Nach der vorherrschenden Auffassung nein. Der Steuerberater ist berufsrechtlich zur eigenverantwortlichen Berufsausübung verpflichtet und handelt nach eigenem fachlichen Ermessen — er ist damit eigener Verantwortlicher im Sinne der DSGVO und nicht Ihr weisungsgebundener Auftragsverarbeiter. Dieselbe Einordnung gilt üblicherweise für Rechtsanwälte, Wirtschaftsprüfer und Ärzte.
Umstritten ist die Lohn- und Finanzbuchhaltung. Wird sie als Teil des steuerberatenden Mandats erbracht, folgt die Praxis in der Regel derselben Linie: eigene Verantwortlichkeit, kein Auftragsverarbeitungsvertrag. Wird die Lohnabrechnung dagegen von einem reinen Lohnbüro ohne Berufsträgerstatus erbracht, liegt Auftragsverarbeitung vor — dort brauchen Sie den Vertrag nach Art. 28 DSGVO. Weil die Abgrenzung nicht eindeutig ist, schließen manche Kanzleien vorsorglich einen Vertrag ab; ein überflüssiger Vertrag schadet nicht.
Wichtiger als die Einordnung ist in beiden Fällen, dass die Übermittlung selbst rechtmäßig ist. Sie geben Beschäftigtendaten — Namen, Adressen, Gehälter, Krankheitstage, Konfession, Bankverbindungen — an eine externe Stelle. Rechtsgrundlage ist in der Regel die Erfüllung Ihrer rechtlichen Verpflichtungen nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 26 BDSG. Das gehört in Ihr Verarbeitungsverzeichnis und in Ihre Datenschutzinformation für Beschäftigte.
Prüfen Sie außerdem den Übertragungsweg. Lohnlisten als unverschlüsselter Mailanhang sind in vielen Betrieben noch üblich und sind der Punkt, an dem es tatsächlich eng wird — nicht die Vertragsfrage. Kanzleien stellen dafür in der Regel ein geschütztes Portal bereit; nutzen Sie es.
Fundstelle: Art. 4 Nr. 7 und 8, Art. 6 Abs. 1 lit. c, Art. 28 DSGVO; § 26 BDSG; § 57 StBerG