Nach Ansicht der Datenschutzbehörde sind Wirtschaftstreuhänder auch im Rahmen der Tätigkeit der bloßen Lohnverrechnung als Verantwortliche iSd Art 4 Z 7 DSGVO zu beurteilen. Dies ist jedoch sowohl mit den Grundsätzen der DSGVO als auch der früheren Spruchpraxis der Behörde kaum in Einklang zu bringen.
[lindepaywall tokens=“dsaktuell-media“]
In der bereits im Jänner 2018 ergangenen und im Juli 2018 veröffentlichten Entscheidung DSB-D122.767/0001-DSB/2018 der Datenschutzbehörde (DSB) kommt diese zum Schluss, dass Wirtschaftsprüfer und Steuerberater hinsichtlich der von ihnen im Rahmen ihrer Tätigkeit verarbeiteten personenbezogenen Daten immer als Verantwortliche (nach alter Rechtslage „Auftraggeber“) zu qualifizieren sind, auch wenn sie personenbezogene Daten lediglich im Rahmen der Lohnverrechnung verarbeiten. Die Entscheidung ist zwar noch nach der alten Rechtslage des DSG 2000 ergangen, jedoch blieben die zu beurteilenden rechtlichen Kriterien unter der DSGVO und dem DSG unverändert.
Die Entscheidung und ihre Grundlagen
So ist nach Art 4 Z 7 DSGVO Verantwortlicher, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet und gemäß Z 8 Auftragsverarbeiter, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Nach § 4 Z 4 DSG 2000 war Auftraggeber, wer allein oder gemeinsam mit anderen die Entscheidung getroffen hat, personenbezogene Daten zu verarbeiten. Lediglich der zweite Satz des § 4 Z 4 DSG 2000, wonach ein Dienstleister zum Auftraggeber wird, wenn ihm die (über den Auftrag hinausgehende) Datenverarbeitung untersagt wurde oder er auf Grund von Rechtsvorschriften oder Verhaltensregeln über die Verwendung eigenverantwortlich zu entscheiden hat, wurde so explizit nicht übernommen. Jedoch gilt auch nach Art 28 Abs 10 DSGVO ein Auftragsverarbeiter als Verantwortlicher, wenn er die Zwecke und Mittel der Verarbeitung bestimmt, unabhängig vom Grund dieser Bestimmung (Raschauer in Sydow DSGVO, Art 4 Rz 137). Dienstleister war dagegen gemäß § 4 Z 5 DSG 2000, wer personenbezogene Daten nur zur Herstellung eines ihm aufgetragenen Werkes verwendet. Diese Definition ist mE treffender als die der DSGVO, bedeutet am Ende des Tages jedoch dasselbe. Im Ergebnis kann man daher die Entscheidung der DSB auch auf die heutige Rechtslage umlegen.
Die Entscheidung, dass Angehörige der Wirtschaftstreuhandberufe, also Steuerberater und Wirtschaftsprüfer, auch im Rahmen der bloßen Lohnverrechnung als Verantwortliche und nicht als Auftragsverarbeiter zu qualifizieren sind, argumentierte die DSB damit, dass § 71 Wirtschaftstreuhandberufsgesetz 2017 (WTBG) diese dazu verpflichte, ihren Beruf gewissenhaft und sorgfältig aber insbesondere eigenverantwortlich und unabhängig auszuüben. Dieser Begriff der Eigenverantwortlichkeit entspräche dem der Eigenverantwortlichkeit nach § 4 Z 4 zweiter Satz DSG 2000. Den Einwand des Steuerberaters, dass das Erfordernis der Eigenverantwortlichkeit dahingehend zu interpretieren wäre, dass ein Klient einem Berufsberechtigten keine Weisungen rein fachlicher Natur geben dürfe (gestützt auf VwGH 88/08/180) und dass daher eine Befugnis, eigenverantwortlich über die Verwendung der vom Klienten übermittelten Daten bestimmen zu können, aus dieser Bestimmung nicht ableitbar wäre, negierte die DSB mit dem Argument, dass gerade im Verbot der fachlichen Weisung die eigenverantwortliche Auftragserfüllung der Beschwerdegegnerin im Sinne des § 4 Z 4 DSG 2000 liege.
