Steuerberater und Auftragsverarbeitung – Novellierung des Steuerberatungsgesetzes schafft Klarheit

Von der Öffentlichkeit weitgehend unbemerkt, wurde eine Änderung im Steuerberatungsgesetz (StBerG) gegen Ende letzten Jahres durchgeführt. Und zwar wurden mit dem Artikelgesetz namens „Gesetz zur weiteren steuerlichen Förderung der Elektromobilität und zur Änderung weiterer steuerlicher Vorschriften“ zahlreiche gesetzliche Regelungen angepasst. Hiervon war auch das StBerG betroffen. Die Änderungen wurden am 12.12.2019 verabschiedet und sind mittlerweile in Kraft getreten.

Anders als der Name des Artikelgesetzes zunächst vermuten lässt, war mit den Änderungen auch eine datenschutzrechtliche Anpassung verbunden. Und zwar wurde § 11 des StBerG geändert. In diesem Paragraphen wird nunmehr festgelegt, dass die zur geschäftsmäßigen Hilfeleistung in Steuersachen Befugten (und hierzu gehören neben beispielsweise Rechtsanwälten und Wirtschaftsprüfen auch die Steuerberater) personenbezogene Daten ihrer Mandanten „weisungsfrei“ verarbeiten und eigenständige Verantwortliche gemäß Art. 4 Nr. 7 DS-GVO darstellen.

Warum wurde die Änderung für notwendig erachtet?

Die hinter dieser Änderung stehende Absicht erschließt sich nur, wenn man kurz auf die bisherige Diskussion zu diesem Thema eingeht. Seit Wirksamkeit der DS-GVO war umstritten, inwieweit die Durchführung der Lohn- und Gehaltsabrechnung durch den Steuerberater eine Auftragsverarbeitung darstellt. Eine Auftragsverarbeitung ist in der Regel dadurch gekennzeichnet, dass personenbezogene Daten durch einen Dienstleister weisungsgebunden verarbeitet werden. Klassische Beispiele hierfür sind Letter-Shops für das Ausdrucken, Kuvertieren und Versenden von Briefen oder Call-Center, die im Auftrag des Auftraggebers dessen Kunden telefonisch zu einem bestimmten Zweck kontaktieren. Auch die Durchführung der Lohn- und Gehaltsabrechnung gilt grundsätzlich als eine solche weisungsgebundene Tätigkeit, mit der Konsequenz, dass beispielsweise Lohnbüros, die solche Tätigkeiten anbieten, diese Dienstleistung im Rahmen einer Auftragsverarbeitung erbringen. Wenn Steuerberater diese Tätigkeit durchführten, war die Rechtslage in der Vergangenheit jedoch unklar. Einerseits wurde die Tätigkeit des Steuerberaters in ihrer Gesamtheit betrachtet. Und da ist es unstrittig, dass viele Dienstleistungen des Steuerberaters aus weisungsfrei durchgeführten Tätigkeiten bestehen, wie beispielsweise der Beratung zur Steuergestaltung. Solche Tätigkeiten stellen selbstverständlich keine Auftragsverarbeitung dar und der Steuerberater ist in diesen Fällen selbst Verantwortlicher im Sinne der DS-GVO. Da die Lohnbuchhaltung nach dieser Argumentation als Teil dieser steuerberatenden Tätigkeit angesehen wird, ist diese auch nicht anders zu behandeln. Unterstützt wurde diese Argumentation auch durch § 32 Abs. 2 StBerG der festlegt:

Steuerberater und Steuerbevollmächtigte sind ein unabhängiges Organ der Steuerrechtspflege. Sie bedürfen der Bestellung. Sie üben einen freien Beruf aus. Ihre Tätigkeit ist kein Gewerbe.“

Die gegenteilige Argumentation zielt auf die Art der durchgeführten Tätigkeit bei der Lohn- und Gehaltsbuchhaltung ab. Da bei Lohnbüros niemand das Vorliegen einer weisungsgebundenen Auftragsverarbeitung bezweifelt, könne demnach die Durchführung der identischen Tätigkeit bei Steuerberatern nicht anders bewertet werden. Die Tätigkeiten des Steuerberaters wären demnach aufzuteilen in freie beratende Tätigkeiten, bei denen der Steuerberater selbst Verantwortlicher im Sinne der DS-GVO ist, sowie in weisungsgebundene Tätigkeiten, die der Steuerberater gemäß den Vorgaben des Auftraggebers ausführt und die demnach im Rahmen einer Auftragsverarbeitung erbracht werden.

Wer vertritt welche Auffassung?

