WPK Magazin 1/2010 - Wirtschaftsprüferkammer

WPK Magazin 1/2010
WP/vBP; ob darüber hinaus die Führung der Bücher
insgesamt hierzu zählt, ist zweifelhaft und dürfte von
der Ausgestaltung im Einzelfall abhängig sein).
Hat die Tätigkeit des WP/vBP demgegenüber
nicht lediglich eine Datenverarbeitung im Auftrag
des Mandanten zum Inhalt, sondern darüber hinaus
eigenständig beratenden oder gestaltenden Charakter
(wie es jedenfalls bei der Erstellung von Steuererklärungen
und Jahresabschlüssen für den Mandanten
der Fall ist), liegt eine sogenannte Funktionsübertragung
mit der Folge vor, dass es sich nicht mehr um
eine Auftragsdatenverarbeitung im Sinne des § 11
BDSG handelt (vgl. Gola/Schomerus, BDSG, 9. Auflage
2007, § 11, Rn. 11). In den zuletzt genannten Fällen
verarbeitet der WP/vBP die ihm vom Mandanten
übermittelten Daten zu eigenen Geschäftszwecken
und ist demzufolge selbst verantwortliche Stelle im
Sinne des § 3 Abs. 7 BDSG.
Letzteres gilt per se auch für die prüfende und
gutachterliche Tätigkeit, die vom WP/vBP unabhängig
im Sinne der §§ 49 2. Alt. WPO, 20 ff. BS WP/vBP
durchzuführen ist (so im Ergebnis auch Aßmus,
MMR 2009, 599 [601] für die gesetzliche Abschlussprüfung).
Vertragsinhalt bei Auftragsdatenverarbeitung –
Ausweitung durch BDSG-Novelle 2009
Als Folge der alleinigen Verantwortlichkeit gegenüber
Dritten (§ 11 Abs. 1 BDSG) hat der Auftraggeber,
wenn er Daten durch einen Dritten im Auftrag verarbeiten
lassen will, diesen vertraglich in besonderer
Weise auf die Wahrung datenschutzrechtlicher Belange
zu verpflichten. Eine generalklauselartige Regelung
dieses Inhalts war bereits in § 11 Abs. 2 Satz 2
BDSG a. F. enthalten. Im Rahmen der Datenschutznovelle
vom 14.8.2009 ist die genannte Vorschrift nunmehr
konkretisiert und um einen zehn Einzelpunkte
umfassenden Katalog erweitert worden, zu denen
der Auftraggeber in dem – von ihm schriftlich zu erteilenden
– Auftrag zwingend Regelungen vorsehen
muss. Wird ein Auftrag entgegen § 11 Abs. 2 Satz 2
BDSG vorsätzlich oder fahrlässig „nicht vollständig
(…) erteilt“, liegt gemäß § 43 Abs. 1 Nr. 2 b) BDSG
eine Ordnungswidrigkeit vor, die mit einer Geldbuße
bis zu 50.000 ¤ geahndet werden kann.
Folgen für die Vertragsgestaltung
Die beschriebene Erweiterung der datenschutzrechtlichen
Pflichtenlage führt dazu, dass Mandanten
nunmehr dort, wo aus ihrer Sicht eine Auftragsdatenverarbeitung
durch den WP/vBP vorliegt, umfangreichere,
sämtliche Punkte des § 11 Abs. 2 Satz 2
BDSG ausdrücklich regelnde Vertragswerke verwenden.
Da wegen § 11 Abs. 2 Satz 2 Nr. 2 BDSG unter
anderem zu regeln ist, an wen personenbezogene
Daten vom Auftragnehmer übermittelt werden dürfen,
fordern Auftraggeber WP/vBP regelmäßig auch
dazu auf, eine gesonderte Erklärung zur Verschwiegenheit
abzugeben, obwohl eine entsprechende Verpflichtung
bereits gemäß §§ 43 Abs. 1 Satz 1, 50 WPO
besteht.
Zwar ist zumindest Letzteres wegen der parallelen
gesetzlichen Regelung inhaltlich zweifelhaft. Insgesamt
ist das beschriebene Vorgehen jedoch nachvollziehbar,
geht es dem Mandanten doch darum,
nachweisen zu können, eigenen gesetzlichen Pflichten
nachgekommen zu sein.
Entsprechenden Anfragen von Seiten des Mandanten
sollte mit Blick auf dessen datenschutzrechtliche
Pflichtenlage daher grundsätzlich kooperativ
begegnet werden. Gleichwohl ist anhand der oben
aufgeführten Definition und Abgrenzung in jedem
Einzelfall zu prüfen, ob eine Auftragsdatenverarbeitung
tatsächlich vorliegt, da die besonderen Pflichten
des § 11 Abs. 2 BDSG nur in diesem Fall greifen.
go
Newsletter der WPK
Auf ihren Internet-Seiten informiert die WPK in der Rubrik „Neu auf WPK.de“ über neue Beiträge,
Download-Angebote und andere Aktualisierungen.
Diese Übersicht stellt die WPK in einem monatlich erscheinenden Newsletter zur Verfügung.
Sie können den Newsletter unter k www.wpk.de durch Eingabe Ihrer E-Mail-Adresse bestellen.
Aus der Arbeit der WPK 23