Lohnabrechnung extern: DSGVO, ISO 27001 und Schnittstellen 2026

Sandra Müller, Co-Geschäftsführerin einer Kölner Marketing-Agentur mit 38 Angestellten, sitzt im Termin mit ihrem externen Datenschutzbeauftragten und hat einen halben Bildschirm voller Fragen offen. Die Agentur will die Lohnabrechnung aus dem Steuerberatermandat lösen und an ein spezialisiertes Lohnbüro übergeben. Sandra muss in 14 Tagen dem CISO eines Kundenkonzerns nachweisen, dass Bewerbungsdaten, Gehaltsdaten und Bankverbindungen ihrer Mitarbeitenden in einer DSGVO-konformen, zertifizierten Infrastruktur liegen. Sie googelt "lohnabrechnung extern" und sucht nach harten Antworten zu AVV, ISO 27001, Hosting-Ort und Pen-Tests. Dieser Artikel liefert sie.

Lohnabrechnung extern beschreibt die Auslagerung der monatlichen Entgeltabrechnung samt vollständigem Meldewesen an einen spezialisierten Dritten. Konkret übernimmt der externe Anbieter die Berechnung der Bruttolöhne, den Lohnsteuerabzug, die Sozialversicherungsbeiträge, die Erstellung der Abrechnungen für Mitarbeitende sowie sämtliche Meldungen an Krankenkassen, Finanzamt und Berufsgenossenschaft. Das umfasst auch DEÜV-Meldungen, ELStAM-Abrufe, BG-Lohnnachweise und SOKA-BAU-Meldungen, sofern relevant.

Wichtig ist die Abgrenzung zu reinen Softwarelösungen wie Lexware oder DATEV LODAS in-house. Wer eine Softwarelizenz kauft und intern bedient, hat keine Lohnabrechnung extern, sondern lediglich digitale Werkzeuge für ein internes Team. Externe Lohnabrechnung bedeutet immer auch externe Personalkapazität, externe Verantwortung für Termin- und Meldetreue und externe IT-Sicherheits-Infrastruktur. Genau dieser Bündel-Charakter ist der Punkt, der Sandras CISO-Anforderung trifft.

Drei Modellvarianten dominieren den Markt. Erstens das Full-Service-Lohnbüro wie LohnDialog, das den kompletten Prozess von Stammdaten bis Auszahlung übernimmt. Zweitens die Lohnabteilung beim Steuerberater, die Lohn häufig als Nebenleistung zur Finanzbuchhaltung erbringt. Drittens das Hybridmodell, bei dem Stammdaten und Bewegungsdaten intern in einer HR-Software wie Personio erfasst und der Abschluss extern abgewickelt wird. Welches Modell wirtschaftlich passt, entscheidet sich an Größe, Branchenkomplexität und Compliance-Anforderungen, wie wir später am Vergleich Steuerberater gegenüber Lohnbüro noch sehen werden.

Im DSGVO-Vokabular handelt es sich bei der Lohnabrechnung extern um eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO. Der Anbieter verarbeitet personenbezogene Daten weisungsgebunden für Sandra als Verantwortliche. Diese Konstruktion ist klar geregelt: Art. 28 DSGVO: Anforderungen an den Auftragsverarbeitungsvertrag definiert sechs Pflichtinhalte, die jeder seriöse Anbieter mitliefert. Dazu gleich mehr.

In der Praxis werden Lohnabrechnung und Lohnbuchhaltung häufig synonym verwendet, technisch sind sie aber nicht dasselbe. Die Lohnabrechnung umfasst die Berechnung des Nettoentgelts und die Meldungen. Die Lohnbuchhaltung geht einen Schritt weiter und liefert zusätzlich die Buchungssätze für die Finanzbuchhaltung. Wer den FiBu-Anschluss vollständig automatisiert haben will, sollte sich Lohnbuchhaltung outsourcen: FiBu-Übergabe und DATEV-Schnittstellen ansehen. Für Sandras Use-Case in der Marketing-Agentur ist die Lohnabrechnung der Kern; die Buchungssätze werden ihr Steuerberater im DATEV-Rechnungswesen weiterverarbeiten.

