Otto Schmidt Verlag

Datenschutz und Datensicherheit in der Steuerberaterpraxis

In einem 34-seitigen Papier listet die Bundessteuerberaterkammer mit ihrem Beschluss vom 25.4.2012 Hinweise zum Datenschutz und zur Datensicherheit in der Steuerberaterpraxis auf. Neben der Verschwiegenheitspflicht von Steuerberatern weist die Standesvertretung insbesondere daraufhin, dass auch in Steuerberaterpraxen ein Datenschutzbeauftragter zu bestellen ist und mit externen Unternehmen schriftliche Verträge über Auftragsdatenverarbeitung zu schließen sind. Gesondert geht das Papier auch auf sog. "Datenpannen" ein, bei denen Steuerberater die Datenschutzbehörde und Mandanten über die Panne informieren muss.

Verschwiegenheitspflicht

Für die Verschwiegenheitspflicht folgt die Obliegenheit bei Berufsträgern und Mitarbeitern bereits aus § 57  bzw. § 62 StBerG. Die Bundessteuerberaterkammer weist daraufhin, dass sonstige Beschäftigte auf das Datengeheimnis gem. § 5 Satz 2 BDSG  zu verpflichten sind. Als Beispiel nennt das Schreiben das Reinigungspersonal. Auch wenn der Wortlaut von § 5 Satz 2 BDSG keine explizite Schriftform anordnet, sollte gleichwohl schon aus Beweisgründen eine schriftliche Fixierung mit Unterschrift erfolgen (vgl. etwa Gola/Schomerus, BDSG, 10. Aufl., 2010, § 5 Rz. 11).

Bestellung betrieblicher Datenschutzbeauftragter

Hinsichtlich der Bestellung eines betrieblichen Datenschutzbeauftragten stellt sich die Standesvertretung der Steuerberater auf den Standpunkt, dass nur dann ein solcher zu bestellen ist, wenn mehr als neun Personen mit der automatisierten Verarbeitung personenbezogener Daten befasst sind und nicht stets, also unabhängig der Personenzahl. Mit Blick auf die letzte Änderung des für die Bestellung maßgeblichen § 4f BDSG  in 2006 weist das Papier daraufhin, dass es nur auf die in der Praxis beschäftigten Personen ankommt. Für den Schwellenwert von mehr als neun Personen sind demnach auch freie Mitarbeiter und Auszubildende mit einzuberechnen. Gleichfalls seit 2006 neu in das BDSG aufgenommen wurde die Regelung, dass auch für Geheimnisträger wie Steuerberater eine nicht zur Praxis gehörende Person als Datenschutzbeauftragter bestellt werden kann.

Vertrag über Auftragsdatenverarbeitung

Soweit ein Steuerberater die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten nicht selbst vornimmt, muss auch er zusätzlich neben dem eigentlichen "Hauptvertrag" mit seinem Dienstleister einen Vertrag über Auftragsdatenverarbeitung schließen, der den Anforderungen des § 11 Abs. 2 BDSG entsprechen muss. Besonderes Augenmerk hat der Steuerberater darauf zu legen, dass sein Dienstleister über ausreichende technische und organisatorische Schutzmaßnahmen zur Sicherheit der personenbezogenen Daten verfügt. Nach Meinung der Bundessteuerberaterkammer muss sich der Praxisinhaber darüber nicht im Wege einer Kontrolle in den Räumlichkeiten seines Dienstleisters vergewissern, sondern es sind auch Auditierungs-Testate ausreichend. Wird die IT-Wartung und die Aktenvernichtung durch Fremdunternehmen durchgeführt, was der Regelfall sein dürfte, müsse gleichfalls ein zusätzlicher Vertrag über Auftragsdatenverarbeitung geschlossen werden (vgl. § 11 Abs. 5 BDSG).

Datenpanne

Eine Besonderheit besteht für Steuerberater im Falle einer sog. Datenpanne, wenn also personenbezogene Daten an unbefugte Dritte übermittelt werden oder von diesen zur Kenntnis genommen werden können. Hintergrund dafür ist, dass § 42a Abs. 1 Nr. 2 BDSG gerade die Benachrichtigungspflicht für personenbezogene Daten nennt, die einem Berufsgeheimnis unterliegen, zu denen naturgemäß auch personenbezogene Daten beim Steuerberater gehören. Weitere Voraussetzung für eine "Datenpanne" ist, dass für die betroffenen Mandanten "schwerwiegende Beeinträchtigungen" drohen. Maßgeblich ist hier der konkrete Einzelfall. Liegen jedoch beide Voraussetzungen vor - Übermittlung bzw. Kenntnisnahme von personenbezogenen Mandantendaten und ein Drohen schwerwiegender Beeinträchtigungen der Mandanten - muss dies unverzüglich der zuständigen Datenschutzaufsichtsbehörde und den betroffenen Mandanten mitgeteilt werden. Das Unterbleiben der Meldung stellt eine Ordnungswidrigkeit dar und kann mit bis zu 300.000,- Euro Geldbuße belegt werden.

Dr. Noogie C. Kaufmann, Master of Arts, Kanzlei für Datenrecht Dr. Kaufmann, Hamburg.

zurück zur vorherigen Seite