Die Mehrzahl der kleineren bis mittelständischen Unternehmen / Spielhallenbetreiber in Deutschland sind aus wirtschaftlichen und/oder personellen Gründen darauf angewiesen ihre Lohnbuchhaltung auf einen externen Anbieter auszulagern. Häufig wird hiermit der ohnehin schon für das Unternehmen tätige Steuerberater betraut.
Der Spielhallenbetreiber als Arbeitgeber (bzw. Verantwortlicher iSd. DSGVO) gibt hierbei die personenbezogenen Daten seiner Angestellten (Betroffene iSd. DSGVO), wie Name, Anschrift, Konfession etc. an den Steuerberater weiter, zum Zwecke der Lohnbuchhaltung. Es liegt somit eine Datenverarbeitung iSd. der DSGVO vor.
Fraglich ist insoweit die Rolle des Steuerberaters. Wird dieser als Auftragsverarbeiter für den Arbeitgeber (Verantwortlichen) tätig, mit der Folge, dass zwischen den beiden ein Auftragsverarbeitungsvertrag abzuschließen wäre, oder aber wird der Steuerberater selbst als Verantwortlicher tätig?
Relevanz hat diese Frage nicht zuletzt wegen der immensen Bußgelder, welche dem Verantwortlichen bei Nichtabschluss eines Auftragsverarbeitungsvertrages drohen. Hier drohen nach Art. 83 Abs. 4 a) DSGVO Bußgelder von bis zu € 10 Mio. oder im Fall eines Unternehmens, in Höhe von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs. Auch wenn dieser Rahmen im Regelfall nicht ausgeschöpft werden dürfte, so sollen Bußgelder im fünfstelligen Bereich eher die Regel, als die Ausnahme sein, wie der Landesdatenschutzbeauftragte für Datenschutz in Baden-Württemberg in einem Interview vom Januar 2019 gegenüber Spiegel Online betonte.
Als „Auftragsverarbeiter“ definiert die DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Es kommt somit entscheidend darauf an, ob der Steuerberater dem Arbeitgeber (Verantwortlichen) gegenüber weisungsgebunden ist oder nicht.
Eindeutig geklärt ist dies für den Lohnbuchhalter, welcher kein Steuerberater ist. Dieser ist gegenüber dem Arbeitgeber (Verantwortlichen) weisungsgebunden und wird für diesen folglich auch als Auftragsverarbeiter tätig.
Während die Mehrheit der Landesdatenschutzbeauftragten in der hier betrachteten Konstellation ein Auftragsverarbeitungsverhältnis verneinen, teilte der Landesdatenschutzbeauftragte für Baden-Württemberg auf Anfrage der Benesch Winkler Cosulting Rechtsanwaltsgesellschaft mbH mit, dass nach seiner Auffassung hier ein Auftragsverarbeitungsverhältnis besteht. In der Folge sei daher zwingend ein Auftragsverarbeitungsvertrag mit dem Steuerberater abzuschließen. Ferner wurde angekündigt, dass bei Verstößen hiergegen, Bußgelder gegen die Verantwortlichen verhängt würden.
Zudem ziehen Bußgelder in dieser Größenordnung nach § 149 Abs.2 Nr.3 GewO eine Eintragung in das Gewerbezentralregister nach sich, was es insbesondere im Hinblick auf laufende oder zukünftige Erlaubnisverfahren unbedingt zu vermeiden gilt.
Die Auffassung des Landesdatenschutzbeauftragten für Baden-Württemberg teilen nach derzeitigem Kenntnisstand wohl auch die Landesdatenschutzbeauftragten für Nordrhein-Westfahlen und Hessen.
Eine andere Auffassung vertreten, neben der Mehrheit der Landesdatenschutzbeauftragten, auch die Steuerberaterkammern. Diese raten ihren Mitgliedern nicht nur davon ab einen Auftragsverarbeitungsvertrag abzuschließen, sondern weisen zudem darauf hin, dass ein Steuerberater bei Abschluss eines Auftragsverarbeitungsvertrages gegen seine Berufspflichten verstoßen würde. Die Steuerberaterkammern empfehlen ihren Mitgliedern daher keine solchen Auftragsverarbeitungsverträge abzuschließen.
Bis zu einer endgültigen Klärung der Rechtsfrage (voraussichtlich durch den EUGH) verbleibt somit eine beträchtliche Rechtsunsicherheit, welche zu Lasten des Spielhallenbetreibers als Arbeitgeber (Verantwortlichen) geht.
Es bleibt festzuhalten, dass Spielhallenbetreiber als Arbeitgeber (Verantwortliche) in Baden-Württemberg (und wohl auch Nordrhein-Westfahlen und Hessen) dieser Problematik unbedingt Beachtung schenken und möglichst frühzeitig die Hilfe eines erfahrenen Rechtsbeistandes suchen sollten, um datenschutz- und gewerberechtliche Schwierigkeiten und die hiermit verbundenen hohen Bußgelder, erst gar nicht erst entstehen zu lassen.