Externe Lohnbuchhaltung durch Steuerbüro = Auftragsverarbeitung nach DSGVO?

Erfolgt die Verarbeitung personenbezogener Daten nicht durch den für die Datenverarbeitung Verantwortlichen selbst, sondern in dessen Auftrag durch einen sog. Auftragsverarbeiter, muss hierüber zwischen dem Verantwortlichen und dem Auftragsverarbeiter ein Auftragsverarbeitungsvertrag geschlossen werden. Gilt dies auch, wenn der Arbeitgeber ein externes Steuerbüro mit der Lohn- und Gehaltsabrechnung beauftragt? Der Deutsche Steuerberaterverband und die Bundessteuerberaterkammer sagen: Nein. Darauf sollten Arbeitgeber sich indes nicht verlassen, wie der nachfolgende Beitrag zeigt. Denn bei einem Verstoß gegen die Verpflichtung zum Abschluss eines Auftragsverarbeitungsvertrages drohen erhebliche Sanktionen nach der Datenschutzgrundverordnung.

Begriff der Auftragsverarbeitung

Vielfach beauftragt der Arbeitgeber ein externes Steuerbüro mit der Lohnabrechnung und sonstigen Dienstleistungen. Es stellt sich die Frage, ob er hierüber mit dem Steuerbüro einen Auftragsverarbeitungsvertrag abschließen muss. Auftragsverarbeiter sind nach Art. 4 Nr. 8 Datenschutzgrundverordnung (DSGVO) natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen, die personenbezogene Daten im Auftrag des für die Datenverarbeitung Verantwortlichen verarbeiten. Charakteristikum des Auftragsverarbeiters ist vor allem seine Weisungsgebundenheit: Er verarbeitet die Daten ohne eigene Entscheidungskompetenz nach Weisung gleichsam als „verlängerter Arm“ des Verantwortlichen. Art. 28 Abs. 3 DSGVO verpflichtet den Verantwortlichen, mit dem Auftragsverarbeiter einen Auftragsverarbeitungsvertrag zu schließen, welcher vor allem Gegenstand und Dauer sowie Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen, die Pflichten und Rechte des Verantwortlichen und weitere Punkte regelt. Muss danach auch der Arbeitgeber mit seinem Steuerberater einen Auftragsverarbeitungsvertrag abschließen?

Grundsatz: Steuerberatung ist keine Auftragsverarbeitung

Grundsätzlich wird die für eine Auftragsverarbeitung erforderliche Weisungsgebundenheit bei der Dienstleistung von Steuerberatern verneint, weil deren unabhängiger Status eine Weisungsgebundenheit per se ausschließe. Dementsprechend wird in der „klassischen“ Steuerberatungstätigkeit wie etwa der Anfertigung einer Steuererklärung keine Auftragsverarbeitung erblickt, weil es sich bei dem Auftrag „Erstellen Sie meine Steuererklärung“ nur um eine sehr allgemeine Weisung handele und der Steuerberater nicht lediglich eine Unterstützungshandlung vornehme, sondern eigenverantwortlich eine Dienstleistung anderer Art erbringe. Ergänzend wird auch auf das Berufsgeheimnis des Steuerberaters hingewiesen, welches den Datenschutz flankiere. Dementsprechend wird auch im Kurzpapier Nr. 13 der unabhängigen Datenschutzbehörden des Bundes und der Länder zur Auftragsverarbeitung unter Anhang B ausgeführt, dass die Tätigkeit als Steuerberater „in der Regel“ keine Auftragsverarbeitung ist.

Aber: Kein Grundsatz ohne Ausnahme!

Allerdings werden in Anhang A des Kurzpapiers Nr. 13 beispielsweise datenverarbeitungstechnische Arbeiten für die Lohnabrechnung oder die Finanzbuchhaltung durch Rechenzentren als Auftragsverarbeitung qualifiziert. Dies bedeutet: Wenn das Steuerbüro als externe Lohnabrechnungsstelle genutzt wird, welche lediglich nach den Vorgaben des Arbeitgebers (zum Beispiel über den Zeitpunkt der Lohnzahlung, über die Höhe der Vergütung, die Zahlung von Boni und die Beendigung der Vergütungszahlung bei Ausscheiden von Mitarbeitern) die Lohnabrechnung abwickelt, ohne dass hierbei eigenverantwortliche Entscheidungen getroffen werden und inhaltlich Einfluss genommen wird, spricht dies für eine Auftragsverarbeitung, weil der Steuerberater in diesem Fall eben gerade nicht die durch das Berufsgeheimnis besonders geschützte eigenverantwortliche und unabhängige „klassische“ Steuerberatungstätigkeit ausübt.

