Für alle Pflicht
(angepasst an die neue Gesetzeslage)
Datenschutz in der Steuerberatungspraxis ist ein hoch sensibles Thema, das der Gesetzgeber im Bundesdatenschutzgesetz geregelt hat. Demnach muss jede Steuerberatungskanzlei den Datenschutz umsetzen und gegebenenfalls einen Beauftragten bestimmen, der sich gezielt um die Daten in der Kanzlei kümmert.
Andrea Spannuth, Dipl.-Ök- Stephan Rehfeld
Zweck des Bundesdatenschutzgesetzes(BDSG) ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird (§ 1 Abs. 1 BDSG). Gültig ist das Gesetz im Rahmen der Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten. Dies gilt unter anderem für nichtöffentliche Stellen, somit also natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts. Sobald die Erhebung, Verarbeitung und Nutzung von Daten nichtausschließlich für persönliche oder familiäre Tätigkeiten vorgenommen wird, greift das BDSG (§ 2 Abs. 2 BDSG).
BDSG ist unabhängig von der Betriebsgröße gültig
Vielfach herrscht die Meinung vor, dass die Anwendung des BDSG von der Anzahl der Personen, die mit personenbezogenen Daten arbeiten, abhängt. Richtig ist aber, dass nur die Pflicht zur Bestellung eines Datenschutzbeauftragten (DSB) von der Mitarbeiterzahl abhängt. Derzeit besteht die Pflicht zur Bestellung eines DSB, wenn in einem Betrieb mehr als neun Personen mit der Verarbeitung von personenbezogenen Daten beschäftigt sind. Fakt ist, dass alle Kanzleien – unabhängig von der Mitarbeiterzahl – den Datenschutz umsetzen müssen. Dies gilt auch dann, wenn der Kanzleiinhaber allein tätig ist. Verantwortlich in der Haftung und damit für die Einhaltung und Umsetzung des Datenschutzes zuständig ist grundsätzlich der Inhaber oder die Geschäftsführung. Ein Datenschutzbeauftragter wiederum ist der verantwortlichen Stelle direkt unterstellt.
Wer kann zum Datenschutzbeauftragten (DSB) bestellt werden? Inhaber, Vorstände oder Geschäftsführer können nicht DSB werden, da Interessenkonflikte mit der Funktion und den damit verbundenen Aufgaben bestehen und somit keine wirksame Selbstkontrolle möglich ist. Administratoren, die für die Wartung der Datenverarbeitung zuständig sind, sollten ebenfalls nicht zum DSB bestellt werden. Bei Familienmitgliedern des Kanzleiinhabers ist Rücksprache mit der zuständigen Aufsichtsbehörde zu halten, da hier über den Fall der Inkompatibilität im Einzelfall entschieden wird.
An den DSB werden gem. § 4 f Abs. 2 BDSG die nachfolgend beschriebenen Anforderungen gestellt.
Fachkunde: Dazu gehört etwa ein allgemeines Grundwissen zum Datenschutzrecht, zu den Verfahren und Techniken der automatisierten Datenverarbeitung und zu angrenzenden Rechtsgebieten (beispielsweise Teile aus dem Telekommunikationsrecht, Arbeitsrecht und im Fall des Steuerberaters dem Berufsrecht). Ferner sind Kenntnisse über die internen betrieblichen Abläufe erforderlich.
Zuverlässigkeit: Der Begriff Zuverlässigkeit umfasst Gewissenhaftigkeit, eine sorgfältige und gründliche Arbeitsweise sowie insbesondere die Inkompatibilität der Aufgabe als DSB und seinen anderen hauptamtlichen Aufgaben im Betrieb. Verfügt ein DSB nicht über die erforderliche Fachkunde oder Zuverlässigkeit, kann er durch die zuständige Aufsichtsbehörde abberufen werden und gilt rückwirkend als nicht bestellt.
Interner oder externer Datenschutzbeauftragter?
Wer keinen eigenen Mitarbeiter zum DSB ausbilden will, kann einen externen bestellen. Dies ist auch bei Berufsgeheimnisträgern möglich. Wählt ein Kanzleiinhaber einen externen DSB, muss er sich vergewissern, dass dieser über die erforderliche Fachkunde und Zuverlässigkeit verfügt. Als Indizien für die Fachkunde zählen Fortbildungsnachweise, entsprechende Haftpflichtversicherungen und Mitgliedschaften in Berufsorganisationen. Der Kanzleiinhaber muss außerdem wissen, dass es auch bei dem externen DSB zu einer Inkompatibilität der Aufgaben kommen kann. Darüber hinaus muss der externe DSB mit der Organisation des Betriebs vertraut sein. Hauptaufgabe des DSB ist das Hinwirken auf die Einhaltung der Datenschutzvorschriften gemäß § 4g Abs. 1 BDSG. Zudem gilt Folgendes:
- Er überwacht die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme.
- Er macht die Mitarbeiter, die mit personenbezogenen Daten arbeiten, mit den Vorschriften des BDSG sowie zum Datenschutz und den jeweiligen Erfordernissen vertraut.
- Er stellt jedem - auf Antrag - die Angaben über Verfahren mit automatisierten Verarbeitungen in geeigneter Weise zur Verfügung.
