WPK Magazin 1/2010 - Wirtschaftsprüferkammer

22 Aus der Arbeit der WPK WPK Magazin 1/2010
Informationen für die Berufspraxis
BDSG-Novelle 2009: Erweiterte Pflichten des
Mandanten bei Auftragsdatenverarbeitung durch
WP/vBP
Seit dem Inkrafttreten der jüngsten Datenschutznovelle
im September 2009 wird bei Anbahnung oder
Verlängerung von Auftragsverhältnissen von WP/
vBP in zunehmendem Maße verlangt, einen Vertrag
zur Auftragsdatenverarbeitung gemäß § 11 BDSG
n. F. zu unterschreiben. Dieser ist in der Regel umfangreich
und enthält unter anderem eigenständige
Regelungen zur Beachtung des Datengeheimnisses.
Insbesondere vor diesem Hintergrund wurde in der
letzten Zeit häufiger bei der WPK angefragt, ob und
in welchen Fällen eine Verpflichtung besteht, solche
Regelungswerke zu unterschreiben; schließlich
bestehe die Pflicht zur Verschwiegenheit bereits unmittelbar
kraft Gesetzes.
Grundsatz: Vollumfängliche Geltung des BDSG
für den WP/vBP
Die WPK geht davon aus, dass der WP/vBP, soweit er
personenbezogene Daten zu eigenen Geschäftszwecken
verarbeitet, im Grundsatz vollumfänglich den
Regelungen des BDSG unterliegt. Zwar ist das BDSG
bei Vorliegen einer spezialgesetzlichen Regelung –
wie sie grundsätzlich auch die Verschwiegenheitspflicht
gemäß § 43 Abs. 1 Satz 1 WPO darstellt – gemäß
§ 1 Abs. 3 Satz 1 BDSG subsidiär. Dies schließt
die Anwendung des BDSG jedoch nur bei deckungs-
gleichen Regelungen aus (sogenannte Tatbestandskongruenz;
vgl. Gola/Schomerus, BDSG, 9. Auflage
2007, § 1, Rn. 24). Die detaillierten Regelungen des
BDSG können daher durch die Generalklausel des
§ 43 Abs. 1 Satz 1 WPO nur verdrängt werden, wenn
die Verschwiegenheitspflicht in der konkret zu beurteilenden
Situation den gleichen Regelungsgehalt
aufweist oder aber hinsichtlich der Übermittlung
personenbezogener Daten eine strengere Regelung
als das allgemeine Datenschutzrecht trifft (vgl. zum
Thema auch Wollburg, in: Hense/Ulrich, WPO-Kommentar,
§ 43, Rn. 116 ff.).
Sonderfall: Auftragsdatenverarbeitung für den
Mandanten
Gemäß § 11 Abs. 4 BDSG ergibt sich hinsichtlich der
datenschutzrechtlichen Pflichten des WP/vBP jedoch
eine wesentliche Einschränkung, wenn er personenbezogene
Daten lediglich im Auftrag des Mandanten
erhebt, verarbeitet oder nutzt (sogenannte Auftragsdatenverarbeitung,
§ 11 Abs. 1 BDSG). Gemäß § 11
Abs. 1 BDSG trifft die Außenverantwortlichkeit für
die Einhaltung datenschutzrechtlicher Vorschriften
in diesen Fällen allein den Auftraggeber (Mandant).
Für den Auftragnehmer (WP/vBP) gelten gemäß § 11
Abs. 4 Nr. 2 BDSG neben den allgemeinen Vorschriften
der §§ 5, 9 BDSG und den Ordnungswidrigkeiten-
und Strafvorschriften des § 43 Abs. 1 Nr. 2, 10 und
11, Abs. 2 Nr. 1 bis 3 und Abs. 3 sowie des § 44 BDSG
lediglich die Vorschriften über die Datenschutzkontrolle
und die Aufsicht. Im Außenverhältnis wird der
WP/vBP, sofern er Daten lediglich im Auftrag seines
Mandanten verarbeitet, demzufolge als Teil des Auftraggebers
(Mandant) gesehen.
Beispiele für die Auftragsdatenverarbeitung
durch WP/vBP – Abgrenzung zur Funktionsübertragung
In Bezug auf die berufliche Tätigkeit des WP/vBP liegt
eine Auftragsdatenverarbeitung ausschließlich bei
solchen Mandaten vor, die eine weisungsgebundene
Datenverarbeitung im Rechtskreis des Mandanten betreffen
(z. B. Lohn- und Gehaltsabrechnung durch den