Kurz gesagt: Mandantendaten gehören nicht in die kostenlose Verbraucherversion eines KI-Chatbots. Zulässig kann der Einsatz nur sein, wenn der Anbieter berufsrechtlich zur Verschwiegenheit verpflichtet ist, ein Vertrag zur Auftragsverarbeitung besteht, die Übermittlung in Drittländer abgesichert ist und die Eingaben nicht zum Training verwendet werden. Bei mandatsbezogener Nutzung braucht es zusätzlich die Einwilligung des Mandanten.
1. Warum das Thema Kanzleien besonders trifft
Für die meisten Unternehmen ist die Frage „Darf ich das in ChatGPT eingeben?“ vor allem eine Datenschutzfrage. Für Steuerberaterinnen und Steuerberater kommt eine zweite Ebene hinzu: die berufliche Verschwiegenheitspflicht. Ein Verstoß ist nicht nur ein Datenschutzproblem mit möglichem Bußgeld, sondern kann berufsrechtliche Folgen haben und sogar strafbar sein.
Hinzu kommt die Art der Daten: Steuerakten enthalten Einkommen, Vermögen, Familienverhältnisse – und oft auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa die Religionszugehörigkeit über die Kirchensteuer oder Gesundheitsdaten bei Krankheitskosten als außergewöhnliche Belastung.
2. Berufsrecht: § 203 StGB und § 62a StBerG
Nach § 203 Abs. 1 Nr. 3 StGB macht sich strafbar, wer als Steuerberater oder Steuerbevollmächtigter unbefugt ein fremdes Geheimnis offenbart, das ihm in dieser Eigenschaft anvertraut wurde. Die berufsrechtliche Verschwiegenheitspflicht ergibt sich zusätzlich aus § 57 Abs. 1 StBerG.
Seit 2017 dürfen Berufsgeheimnisträger externe Dienstleister einbinden, wenn das für deren Tätigkeit erforderlich ist (§ 203 Abs. 3 S. 2 StGB). Wie das für Steuerberater konkret aussehen muss, regelt § 62a StBerG. Die wichtigsten Anforderungen:
- Sorgfältige Auswahl des Dienstleisters.
- Verpflichtung zur Verschwiegenheit in Textform, einschließlich Belehrung über die strafrechtlichen Folgen.
- Nur so viel offenbaren, wie erforderlich ist.
- Dienstleister im Ausland nur, wenn dort ein mit dem Inland vergleichbarer Schutz der Geheimnisse gewährleistet ist – es sei denn, der Schutz ist nicht geboten.
- Mandatsbezogene Dienstleistungen: Dient die Leistung unmittelbar einem einzelnen Mandat, darf der Zugang zu Geheimnissen nur mit Einwilligung des Mandanten eröffnet werden.
Für KI-Tools bedeutet das: Ein Anbieter, mit dem keine Verschwiegenheitsvereinbarung besteht, ist berufsrechtlich kein zulässiger Dienstleister. Und wer einen konkreten Mandantenfall von einer KI bearbeiten lässt, braucht in der Regel die Einwilligung dieses Mandanten.
Praxisbeispiel
Eine Mitarbeiterin kopiert den Einspruch gegen einen Einkommensteuerbescheid inklusive Name, Steuer-ID und Einkünften in die kostenlose Version eines Chatbots, um ihn „glätten“ zu lassen. Es gibt keinen Vertrag mit dem Anbieter, keine Verschwiegenheitsverpflichtung und keine Einwilligung des Mandanten. Damit sind sowohl das Berufsrecht als auch die DSGVO berührt.
3. Datenschutz: DSGVO und Auftragsverarbeitung
Unabhängig vom Berufsrecht gilt die DSGVO. Wer personenbezogene Daten von Mandanten oder deren Beschäftigten an einen KI-Anbieter übermittelt, braucht in aller Regel:
- Einen Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO, der unter anderem regelt, dass der Anbieter die Daten nur nach Weisung verarbeitet und nicht für eigene Zwecke nutzt.
- Eine Absicherung der Drittlandübermittlung nach Art. 44 ff. DSGVO, wenn der Anbieter Daten außerhalb der EU verarbeitet – etwa über den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (für zertifizierte Unternehmen) oder EU-Standardvertragsklauseln.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, zum Beispiel Verschlüsselung, Zugriffsbeschränkungen und klare Löschfristen.
- Transparenz: Der Einsatz muss im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) und in den Datenschutzhinweisen für Mandanten berücksichtigt werden.
Bei umfangreicher Verarbeitung besonderer Datenkategorien kann außerdem eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein.
