Datenschutz und Datenschutzbeauftragte in der Steuerkanzlei / 1 Rechtliche Grundlagen zum Datenschutz

Für nicht-öffentliche Stellen gilt das BDSG für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen (§ 1 Abs. 1 Satz 2 BDSG).

Der Steuerberater bzw. die Steuerberatungsgesellschaft (alle Rechtsformen) gehört zu den nicht-öffentlichen Stellen gem. § 2 Abs. 4 BDSG.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person ("betroffene Person") beziehen (Art. 4 Nr. 1 DSGVO).

In einer Steuerberaterpraxis zählen zu den personenbezogenen Daten vor allem die im Rahmen der steuerberatenden Tätigkeit verwendeten Mandantendaten (Tz. 2.1 und Tz. 2.3), aber auch die Daten über die Angestellten der Praxis (§ 26 Abs. 1 BDSG; Art. 9 Abs. 2 DSGVO). Die Arbeitszeiterfassung durch ein Zeiterfassungssystem mittels "Fingerprint" ist nicht erforderlich i. S. v. § 26 Abs. 1 BDSG und damit ohne Einwilligung der betroffenen Person nicht zulässig.^[1]

Unter bestimmten Voraussetzungen darf der Steuerberater als Arbeitgeber personenbezogene Beschäftigtendaten zum Zweck der Aufklärung von Straftaten im Beschäftigungsverhältnis verarbeiten (§ 26 Abs. 1 Satz 2 BDSG).^[2]

Auch die Datenverarbeitung auf der Grundlage einer Einwilligung des betreffenden Beschäftigten ist (weiterhin) möglich (§ 26 Abs. 2 BDSG; Art. 6 Abs. 1 Satz 1 Buchst. a DSGVO).^[3] Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat (Art. 7 DSGVO).^[4]

Für die Beurteilung der Freiwilligkeit gem. § 26 Abs. 2 Satz 1 BDSG sind v. a. die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen.^[5] Verarbeitung ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Art. 4 Nr. 2 DSGVO).

Gem. § 26 Abs. 5 BDSG muss der Steuerberater als Arbeitgeber darauf achten, dass er die in Art. 5 DSGVO festgelegte Datenschutzgrundsätze beachtet. Dazu gehören z. B. die Datenminimierung, Speicherbegrenzung, Richtigkeit etc.

Der Beschäftigtendatenschutz beginnt bereits vor der Beschäftigung (Bewerber) und erstreckt sich auf die Zeit nach Ende des Beschäftigungsverhältnisses (§ 26 Abs. 8 Satz 2 BDSG).^[6]

Ein ausgeschiedener Mitarbeiter hat Auskunftsanspruch über die gespeicherten Daten.^[7]

[1] Arbeitsgericht Berlin, Urteil v. 16.10.2019, 29 Ca 5451/19; 5.2.4 Hinweise der BStBK für den Umgang mit personenbezogenen Daten durch Steuerberater und Steuerberatungsgesellschaften v. November 2021, dort Ziffer 6. 4.3.7.3: Erfassung der Arbeitszeit; BAG, Beschluss v. 13.9.2022, 1 ABR 22/21: Un­ter­neh­men müssen die Ar­beits­zeit ihrer Be­schäf­tig­ten sys­te­ma­tisch er­fas­sen.

[2] LAG Rheinland-Pfalz, Urteil v. 11.4.2019, 5 Sa 371/18; ArbG Mannheim, Urteil v. 20.5.2021, 14 Ca 135/20: Auswertung von WhatsApp-Nachrichten des Arbeitnehmers durch den Arbeitgeber; LAG Rheinland-Pfalz, Urteil v. 17.8.2021, 8 Sa 44/21: Auswertung einer Videoüberwachung.

[3] 5.2.4 Hinweise der BStBK für den Umgang mit personenbezogenen Daten durch Steuerberater und Steuerberatungsgesellschaften v. November 2021, dort Ziffer 15: Datenschutz im Beschäftigtenverhältnis.

[4] Z. B. Darstellung eines Kunden im Firmenvideo im Internet, LG Frankfurt/M., Urteil v. 13.9.2018, 2-03 O 283/18; LAG Baden-Württemberg, Urteil v. 20.10.2021, 4 Sa 70/20: Datenschutz im betrieblichen Eingliederungsmanagement.

[5] VG Lüneburg, Teilurteil v. 19.3.2019, 4 A 12/19: Datenschutzrechtliche Zulässigkeit eines Ortungssystems in Firmenfahrzeugen.

[6] Z.  B. LAG Sachsen-Anhalt, Urteil v. 23.11.2018, 5 Sa 7/17: Entfernung der Abmahnung aus Personalakte nach Beendigung des Arbeitsverhältnisses gem. Art. 17 Abs. 1 DSGVO; 5.2.4 Hinweise der BStBK für den Umgang mit personenbezogenen Daten durch Steuerberater und Steuerberatungsgesellschaften v. November 2021, dort Ziffer 15.2.

[7] BAG, Urteil v. 5.5.2022, 2 AZR 363/21: Bemessung des immateriellen Schadensersatzes nach Verstoß gegen den Auskunftsanspruch nach Art. 15 DSGVO, im Streitfall 1.000 EUR.