Klarstellende Regelungen zur datenschutzrechtlichen Verantwortlichkeit
Der Gesetzgeber hat die Auffassung der Datenschutzaufsicht bestätigt, wonach Steuerberater eigenständige Verantwortliche sind, welche die zur Erfüllung ihrer Aufgaben nach dem StBerG erforderlichen Daten verarbeiten dürfen.
Es erreichen die Datenschutzbehörde nach wie vor Eingaben, in denen die Beauftragung von Steuerberatern insbesondere zum Zwecke der Lohnbuchhaltung thematisiert wird. Schwerpunktmäßig geht es dabei um die Frage, ob die Beauftragung des Steuerberaters datenschutzrechtlich als Auftragsverarbeitung i. S. d. Art. 28 DSGVO zu qualifizieren ist, die den Abschluss eines Auftragsverarbeitungsvertrags zwischen den Beteiligten erfordern würde.
Bereits in der Vergangenheit wurde vom BayLDA die Auffassung vertreten, dass Steuerberater in diesen Fällen nicht als Auftragsverarbeiter, sondern als eigenständige Verantwortliche gem. Art. 4 Nr. 7 DSGVO zu qualifizieren sind. Grund hierfür ist ihre Weisungsunabhängigkeit, die dem Wesen der Auftragsverarbeitung widerspricht (vgl. Art. 28 Abs. 3 Satz 2 Buchst. a DSGVO).
Diese Auffassung wurde zwischenzeitlich durch den Gesetzgeber bestätigt. Aufgrund Art. 23 des Gesetzes zur weiteren steuerlichen Förderung der Elektromobilität und zur Änderung weiterer steuerlicher Vorschriften vom 12.12.2019 (BGBl. I S. 2451), in Kraft getreten am 18.12.2019, wurde u. a. § 11 StBerG neu gefasst. § 11 Abs. 2 Satz 2 StBerG stellt klar, dass die zur unbeschränkten Hilfeleistung in Steuersachen befugten Stellen (also u. a. Steuerberater, vgl. § 3 Nr. 1 StBerG) bei Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gem. Art. 4 Nr. 7 DSGVO sind. Die Weisungsfreiheit dieser Stellen wird in § 11 Abs. 2 Satz 1 StBerG nochmals festgehalten.
Darüber hinaus enthält § 11 Abs. 1 StBerG detailliertere Angaben zu den Datenverarbeitungsbefugnissen von Steuerberatern und vergleichbaren Stellen. Personenbezogene Daten dürfen demnach verarbeitet werden, soweit es zur Erfüllung der Aufgaben nach dem StBerG erforderlich ist (§ 11 Abs. 1 Satz 1 StBerG). Dies gilt auch, soweit die Daten für Zwecke künftiger Verfahren verarbeitet werden (§ 11 Abs. 1 Satz 2 StBerG). Ebenso wird klargestellt, dass auf der Grundlage des StBerG auch besondere Kategorien personenbezogener Daten verarbeitet werden dürfen (Art. 9 Abs. 2 Buchst. g DSGVO i.V.m. § 11 Abs. 1 Satz 3 StBerG). Diese Auffassung hat das BayLDA ebenfalls bereits in der Vergangenheit vertreten.
Quelle: BayLDA
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks