Image by wir_sind_klein on Pixabay.
Die Frage, wie die Übertragung der laufenden Lohn- und Gehaltsabrechnung an einen Steuerberater datenschutzrechtlich zu beurteilen ist, ist seit Jahren hoch umstritten. Ohne erkennbaren Anlass rückte diese Frage mit Wirksamwerden der Datenschutz-Grundverordnung (DS-GVO) aber unvermittelt wieder in den Blickpunkt des Interesses, wovon eine Vielzahl von Eingaben, sowohl von Steuerberatern als auch von potenziellen Auftraggebern, zeugt. Während Steuerberater und ihre berufsständischen Vertretungen hier bisher klar die Position vertreten, dass die Leistung des Steuerberaters immer eine eigenverantwortlich erbrachte fachliche Beratung sei und der Steuerberater, gleich, welchen Auftrag er übernimmt, grundsätzlich keine weisungsabhängige Tätigkeit ausübe, wird dies jedenfalls von einzelnen Datenschutzaufsichtsbehörden genau anders bewertet. Auch ich bin diesbezüglich dezidiert anderer Auffassung. Danach kommt für die Beauftragung des Steuerberaters mit der laufenden Lohn- und Gehaltsabrechnung datenschutzrechtlich nur eine Auftragsverarbeitung im Sinne des Artikels 28 DS-GVO in Betracht. Hierfür spricht Folgendes:
Seit dem Beschluss des Bundesverfassungsgerichts vom 27. Januar 1982 (1 BvR 807/80 –, BStBl II 1982, 281, BVerfGE 59, 302-329) steht fest, dass das Buchführungsprivileg für steuerberatende Berufe (§ 5 Absatz 1 des Steuerberatungsgesetzes) nicht für die laufende Lohnbuchhaltung gilt. Begründet wird dies damit, dass es sich bei der laufenden Lohnbuchhaltung um reine Routinearbeiten handelt, die „sich als eine nicht durch besondere rechtliche Erwägungen geprägte schematisierte Subsumtion von Lohnzahlungsvorgängen unter die amtlichen Lohnsteuertabellen und das betriebliche Lohnkonto darstellt“. Folgerichtig wurde das Steuerberatungsgesetz angepasst; nach § 6 Nummer 4 des Steuerberatungsgesetzes gilt das Verbot der unbefugten Hilfeleistung in Steuersachen (u. a.) nicht für die laufende Lohnabrechnung. Für die Frage, ob der Steuerberater solche Arbeiten als Verantwortlicher im Sinne des Artikels 4 Nummer 7 DS-GVO oder als Auftragsverarbeiter im Sinne des Artikel 4 Nummer 8 DS-GVO erledigt, kommt diesem Umstand, dass es sich bei der laufenden Lohnbuchhaltung um rein mechanische Verarbeitungsvorgänge handelt, die keine besondere Qualifikation der steuerberatenden Berufe erfordert, entscheidende Bedeutung zu. Denn dies hat zur Folge, dass der für die Mitarbeiterdaten Verantwortliche die Befugnis behält, Zwecke und Mittel der Verarbeitung zu bestimmen. Dem steht auch nicht entgegen, dass der Steuerberater ansonsten, soweit er dem Steuerberaterprivileg unterfallende Arbeiten erledigt, zweifelsfrei als Verantwortlicher tätig wird. Denn es ist anerkannt, dass je nach konkreter Tätigkeit und Zusammenhang dieselbe Organisation hinsichtlich bestimmter Verarbeitungen als Verantwortlicher und hinsichtlich anderer Verarbeitungen als Auftragsverarbeiter handeln kann (Hartung, in: Kühling/Buchner, Datenschutz-Grundverordnung/BDSG, 2. Auflage 2018, Art. 4 Nr. 8 DS-GVO Rn. 7; ebenso: Arbeitspapier Nr. 169 der Artikel-29-Datenschutzgruppe, Seite 35: ein Dienstleister ist nur dann als Verantwortlicher einzustufen, wenn seine Fachkompetenz die entscheidende Rolle spielt und der Auftrag schwerpunktmäßig nicht in der Verarbeitung der Daten liegt, sondern die Daten nur Grundlage einer höherwertigen Dienstleistung sind).