Weiters argumentierte die DSB damit, dass auch bei Rechtsanwälten, die mit Wirtschaftstreuhändern vergleichbar sind, aufgrund ihrer beruflichen Selbständigkeit im Regelfall davon auszugehen ist, dass diese bei der Besorgung von Geschäften für ihre Mandanten gemäß § 4 Z 4 DSG 2000 „eigenverantwortlich“ vorgehen dürfen und sie damit hinsichtlich der zwecks Bearbeitung einer Causa verarbeiteten personenbezogenen Daten Auftraggeber sind.
Diese Entscheidung sowie ihre Begründung ist jedoch aus den in der Folge angeführten Gründen anzuzweifeln.
Keine Eigenverantwortlichkeit bei Lohnverrechnung
Die DSB nimmt pauschal und undifferenziert an, dass aufgrund von § 71 WTBG sämtliche Tätigkeiten und Datenverarbeitungen durch Wirtschaftstreuhänder eigenverantwortlich durchgeführt werden. Wie Haidinger/Weiss richtig ausführen, ist diese Berufsgruppe zwar zweifelsfrei in fachlichen Dingen weisungsfrei, jedoch bedeutet das nicht zwingend, dass – wie die Beschwerdegegnerin auch vorgebracht hat – auch jede Datenverarbeitung in eigener Verantwortung erfolgt (Haidinger/Weiss in Dako 2018/52).
Vielmehr muss zwischen den einzelnen Tätigkeiten samt den dadurch notwendigen Datenverarbeitungen differenziert werden. Im Rahmen der Kerntätigkeit von Steuerberatern und Wirtschaftsprüfern steht außer Zweifel, dass – analog zu der Tätigkeit der Rechtsanwälte – auch die damit einhergehende Datenverarbeitung eigenverantwortlich erfolgt. Bei der Lohnverrechnung ist jedoch kein eigenverantwortliches Tätigwerden erforderlich und kann und wird diese Tätigkeit genauso gut auch von selbstständigen Buchhaltern ausgeübt, die nicht dem WTBG unterliegen. Überspitzt formuliert würde wohl auch ein bloßes Datenhosting (im Sinne einer Zurverfügungstellung von Speicherplatz) als Zusatzleistung des Steuerberaters nicht als „eigenverantwortliche“ Datenverarbeitung gesehen werden, nur weil sie von einem Angehörigen der Wirtschaftstreuhandberufe ausgeübt wird.
Im Gegensatz zu Rechtsanwälten und Steuerberatern, die ihre (Kern-)Tätigkeit gerade aufgrund der geforderten Eigenverantwortlichkeit nicht weisungsgebunden als Angestellte eines Unternehmens erbringen dürfen, kann die Tätigkeit der Lohnverrechnung dagegen sehr wohl selbst von Angestellten eines Unternehmens durchgeführt werden. Wird diese Tätigkeit ausgelagert, liegt ein Auftrag zur Erbringung eines Werkes unter Verwendung der vom Auftraggeber beigestellten Daten an den externen Lohnverrechner vor und ist dies somit als Auftragsverarbeitung gemäß Art 4 Z 8 iVm Art 28 DSGVO zu qualifizieren.