Diese Janus-Köpfigkeit der Steuerberatungstätigkeit kommt auch in der Stellungnahme 1/2010 der Artikel-29-Datenschutzgruppe (WP 169) zur Thematik der Auftragsverarbeitung zum Ausdruck, wo als Beispiel 23 „Rechnungsprüfer/Steuerberater“ folgendes ausgeführt wird:

Die Einstufung von Rechnungsprüfern und Steuerberatern kann je nach Kontext unterschiedlich sein. Wenn Rechnungsprüfer und Steuerberater für die breite Öffentlichkeit und Kleinbetriebe Dienstleistungen auf der Grundlage sehr allgemeiner Weisungen erbringen („Erstellen Sie meine Steuererklärung“), dann handeln sie – wie Rechtsanwälte und Notare unter ähnlichen Umständen und aus ähnlichen Gründen – als für die Verarbeitung Verantwortliche. Wenn ein Rechnungsprüfer jedoch für ein Unternehmen tätig wird, z.B. um eine umfassende Buchprüfung vorzunehmen, und dabei ausführlichen Weisungen des fest angestellten Buchprüfers des Unternehmens unterliegt, dann ist er aufgrund der klaren Weisungen und des mithin eingeschränkten Handlungsspielraums generell als Auftragsverarbeiter einzustufen, sofern er nicht ein Angestellter des Unternehmens ist.

Auch der Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen differenziert wie folgt:

In welchen Fällen sind Steuerberatungsleistungen als Datenverarbeitung im Auftrag und in welchen Fällen als Datenverarbeitung in eigener Verantwortung anzusehen? Entscheidend sind die vertraglichen Aufgabenfestlegungen zwischen dem Mandanten und dem Steuerberater. Eine Datenverarbeitung im Auftrag gemäß Art. 28 Datenschutz-Grundverordnung (DS-GVO) ist in den Fällen zu bejahen, in denen einem Steuerberater eine Aufgabe ohne eigene Entscheidungskompetenzen übertragen wird. Dies ist etwa bei der reinen Lohn- und Gehaltsabrechnung der Fall oder bei sonstigen, rein technischen Dienstleistungen. Erforderlich ist dann ein Vertrag zur Auftragsverarbeitung. Eine Datenverarbeitung in eigener Verantwortung ist hingegen bei weisungsunabhängigen Aufgaben oder Dienstleistungen gegeben – etwa die Erstellung des Jahresabschlusses oder die klassische Steuerberatung. Nach § 32 Abs. 2 Steuerberatungsgesetz (StBerG) in Verbindung mit den tätigkeitsbeschreibenden Normen im StBerG handeln Steuerberater eigenverantwortlich und damit aufgrund gesetzlicher Vorgaben weisungsfrei. In diesem Fall sind sie keine Auftragnehmer im Sinne des Art. 28 DS-GVO.

Fazit: Mach’s mit!

Danach bleibt als Fazit festzuhalten: Die Auslagerung der Lohnabrechnung an ein Steuerbüro wird von den Datenschutzbehörden als Auftragsverarbeitung gewertet. Dass demgegenüber der Deutsche Steuerberaterverband und die Bundessteuerkammer bei der Lohnabrechnung durch Steuerberater keinen Auftragsverarbeitungsvertrag für erforderlich halten, ist insoweit keine verlässliche Grundlage. Rechtssicher ist es daher, mit dem Steuerbüro einen Auftragsverarbeitungsvertrag abzuschließen. Denn: Verstöße gegen die Verpflichtung zum Abschluss eines Auftragsverarbeitungsvertrages können gemäß Art. 83 Abs. 4 lit. a) DSGVO mit einer Geldbuße von bis zu 10 Mio. Euro bzw. von bis zu 2 Prozent des Jahresumsatzes sanktioniert werden. Unter Umständen kommt sogar eine Geldbuße von bis zu 20 Mio. Euro bzw. von bis zu 4 Prozent des Jahresumsatzes in Betracht, wenn wegen fehlender Vereinbarung über eine Auftragsverarbeitung eine Verarbeitung ohne ausreichenden Rechtsgrund nach Art. 6, 7 oder 9 DSGVO erfolgt.