Soll die Lohnbuchhaltung durch den Steuerberater nicht im Rahmen eines Auftragsverhältnisses nach Artikel 28 DS-GVO erfolgen, sondern tritt der er selbst als datenschutzrechtlich Verantwortlicher auf, bedarf es einer Rechtsgrundlage, die den Auftraggeber berechtigt, die personenbezogenen Daten seiner Beschäftigten dem Steuerberater zu übermitteln, und gleichzeitig bedarf es einer Rechtsgrundlage, die den Steuerberater zur (eigenverantwortlichen) Verarbeitung der Beschäftigtendaten berechtigt. Soweit es um die Verarbeitung personenbezogener Daten durch den Steuerberater für Zwecke der laufenden Lohnabrechnung geht, kann als Rechtsgrundlage jedenfalls nicht auf § 11 des Steuerberatungsgesetzes abgestellt werden, da es sich insoweit nicht um Daten handelt, die der „Erfüllung der Aufgaben nach diesem Gesetz“ (Hilfe in Steuersachen) dienen. Hinzu kommt, dass die Lohnbuchhaltung auch die Verarbeitung besonderer Kategorien personenbezogener Daten, sog. sensitiver Daten, beinhaltet, wie etwa Gesundheitsdaten oder Daten, aus denen religiöse oder weltanschauliche Überzeugungen hervorgehen. Sensitive Daten dürfen nur unter den (zusätzlichen) Voraussetzungen des Artikels 9 Absatz 2 DS-GVO verarbeitet werden. Die Verarbeitung solcher Daten durch den Steuerberater als (Eigen-)Verantwortlichen lässt sich indes unter keinen dieser Ausnahmetatbestände des Artikels 9 Absatz 2 DS-GVO subsumieren. Auch die Ausnahmeregelung des § 26 Absatz 3 des Bundesdatenschutzgesetzes (BDSG) hilft hier nicht weiter. Denn weder verarbeitet der Steuerberater die sensitiven Daten „für Zwecke des Beschäftigungsverhältnisses“, noch ist die Verarbeitung „zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich“. Fehlt es somit an der Berechtigung, solche Daten zu verarbeiten, schließt dies insgesamt eine Lohnbuchhaltung als Verantwortlicher aus. Dagegen ist die Weitergabe auch sensitiver Daten im Rahmen eines Auftragsverhältnisses nach Artikel 28 DS-GVO grundsätzlich unproblematisch.
Schließlich überzeugt es auch nicht, eine inhaltlich identische Dienstleistung datenschutzrechtlich nach unterschiedlichen Grundsätzen zu behandeln, je nachdem, ob der Dienstleister Kaufmann oder Steuerberater ist. Ein wirklich stichhaltiger Grund, Steuerberater einzig und allein aufgrund ihres Berufsstands auch bezogen auf solche Leistungen zu privilegieren, die grundsätzlich keinerlei Bezug zur eigentlich privilegierten Tätigkeit aufweisen, ist nicht erkennbar.
Auch das Kurzpapier Nummer 13 der Datenschutzkonferenz steht dieser Auffassung entgegen anderslautender Behauptung nicht entgegen. Wenn dort in Anhang B die Tätigkeit von Berufsgeheimnisträgern pauschal von der Auftragsverarbeitung ausgeschlossen wird, ist dies jedenfalls nicht so zu verstehen, dass dies grundsätzlich auch für solche zusätzlich übernommenen Hilfstätigkeiten gilt, die keinen unmittelbaren Bezug zur Kerntätigkeit des Geheimnisträgers haben.
Fazit: Übernimmt ein Steuerberater neben seiner eigentlichen Steuerberatertätigkeit (Hilfe in Steuersachen) zusätzlich weitere Aufgaben, handelt es sich um Auftragsverarbeitung im Sinne des Artikels 28 DS-GVO und bedarf einer entsprechenden Vereinbarung mit dem datenschutzrechtlich verantwortlichen Auftraggeber.
Diesen Beitrag finden Sie auch in unserem 34. Datenschutz-Tätigkeitsbericht.