Aus diesen Gründen ist auch den der Entscheidung der DSB zustimmenden Anmerkungen von Thiele (ZIIR 2019, 55) nicht zu folgen. Weder der Verweis auf die Entscheidung des EuGH betreffend die Datensammlung der Zeugen Jehovas (EuGH 10.7.2018, C-25/17), die sich nicht ansatzweise mit der Rollenverteilung Verantwortlicher/Auftragsverarbeiter auseinandersetzt noch das Argument historisch-authentischer Interpretation mögen hier überzeugen. Selbst wenn im Zusammenhang mit der Neufassung des § 4 Z 4 DSG 2000 durch die DSG-Novelle 2010 in den Erläuterungen zur Regierungsvorlage, 472 der Beilagen XXIV. GP, festgehalten wird „Unverändert bleibt auch die Auftraggebereigenschaft jener beauftragten Berufsgruppen, die aufgrund von Rechtsvorschriften eigenverantwortlich über die Verwendung von Daten entscheiden (vgl. die beispielhafte Aufzählung der Rechtsanwälte, Wirtschaftstreuhänder und Ziviltechniker in den Erläuterungen zur Regierungsvorlage 1613 der Beilagen XX. GP, 37, zur Stammfassung)“, so kann davon ausgegangen werden, dass damit die Kerntätigkeiten der genannten Berufsgruppen gemeint waren (z.B. Beratung auf dem Gebiet des Abgabenrechts und der Rechnungslegung, Vertretung vor Abgabenbehörden oder Gutachtenserstellung). Auch führte die nach dem DSG 2000 noch geltende Standard- und Muster-Verordnung in der SA002 betreffend die Personalverwaltung für privatrechtliche Dienstverhältnisse, einschließlich der Verarbeitung zu Zwecken der Lohn-, Gehalts-, Entgeltsverrechnung, unter Übermittlungsempfänger nur „Rechtsvertreter“ an, nicht jedoch mit der Lohnverrechnung Beauftragte. Da nach § 4 Z 12 DSG 2000 mit „Übermitteln“ nur die Weitergabe an andere Empfänger als Dienstleister gemeint war, kann daraus geschlossen werden, dass demgegenüber die Weitergabe an mit der Lohnverrechnung Beauftragte eine „Überlassung“ an einen Dienstleister (Auftragsverarbeiter) gemäß § 4 Z 11 DSG 2000 darstellt und die Lohnverrechnung somit als Auftragsverarbeitung zu qualifizieren ist.
Keine Erwähnung der früheren gegenteiligen Entscheidung
Interessanterweise wird die frühere Entscheidung K120.862/0011-DSK/2005 der damaligen Datenschutzkommission (DSK), die einen gleichgelagerten Sachverhalt bei unveränderter Rechtslage gegenteilig beurteilt, von der DSB mit keinem Wort erwähnt. Die DSK kam damals nach näherer Prüfung der Rechtslage für Steuerberater zum Schluss, dass es keine nachweisbare Rechtsquelle gibt, die einem Steuerberater für die Durchführung der Lohn- und Gehaltsverrechnung das Recht zu einer eigenverantwortlichen Datenverarbeitung einräumen würde. Das Berufsrecht der Steuerberater (damals Wirtschaftstreuhandberufsgesetz, heute WTBG 2017) lässt diese Frage noch immer offen, ebenso die allgemein bekannten und veröffentlichten Standesregeln (damals Wirtschaftstreuhandberufs-Ausübungsrichtlinie WT-ARL 2001, heute WT-AARL 2017-KSW).
Dementsprechend hatte die DSK die Tätigkeit der Lohn- und Gehaltsverrechnung richtigerweise als Herstellung eines Werkes und somit den Arbeitgeber als Auftraggeber (Verantwortlichen) und den Steuerberater als Dienstleister (Auftragsverarbeiter) qualifiziert.
Problematik der Rechtsgrundlage für Übermittlung und Verarbeitung der Lohndaten
Folgt man jedoch der nunmehrigen Rechtsansicht der DSB, bedeutet das auch, dass es für die Verarbeitung der Lohndaten des Auftraggebers durch einen Steuerberater zum Zweck der Lohnverrechnung sowie für die davor liegende Übermittlung einer geeigneten Rechtsgrundlage bedarf. Da Lohndaten idR auch besondere Kategorien von personenbezogenen Daten enthalten können, wie etwa die Religionszugehörigkeit, Krankenstände oder die Gewerkschaftszugehörigkeit, kommt nur eine Rechtfertigung nach Art 9 Abs 2 DSGVO in Frage. Die sich aus Art 9 Abs 2 lit b) DSGVO ergebenden Pflichten können sich wohl nur auf den Arbeitgeber selbst und seine eigenen Arbeitnehmer beziehen (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO Rz 35), nicht aber auf die des Auftraggebers eines Steuerberaters. Dass dem Arbeitgeber selbst diese Pflichten wie etwa die Lohnverrechnung auferlegt sind, ist nur ein weiteres Indiz für deren Qualifikation als Auftragsverarbeitung im Falle ihrer Auslagerung an einen externen Dienstleister.
