Die Diskussion ist alt und bestand schon vor der DSGVO. Artikel 4 Nr. 8 DSGVO definiert Auftragsverarbeiter folgendermaßen:

„Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.“

Demgegenüber steht der Verantwortliche, der allein oder gemeinsam mit anderen über die Mittel und Zwecke der Verarbeitung personenbezogener Daten entscheidet. Nach dem Kurzpapier Nr. 13 der DSK kommt es bei dem Verantwortlichen maßgeblich auf die Entscheidung über die Verarbeitungszwecke an, während die Entscheidung über die technisch-organisatorischen Fragen der Verarbeitung auch auf den Auftragsverarbeiter delegiert werden kann.

Die Tätigkeit eines Steuerberaters als Berufsgeheimnisträger wurde und wird vielfach als Fachleistung mit eigenständiger Verantwortlichkeit eingestuft, die eben nicht unter die Auftragsverarbeitung fällt.

Angeheizt wird die Diskussion jüngst durch eine Meldung der nordrhein-westfälischen Datenschutzbeauftragten. Diese sieht bei reinen Lohn- und Gehaltsabrechnungen keine eigene Entscheidungskompetenz auf Seiten des Steuerberaters und folglich den Anwendungsbereich der Auftragsverarbeitung eröffnet.

Für die klassische Steuerberatung und die Erstellung des Jahresabschlusses wiederum bescheinigt die Datenschutzbeauftragte den Steuerberatern eine weisungsfreie Datenverarbeitung, für die folgerichtig kein Vertrag zur Auftragsverarbeitung abgeschlossen werden muss.

Gänzlich anders sieht das die Datenschutzaufsichtsbehörde in Österreich. Diese hat im Januar dieses Jahres entschieden, dass ein Steuerberater auch bei Lohnabrechnungen nicht als Auftragsverarbeiter angesehen werden kann. Die berufliche Rechtsstellung von Steuerberatern sieht nach Ansicht der österreichischen Datenschutzbehörde eine eigenverantwortliche Auftragserfüllung vor. Zwar bezog sich die Entscheidung noch nicht auf die DSGVO, da sich diesbezüglich aber keine inhaltlichen Änderungen ergeben haben, ist die Entscheidung auch auf den Anwendungsbereich der DSGVO übertragbar.

Das Dilemma scheint perfekt. Die Einen sagen „hü“, die Anderen „hott“. Klarheit werden in diesem Bereich, wie so oft, wohl erst Gerichtsentscheidungen bringen.