Externer Steuerberater oder Lohnbüro: Wann ist ein AVV vertraglich angezeigt?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche Rechtsgrundlagen gelten?

Die Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter folgt aus Art. 4 Nr. 7 und Nr. 8 DSGVO. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Die Rolle ergibt sich aus den tatsächlichen Verhältnissen, nicht aus der Bezeichnung im Vertrag. Die EDSA-Leitlinien 07/2020 zu den Begriffen „Verantwortlicher" und „Auftragsverarbeiter" konkretisieren diese Abgrenzung.

Für den deutschen Berufskontext sind einschlägig:

• § 11 Abs. 2 StBerG: Steuerberater als Verantwortliche für sämtliche Mandantendaten, Verarbeitung weisungsfrei.
• § 57 Abs. 1 StBerG: Pflicht zur unabhängigen, eigenverantwortlichen und verschwiegenen Berufsausübung.
• § 6 Abs. 1 Nr. 1 StBerG: Befugnis qualifizierter Buchhalter zum Buchen laufender Geschäftsvorfälle, zur laufenden Lohnabrechnung und zur Lohnsteuer-Anmeldung.
• DSK-Kurzpapier Nr. 13 „Auftragsverarbeitung, Art. 28 DS-GVO" (Stand 17.12.2018), Anhang A mit Beispielen für Auftragsverarbeitung und Anhang B mit Beispielen für fremde Fachleistungen.
• BayLDA-Auslegungshilfe „Muss mit Steuerberaterinnen und Steuerberatern ein Vertrag zur Auftragsverarbeitung nach der DS-GVO geschlossen werden?" (14.01.2020).

Die Übermittlung von Kunden- und Beschäftigtendaten an den Steuerberater stützt das BayLDA auf Art. 6 Abs. 1 Satz 1 lit. f DSGVO, soweit sie für dessen Tätigkeit erforderlich ist.

Welche Konstellation passt zu deinem Dienstleister?

Für Dienstleister ohne gesetzliche Rollenzuweisung helfen drei Leitfragen. Sie ergeben zusammen eine Indikation, keine abschließende Einordnung:

Berufsgeheimnisträger? Das DSK-Kurzpapier Nr. 13 nennt als Beispiel für fremde Fachleistungen bei einem eigenständig Verantwortlichen die Einbeziehung von Berufsgeheimnisträgern, etwa Steuerberatern, Rechtsanwälten, externen Betriebsärzten und Wirtschaftsprüfern. Für Steuerberater ist die Frage durch § 11 Abs. 2 StBerG gesetzlich entschieden.

Weisung oder eigene Fachleistung? Ein Auftragsverarbeiter verarbeitet nach dokumentierter Weisung (Art. 28 Abs. 3 lit. a DSGVO). Wer dagegen in eigener fachlicher Verantwortung arbeitet, etwa über die steuerliche Behandlung eines Sachverhalts entscheidet, spricht eher für eine eigene Verantwortlichkeit.

Eigene Entscheidungen über Zwecke und Mittel? Führt der Dienstleister ausschließlich technische Verarbeitungsschritte nach Vorgabe aus, etwa ein Rechenzentrum, das Abrechnungen nach den Stammdaten des Kunden durchlaufen lässt, spricht das für Auftragsverarbeitung.

Wie geht man praktisch vor?

Schritt 1: Alle externen Datenempfänger erfassen. Dazu gehören Steuerberater, Lohnbüros, IT-Dienstleister, Cloud-Anbieter, Marketing-Tools, Hotline-Dienste und alle weiteren externen Stellen, die personenbezogene Daten erhalten oder verarbeiten können. Das Verzeichnis der Verarbeitungstätigkeiten ist dafür der natürliche Ausgangspunkt.

Schritt 2: Jeden Dienstleister einordnen und die Einordnung in einem internen Vermerk festhalten, der bei einer Prüfung durch die Aufsicht vorgelegt werden kann.

Schritt 3: Vertraglich passend regeln.

• Steuerberater, auch bei Lohnbuchhaltung: kein AVV. Die Kanzlei wird im Verzeichnis der Verarbeitungstätigkeiten und in den Datenschutzinformationen als Empfänger geführt. Die Verschwiegenheit ergibt sich aus § 57 StBerG.
• Reine Abrechnungs- und IT-Dienstleister (Lohnrechenzentrum, Cloud-Anbieter, IT-Support mit Datenzugriff): Vertrag mit den Pflichtinhalten nach Art. 28 Abs. 3 DSGVO.
• Selbstständige Buchhalter und Lohnbüros nach § 6 Abs. 1 Nr. 1 StBerG: nach den Leitfragen einordnen. Wer lediglich nach Vorgaben abrechnet, ist typischerweise Auftragsverarbeiter.

Welche Konstellationen verlangen ein anderes Vorgehen?

• Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO: Entscheiden zwei Stellen gemeinsam über Zwecke und Mittel, braucht es statt eines AVV eine Vereinbarung nach Art. 26 Abs. 1 DSGVO.
• Übermittlung in ein Drittland: Sitzt der Dienstleister oder einer seiner Unterauftragsverarbeiter außerhalb von EU und EWR, braucht es einen Angemessenheitsbeschluss oder geeignete Garantien nach Art. 46 DSGVO, etwa Standardvertragsklauseln. Bei Standardvertragsklauseln kommt ein Transfer Impact Assessment hinzu.
• Unterauftragsverarbeiter: Setzt der Auftragsverarbeiter weitere Dienstleister ein, ist die Genehmigung nach Art. 28 Abs. 2 DSGVO vertraglich zu regeln.
• Branchenvorschriften: Im Gesundheitswesen kommen die Schweigepflicht nach § 203 StGB und die Regeln zu besonderen Kategorien personenbezogener Daten hinzu. Im Finanzsektor stellt die Verordnung (EU) 2022/2554 (DORA) eigene Anforderungen an Verträge mit IKT-Drittdienstleistern.
• Übermittlungen an Behörden, etwa an Finanzämter oder Sozialversicherungsträger, beruhen auf gesetzlicher Grundlage (Art. 6 Abs. 1 lit. c DSGVO) und brauchen keinen AVV.

Nächster Schritt

Für Dienstleister, die als Auftragsverarbeiter einzuordnen sind, erstellt der AVV-Generator einen Vertragsentwurf mit den Mindestinhalten nach Art. 28 Abs. 3 DSGVO. Er enthält Angaben zu technischen und organisatorischen Maßnahmen, eine Liste der Unterauftragsverarbeiter und Angaben zu Drittlandübermittlungen. Standardvertragsklauseln und deren Anhänge erzeugt er nicht, die amtliche Fassung stellt die EU-Kommission bereit.

Haftung, Unterauftragsverarbeitung, Meldung von Datenpannen und Kontrollrechte im Auftragsverhältnis erläutert DSGVO-Auftragsverarbeitung Art. 28 in der Praxis.