Mit der Frage, ob die von Steuerberatern erbrachten Dienstleistungen eher als Auftragsverarbeitung zu betrachten sind oder als Inanspruchnahme fremder Fachleistungen bei einem eigenständig Verantwortlichen, für die bei der Verarbeitung (einschließlich Übermittlung) personenbezogener Daten eine Rechtsgrundlage gemäß Art. 6 DS-GVO gegeben sein muss, hatte sich die Datenschutzkonferenz bereits in ihrem Kurzpapier Nr. 13 „Auftragsverarbeitung, Art. 28 DS-GVO“ befasst.
Darin heißt es:
„[…] Auftragsverarbeitung können regelmäßig z. B. folgende Dienstleistungen sein: - DV-technische Arbeiten für die Lohn- und Gehaltsabrechnung oder die Finanzbuchhaltung durch Rechenzentren, […]“ und „Keine Auftragsverarbeitung, sondern die Inanspruchnahme fremder Fachleistungen bei einem eigenständig Verantwortlichen, für die bei der Verarbeitung (einschließlich Übermittlung) personenbezogener Daten eine Rechtsgrundlage gemäß Art. 6 DS-GVO gegeben sein muss, sind beispielsweise in der Regel die Einbeziehung eines • Berufsgeheimnisträgers (Steuerberater, Rechtsanwälte, externe Betriebsärzte, Wirtschaftsprüfer) [..]“.
Aktuell äußerst sich die LDI NRW konkret zu dieser Fragestellung und stellt fest, dass die vertraglichen Aufgabenfestlegungen zwischen dem Mandanten und dem Steuerberater entscheiden sind. Eine Datenverarbeitung im Auftrag gemäß Art. 28 Datenschutz-Grundverordnung (DS-GVO) sei in den Fällen zu bejahen, in denen einem Steuerberater eine Aufgabe ohne eigene Entscheidungskompetenzen übertragen werde. Dies sei etwa bei der reinen Lohn- und Gehaltsabrechnung der Fall oder bei sonstigen, rein technischen Dienstleistungen. Erforderlich sei dann ein Vertrag zur Auftragsverarbeitung.
Eine Datenverarbeitung in eigener Verantwortung sei hingegen bei weisungsunabhängigen Aufgaben oder Dienstleistungen gegeben - etwa die Erstellung des Jahresabschlusses oder die klassische Steuerberatung. Nach § 32 Abs. 2 Steuerberatungsgesetz (StBerG) in Verbindung mit den tätigkeitsbeschreibenden Normen im StBerG handeln Steuerberater eigenverantwortlich und damit aufgrund gesetzlicher Vorgaben weisungsfrei, so die LDI NRW. In diesem Fall seien sie keine Auftragnehmer im Sinne des Art. 28 DS-GVO.
Bei gemischten Tätigkeiten – eigenverantwortliche Steuerberatung sowie weisungsgebundene Dienstleistungen – sei zu differenzieren: Im Hinblick auf weisungsgebundene Dienstleistungen ist eine Auftragsverarbeitung gegeben, im Hinblick auf die Beauftragung mit Tätigkeiten aufgrund steuerberatungsrechtlicher Vorschriften eine Datenverarbeitung in eigener Verantwortung.
Übermittle zum Beispiel ein Arbeitgeber im Zusammenhang mit der Erstellung des Jahresabschlusses auch Daten zum Zwecke der Lohn- und Gehaltsabrechnung an den Steuerberater, so liege hinsichtlich dieser untergeordneten Tätigkeit keine Datenverarbeitung in eigener Verantwortung vor.