Der Steuerberater: Keine AV-Pflicht bei Beratungstätigkeit, wohl aber bei Lohnbuchhaltung?

Ausgangspunkt: Der Streit unter der alten Rechtslage

Steuerberater üben ihre Tätigkeit unabhängig und eigenverantwortlich nach den Vorgaben des Steuerberatergesetzes aus (vgl. §§ 3 I, 57 I, 60 I StBerG). Eine Auftragsverarbeitung gem. Art. 28 DS-GVO kommt bei Beratungsleistungen eines Steuerberaters nicht in Betracht, da solche Beratungsleistungen mit weitreichenden Entscheidungsspielräumen verbunden sind. Insoweit handelt der Steuerberater also – auch vor Einführung des § 11 II StBerG am 18.12.2019 – unstrittig nicht, wie bei der Auftragsverarbeitung erforderlich, weisungsgebunden. In Bezug auf andere Daten des Mandanten ist der Steuerberater also ohnehin weisungsfreier Verantwortlicher. Etwas anderes kommt somit lediglich im Hinblick auf Lohnbuchhaltungsdaten in Frage.

Eine Auftragsverarbeitung kommt für die Beauftragung des Steuerberaters mit der laufenden Lohn- und Gehaltsabrechnung datenschutzrechtlich im Sinne des Art. 28 DS-GVO in Betracht. Hierfür wird vorgebracht, dass es sich bei laufender Lohnbuchhaltung um reine Routinearbeiten handele:

„Die laufende Lohnbuchhaltung erfordert dagegen keine besonderen steuerrechtlichen Kenntnisse. Es geht vor allem darum, Routinearbeiten zuverlässig zu erledigen, die normalerweise jeden Monat anfallen und je nach Zahl der Arbeitnehmer sehr umfangreich sein können. [...] Die Besonderheit der Lohnbuchhaltung besteht allerdings darin, daß die Ermittlung der Lohnsteuer eine definitive steuerrechtliche Entscheidung darstellt. Da die Lohnsteuer in der Regel monatlich beim Finanzamt anzumelden und abzuführen ist, muß die damit verbundene steuerrechtliche Würdigung, worauf die Bundessteuerberaterkammer zutreffend hinweist, zeitnah erfolgen. Dieser Umstand fällt jedoch nicht ins Gewicht, weil die laufende Lohnbuchhaltung regelmäßig keine schwierigen rechtlichen Wertungen verlangt, sondern sich als eine nicht durch besondere rechtliche Erwägungen geprägte schematisierte Subsumtion von Lohnzahlungsvorgängen unter die amtlichen Lohnsteuertabellen und das betriebliche Lohnkonto darstellt. Außerdem besteht die Möglichkeit, den Lohnsteuerabzug anläßlich der Abschlußarbeiten zum Jahresende zu kontrollieren und notfalls zu berichtigen, so daß die laufende lohnsteuerrechtliche Beurteilung während des Jahres nicht unwiderruflich ist. Eine Klärung von Zweifelsfragen kann deshalb - ebenso wie für den Bereich der Finanzbuchführung - noch im Rahmen der den steuerberatenden Berufen vorbehaltenen Abschlußarbeiten erfolgen. Zum Schutz der Steuerrechtspflege ist es nicht geboten, Hilfeleistung bei der laufenden Lohnbuchführung den steuerberatenden Berufen vorzubehalten, da es sich nicht um eine die besondere Qualifikation der steuerberatenden Berufe erfordernde Tätigkeit handelt und zum anderen den Personen, die im Rahmen einer kaufmännischen Ausbildung Kenntnisse auf dem Gebiet der Lohn- und Gehaltsabrechnung erlangt und in der Gehilfenprüfung nachgewiesen haben, die Eignung für diese Tätigkeit nicht abgesprochen werden kann.“ (Beschluss des BVerfG vom 27.01.1982, 1 BvR 807/80)

