Wir haben unseren Mandanten geantwortet:
1) Ihrem Anliegen auf Abschluss einer Vereinbarung über Auftragsverarbeitung nach EU-DSGVO können wir nach
Prüfung des Sachverhalts nicht entsprechen. Die Leistung eines Steuerberaters ist eine eigenverantwortlich erbrachte fachliche Beratung und ist somit keine Auftragsverarbeitung. Dies gilt auch für die Lohn- und Gehaltsabrechnung, die der Steuerberater nach dem Steuerberatungsgesetz (StBerG) eigenverantwortlich ausführt.
Zwischen unserer Kanzlei und Ihrer Firma als Mandant erfolgt die personenbezogene Datenverarbeitung im
Auftrag auf der Grundlage des Mandatsvertrages. Bereits aufgrund unserer berufsrechtlichen Regelungen sind wir zur Verschwiegenheit und zum Datenschutz verpflichtet. Die besonderen Anforderungen zum Schutz personenbezogener Daten sind für uns als Berufsgeheimnisträger,ebenso wie für die Angestellten unserer Kanzlei, bereits seit langem gesetzlich geregelt und bedürften daher keiner weiteren vertraglichen Vereinbarung.
und dann auf nochmalige Nachfrage des Mandanten:
2) die Notwendigkeit einer Vereinbarung mit einem Processor nach Artikel 28 DS-GVO ist grundsätzlich richtig.
Allerdings besagt das sogenannte Kurzpapier der Datenschutzkonferenz für Deutschland (DSK) https://www.lda.bayern.de/media/dsk_kpnr_13_auftragsverarbeitung.pdf in Anhang B, Seite 4 (siehe auch Auszug in der Anlage), dass die Einbeziehung eines Steuerberaters als Berufsgeheimnisträger keine Auftragsverarbeitung darstellt. Wir sind daher kein Prozessor im Sinne des Artikels 28. Dies ist so auch die Sicht der für uns zuständigen Steuerberaterkammer.
Bisher hat sich die Rechtsabteilung unseres Mandant (in London!) nicht nochmals gemeldet, so dass wir davon ausgehen, dass sie das akzeptieren.