Der externe Dienstleister übernimmt sämtliche Pflichtmeldungen. Dazu zählen DEÜV-An-, Ab-, Unterbrechungs- und Jahresmeldungen, die ELStAM-Abrufe für jeden Mitarbeitenden, die monatliche Lohnsteueranmeldung an das Finanzamt, der digitale BG-Lohnnachweis und in Bau- und Gastronomie-Branchen die SOKA-BAU-Meldungen mit aktuellem Gesamtbeitrag West 19,8 % beziehungsweise Ost 18,3 % seit dem 01.07.2026. Ab dem 01.01.2027 sind manuelle SOKA-Meldungen nicht mehr zulässig, was den Vorteil eines digital aufgestellten Anbieters zusätzlich verstärkt.

Die Datenübertragung zur Sozialversicherung läuft über das ITSG SV-Meldeportal mit ISO/IEC 27001:2022-Zertifizierung. Das ITSG wird vom GKV-Spitzenverband getragen und betreibt zwei zertifizierte Rechenzentren in Deutschland. Sandra kann ihrem CISO also belegen, dass die offizielle Sozialversicherungs-Infrastruktur denselben Sicherheitsstandard verlangt, den LohnDialog über project b. oder factorial mitbringt.

Was passiert, wenn die zuständige Lohnsachbearbeiterin krank wird, kündigt oder in Elternzeit geht? Intern hat Sandra dann ein massives Problem. Eine Halbtagskraft, die das Einzel-Know-how trägt, ist ein Single Point of Failure. Externe Lohnabrechnung verteilt das Risiko auf 60+ Lohn-Experten an 4 Standorten in Deutschland, mit dokumentierten Übergaben und definierter Vertretungsregelung im Leistungsvertrag. Der Zahllauf läuft, auch wenn ein Sachbearbeiter ausfällt.

Hier liegt der Aha-Moment für Sandra. Die landläufige Intuition lautet: "Wenn wir die Daten aus der Hand geben, geben wir Kontrolle ab und damit Sicherheit." Die belastbare Realität sieht anders aus. Ein ISO-zertifiziertes Lohnbüro betreibt eine Sicherheits-Infrastruktur, die ein 38-Personen-Mittelständler intern in dieser Qualität schlicht nicht stemmen kann. Pen-Tests, 24/7-Monitoring, jährliche Re-Audits und ein Information Security Management System nach ISO 27001:2022 kosten Kapazitäten, die in Sandras Agentur nicht vorhanden sind.

DSGVO-Pflichten bei Lohndaten ergeben sich aus mehreren Artikeln gleichzeitig. Art. 5 DSGVO definiert die Grundsätze der Datenverarbeitung. Art. 6 DSGVO liefert die Rechtsgrundlage über das Arbeitsverhältnis. Art. 28 DSGVO: Anforderungen an den Auftragsverarbeitungsvertrag regelt die Verhältnisse zwischen Sandra und dem Lohnbüro. Und Art. 32 DSGVO: technische und organisatorische Maßnahmen (TOM) verlangt konkrete Sicherheitsvorkehrungen wie Verschlüsselung, Zugriffsregelung und regelmäßige Überprüfung der Schutzmaßnahmen.

Wer die technischen Grundlagen für Payroll-Outsourcing verstehen will, findet dort die Bausteine im Detail. Für Sandras Auditgespräch zählen die folgenden fünf Bausteine.

Der Hosting-Ort ist kein Kosmetikthema, sondern für viele Konzernkunden Pflichtkriterium. project b., das digitale Self-Service-Tool von LohnDialog, hostet ausschließlich in Deutschland. Kein Drittland-Transfer, keine US-Cloud-Risiken, kein Schrems-II-Problem. Die BSI-Empfehlungen zu Cloud-Computing und Auslagerung geben Sandra die fachlichen Argumente, mit denen sie ihren CISO und ihren Datenschutzbeauftragten überzeugt. Ein TÜV-geprüftes Rechenzentrum ist die operative Umsetzung dieser Empfehlungen.

ISO 27001 ist der internationale Standard für Information Security Management Systeme. Wichtig ist die Versionsangabe: die aktuelle Norm ist ISO 27001:2022, der Vorgänger ISO 27001:2013 ist ausgelaufen. Wer 2026 noch ein Zertifikat auf Basis von 27001:2013 vorlegt, hat ein Compliance-Problem. project b. ist ISO 27001:2022 zertifiziert, mit aktuellem Re-Audit-Zyklus.

