Vertrag zur Auftragsverarbeitung notwendig bei Lohnbuchhaltung durch den Steuerberater?

Es ist etwas seltsam, diese Frage zu stellen, tatsächlich aber muss ich es aus einem guten Grund thematisieren: Liegt Auftragsverarbeitung bei Lohnbuchhaltung durch den Steuerberater vor, so dass ein Vertrag zur Auftragsverarbeitung geschlossen werden muss?

Erst einmal gilt für mich, dass Steuerberater als Freiberufler selbständig, weisungsunabhängig und eigenverantwortlich tätig sind – zudem unterliegen sie mit dem Strafgesetzbuch einer strafbewehrten persönlichen Geheimhaltungspflicht. Hier eine Weisungsgebundenheit im Sinne des Art. 28 Abs. 3 lit. a DS-GVO zu erkennen ist mir nicht zugänglich.

Umstritten ob Lohnbuchhaltung Auftragsverarbeitung auch bei Steuerberater ist

Vor diesem Hintergrund erkenne ich – losgelöst von der Tätigkeit des Steuerberaters – keinen Anlass einer Auftragsverarbeitung. Dies sieht auch das bayrische Landesamt für Datenaufsicht so, die schreiben:

Auch wenn Steuerberater nur die Lohnbuchhaltung für einen Mandanten durchführen, müssen sie dafür aufgrund des Steuerberaterrechts die eigene Verantwortung übernehmen und können sich nicht, wie allgemeine Dienstleister zur Lohnabrechnung, auf Weisungen von Mandanten berufen.

Steuerberater arbeiten deshalb aus unserer Sicht regelmäßig eigenverantwortlich aufgrund eines Mandantenvertrags und dürfen von den Mandanten im Rahmen der Erforderlichkeit für ihre Tä- tigkeit im Sinne von Art. 6 Abs. 1 Satz 1 lit. f DS-GVO personenbezogene Kunden- und/oder Ar- beitnehmerdaten verarbeiten.

LDA Bayern

Leider aber sieht es die Landesdatenschutzbeauftragte NRW weiterhin anders – schon seit einiger Zeit ist auf der Webseite der LDI NRW – nun auch im Januar 2019 auf der Webseite vollkommen entgegengesetzt zu lesen:

Bei gemischten Tätigkeiten – eigenverantwortliche Steuerberatung sowie weisungsgebundene Dienstleistungen  – ist zu differenzieren: Im Hinblick auf weisungsgebundene Dienstleistungen ist eine Auftragsverarbeitung  gegeben, im Hinblick auf die Beauftragung mit Tätigkeiten aufgrund steuerberatungsrechtlicher Vorschriften eine Datenverarbeitung in eigener Verantwortung.

Übermittelt zum Beispiel ein Arbeitgeber im Zusammenhang mit der Erstellung des Jahresabschlusses auch Daten zum Zwecke der Lohn- und Gehaltsabrechnung an den Steuerberater, so liegt hinsichtlich dieser untergeordneten Tätigkeit keine Datenverarbeitung in eigener Verantwortung vor.

LDI NRW

Vorsicht im Umgang mit Lohnbuchhaltung

Um es kurz zu machen: Ich teile die Auffassung der LDI NRW ausdrücklich nicht. Da die LDI NRW auf der zitierten Webseite im Nachgang aber nochmals ausdrücklich klarstellt, dass die im DSK Kurzpapier Nr.13 der Datenschutzkonferenz (Auftragsverarbeitung, Art. 28 DS-GVO) getroffenen Aussagen ausdrücklich nur in Bezug auf die klassische Steuerberatung, bei der der Steuerberater gemäß § 32 Abs. 2 StBerG eigenverantwortlich tätig wird, zu verstehen sind, scheint man hier auch fest an dieser Sichtweise festzuhalten.

Vor dem Hintergrund und mit Blick darauf, dass sowohl Auftragnehmer als auch Auftraggeber Sanktionen ausgesetzt sein können bei einem Verstoss, erscheint es sinnvoll zumindest zur Zeit allen Betroffenen in NRW dazu zu raten, im Bereich der Lohnbuchhaltung auch mit einem Steuerberater einen Vertrag zur Auftragsverarbeitung abzuschliessen.

Zugehörige Downloads

  • pdf FAQ_Steuerberater_keine_ADV
    FAQ Steuerberater keine ADV mit DSK-Link
    FAQ Steuerberater keine ADV mit DSK-Link
    Dateigröße: 78 KB Downloads: 13
  • pdf KP_13_Auftragsverarbeitung
    DSK Kurzpapier Nr. 13 Auftragsverarbeitung, Art. 28 DS-GVO
    DSK Kurzpapier Nr. 13 Auftragsverarbeitung, Art. 28 DS-GVO
    Dateigröße: 332 KB Downloads: 11
Fachanwalt für IT-Recht Jens Ferner
Fachanwalt für IT-Recht Jens Ferner
Rechtsanwalt für Datenschutzrecht & Datenschutzbeauftragter: Ich bin als Rechtsanwalt und Fachanwalt für IT-Recht in der Städteregion Aachen auf Fragen des Datenschutzrechts ausgerichtet, biete hier eine Kernkompetenz und stehe Unternehmen und Handwerkern als externer Datenschutzbeauftragter zur Verfügung. Kleinen mittelständischen Unternehmen im Raum Aachen, Heinsberg und Düren wird ein Datenschutzpaket zu pauschalen Preisen angeboten.