Mangels anderer passender Rechtsgrundlage müssten daher Arbeitgeber, die ihre Lohnverrechnung auslagern, von jedem einzelnen betroffenen Mitarbeiter die ausdrückliche Einwilligung gemäß Art 9 Abs 2 lit a) DSGVO einholen, dass die notwendigen Daten an den externen Dienstleister zum Zweck der Lohnverrechnung übermittelt werden dürfen. Da nicht jedem noch so kleinen Unternehmen zugemutet werden kann, seine Lohnverrechnung selbst durchzuführen, wird die Übermittlung in solchen Fällen zwar zur Erfüllung des Arbeitsvertrages (insb. Ermittlung des Gehalts, Abfuhr der Abgaben und Steuern) notwendig sein und somit keine verbotene Koppelung vorliegen. Sind Betroffene damit aus welchen Gründen jedoch nicht bzw. später nicht mehr einverstanden, könnten sie nicht eingestellt werden oder müssten bestehende Mitarbeiter gekündigt werden. Ihre Einwilligung könnten sich betriebsnotwendige Mitarbeiter teuer abkaufen lassen. Ob diese Konstruktion wirklich im Sinne des europäischen und des österreichischen Gesetzgebers war, bleibt zu bezweifeln.
Zusammenfassung
Wie dargelegt ist mE die Entscheidung der DSB rechtlich nur schwer argumentierbar und steht auch in krassem Widerspruch mit einer vormaligen, im Ergebnis richtigen Entscheidung aus dem eigenen Haus. Sowohl rechtsdogmatisch als auch praktisch-logisch ist der Einordnung von Steuerberatern als Auftragsverarbeiter im Rahmen ihrer Tätigkeit der Lohnverrechnung daher der Vorzug zu geben.
Bis zu einer neuerlichen Beschäftigung der DSB mit dem Thema und uU einer Entscheidung durch eine übergeordnete Instanz, zwingt diese Entscheidung in der Praxis Arbeitgeber jedoch dazu, die Einwilligung aller betroffenen Mitarbeiter einzuholen, wollen sie nicht Strafen riskieren.
[/lindepaywall]
Nach Ansicht der Datenschutzbehörde sind Wirtschaftstreuhänder auch im Rahmen der Tätigkeit der bloßen Lohnverrechnung als Verantwortliche iSd Art 4 Z 7 DSGVO zu beurteilen. Dies ist jedoch sowohl mit den Grundsätzen der DSGVO als auch der früheren Spruchpraxis der Behörde kaum in Einklang zu bringen.
[lindepaywall tokens=“dsaktuell-media“]
In der bereits im Jänner 2018 ergangenen und im Juli 2018 veröffentlichten Entscheidung DSB-D122.767/0001-DSB/2018 der Datenschutzbehörde (DSB) kommt diese zum Schluss, dass Wirtschaftsprüfer und Steuerberater hinsichtlich der von ihnen im Rahmen ihrer Tätigkeit verarbeiteten personenbezogenen Daten immer als Verantwortliche (nach alter Rechtslage „Auftraggeber“) zu qualifizieren sind, auch wenn sie personenbezogene Daten lediglich im Rahmen der Lohnverrechnung verarbeiten. Die Entscheidung ist zwar noch nach der alten Rechtslage des DSG 2000 ergangen, jedoch blieben die zu beurteilenden rechtlichen Kriterien unter der DSGVO und dem DSG unverändert.
Die Entscheidung und ihre Grundlagen
So ist nach Art 4 Z 7 DSGVO Verantwortlicher, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet und gemäß Z 8 Auftragsverarbeiter, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Nach § 4 Z 4 DSG 2000 war Auftraggeber, wer allein oder gemeinsam mit anderen die Entscheidung getroffen hat, personenbezogene Daten zu verarbeiten. Lediglich der zweite Satz des § 4 Z 4 DSG 2000, wonach ein Dienstleister zum Auftraggeber wird, wenn ihm die (über den Auftrag hinausgehende) Datenverarbeitung untersagt wurde oder er auf Grund von Rechtsvorschriften oder Verhaltensregeln über die Verwendung eigenverantwortlich zu entscheiden hat, wurde so explizit nicht übernommen. Jedoch gilt auch nach Art 28 Abs 10 DSGVO ein Auftragsverarbeiter als Verantwortlicher, wenn er die Zwecke und Mittel der Verarbeitung bestimmt, unabhängig vom Grund dieser Bestimmung (Raschauer in Sydow DSGVO, Art 4 Rz 137). Dienstleister war dagegen gemäß § 4 Z 5 DSG 2000, wer personenbezogene Daten nur zur Herstellung eines ihm aufgetragenen Werkes verwendet. Diese Definition ist mE treffender als die der DSGVO, bedeutet am Ende des Tages jedoch dasselbe. Im Ergebnis kann man daher die Entscheidung der DSB auch auf die heutige Rechtslage umlegen.