4. Verbraucher- vs. Business-Version
Die großen KI-Anbieter unterscheiden typischerweise zwischen Angeboten für Privatpersonen und für Unternehmen. Die Unterschiede sind für Kanzleien entscheidend. Die folgende Übersicht beschreibt die übliche Ausgestaltung – maßgeblich sind immer die aktuellen Vertragsbedingungen des jeweiligen Anbieters.
| Verbraucherversion (kostenlos / Einzelabo) | Business-, Enterprise- oder API-Zugang | |
|---|---|---|
| Vertrag zur Auftragsverarbeitung | in der Regel nicht vorgesehen | in der Regel verfügbar |
| Nutzung der Eingaben für Training | häufig standardmäßig aktiv, teils abschaltbar | üblicherweise standardmäßig ausgeschlossen |
| Verwaltung & Zugriffsrechte | persönliches Konto | zentrale Verwaltung, Rollen, Löschfristen |
| Verschwiegenheit nach § 62a StBerG | nicht gegeben | muss gesondert vereinbart werden |
Wichtig: Auch ein Business-Tarif macht den Einsatz nicht automatisch zulässig. Die Verschwiegenheitsverpflichtung nach § 62a StBerG ist in Standard-Nutzungsbedingungen regelmäßig nicht enthalten und muss gesondert geprüft und vereinbart werden.
5. Hilft Anonymisieren?
Ja – aber nur, wenn es wirklich eine Anonymisierung ist. Echt anonyme Daten fallen nicht unter die DSGVO, und ohne Personenbezug wird auch kein Geheimnis offenbart. Das Problem: Das bloße Entfernen des Namens reicht meist nicht. Daten sind nur pseudonymisiert und bleiben personenbezogen, solange die Person über andere Angaben wieder identifizierbar ist, zum Beispiel über:
- Steuer-ID, Steuernummer, Aktenzeichen oder IBAN,
- Adresse, Arbeitgeber oder Branche in Kombination mit dem Ort,
- auffällige Beträge, Daten oder Lebensumstände.
Gut geeignet für KI-Tools sind dagegen allgemeine Fragen ohne Mandantenbezug: „Formuliere ein höfliches Erinnerungsschreiben für fehlende Belege“ oder „Erkläre die Voraussetzungen des § 35a EStG in einfachen Worten“.
6. KI-Verordnung: KI-Kompetenz fördern
Seit dem 2. Februar 2025 gilt Art. 4 der KI-Verordnung (EU) 2024/1689. Durch die Verordnung (EU) 2026/1744 (Digital Omnibus, in Kraft seit 27. Juli 2026) wurde die Pflicht abgeschwächt: Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals weitestmöglich fördern. Eine bestimmte Schulung schreibt die Vorschrift nicht vor. Eine Kanzlei, die KI-Tools einsetzt, ist Betreiberin in diesem Sinne. Praktisch heißt das: Mitarbeitende sollten wissen, welche Tools freigegeben sind, welche Daten hineindürfen und dass KI-Ergebnisse fachlich geprüft werden müssen. Eine kurze, dokumentierte Schulung und eine schriftliche KI-Richtlinie sind ein guter Nachweis.
7. Checkliste für die Kanzlei
- Bestandsaufnahme: Welche KI-Tools werden in der Kanzlei bereits genutzt – auch privat auf Diensthandys?
- KI-Richtlinie: Schriftlich festlegen, welche Tools für welche Zwecke freigegeben sind und welche Daten nie eingegeben werden dürfen.
- Verbraucherversionen ausschließen: Keine Mandantendaten in kostenlose oder private Konten.
- Anbieter prüfen: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Drittlandübermittlung, Trainingsausschluss, Speicherort und Löschfristen.
- Verschwiegenheit vereinbaren: Verpflichtung des Dienstleisters nach § 62a StBerG in Textform.
- Einwilligung einholen: Bei mandatsbezogener Nutzung die Einwilligung des Mandanten, z. B. über die Mandatsvereinbarung.
- Dokumentieren: Verzeichnis der Verarbeitungstätigkeiten und Datenschutzhinweise ergänzen, ggf. Datenschutz-Folgenabschätzung.
- Kompetenz fördern: Maßnahmen zur KI-Kompetenz der Mitarbeitenden nach Art. 4 KI-VO ergreifen und dokumentieren.
- Ergebnisse prüfen: KI-Ausgaben nie ungeprüft übernehmen – die fachliche Verantwortung bleibt in der Kanzlei.
Verträge mit KI-Anbietern vorprüfen
Die Vertragsprüfung von GuardAI erkennt unter anderem, ob ein Dienstleistungsvertrag eine Auftragsverarbeitung nach Art. 28 DSGVO regelt, und nennt dazu Fundstelle, Rechtsgrundlage und einen Formulierungsvorschlag. Mit dem Website-Check prüfen Sie außerdem, ob Ihre Kanzlei-Website die Pflichtangaben und Datenschutzhinweise korrekt umsetzt.
Hinweis
Dieser Beitrag gibt einen allgemeinen Überblick über die Rechtslage zum angegebenen Stand und ersetzt keine Rechtsberatung im Einzelfall. Für die konkrete Gestaltung von Verträgen, Einwilligungen und Kanzleirichtlinien wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt bzw. an Ihre Steuerberaterkammer.
Rechtsgrundlagen: § 203 StGB · §§ 57, 62a StBerG · Art. 9, 28, 30, 32, 35, 44 ff. DSGVO · Art. 4 Verordnung (EU) 2024/1689 (KI-Verordnung) in der Fassung der Verordnung (EU) 2026/1744
Weiterlesen: Die 7 häufigsten Fehler auf Kanzlei-Websites