Der Art. 4 DS-GVO regelt ausdrücklich das Auftragsverarbeitungsverhältnis: „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;“. Sobald ein Verband eine Datenverarbeitung an einen externen Dritten gibt, liegt eine Auftragsverarbeitung vor und eine Auftragsverarbeitungsvereinbarung ist abzuschließen.

Fraglich war, ob Steuerberater als Auftragsverarbeiter im Sinne des Art. 4 DS-GVO anzusehen sind und somit eine Auftragsverarbeitungsvereinbarung abzuschließen ist. Unstrittig ist, dass zum Beispiel für Lohn- und Gehaltsabrechnungen dem Steuerberater regelmäßig Daten zur Verfügung gestellt werden. Allerdings lag bisher keine einheitliche Position der Aufsichtsbehörden dazu vor, ob es um eine Auftragsverarbeitung handelt. Eine aktuelle Änderung des § 11 StBerG schafft Klarheit.

Steuerberater ist Verantwortlicher nach Art. 4 DS-GVO

Diese Neuerung stellt klar, dass der Steuerberater seiner Tätigkeit nicht weisungsgebunden nachgeht. Daher ist er grundsätzlich als Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO anzusehen. Die Folge: Verbände benötigen keine spezielle Auftragsverarbeitungsvereinbarung mit ihrem Steuerberater.

Selbstverständlich enthebt diese Regelung nicht den Steuerberater von der Pflicht, mit Unternehmen, mit welchen er zusammenarbeitet, jeweils Auftragsverarbeitungsvereinbarung abzuschließen.