Die Entscheidung, dass Angehörige der Wirtschaftstreuhandberufe, also Steuerberater und Wirtschaftsprüfer, auch im Rahmen der bloßen Lohnverrechnung als Verantwortliche und nicht als Auftragsverarbeiter zu qualifizieren sind, argumentierte die DSB damit, dass § 71 Wirtschaftstreuhandberufsgesetz 2017 (WTBG) diese dazu verpflichte, ihren Beruf gewissenhaft und sorgfältig aber insbesondere eigenverantwortlich und unabhängig auszuüben. Dieser Begriff der Eigenverantwortlichkeit entspräche dem der Eigenverantwortlichkeit nach § 4 Z 4 zweiter Satz DSG 2000. Den Einwand des Steuerberaters, dass das Erfordernis der Eigenverantwortlichkeit dahingehend zu interpretieren wäre, dass ein Klient einem Berufsberechtigten keine Weisungen rein fachlicher Natur geben dürfe (gestützt auf VwGH 88/08/180) und dass daher eine Befugnis, eigenverantwortlich über die Verwendung der vom Klienten übermittelten Daten bestimmen zu können, aus dieser Bestimmung nicht ableitbar wäre, negierte die DSB mit dem Argument, dass gerade im Verbot der fachlichen Weisung die eigenverantwortliche Auftragserfüllung der Beschwerdegegnerin im Sinne des § 4 Z 4 DSG 2000 liege.
Weiters argumentierte die DSB damit, dass auch bei Rechtsanwälten, die mit Wirtschaftstreuhändern vergleichbar sind, aufgrund ihrer beruflichen Selbständigkeit im Regelfall davon auszugehen ist, dass diese bei der Besorgung von Geschäften für ihre Mandanten gemäß § 4 Z 4 DSG 2000 „eigenverantwortlich“ vorgehen dürfen und sie damit hinsichtlich der zwecks Bearbeitung einer Causa verarbeiteten personenbezogenen Daten Auftraggeber sind.
Diese Entscheidung sowie ihre Begründung ist jedoch aus den in der Folge angeführten Gründen anzuzweifeln.
Keine Eigenverantwortlichkeit bei Lohnverrechnung
Die DSB nimmt pauschal und undifferenziert an, dass aufgrund von § 71 WTBG sämtliche Tätigkeiten und Datenverarbeitungen durch Wirtschaftstreuhänder eigenverantwortlich durchgeführt werden. Wie Haidinger/Weiss richtig ausführen, ist diese Berufsgruppe zwar zweifelsfrei in fachlichen Dingen weisungsfrei, jedoch bedeutet das nicht zwingend, dass – wie die Beschwerdegegnerin auch vorgebracht hat – auch jede Datenverarbeitung in eigener Verantwortung erfolgt (Haidinger/Weiss in Dako 2018/52).
Vielmehr muss zwischen den einzelnen Tätigkeiten samt den dadurch notwendigen Datenverarbeitungen differenziert werden. Im Rahmen der Kerntätigkeit von Steuerberatern und Wirtschaftsprüfern steht außer Zweifel, dass – analog zu der Tätigkeit der Rechtsanwälte – auch die damit einhergehende Datenverarbeitung eigenverantwortlich erfolgt. Bei der Lohnverrechnung ist jedoch kein eigenverantwortliches Tätigwerden erforderlich und kann und wird diese Tätigkeit genauso gut auch von selbstständigen Buchhaltern ausgeübt, die nicht dem WTBG unterliegen. Überspitzt formuliert würde wohl auch ein bloßes Datenhosting (im Sinne einer Zurverfügungstellung von Speicherplatz) als Zusatzleistung des Steuerberaters nicht als „eigenverantwortliche“ Datenverarbeitung gesehen werden, nur weil sie von einem Angehörigen der Wirtschaftstreuhandberufe ausgeübt wird.