Die Frage nach der datenschutzrechtlichen Einordnung von Übertragungen der laufenden Lohn- und Gehaltsabrechnung an einen Steuerberater ist seit langem umstritten. Mit Wirksamwerden der Datenschutz-Grundverordnung (DS-GVO) rückte der Streit wieder verstärkt in den Blickpunkt. Steuerberater, ihre berufsständischen Vertretungen und einige Aufsichtsbehörden vertraten hier bisher klar die Position, dass die Leistung des Steuerberaters immer eine eigenverantwortlich erbrachte fachliche Beratung sei und der Steuerberater, gleich welchen Auftrag er übernimmt, grundsätzlich keine weisungsabhängige Tätigkeit ausübe:

„Steuerberater üben, soweit sie im Rahmen des Steuerberatungsgesetzes tätig werden, keine weisungsgebundenen Aufgaben, sondern einen freien Beruf aus. Sie sind unabhängig und zu eigenverantwortlichem Handeln verpflichtet. Die Übernahme von Lohn- und Gehaltsabrechnungen für Mandanten entspricht diesem Berufsbild. Es handelt sich datenschutzrechtlich um eine Funktionsübertragung, in deren Rahmen die Steuerberater mit selbstständiger, fachlicher und intellektueller Leistung für eigene Geschäftszwecke tätig werden". (LfDI Brandenburg Tätigkeitsbericht 2012/2013, S. 57)

Demgegenüber wurde dies jedenfalls von einzelnen Datenschutzaufsichtsbehörden genau gegenteilig bewertet:

„Es ist somit stets im Einzelfall zu prüfen, ob die ausgelagerte Tätigkeit eine weisungsabhängige Ausführung von Hilfstätigkeiten nach § 11 BDSG oder die Übernahme einer selbstständigen und eigenverantwortlichen Aufgabe i.S.v. § 57 StBerG (sog. Funktionsübertragung) darstellt. Anhaltspunkt für eine sachgerechte Entscheidung in der Praxis kann die Antwort auf die Frage sein: Kann die Tätigkeit statt an einen Steuerberater/Steuerbevollmächtigten auch an einen gewerblichen Auftragnehmer übertragen werden? Lautet die Antwort „ja“, dann ist von einer Datenverarbeitung im Auftrag gemäß § 11 BDSG auszugehen". (LfDI Hessen 42. Tätigkeitsbericht, S. 236 f.)

„Für die Frage, ob der Steuerberater solche Arbeiten als Verantwortlicher [...] oder als Auftragsverarbeiter [...] erledigt, kommt diesem Umstand, dass es sich bei der laufenden Lohnbuchhaltung um rein mechanische Verarbeitungsvorgänge handelt, die keine besondere Qualifikation der steuerberatenden Berufe erfordert, entscheidende Bedeutung zu. Denn dies hat zur Folge, dass der für die Mitarbeiterdaten Verantwortliche die Befugnis behält, Zwecke und Mittel der Verarbeitung zu bestimmen. Dem steht auch nicht entgegen, dass der Steuerberater ansonsten, soweit er dem Steuerberaterprivileg unterfallende Arbeiten erledigt, zweifelsfrei als Verantwortlicher tätig wird. Denn es ist anerkannt, dass je nach konkreter Tätigkeit und Zusammenhang dieselbe Organisation hinsichtlich bestimmter Verarbeitungen als Verantwortlicher und hinsichtlich anderer Verarbeitungen als Auftragsverarbeiter handeln kann". [...] Soweit es um die Verarbeitung personenbezogener Daten durch den Steuerberater für Zwecke der laufenden Lohnabrechnung geht, kann als Rechtsgrundlage jedenfalls nicht auf § 11 des Steuerberatungsgesetzes abgestellt werden, da es sich insoweit nicht um Daten handelt, die der „Erfüllung der Aufgaben nach diesem Gesetz“ (Hilfe in Steuersachen) dienen". (LfDI Baden-Württemberg)

Konsequenzen der unklaren Rechtslage

Die unklare Rechtslage führte dazu, dass bei der Wahl des Steuerberaters Vorsicht geboten war. Denn bei der Auswahl musste darauf geachtet werden, in welchem Bundesland der Steuerberater ansässig ist und welche Auffassung die zuständige Aufsichtsbehörde vertritt. Je nach Bundesland, in dem das Unternehmen ansässig war, forderte unter Umständen die zuständige Aufsichtsbehörde den Abschluss eines Auftragsverarbeitungsvertrages. Steuerberater haben sich mit Verweis auf die Aussagen der Steuerberaterkammern und anderer Aufsichtsbehörden aber häufig geweigert, Verträge zur Auftragsverarbeitung mit ihren Mandanten zu vereinbaren.

