KI in der Steuerkanzlei: Was Berufsrecht, § 203 StGB und DSGVO verlangen

Wer in der Kanzlei KI einsetzt, bewegt sich in mehreren Rechtsgebieten zugleich. Berufsrecht, Strafrecht, Datenschutz und die europäische KI-Verordnung stellen jeweils eigene Fragen, und eine erfüllte Anforderung ersetzt keine andere. Dieser Leitfaden ordnet die Ebenen und führt zu den Beiträgen, die einzelne Fragen vertiefen. Wichtigste Grundlage ist die FAQ der Bundessteuerberaterkammer (BStBK) vom 27. Oktober 2026.

Darf eine Steuerkanzlei KI einsetzen?

Ja. Die BStBK hält KI in der Steuerberatung für „zulässig, aber nur im Rahmen von Datenschutz, Berufsrecht und klaren Compliance-Regeln“. Eine Pflicht zur Nutzung besteht nach der FAQ derzeit nicht. Das Steuerberatungsgesetz ist technologieneutral: Es gilt für die gesamte Berufsausübung und damit auch dann, wenn ein KI-Tool mitarbeitet. Für Rechtsanwälte hat die Bundesrechtsanwaltskammer (BRAK) eigene Hinweise zum KI-Einsatz veröffentlicht.

Welche Regeln gelten nebeneinander?

Sechs Ebenen gelten nebeneinander, und jede verlangt von der Kanzlei etwas anderes.

Was bedeutet die Verschwiegenheit für den KI-Einsatz?

Sie verbietet externe KI-Dienste nicht, bindet sie aber an Bedingungen. Die Pflicht aus § 57 Abs. 1 StBerG erfasst alles, was in Ausübung des Berufs bekannt geworden ist. § 203 StGB stellt die unbefugte Offenbarung fremder Geheimnisse unter Strafe, ausdrücklich auch von Betriebs- und Geschäftsgeheimnissen. Der Schutz reicht damit weiter als die DSGVO: Auch Daten einer GmbH fallen darunter.

Ein Anbieter ist dabei nicht von vornherein ein unbefugter Dritter. § 203 Abs. 3 StGB erlaubt es, Geheimnisse gegenüber Personen zu offenbaren, die an der beruflichen Tätigkeit mitwirken, soweit das für deren Tätigkeit erforderlich ist. Die Kanzlei muss aber dafür sorgen, dass diese Personen zur Geheimhaltung verpflichtet sind. Versäumt sie das und gibt die mitwirkende Person ein Geheimnis unbefugt weiter, macht sich nach § 203 Abs. 4 StGB auch der Berufsträger strafbar.

Fehlt diese Absicherung, bleiben nach der BStBK die Einwilligung des Mandanten oder die Anonymisierung beziehungsweise Pseudonymisierung. In öffentlich zugängliche KI-Dienste gehören deshalb keine Angaben, die auf Mandanten oder Mandate schließen lassen. Den dienstlichen Einsatz privater KI stuft die FAQ als unzulässig ein. Dieselben Anforderungen gelten nach der FAQ entsprechend für allgemeine Cloud-Anwendungen.

Was muss im Vertrag mit dem KI-Anbieter stehen?

§ 62a StBerG verlangt einen Vertrag in Textform, der den Anbieter zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen belehrt. Er begrenzt die Kenntnisnahme auf das Erforderliche und regelt, ob weitere Personen eingesetzt werden dürfen. Der Anbieter ist sorgfältig auszuwählen, und bei Leistungen im Ausland muss der Geheimnisschutz vergleichbar sein. Dient die Leistung unmittelbar einem einzelnen Mandat, braucht es zusätzlich die Einwilligung des Mandanten.

Rechtsanwälte finden die Parallelnorm in § 43e BRAO, Wirtschaftsprüfer in § 50a WPO. Die Prüftabelle steht im Beitrag Verschwiegenheitsvereinbarung nach § 62a StBerG.

Was verlangt die DSGVO zusätzlich?

Sobald ein KI-System personenbezogene Daten verarbeitet, gilt die DSGVO vollständig, und § 62a Abs. 8 StBerG stellt klar, dass sie unberührt bleibt. Die Kanzlei braucht eine Rechtsgrundlage nach Art. 6. Die BStBK nennt je nach Einsatz die Erfüllung des Mandatsvertrags oder berechtigte Interessen, bei Diktier-KI meist die Einwilligung.