Wie kontrovers dieses Thema in der Vergangenheit diskutiert wurde zeigt ein Blick auf die hierzu von unterschiedlichen Stellen veröffentlichten Auffassungen:

  • Aufsichtsbehörden in Bayern (BayLDA): Das Vorliegen einer Auftragsverarbeitung wird verneint,
  • Aufsichtsbehörde in Baden-Württemberg (LfDI BW): Das Vorliegen einer Auftragsverarbeitung wird bejaht ( Link ),
  • Aufsichtsbehörde in NRW (LDI NRW): Das Vorliegen einer Auftragsverarbeitung wird bejaht ( Link wurde von der Aufsichtsbehörde mittlerweile entfernt ),
  • diverse Steuerberaterkammern (hier exemplarisch Steuerberaterkammer Niedersachsen): Das Vorliegen einer Auftragsverarbeitung wird verneint ( Link ).

Konsequenzen der unklaren Rechtslage

Die unklare Rechtslage führte zu teilweise seltsamen Konstellationen. Wie soll sich beispielsweise ein Auftraggeber verhalten, der in Bayern seinen Geschäftssitz hat, aber einen Steuerberater beauftragen möchte, der in Baden-Württemberg ansässig ist und sich mit der dortigen Aufsichtsbehörde auseinandersetzen muss? Aus NRW können wir aus eigener Erfahrung berichten, dass sich die Steuerberater mit Verweis auf die Aussagen der Steuerberaterkammern und der Aufsichtsbehörde in Bayern häufig geweigert haben, Verträge zur Auftragsverarbeitung mit ihrem Mandanten zu vereinbaren. Für die Mandanten blieb dann das Problem, dass deren Aufsichtsbehörde aber genau das Gegenteilige von ihnen verlangt hat.

Der Gesetzgeber hat Klarheit geschaffen

Der Gesetzgeber hat nun durch die Festlegung, dass alle von § 1 StBerG erfassten steuerlichen Hilfeleistungen weisungsfrei und eigenverantwortlich von den in § 3 StBerG Personen (unter anderem Steuerberater) erbracht werden, für mehr Rechtssicherheit gesorgt. Eine Auftragsverarbeitung liegt demnach nicht vor. Dies gilt auch für die Durchführung der Lohn- und Gehaltsbuchhaltung, selbst wenn diese in § 1 StBerG nicht explizit aufgeführt ist. Der § 6 Nr. 4 führt sie bei den Ausnahmen vom Verbot der unbefugten Hilfeleistung in Steuersachen auf. Demnach sieht der Gesetzgeber die Lohn- und Gehaltsbuchhaltung als steuerliche Hilfeleistung an.

Auf Lohnbüros hat die Gesetzesänderung übrigens keine Auswirkung. Deren Tätigkeiten stellen nach wie vor eine Auftragsverarbeitung dar.

Verstoß gegen europäisches Recht?

Interessant ist die Frage, ob der Gesetzgeber zu dieser Gesetzesänderung überhaupt befugt war. Letztlich genießt die DS-GVO als europäische Verordnung Vorrang vor nationalen Gesetzen. Und diese beinhaltet für das Thema der Auftragsverarbeitung eben keine explizite Öffnungsklausel für den nationalen Gesetzgeber. Die diesbezügliche Diskussion ist noch nicht abgeschlossen und wird sicherlich noch eine Weile andauern. Insbesondere diejenigen Stellen, die bislang vom Bestehen einer Auftragsverarbeitung ausgegangen sind, könnten sich berufen fühlen, in diese Richtung zu argumentieren.

Wir meinen, dass es gute Gründe gibt, weshalb der deutsche Gesetzgeber zur Durchführung der beschriebenen Änderungen befugt war. Einerseits war es ja ohnehin strittig, ob es sich bei der Durchführung der Lohn- und Gehaltsbuchhaltung durch den Steuerberater um eine Auftragsverarbeitung handelt. Für den Fall, dass in diesen Fällen auch bislang keine Auftragsverarbeitung anzunehmen war, hat sich durch die neue Gesetzgebung nichts geändert. Sie kann daher auch nicht im Widerspruch zur DS-GVO stehen. Man könnte höchstens argumentieren, dass die Änderungen unnötig waren und lediglich deklaratorischen Charakter haben.

Aber selbst wenn bislang eine Auftragsverarbeitung angenommen werden musste, sieht die DS-GVO sehr wohl vor, dass hinsichtlich des Verantwortlichen gemäß Art. 4 Nr. 7 DS-GVO der nationale Gesetzgeber eigene Regelungen treffen kann. Dort ist vorgesehen:

“ […] sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.“

Unter bestimmten Umständen kann der nationale Gesetzgeber demnach Regelungen hinsichtlich der Stellung als „Verantwortlicher“ treffen, nämlich immer dann, wenn die Zwecke und Mittel einer Verarbeitung als rechtliche Vorgabe existieren.