Änderung des StBerG: Klarheit durch den Gesetzgeber

Um für rechtliche Klarheit in diesem Bereich zu sorgen, hat der deutsche Gesetzgeber nun eine Änderung des Steuerberatungsgesetzes (StBerG) beschlossen, die seit dem 18.12.2019 in Kraft getreten ist. Dort ist der § 11 StBerG neu gefasst worden:

§ 11 StBerG Verarbeitung personenbezogener Daten

(1) Soweit es zur Erfüllung der Aufgaben nach diesem Gesetz erforderlich ist, dürfen personenbezogene Daten verarbeitet werden. Personenbezogene Daten dürfen auch für Zwecke künftiger Verfahren nach diesem Gesetz verarbeitet werden. Besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung (EU) 679/2016 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72) dürfen gemäß Artikel 9 Absatz 2 Buchstabe g der Datenschutz-Grundverordnung (EU) 2016/679 in diesem Rahmen verarbeitet werden.

(2) Die Verarbeitung personenbezogener Daten durch Personen und Gesellschaften nach § 3 erfolgt unter Beachtung der für sie geltenden Berufspflichten weisungsfrei. Die Personen und Gesellschaften nach § 3 sind bei Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gemäß Artikel 4 Nummer 7 der Datenschutz-Grundverordnung (EU) 2016/679. Besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung (EU) 679/2016 dürfen gemäß Artikel 9 Absatz 2 Buchstabe g der Datenschutz-Grundverordnung (EU) 2016/679 in diesem Rahmen verarbeitet werden.

(3) § 83 dieses Gesetzes und § 30 der Abgabenordnung stehen dem nicht entgegen.

Damit sind nun folgende, zuvor nicht ganz klare, Probleme gelöst:

Für besondere Kategorien personenbezogener Daten ist nun die Rechtsgrundlage für die Verarbeitung durch Steuerberater geregelt. Und zwar verweist § 11 StBerG insoweit jetzt auf die Befugnis aus Art. 9 Abs. 2 lit. g DS-GVO. Im Ergebnis ist so eine Befugnis zur Verarbeitung besonderer Kategorien personenbezogener Daten im deutschen Recht – also im StBerG – geschaffen worden.

Steuerberater sind bei jeglicher Verarbeitung von personenbezogenen Daten selbst Verantwortliche i. S. d. Art. 4 Nr. 7 DS-GVO und arbeiten weisungsfrei. Im Ergebnis ist damit eine Auftragsverarbeitung ausgeschlossen. Und zwar auch dann, wenn „nur“ eine Lohnabrechnung für Mandanten erfolgt. Dass der Gesetzgeber gerade auch das Problem, dass z.B. von einigen Aufsichtsbehörden vertreten wurde, dass die Lohnbuchhaltung eine Auftragsverarbeitung sei, lösen wollte, lässt sich übrigens ausdrücklich der Gesetzesbegründung entnehmen:

"In § 11 Absatz 2 Satz 1 StBerG wird ergänzt, dass die Verarbeitung personenbezogener Daten durch Personen und Gesellschaften nach § 3 StBerG unter Beachtung der für sie geltenden Berufspflichten weisungsfrei erfolgt. D. h. dies gilt auch für das „Buchen laufender Geschäftsvorfälle“, „laufende Lohnabrechnung“ und „Fertigen der Lohnsteuer-Anmeldungen“, denn die Leistung des mit der Lohnbuchführung beauftragten Steuerberaters umfasst die eigenverantwortliche Prüfung und Anwendung der gesetzlichen Bestimmungen. Mit dieser Regelung werden die berufsrechtlichen Pflichten des Steuerberaters als Berufsgeheimnisträger zur unabhängigen, eigenverantwortlichen, gewissenhaften und verschwiegenen Berufsausübung sichergestellt". (BT-Drs. 19/14909, S. 58)

Verstößt die Neuregelung gegen europäisches Recht?