Im Gegensatz zu Rechtsanwälten und Steuerberatern, die ihre (Kern-)Tätigkeit gerade aufgrund der geforderten Eigenverantwortlichkeit nicht weisungsgebunden als Angestellte eines Unternehmens erbringen dürfen, kann die Tätigkeit der Lohnverrechnung dagegen sehr wohl selbst von Angestellten eines Unternehmens durchgeführt werden. Wird diese Tätigkeit ausgelagert, liegt ein Auftrag zur Erbringung eines Werkes unter Verwendung der vom Auftraggeber beigestellten Daten an den externen Lohnverrechner vor und ist dies somit als Auftragsverarbeitung gemäß Art 4 Z 8 iVm Art 28 DSGVO zu qualifizieren.
Aus diesen Gründen ist auch den der Entscheidung der DSB zustimmenden Anmerkungen von Thiele (ZIIR 2019, 55) nicht zu folgen. Weder der Verweis auf die Entscheidung des EuGH betreffend die Datensammlung der Zeugen Jehovas (EuGH 10.7.2018, C-25/17), die sich nicht ansatzweise mit der Rollenverteilung Verantwortlicher/Auftragsverarbeiter auseinandersetzt noch das Argument historisch-authentischer Interpretation mögen hier überzeugen. Selbst wenn im Zusammenhang mit der Neufassung des § 4 Z 4 DSG 2000 durch die DSG-Novelle 2010 in den Erläuterungen zur Regierungsvorlage, 472 der Beilagen XXIV. GP, festgehalten wird „Unverändert bleibt auch die Auftraggebereigenschaft jener beauftragten Berufsgruppen, die aufgrund von Rechtsvorschriften eigenverantwortlich über die Verwendung von Daten entscheiden (vgl. die beispielhafte Aufzählung der Rechtsanwälte, Wirtschaftstreuhänder und Ziviltechniker in den Erläuterungen zur Regierungsvorlage 1613 der Beilagen XX. GP, 37, zur Stammfassung)“, so kann davon ausgegangen werden, dass damit die Kerntätigkeiten der genannten Berufsgruppen gemeint waren (z.B. Beratung auf dem Gebiet des Abgabenrechts und der Rechnungslegung, Vertretung vor Abgabenbehörden oder Gutachtenserstellung). Auch führte die nach dem DSG 2000 noch geltende Standard- und Muster-Verordnung in der SA002 betreffend die Personalverwaltung für privatrechtliche Dienstverhältnisse, einschließlich der Verarbeitung zu Zwecken der Lohn-, Gehalts-, Entgeltsverrechnung, unter Übermittlungsempfänger nur „Rechtsvertreter“ an, nicht jedoch mit der Lohnverrechnung Beauftragte. Da nach § 4 Z 12 DSG 2000 mit „Übermitteln“ nur die Weitergabe an andere Empfänger als Dienstleister gemeint war, kann daraus geschlossen werden, dass demgegenüber die Weitergabe an mit der Lohnverrechnung Beauftragte eine „Überlassung“ an einen Dienstleister (Auftragsverarbeiter) gemäß § 4 Z 11 DSG 2000 darstellt und die Lohnverrechnung somit als Auftragsverarbeitung zu qualifizieren ist.
Keine Erwähnung der früheren gegenteiligen Entscheidung
Interessanterweise wird die frühere Entscheidung K120.862/0011-DSK/2005 der damaligen Datenschutzkommission (DSK), die einen gleichgelagerten Sachverhalt bei unveränderter Rechtslage gegenteilig beurteilt, von der DSB mit keinem Wort erwähnt. Die DSK kam damals nach näherer Prüfung der Rechtslage für Steuerberater zum Schluss, dass es keine nachweisbare Rechtsquelle gibt, die einem Steuerberater für die Durchführung der Lohn- und Gehaltsverrechnung das Recht zu einer eigenverantwortlichen Datenverarbeitung einräumen würde. Das Berufsrecht der Steuerberater (damals Wirtschaftstreuhandberufsgesetz, heute WTBG 2017) lässt diese Frage noch immer offen, ebenso die allgemein bekannten und veröffentlichten Standesregeln (damals Wirtschaftstreuhandberufs-Ausübungsrichtlinie WT-ARL 2001, heute WT-AARL 2017-KSW).
