kunden, Nutzer oder Mitarbeiter durch Dienstleister verarbeiten lassen, müssen mit diesen grundsätzlich einen Auftragsverarbeitungsvertrag abschließen. Eine der Fragen, die seit Inkrafttreten der DSGVO immer wieder gestellt und diskutiert wird ist, ob auch mit Steuerberatern ein Vertrag zur Auftragsverarbeitung geschlossen werden muss oder nicht. Grundsätzlich sind sich die obersten Datenschützer einig, dass dies nicht der Fall ist. Für Verunsicherung sorgt die Auffassung der Nordrhein-Westfälischen Landesbeauftragten für Datenschutz und Informationsfreiheit (LDI), wonach bei der Übertragung der Lohn- und Gehaltsabrechnung ein Vertrag zur Auftragsverarbeitung erforderlich sei.

Auftragsverarbeitung nur bei Weisungsgebundenheit

Ausgangspunkt ist, dass eine Auftragsverarbeitung nur vorliegt, wenn der Auftragnehmer die Verarbeitung der personenbezogenen Daten weisungsgebunden durchführt, Art. 28 Abs. 3 lit. a DSGVO, nicht dagegen, wenn der Auftragnehmer die Datenverarbeitung in eigener Verantwortung vornimmt.

Steuerberater wird regelmäßig eigenverantwortlich tätig

Steuerberatungsleistungen stellen jedenfalls in der Regel keine Auftragsdatenverarbeitung dar, da der Steuerberater regelmäßig eigenverantwortlich tätig wird. Hierüber besteht Einigkeit. In dem bundesweit abgestimmten Kurzpapier Nr. 13 der Datenschutzkonferenz zur Auftragsverarbeitung nach der DSGVO wird hierzu folgendes ausgeführt (Seite 4): „Keine Auftragsverarbeitung, sondern die Inanspruchnahme fremder Fachleistungen bei einem eigenständig Verantwortlichen, für die bei der Verarbeitung (einschließlich Übermittlung) personenbezogener Daten eine Rechtsgrundlage gemäß Art. 6 DSGVO gegeben sein muss, sind beispielsweise in der Regel die Einbeziehung eines Berufsgeheimnisträgers (Steuerberater, Rechtsanwälte, externe Betriebsärzte, Wirtschaftsprüfer) …“ Kurzpapier Nr. 13

Steuerberater sind nach dem insoweit geltenden Fachrecht (Steuerberatungsgesetz) als Freiberufler selbständig, weisungsunabhängig und eigenverantwortlich tätig und unterliegen dementsprechend auch einer strafbewehrten persönlichen Geheimhaltungspflicht (vgl. z. B. § 57 Steuerberatungsgesetz, § 203 Abs. 1 Nr. 3 des Strafgesetzbuches). Das widerspricht der Weisungsgebundenheit im Sinne von Art. 28 Abs. 3 lit. a DSGVO. Des Weiteren ist den Steuerberatern eine gewerbliche Tätigkeit außerhalb des Steuerberatungsrecht grundsätzlich untersagt (§ 57 Abs. 4 Nr. 1 Steuerberatungsgesetz).

„Klassische“ Steuerberatung, Erstellung des Jahresabschlusses

Eine Datenverarbeitung in eigener Verantwortung ist jedenfalls und unstreitig bei der Erstellung des Jahresabschlusses und bei der klassischen Steuerberatung gegeben. Nach § 32 Abs. 2 Steuerberatungsgesetz (StBerG) in Verbindung mit den tätigkeitsbeschreibenden Normen im StBerG handeln Steuerberater eigenverantwortlich und damit aufgrund gesetzlicher Vorgaben weisungsfrei. In diesem Fall sind sie keine Auftragnehmer im Sinne des Art. 28 DSGVO.

Lohn- und Gehaltsabrechnung

Nach Ansicht der Nordrhein-Westfälischen Landesbeauftragten für Datenschutz und Informationsfreiheit (LDI) Helga Block, ist eine Datenverarbeitung im Auftrag gemäß Art. 28 DSGV in den Fällen zu bejahen, in denen einem Steuerberater eine Aufgabe ohne eigene Entscheidungskompetenzen übertragen werde. Dies sei etwa bei der reinen Lohn- und Gehaltsabrechnung der Fall oder bei sonstigen, rein technischen Dienstleistungen. Erforderlich sei dann ein Vertrag zur Auftragsverarbeitung. Bei gemischten Tätigkeiten – eigenverantwortliche Steuerberatung sowie weisungsgebundene Dienstleistungen  – sei zu differenzieren: Im Hinblick auf weisungsgebundene Dienstleistungen sei eine Auftragsverarbeitung  gegeben, im Hinblick auf die Beauftragung mit Tätigkeiten aufgrund steuerberatungsrechtlicher Vorschriften eine Datenverarbeitung in eigener Verantwortung. Übermittele zum Beispiel ein Arbeitgeber im Zusammenhang mit der Erstellung des Jahresabschlusses auch Daten zum Zwecke der Lohn- und Gehaltsabrechnung an den Steuerberater, so liege hinsichtlich dieser untergeordneten Tätigkeit keine Datenverarbeitung in eigener Verantwortung vor (https://www.ldi.nrw.de/mainmenu_Aktuelles/Inhalt/Datenverarbeitung-in-der-Steuerberatung/Datenverarbeitung-in-der-Steuerberatung.html).

Anders dagegen die Ansicht des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA). Auch wenn Steuerberater nur die Lohnbuchhaltung für einen Mandanten durchführten, müssten sie dafür aufgrund des Steuerberaterrechts die eigene Verantwortung übernehmen und könnten sich nicht, wie allgemeine Dienstleister zur Lohnabrechnung, auf Weisungen von Mandanten berufen (https://www.lda.bayern.de/media/FAQ_Steuerberater_keine_ADV.pdf). Auch die Bundessteuerberaterkammer BStBK und und der Deutsche Steuerberaterverband DStV sehen in Leistungen des Steuerberaters zur Lohn-/Gehalts­buchführung eine eigenverantwortlich erbrachte Fachleistung. Hiernach müssen keine Verträge zur Auftragsverarbeitung mit den Mandanten geschlossen werden (https://www.bstbk.de/de/presse/news/2018-07-30_Lohn_Gehaltsbuchfuehrung/index.html).

Der letzgenannten Ansicht ist zuzustimmen.Steuerberater arbeiten bei allen Tätigkeiten, also auch bei der Lohn- und Gehaltsabrechnung weisungsungebunden und eigenverantwortlich. Entgegen der Ansicht der LDI NRW ist die Lohn- und Gehaltsabrechnung keineswegs eine rein mechanische Aufgabe des Steuerberaters „ohne eigene Entscheidungskompetenzen“. Entsprechend handelt es sich auch dabei um eine Datenverarbeitung in eigener Verantwortung, was unstreitig zur Folge hat, dass keine Auftragsverarbeitung vorliegt.

Fazit:

Ein Vertrag zur Auftragsverarbeitung mit Steuerberatern muss nicht geschlossen werden, auch dann nicht, wenn dem Steuerberater die Lohn- und Gehaltsabrechnung übertragen wird.