Problematisch ist jedoch, inwieweit der Gesetzgeber zu dieser Gesetzesänderung überhaupt befugt war. Letztlich genießt die DS-GVO als europäische Verordnung Vorrang vor nationalen Gesetzen.

1. Problemdarstellung

Gegen die in § 11 II StBerG getroffene gesetzgeberische Entscheidung, ein Steuerberater sei auch im Hinblick auf Lohnsteuerdaten nicht weisungsgebunden und daher niemals Auftragsverarbeiter, wird vorgebracht, die obige Begründung überzeuge nicht. Vielmehr schließe eine gewisse Eigenverantwortlichkeit hinsichtlich des „Wie“ der Verarbeitung eine Einordnung als Auftragsverarbeiter nicht aus. Einer Anweisung des Mandanten, die im Widerspruch zur ordnungsgemäßen Lohnbuchführung stünde, müsse der Steuerberater selbst als Auftragsverarbeiter nicht befolgen. Auch sei wenig ersichtlich, weshalb es einen Unterschied ausmachen solle, ob ein Kaufmann, der dann unstrittig Auftragsverarbeiter sei, oder ein Steuerberater mit der Lohnbuchführung beauftragt werde.

Somit ändert die Einführung des § 11 StBerG grundsätzlich nichts an der Vertretbarkeit der Gegenansicht. Folgt man dieser und sieht die Lohnbuchführung durch einen Steuerberater als Auftragsverarbeitung im Sinne des Art. 4 Nr. 8, 28 DS-GVO an, gelangt man konsequenterweise zu der Ansicht, dass § 11 II StBerG mit der DS-GVO insoweit unvereinbar ist.

Eine unionsrechtskonforme Auslegung im Wege einer sogenannten teleologischen Reduktion scheidet im Hinblick auf den eindeutig formulierten Willen des Gesetzgebers (s.o.) aus.

2. Öffnungsklausel?

Fraglich ist daher, ob die DS-GVO eine Öffnungsklausel vorsieht, die dem nationalen Gesetzgeber ein Eingreifen ermöglicht hätte. Eine einschlägige spezifische Öffnungsklausel für Berufsgeheimnisträger ist nicht ersichtlich. Etwas anderes könnte sich aus Art. 4 Nr. 7 DS-GVO ergeben. Dort ist vorgesehen, dass der nationale Gesetzgeber Regelungen hinsichtlich der Stellung als „Verantwortlicher“ treffen kann - nämlich immer dann, wenn die Zwecke und Mittel einer Verarbeitung als rechtliche Vorgabe existieren:

“ […] sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.“

Ein Mitgliedstaat kann also bestimmen, wer Verantwortlicher sein soll. Aufgrund des Vorrangs der DS-GVO vor nationalen Gesetzen ist dazu aber darüber hinaus eine Öffnungsklausel für die Bestimmung der Zwecke und Mittel der Verarbeitung erforderlich. Art. 4 Nr. 7 DS-GVO setzt somit eine Öffnungsklausel voraus, ist also folglich selbst keine Öffnungsklausel. Eine solche Öffnungsklausel könnte seinerseits wiederum Art. 6 I 1 lit. c DS-GVO sein:

„Die Verarbeitung ist rechtmäßig, wenn [...] die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich [ist].“

Eine solche rechtliche Verpflichtung könnte die gesetzlich vorgeschriebene Unabhängigkeit des Steuerberaters (Art. 57 StBerG) sein. Es ist allerdings nach der hier dargestellten Argumentation nicht ersichtlich, dass die Annahme, der Steuerberater sei im Rahmen der Lohnbuchbuchhaltung Verantwortlicher, zur Sicherung von dessen Unabhängigkeit und zum Schutz vor rechtswidrigen Weisungen im Sinne der Norm erforderlich ist. Demnach läge keine Öffnungsklausel vor.

Es ist daher mit der hier dargestellten Ansicht zumindest vertretbar, § 11 II StBerG in seiner derzeitigen Fassung als unionsrechtwidrig anzusehe, Gemäß Art. 288 II AEUV gilt die DS-GVO unmittelbar in allen Mitgliedstaaten. Ein dagegen verstoßendes nationales Gesetz darf aufgrund des Prinzips des Anwendungsvorrangs von Unionsrecht von Gerichten nicht angewendet werden. Eine solche Nichtanwendungsbefugnis spricht der EuGH auch Behörden als Vertreter der Exekutive zu.