Die BSI-Übersicht zu Standards und Zertifizierung (ISO 27001 und IT-Grundschutz) führt ISO 27001 als zentralen ISMS-Standard. Das BSI trägt das Zertifikat selbst und gilt damit als Referenz für die deutsche Verwaltung. Wenn der CISO von Sandras Konzernkunden ISO 27001:2022 als Mindestanforderung definiert, liefert LohnDialog das Zertifikats-PDF im Standardpaket mit, ohne dass Sandra nachverhandeln muss.

Sandras Agentur hat 38 Angestellte und betreibt automatisierte Datenverarbeitung. Damit greift § 38 BDSG zum betrieblichen Datenschutzbeauftragten: ab 20 Mitarbeitenden mit ständiger automatisierter Datenverarbeitung ist ein DSB Pflicht. Sandra hat einen externen DSB, was im Mittelstand die verbreitete Lösung ist. Die Aufsichtsbehörden auf Landesebene sind erste Ansprechpartner bei Meldungen und Prüfungen, die BfDI: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist die oberste Bundesinstanz und Trust-Signal für DSGVO-konforme Anbieter.

Wer Lohnabrechnung extern betreibt, lebt von Schnittstellen. Sandra erfasst in Personio, der Steuerberater bucht in DATEV Rechnungswesen, die Zeitwirtschaft läuft über Clocko:do, und das Lohnbüro orchestriert dazwischen. LohnDialog betreibt 15+ produktive Schnittstellen, darunter Personio, StaffCloud, Bamboo, Sage HR, rexx, AIDA ORGA, Clocko:do, gastromatic, factorial und Teamhero.

Die Datenformate sind heterogen: csv für klassische Imports, xml für SV-Meldungen, DATEV-LODAS-Format für FiBu-Übergaben, REST-API für moderne HR-Tools. Sicherheitsseitig laufen alle Schnittstellen über TLS 1.3-verschlüsselte Verbindungen mit tokenbasierter Authentifizierung. E-Mail-Anhänge mit Lohndaten sind im Standard-Setup ausgeschlossen, was bei DSGVO-Audits ein wiederkehrender Pluspunkt ist.

Die Kostenfrage ist die zweite Hürde nach der Compliance. Sandra rechnet zwei Modelle gegeneinander: ihr aktuelles Steuerberatermandat mit gestaffelten Pauschalen plus Sonderfallaufschlägen und das spezialisierte Lohnbüro-Modell mit transparentem Festpreis pro Mitarbeitenden. LohnDialog kalkuliert mit 11 EUR pro Mitarbeitenden pro Monat in der allgemeinen Lohnabrechnung. Im Baulohn liegt der Satz bei 17 EUR und reflektiert SOKA-BAU-Meldungen, Schlechtwetter- und Saisonbesonderheiten. Die Mindestabrechnung liegt bei 33 bzw. 51 EUR pro Monat, was rechnerisch drei Mitarbeitenden entspricht.

Die Rechnung für Sandra ist klar: 38 MA mal 11 EUR ergibt 418 EUR pro Monat, also 5.016 EUR pro Jahr Lohnabrechnungs-Vollkosten. Das ist im Vergleich zur internen Halbtagskraft eine Größenordnung günstiger und im Vergleich zum aktuellen Steuerberatermodell rund die Hälfte. Wer eine günstige Lohnabrechnung sucht und gleichzeitig Compliance-Zertifikate erhalten will, hat im Festpreismodell die wirtschaftlich tragfähigste Variante. Den vollständigen Kostenvergleich mit Persona-Beispiel bietet auch Gehaltsabrechnung outsourcen: Kosten und Persona-Beispiel Sandra.

Marktüblich sind 5 bis 30 EUR pro Mitarbeitenden einmalig für Setup und Datenmigration. Bei Sandra mit 38 MA wären das also 190 bis 1.140 EUR einmalig. LohnDialog kalkuliert eine eventuelle Onboardingpauschale transparent und inkludiert Dokumentationsübergabe vom Vorgänger sowie Stammdaten-Mapping. Wer das vorhandene Steuerberatermandat ablöst, profitiert von einem definierten 3-Phasen-Plan, den wir im Migrationsabschnitt unten erläutern.

