Als PDF downloaden - Haufe.de

Interview
„Datenschutz muss höchste Priorität haben“
RA Dr. Nils Christian Haag verantwortet die Bereiche Datenschutz und
IT-Compliance bei der Intersoft Consulting Services AG aus Hamburg.
SteuerConsultant: Wann müssen Kanzleichefs
einen Datenschutzbeauftragten
bestellen?
RA Dr. Nils Christian Haag: Kanzleien müssen
in der Regel einen Datenschutzbeauftragten
bestellen, wenn sie zehn oder mehr
Mitarbeiter beschäftigen.
SteuerConsultant: Welche Gesetze und
Bestimmungen sind hier maßgeblich?
Haag: Steuerkanzleien müssen wie andere
Unternehmen der Privatwirtschaft die Regelungen
des Bundesdatenschutzgesetzes
(BDSG) einhalten. Neben dem Standesrecht
sind weiter Spezialvorschriften zu beachten,
beispielsweise das Telemediengesetz beim
Betrieb einer Unternehmenswebseite oder
des Kunsturhebergesetzes beim Veröffentlichen
von Mitarbeiterfotos.
SteuerConsultant: Was müssen Steuerberater
beim Datenschutz beachten?
Haag: Der Schutz der Vertraulichkeit von
Mandantendaten sollte für jede Steuerkanzlei
höchste Priorität haben. Eine unbefugte
Kenntnisnahme durch Dritte stellt nicht nur
einen massiven Datenschutzverstoß dar,
sondern dürfte vor allem das Image jeder
Kanzlei ernsthaft bedrohen.
Zu empfehlen ist die Durchführung eines
internen Datenschutz-Audits, um vorhandene
Schwachstellen auszumachen und zu
beseitigen. Oft fehlt es an erforderlichen
Dokumenten zum Datenschutz, aber auch
an technischen Schutzmaßnahmen. Auch
Auslagerungen von Prozessen bei Fremdfirmen
sind datenschutzrechtlich zu kontrollieren:
Werden Mandantendaten durch
externe Dienstleister verarbeitet, beispielsweise
durch einen IT-Dienstleister oder
einen Aktenvernichter, sind diese vertraglich
auf gewisse Datenschutzstandards zu
verpflichten.
SteuerConsultant: Was versteht man dabei
unter einer internen und einer externen
Lösung?
Haag: Eine interne Lösung wäre die Bestellung
eines eigenen Mitarbeiters zum
Datenschutzbeauftragten. Hierbei sollte
man jedoch beachten, dass Führungskräfte
und IT-Verantwortliche nicht bestellt
werden dürfen, da diese sich sonst selbst
kontrollieren müssten. Eine externe Lösung
bedeutet die Bestellung eines Experten einer
Fremdfirma in Verbindung mit einem Beratervertrag.
Das BDSG lässt diese Variante
explizit zu.
SteuerConsultant: Wo liegen die Vorteile
und Nachteile der beiden Lösungen?
Haag: Ein interner Mitarbeiter wird häufig
gewählt, weil die Kosten für einen externen
Berater gescheut werden. Wenn man es
mit dem Datenschutz jedoch ernst meint,
geht diese Rechnung oft nicht auf. Denn
bei einer internen Lösung werden nicht nur
Kapazitäten eines Mitarbeiters gebunden.
Dieser muss sich einarbeiten, Literatur
anschaffen und regelmäßig fortgebildet
werden, wodurch direkte Kosten entstehen.
Datenschutz ist ein solches Spezialgebiet,
welches selbst ein Rechtsanwalt mit zwei
Staats examina nicht ohne größeren Mehraufwand
bewältigen kann.
Externe Datenschutzbeauftragte profitieren
von der Erfahrung aus der Beratung
verschiedener Unternehmen. Im Datenschutz
geht es oft darum, pragmatische
Lösungen zu finden, die möglichst wenig in
andere Geschäftsabläufe eingreifen. Diese
Lösungen können viele interne Datenschutzbeauftragte
mangels Erfahrung oft
nicht kennen, sodass viele dazu neigen,
bestimmte Vorhaben aus Datenschutzgründen
ganz zu verhindern.
SteuerConsultant: Wo liegen die Fallstricke
beim Thema Datenschutz?
Haag: Nehmen wir nur mal das BDSG, dann
drohen bei Verstößen Bußgelder von bis zu
300.000 Euro. In der Praxis dürfte das größte
Risiko für eine Steuerkanzlei jedoch darin
bestehen, dass ein Datenschutzverstoß zu
einer Rufschädigung führt. Verletzungen des
Datenschutzes sind ein dankbares Thema
für Zeitungen und Blogs.
SteuerConsultant: Welche Aspekte und
Fragen sind beim Datenschutz wichtig?
Haag: Technische Schutzmaßnahmen im
Bereich der IT sind Teil der gesetzlichen
Anforderungen der Datenschutzgesetze
und werden in vielen Kanzleien häufig noch
nicht ernst genug genommen. Vertrauliche
Daten werden oft ungeschützt per E-Mail
versendet und die eigenen IT-Systeme sind
nicht ausreichend gegen Angriffe von außen
geschützt.
Besonders zu beachten sind also die Vertraulichkeit
der elektronischen Speicherung
und Übermittlung von Daten, aber auch die
Verfügbarkeit der Daten durch Backups und
weitere Maßnahmen der Informationssicherheit.
SteuerConsultant: Wie lauten die häufigsten
Fragen für die Umsetzung der
Regeln im Kanzleialltag?
Haag: Häufig geht es um die Frage, ob
gesonderte Datenschutzvereinbarungen
mit Mandanten geschlossen werden müssen.
In der Regel ist dies nicht erforderlich,
da ein Steuerberater nicht weisungsgebunden
tätig ist und deshalb auch nicht nach
§ 11 BDSG verpflichtet werden muss. Anders
ist es beispielsweise dann, wenn nur die
Gehaltsabrechnungen für einen Mandanten
versendet werden.
Was die technische Absicherung von Daten
angeht, sollte er an die Verschlüsselung von
Daten denken, wenn diese auf Notebooks
oder USB-Sticks seine Kanzlei verlassen.
www.steuer-consultant.de
2 _ 13 SteuerConsultant 47