Besondere Kategorien personenbezogener Daten

Eine weitere, wenn auch nicht so folgenschwere, Änderung hat der Gesetzgeber in § 11 StBerG ebenfalls vorgenommen. Es wurde festgelegt, dass Steuerberater besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 2 lit. g DS-GVO verarbeiten dürfen. Diese Regelung war notwendig, da bislang unklar war, ob eine diesbezügliche Rechtsgrundlage vorhanden war. Somit besteht nun Klarheit darüber, dass die Tätigkeiten der Steuerberater „aus Gründen eines erheblichen öffentlichen Interesses erforderlich“ sind. Hier stellt sich die Frage, ob diese Regelung tatsächlich notwendig gewesen wäre, da die DS-GVO auch andere Rechtsgrundlagen definiert hat, die gegebenenfalls herangezogen werden hätten können. Die Änderung schafft aber auch hier mehr Klarheit und Rechtssicherheit.

Fazit zur Auftragsverarbeitung eines Steuerberaters nach Änderung des StBerG

Es ist vor allem im Hinblick auf die bislang uneinheitliche Vorgehensweise der Aufsichtsbehörden und der damit verbundenen Rechtsunsicherheit begrüßenswert, dass sich der Gesetzgeber der Problematik angenommen hat. Die neuen Regelungen sind grundsätzlich geeignet, für mehr Rechtssicherheit zu sorgen. Insbesondere die Aufsichtsbehörden sind nun aufgefordert, die von ihnen zuvor vertretene Rechtsauffassung, dass bei einer Lohnbuchhaltung durch Steuerberater eine Auftragsverarbeitung vorliege, öffentlich zu revidieren. Dies ist geboten, um die von den Aufsichtsbehörden verursachte Rechtsunsicherheit nunmehr zu beseitigen.

Im Falle des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Hessen ist dies Bereits geschehen. Auf der Webseite wird unter den FAQ die aktuelle Rechtslage erklärt:

"Gemäß § 11 Abs. 2 des Steuerberatungsgesetzes (StBerG) erfolgt die Verarbeitung personenbezogener Daten durch Steuerberater sowie die weiteren in § 3 StBerG genannten Personen und Gesellschaften (etwa Wirtschaftsprüfer und Steuerberatungsgesellschaften) unter Beachtung der geltenden Berufspflichten weisungsfrei. Diese sind bei der Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gemäß Art. 4 Nr. 7 DS-GVO. Die Regelung greift ausweislich der Gesetzesbegründung (BT-Drs. 19/14909 S. 59) für sämtliche Tätigkeiten des Steuerberaters; die Art der Tätigkeit ist daher nicht maßgeblich. Daher stellt die Vornahme der Lohn- und Gehaltsabrechnung durch Steuerberater keine Auftragsverarbeitung dar. Ein entsprechender Vertrag zur Auftragsverarbeitung i. S. d. Art. 28 DS-GVO zwischen Auftraggeber und Steuerberater ist nicht abzuschließen".

Ob das Ziel, endgültig Klarheit zu schaffen und die aus der bisherigen Rechtsunsicherheit resultierenden Belastungen für Steuerberater und ihre Mandanten zu beseitigen, tatsächlich erreicht ist, bleibt mit Blick auf eine mögliche Unionsrechtswidrigkeit von § 11 II StBerG (s.o.) jedoch abzuwarten. Aufgrund der „Nichtanwendungsbefugnis“ auch von Behörden ist zumindest nicht gänzlich auszuschließen, dass eine Datenschutzbehörde unter Verweis auf die (vermeintliche) Unionsrechtswidrigkeit der Norm § 11 II StBerG unangewendet lässt und einen Bußgeldbescheid wegen fehlenden AV-Vertrags erlässt. Da die Unionsrechtswidrigkeit insoweit jedoch keineswegs evident ist, dürfte eine solcher Bescheid gemäß Art. 83 ff. DS-GVO unverhältnismäßig sein.

Auf vollständige Klarheit und Rechtssicherheit wird dennoch bis zur gerichtlichen Klärung der Frage zu warten sein.