- Er kontrolliert, ob die automatisierte Verarbeitung besondere Risiken für die Rechte der Betroffenen aufweist.
Datenschutz kontra Berufsrecht
Das BDSG ist subsidiär gegenüber dem Berufsrecht. Zwar sind einige Steuerberater der Meinung, dass das Berufsrecht auf Grund der berufsständischen Verschwiegenheitspflicht das Datenschutzrecht ersetzt. Dies ist jedoch nicht der Fall, denn beide Rechtsgebiete sind nicht kongruent zueinander, sondern ergänzen sich. Das BDSG setzt bereits bei der Erhebung personenbezogener Daten an, während die berufsständische Verschwiegenheitspflicht nur Daten erfasst, die dem Berufsgeheimnisträger im Rahmen seines Auftragsverhältnisses bekannt werden. Hierzu gehören beispielsweise nicht Arbeitnehmerdaten.
Bei Beschwerden durch den Betroffenen muss die Aufsichtsbehörde tätig werden und dem Sachverhalt nachgehen. Sie selbst kann anlassunabhängig bei nicht öffentlichen Stellen die Umsetzung des BDSG in der Kanzlei überprüfen und verfügt dabei über weit reichende Einsichtsmöglichkeiten. So ist die Aufsichtsbehörde über die Konstruktion der §§ 24 Abs. 2, 24 Abs. 6 und 38 Abs. 4 BDSG dazu berechtigt, auch mandantenbezogene Daten einzusehen, wie bereits geschehen. Beim Thema Datenschutzbeauftragter bewegt sich der Steuerberater übrigens auf einem komplexen rechtlichen Terrain. Neben Schadensersatz, Bußgeld- und Strafvorschriften (§§ 7, 43, 44 BDSG) muss er auch andere Haftungsregelungen im Zusammenhang mit der EDV-Verarbeitung personenbezogener Daten beachten. Dazu gehört das Computerrecht, Regelungen aus dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG), Basel II sowie das Berufs- und Arbeitsrecht. Neben der Haftungsproblematik dürfte auch ein Imageverlust im Falle eines Falles essenziell sein. Einen Überblick über die Haftung der Geschäftsführung gibt der Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e. V. (www.bitkom.org).
Umsetzungsschritte des BDSG in der Kanzlei
Für die Umsetzung des BDSG und den Einsatz eines DSB sind die folgenden Schritte vorzunehmen:
- Bestandsaufnahme der bereits bestehenden Regelungen zum EDV-Einsatz und existierender Dokumentationen der EDV-gestützten Verarbeitung. Durchzuführen ist dies von der verantwortlichen Stelle, das heißt dem Kanzleiinhaber.
- Auswahl und Bestellung eines geeigneten Mitarbeiters zum DSB oder Bestellung eines externen DSB. Rechtssichere Musterformulare stehen auf der Internetseite des Deutschen Steuerberaterverbands (http://www.dstv.de/).
- Entwicklung eines Datenschutzkonzepts. Eine Orientierung bieten Checklisten des Gesellschaft für Datenschutz und Datensicherung e. V. (http://www.gdd.de/). Da der Datenschutz Teil des Qualitätsmanagements und dem Risikomanagement untergeordnet ist, müssen auch Dokumentationen zu softwaregestützten Prozessen aufgezeichnet werden. Dies ist eine Bringschuld der Kanzleileitung. In der Praxis erstellt und pflegt der DSB diese Verarbeitungsübersichten regelmäßig.
- Umsetzung des Datenschutzkonzepts durch den DSB in Zusammenarbeit mit der Kanzleileitung.
- Kontinuierliche Kontrolle des Datenschutzkonzepts und seiner Umsetzung.
Verwendung von Checklisten möglich
Bei der Umsetzung der Anforderungen an den Datenschutz ist die Verwendung von Checklisten und Vordrucken möglich. Datenschutzbehörden, Berufsverbände oder Verlage bieten diese zum Teil auch auf CD an. Komfortabler und sicherer kann der Einsatz einer datenbankgestützten EDV-Inhouse-Lösung sein, wie etwa der Software „Prime Datenschutz“. Alles in allem ist es wichtig für Steuerberater, das Thema Datenschutz und die Bestellung des Datenschutzbeauftragten in der Kanzlei nicht auf die leichte Schulter zu nehmen. Die gesetzlichen Voraussetzungen sind geschaffen. Wer sie nicht beachtet, riskiert nicht nur Bußgelder, sondern gefährdet auch seinen Ruf.
Stephan Rehfeld
ist Dipl.-Ökonom und Geschäftsführer der Scope & Focus GmbH, einer IT-Tochter des Steuerberaterverbands Niedersachsen Sachsen-Anhalt e. V. Außerdem ist er externer Datenschutzbeauftragter.
E-Mail: information@scope-and-focus.com,
www.scope-and-focus.com.
Andrea Spannuth
ist Inhaberin des Softwarebüros Spannuth. Schwerpunkt ist die Entwicklung von Branchen- und Internetlösungen. Zum Datenschutz wurde die Software „Prime Datenschutz“ entwickelt.
E-Mail: info@spannuth.de www.spannuth.de
Originalartikel: Consultant (PDF-Dokument, ca. 1 MB)