Sandras Agentur wird im Wachstumsfall die 100-MA-Marke knacken. Ab dieser Schwelle greifen Volumenstaffeln, die den Preis pro Mitarbeitenden weiter senken. Wer den langfristigen Wachstumspfad einkalkuliert, sollte den Hub-Artikel Lohnabrechnung outsourcen: Vollständiger Überblick lesen, dort finden sich die Preisstaffeldetails inklusive Enterprisetarif.

Welches Modell wirtschaftlich passt, hängt an Unternehmensgröße, Branchenkomplexität und Compliance-Anforderungen. Die folgende Vergleichstabelle hilft bei der Standortbestimmung.

Das Hybrid-Modell ist Sandras realistische Variante. Sie pflegt Mitarbeiterstammdaten, Abwesenheiten und variable Lohnarten in Personio, weil sie HR-Prozesse ohnehin dort konsolidiert hat. LohnDialog übernimmt Berechnung, Meldewesen und Auszahlung über die Personio-Schnittstelle. Sandra behält die HR-Souveränität, gibt aber die lohnspezifische Komplexität und das IT-Sicherheits-Setup an den Spezialisten ab. Genau dieses Modell kombiniert die Vorteile aus beiden Welten.

Rein rechnerisch lohnt sich der Wechsel ab etwa 10 Mitarbeitenden, weil dann das 11-EUR-Modell günstiger ist als interne Mitarbeiterzeit für Lohnabrechnungs-Routine. Ab 20 bis 30 Mitarbeitenden wird DSGVO-Compliance intern überproportional teuer, weil Auditthemen, ISO-Standards und Pen-Tests in den Anforderungskatalog rücken. Sandras Agentur mit 38 MA ist genau im Sweet-Spot. Wer den methodischen Wechselplan sucht, findet ihn unter Lohnabrechnung auslagern: 9 Schritte zum sicheren Wechsel. Bei der Haftung greifen die Vorgaben aus § 28e SGB IV: Arbeitgeber bleibt Schuldner des Gesamtsozialversicherungsbeitrags, und zwar in beiden Modellen.

Vor jeder Migration steht die Klärung von Haftung und Aufbewahrungspflichten. Sandra muss verstehen, was sie auch nach dem Wechsel an Pflichten behält und welche operativen Risiken das Lohnbüro übernimmt.

§ 28e SGB IV stellt klar: Der Arbeitgeber bleibt im Außenverhältnis Schuldner des Gesamtsozialversicherungsbeitrags. Auch wenn Sandra die Lohnabrechnung extern vergibt, haftet sie gegenüber Krankenkassen und Sozialversicherungsträgern. Im Innenverhältnis zwischen Sandra und LohnDialog regelt der Werkvertrag die Verantwortlichkeiten. Bei Fehlern des Lohnbüros greift dort die Berufshaftpflicht des Dienstleisters. Sandra sollte bei der Anbieterauswahl die Höhe der Haftpflichtsumme nachweisen lassen.

Die Aufbewahrungsfristen für Lohnunterlagen liegen bei 6 Jahren nach § 41 EStG für das Lohnkonto, bei 8 Jahren nach § 147 AO für Buchungsbelege und bei 10 Jahren nach § 257 HGB für bilanzrelevante Unterlagen. Der Arbeitgeber ist für die Einhaltung verantwortlich, auch wenn die physische Speicherung beim Dienstleister erfolgt. LohnDialog erfüllt diese Fristen technisch über revisionssichere Archivierung, mit Audit-Logs und definierten Zugriffsrechten.

Der deutsche Markt für externe Lohnabrechnung gliedert sich in drei klar abgegrenzte Segmente. Welches Segment für Sandra passt, hängt an Größe, Branche und Auditanspruch.

Steuerberater eignen sich, wenn das Lohnvolumen sehr klein ist (unter fünf Mitarbeitende) und die Finanzbuchhaltung eng mit der Lohnbuchhaltung verzahnt sein soll. Vorteilhaft ist die Konsolidierung der Mandatsbeziehung, nachteilig oft das Preisniveau und die fehlende Lohnspezialisierung. Wer einen Berater mit eigenem Lohnteam und eigener Software hat, kann dort gut aufgehoben sein. Sandras 38-MA-Agentur sprengt aber das Steuerberater-Modell in der Regel preislich.

