Der Gesetzgeber hat mit einem neugefassten §11 Steuerberatungsgesetz Klarheit zu einer bis zuletzt nicht eindeutig gelösten Frage geschaffen:
Steuerberater sind nicht Auftragsverarbeiter, und zwar auch dann nicht, wenn sie „nur“ die Lohnbuchhaltung durchführen.
In dem neu geschaffenen §11 Abs. 2 StBerG heißt es konkret:
„Die Personen und Gesellschaften nach § 3 sind bei Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gemäß Artikel 4 Nummer 7 der Datenschutz-Grundverordnung (EU) 2016/679.“
Eine Verarbeitung im Auftrag durch Steuerberater, Steuerberatungsgesellschaften etc. ist somit per se ausgeschlossen.
Auch wenn die deutlich überwiegende Meinung bereits seit geraumer Zeit davon ausgegangen ist, dass Steuerberater bei der Ausübung ihrer geschäftsmäßigen Tätigkeit keine Auftragsverarbeiter sind, so hatte es doch immer wieder auch durchaus relevante gegenläufige Meinungen gegeben.
So schreibt zum Beispiel der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg:
„Während Steuerberater und ihre berufsständischen Vertretungen hier bisher klar die Position vertreten, dass die Leistung des Steuerberaters immer eine eigenverantwortlich erbrachte fachliche Beratung sei und der Steuerberater, gleich, welchen Auftrag er übernimmt, grundsätzlich keine weisungsabhängige Tätigkeit ausübe, wird dies jedenfalls von einzelnen Datenschutzaufsichtsbehörden genau anders bewertet. Auch ich bin diesbezüglich dezidiert anderer Auffassung. Danach kommt für die Beauftragung des Steuerberaters mit der laufenden Lohn- und Gehaltsabrechnung datenschutzrechtlich nur eine Auftragsverarbeitung im Sinne des Artikels 28 DS-GVO in Betracht.“ (Stand: 30.12.2019).
Auch die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hatte bisher eine ähnliche Position vertreten.
Die Auffassung der Landesbeauftragten ist aber spätestens nach der am 19.12.2019 in Kraft getretenen Gesetzesänderung in dieser Form eindeutig nicht mehr haltbar.
Die Frage der Auftragsverarbeitung durch Steuerberater ist Dank der Klarstellung im Gesetzestext vielmehr abschließend beantwortet: Steuerberater sind bei Ausübung ihrer geschäftsmäßigen Tätigkeit nicht Auftragsverarbeiter im Sinne der DSGVO.