Konsequenzen für Steuerberater und Mandanten

Zunächst ist positiv hervorzuheben, dass nun endlich Klarheit geschaffen wurde. Egal wie eine Entscheidung zum Status der Steuerberater bei der Durchführung von Lohn- und Gehaltsabrechnungen letztlich ausgefallen wäre – alles wäre besser gewesen, als der regionale Flickenteppich, der bislang vorlag.

Kein Vertrag zur Auftragsverarbeitung mehr notwendig

Für die Umsetzung der datenschutzrechtlichen Vorgaben von Mandant und Steuerberater bedeutet es einerseits, dass künftig kein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DS-GVO zu vereinbaren ist. Formulierung und Abstimmung dieser Verträge bedeuten immer einen gewissen Aufwand, der künftig vermieden werden kann.

Allerdings haben wir künftig zwei voneinander unabhängige Verantwortliche, die beide alle Vorgaben der DS-GVO eigenverantwortlich zu erfüllen haben. Das bedeutet, dass der Auftraggeber eine Rechtsgrundlage zur Übermittlung der Daten an seinen Steuerberater benötigt. Diese wird in der Regel leicht zu finden sein; es muss aber eine ausführliche Dokumentation durchgeführt werden. Rechtsgrundlage der Übermittlung und Empfänger der Daten hat er seinen Mitarbeitenden mitzuteilen.

Betroffenenrechte und Informationspflichten

Die Steuerberater sind für die Erfüllung aller Betroffenenrechte selbst verantwortlich. Damit haben sie beispielsweise sämtliche Auskunfts-, Berichtigungs- oder Löschanfragen gegenüber den betroffenen Personen (also allen Personen, für die sie die Lohn- und Gehaltsabrechnung durchführen) selbst zu erfüllen. Interessant ist auch die Frage zur Informationspflicht gemäß Art. 14 DS-GVO. Die Steuerberater müssen als Verantwortliche für die Verarbeitung alle Personen, deren Lohn- und Gehaltsabrechnung sie durchführen, über die Verarbeitung ihrer Daten informieren. Selbstverständlich kann diese Aufgabe an die Mandanten delegiert und mit diesen vertraglich vereinbart werden, dass diese die Informationen ihren Beschäftigten zukommen lassen. Der jeweilige Steuerberater bleibt aber dafür verantwortlich, dass diese Informationen auch tatsächlich weitergegeben werden, sollte also gegebenenfalls stichprobenartige Kontrollen durchführen.

Rechtsgrundlagen

Und zu allem Überfluss sind nun auch noch die Rechtsgrundlagen zu bestimmen, damit zum einen die Übermittlung vom Arbeitgeber an den Steuerberater erfolgen darf und damit der Steuerberater die Lohn- und Gehaltsbuchhaltung und -abrechnung durchführen darf. Zwar dürfte es sich hierbei in den meisten Fällen um Formalien handeln, zwingend notwendig ist es aber, da die Privilegierung der Auftragsverarbeitung nun wegfällt.

Besondere Kategorien personenbezogener Daten

Eine nicht ganz so folgenschwere aber weitere Änderung hat der Gesetzgeber in § 11 StBerG ebenfalls vorgenommen Und zwar hat er festgelegt, dass Steuerberater besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 2 lit. g DS-GVO verarbeiten dürfen. Diese Regelung war notwendig, da bislang unklar war, ob eine diesbezügliche Rechtsgrundlage vorhanden war. Wir wissen also jetzt, dass die Tätigkeiten der Steuerberater „aus Gründen eines erheblichen öffentlichen Interesses erforderlich“ sind. Auch hier stellt sich die Frage, ob diese Regelung tatsächlich notwendig gewesen wäre, da die DS-GVO auch andere Rechtsgrundlagen definiert hat, die gegebenenfalls herangezogen werden hätten können. Die Änderung schafft aber auch hier mehr Klarheit und Rechtssicherheit.

Fazit

Die neuen Regelungen sorgen in erster Linie für mehr Rechtssicherheit. Die Diskussion, ob die Änderungen gegebenenfalls europarechtswidrig sind, wird noch etwas andauern. Wir sind aber optimistisch, dass sich die Auffassung durchsetzen wird, dass die Neufassung des Art. 11 StBerG nicht mit den Vorgaben der DS-GVO kollidiert.

Benötigen Sie Unterstützung bei der Formulierung von Verträgen zur Auftragsverarbeitung oder bei der Beurteilung ob eine Dienstleistung im Rahmen einer Auftragsverarbeitung erbracht wird? Sprechen Sie uns an, wir helfen Ihnen gerne!