Dementsprechend hatte die DSK die Tätigkeit der Lohn- und Gehaltsverrechnung richtigerweise als Herstellung eines Werkes und somit den Arbeitgeber als Auftraggeber (Verantwortlichen) und den Steuerberater als Dienstleister (Auftragsverarbeiter) qualifiziert.
Problematik der Rechtsgrundlage für Übermittlung und Verarbeitung der Lohndaten
Folgt man jedoch der nunmehrigen Rechtsansicht der DSB, bedeutet das auch, dass es für die Verarbeitung der Lohndaten des Auftraggebers durch einen Steuerberater zum Zweck der Lohnverrechnung sowie für die davor liegende Übermittlung einer geeigneten Rechtsgrundlage bedarf. Da Lohndaten idR auch besondere Kategorien von personenbezogenen Daten enthalten können, wie etwa die Religionszugehörigkeit, Krankenstände oder die Gewerkschaftszugehörigkeit, kommt nur eine Rechtfertigung nach Art 9 Abs 2 DSGVO in Frage. Die sich aus Art 9 Abs 2 lit b) DSGVO ergebenden Pflichten können sich wohl nur auf den Arbeitgeber selbst und seine eigenen Arbeitnehmer beziehen (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO Rz 35), nicht aber auf die des Auftraggebers eines Steuerberaters. Dass dem Arbeitgeber selbst diese Pflichten wie etwa die Lohnverrechnung auferlegt sind, ist nur ein weiteres Indiz für deren Qualifikation als Auftragsverarbeitung im Falle ihrer Auslagerung an einen externen Dienstleister.
Mangels anderer passender Rechtsgrundlage müssten daher Arbeitgeber, die ihre Lohnverrechnung auslagern, von jedem einzelnen betroffenen Mitarbeiter die ausdrückliche Einwilligung gemäß Art 9 Abs 2 lit a) DSGVO einholen, dass die notwendigen Daten an den externen Dienstleister zum Zweck der Lohnverrechnung übermittelt werden dürfen. Da nicht jedem noch so kleinen Unternehmen zugemutet werden kann, seine Lohnverrechnung selbst durchzuführen, wird die Übermittlung in solchen Fällen zwar zur Erfüllung des Arbeitsvertrages (insb. Ermittlung des Gehalts, Abfuhr der Abgaben und Steuern) notwendig sein und somit keine verbotene Koppelung vorliegen. Sind Betroffene damit aus welchen Gründen jedoch nicht bzw. später nicht mehr einverstanden, könnten sie nicht eingestellt werden oder müssten bestehende Mitarbeiter gekündigt werden. Ihre Einwilligung könnten sich betriebsnotwendige Mitarbeiter teuer abkaufen lassen. Ob diese Konstruktion wirklich im Sinne des europäischen und des österreichischen Gesetzgebers war, bleibt zu bezweifeln.
Zusammenfassung
Wie dargelegt ist mE die Entscheidung der DSB rechtlich nur schwer argumentierbar und steht auch in krassem Widerspruch mit einer vormaligen, im Ergebnis richtigen Entscheidung aus dem eigenen Haus. Sowohl rechtsdogmatisch als auch praktisch-logisch ist der Einordnung von Steuerberatern als Auftragsverarbeiter im Rahmen ihrer Tätigkeit der Lohnverrechnung daher der Vorzug zu geben.
Bis zu einer neuerlichen Beschäftigung der DSB mit dem Thema und uU einer Entscheidung durch eine übergeordnete Instanz, zwingt diese Entscheidung in der Praxis Arbeitgeber jedoch dazu, die Einwilligung aller betroffenen Mitarbeiter einzuholen, wollen sie nicht Strafen riskieren.
[/lindepaywall]