Datenverarbeitung in der Steuerberatung

In welchen Fällen sind Steuerberatungsleistungen als Datenverarbeitung im Auftrag und in welchen Fällen als Datenverarbeitung in eigener Verantwortung anzusehen?

Entscheidend sind die vertraglichen Aufgabenfestlegungen zwischen dem Mandanten und dem Steuerberater. Eine Datenverarbeitung im Auftrag gemäß Art. 28 Datenschutz-Grundverordnung (DS-GVO) ist in den Fällen zu bejahen, in denen einem Steuerberater eine Aufgabe ohne eigene Entscheidungskompetenzen übertragen wird. Dies ist etwa bei der reinen Lohn- und Gehaltsabrechnung der Fall oder bei sonstigen, rein technischen Dienstleistungen. Erforderlich ist dann ein Vertrag zur Auftragsverarbeitung.
Eine Datenverarbeitung in eigener Verantwortung ist hingegen bei weisungsunabhängigen Aufgaben oder Dienstleistungen gegeben – etwa die Erstellung des Jahresabschlusses oder die klassische Steuerberatung. Nach § 32 Abs. 2 Steuerberatungsgesetz (StBerG) in Verbindung mit den tätigkeitsbeschreibenden Normen im StBerG handeln Steuerberater eigenverantwortlich und damit aufgrund gesetzlicher Vorgaben weisungsfrei. In diesem Fall sind sie keine Auftragnehmer im Sinne des Art. 28 DS-GVO.
Bei gemischten Tätigkeiten – eigenverantwortliche Steuerberatung sowie weisungsgebundene Dienstleistungen  – ist zu differenzieren: Im Hinblick auf weisungsgebundene Dienstleistungen ist eine Auftragsverarbeitung  gegeben, im Hinblick auf die Beauftragung mit Tätigkeiten aufgrund steuerberatungsrechtlicher Vorschriften eine Datenverarbeitung in eigener Verantwortung.

Übermittelt zum Beispiel ein Arbeitgeber im Zusammenhang mit der Erstellung des Jahresabschlusses auch Daten zum Zwecke der Lohn- und Gehaltsabrechnung an den Steuerberater, so liegt hinsichtlich dieser untergeordneten Tätigkeit keine Datenverarbeitung in eigener Verantwortung vor. Im Kurzpapier der Datenschutzkonferenz zur Auftragsverarbeitung nach Art. 28 DS-GVO finden Sie weitere Informationen.  Kurzpapier Nr. 13

Die Ausführungen, dass Steuerberatungsleistungen in der Regel keine Auftragsdatenverarbeitung darstellen (Seite 4), verhalten sich zur klassischen Steuerberatung, bei der der Steuerberater gemäß § 32 Abs. 2 StBerG eigenverantwortlich tätig wird.

https://www.ldi.nrw.de/mainmenu_Aktuelles/submenu_EU-Datenschutzreform/Inhalt/EU-Datenschutzreform/KP_13_Auftragsverarbeitung.pdf