Sandras Konstellation ist der Standard-Use-Case für ein spezialisiertes Lohnbüro. Mittelstand zwischen 20 und 250 Mitarbeitenden, Branchenkomplexität durch BAV, Tantiemen und Rückkehrerinnen aus Elternzeit, Auditanforderungen vom Endkunden, der Wunsch nach festem Ansprechpartner. § 6 Nr. 4 StBerG erlaubt es spezialisierten Lohnbüros, laufende Lohnabrechnung und Lohnsteueranmeldungen ohne Steuerberaterzulassung zu erbringen. Strategische Steuerthemen wie Jahresabschluss oder Umsatzsteuervoranmeldung bleiben beim Berater.

Für Konzerne ab 1.000 Mitarbeitenden und Multi-Länder-Setups passt Enterprise-BPO wie SD Worx oder ADP. Der Trade-off: hohe Standardisierung, oft anonyme Ansprechpartner über Ticketsysteme, weniger Branchentiefe. Sandras 38-MA-Agentur wäre in einem Enterprise-BPO-Tarif preislich überfordert und operativ unterversorgt.

Was kostet eine externe Lohnabrechnung pro Mitarbeiter?
Bei LohnDialog 11 EUR pro Mitarbeitenden pro Monat in der allgemeinen Lohnabrechnung. Im Baulohn 17 EUR pro Mitarbeitenden. Die Mindestabrechnung liegt bei 33 bzw. 51 EUR pro Monat. Der Marktdurchschnitt bei Steuerberatern und Enterpriseanbietern liegt bei 15 bis 35 EUR pro Mitarbeitenden, inklusive Setup-Anteil. Für Sandras 38-MA-Agentur ergibt das 418 EUR pro Monat, also 5.016 EUR pro Jahr Vollkosten.

Kann ich meine Lohnbuchhaltung auslagern, wenn ich keinen Steuerberater habe?
Ja. § 6 Nr. 4 StBerG erlaubt spezialisierten Lohnbüros die laufende Lohnabrechnung samt Lohnsteueranmeldung ohne StB-Zulassung. Strategische Steuerthemen wie Jahresabschluss oder Umsatzsteuer-Voranmeldung bleiben weiterhin beim Steuerberater. Wer keinen Berater hat, sollte für jahresabschlussrelevante Themen einen externen Partner einbinden.

Sandra Müller braucht für ihren Konzernkunden drei Dinge: AVV-Vorlage, DSGVO-Datenschutz-Sheet und ISO 27001:2022-Zertifikat-PDF. LohnDialog liefert diese Unterlagen als Standardpaket für jeden neuen Kunden mit, damit Sandra die Lieferantenfreigabe ohne Rückfragen durchbringt und ihr CISO-Termin in 14 Tagen sicher steht.

Migration, AVV-Abstimmung und Schnittstellen-Mapping sind die operativen Bausteine, die den Wechsel sicher machen. Sprechen Sie mit unseren Experten und holen Sie sich das DSGVO-Datenschutz-Sheet plus ISO 27001:2022-Zertifikat als PDF. In einem 30-minütigen Erstgespräch klären wir gemeinsam Ihre Schnittstellen-Landschaft, prüfen den AVV-Entwurf und legen den 3-Phasen-Migrationsplan fest. Wenn Sie zusätzlich die wirtschaftlichen Argumente für die Geschäftsführung brauchen, finden Sie diese in Sicherheit als GF-Argument: wirtschaftliche Vorteile der externen Lohnabrechnung und im LohnDialog-Leistungskatalog Entgeltabrechnung.

LohnDialog auf einen Blick: 35 Jahre Erfahrung als Familienunternehmen in zweiter Generation, 60+ Lohn-Experten an 4 Standorten in Deutschland, rund 20.000 Abrechnungen pro Monat, ausgezeichnet als TOP Dienstleister 2023, 2024 und 2025. ISO 27001:2022 zertifizierte Infrastruktur über project b., Hosting in Deutschland, 15+ produktive Schnittstellen inklusive Personio, DATEV, Sage HR, rexx, AIDA ORGA, Clocko:do, Teamhero, factorial und gastromatic. Unser Team freut sich auf Ihre Schnittstellen und Ihren AVV-Entwurf.