Betreibt ein externer Anbieter die Anwendung im Auftrag der Kanzlei, liegt nach der Orientierungshilfe der Datenschutzkonferenz (DSK) häufig Auftragsverarbeitung vor (Rn. 32). Dann ist ein Vertrag nach Art. 28 DSGVO zu schließen. Hinzu kommen Sicherheitsmaßnahmen nach Art. 32, Datenminimierung, Löschkonzepte und die Information der Betroffenen nach Art. 13.

Vor dem Start steht eine Risikobewertung. Ergibt sie voraussichtlich ein hohes Risiko, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich, was laut DSK beim Einsatz von KI-Anwendungen vielfach der Fall sein wird (Rn. 39). Das hat eine Folge für kleine Kanzleien: Nach § 38 Abs. 1 BDSG ist dann unabhängig von der Personenzahl ein Datenschutzbeauftragter zu benennen.

Beim Standort empfiehlt die BStBK europäische Anbieter oder Rechenzentren in der EU. Die DSK bevorzugt technisch geschlossene Systeme (Rn. 20) und Anwendungen, die Ein- und Ausgaben nicht zum Training verwenden (Rn. 24). Fragen Sie nach dem Ort jedes einzelnen Verarbeitungsschritts, nicht nur nach dem Speicherort. Informationen zum System muss der Anbieter liefern, denn ohne sie kann die Kanzlei weder informieren noch das Risiko bewerten (Rn. 21, 40).

Was gilt für Gesprächsaufnahmen und KI-Protokolle?

Hier kommt § 201 StGB hinzu, der das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes unter Strafe stellt. Nach der BStBK ist eine Aufnahme nur mit vorheriger Einwilligung aller Beteiligten zulässig, eine nachträgliche genügt nicht. Die Kammer ordnet Aktenvermerke, Gesprächsnotizen und Transkriptionen als Diktier-KI ein, hält sie für grundsätzlich zulässig und einen Offline-Einsatz für vorzugswürdig. Das Erfordernis der Einwilligung gilt für jedes Tool, auch für eines ohne Meeting-Bot.

Die Einzelheiten stehen im Beitrag Darf ein KI-Tool Mandantengespräche transkribieren?. Worauf es bei der Auswahl eines Meeting-Assistenten ankommt, beschreibt der Leitfaden für Steuerkanzleien.

Müssen Mandanten vom KI-Einsatz erfahren?

Das hängt von der Situation ab. Eine ausdrückliche berufsrechtliche Offenlegungspflicht gibt es nach der BStBK derzeit nicht. Datenschutzrechtlich ist eine Information aber erforderlich, wenn personenbezogene Mandantendaten an einen KI-Dienst fließen, und jede Aufnahme setzt die Einwilligung ohnehin voraus. Der Beitrag Muss ich Mandanten sagen, dass ich KI einsetze? trennt diese Fälle.

Welche Pflichten bringt die KI-Verordnung?

Für Kanzleien stehen KI-Kompetenz und Transparenz im Vordergrund. Wer KI in der Kanzlei eigenverantwortlich verwendet, ist laut BStBK in der Regel Betreiber im Sinne der Verordnung.

Art. 4 KI-VO verpflichtet Betreiber, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Diese Fassung gilt seit dem 27. Juli 2026, dem Inkrafttreten der Verordnung (EU) 2026/1744. Ein bestimmtes Kompetenzniveau muss danach für niemanden garantiert werden. Die BStBK-FAQ gibt hier noch den früheren Wortlaut wieder. Unabhängig davon bleibt die Fortbildungspflicht nach § 57 Abs. 2a StBerG bestehen.

Art. 50 KI-VO betrifft einzelne Konstellationen, etwa Chatbots, Emotionserkennung, Deepfakes und veröffentlichte Texte zu Angelegenheiten von öffentlichem Interesse. Für rein interne Entwürfe und Besprechungsnotizen besteht nach der BStBK grundsätzlich keine Kennzeichnungspflicht. Typische Kanzleianwendungen wie Recherche oder Texterstellung fallen laut FAQ in der Regel nicht in die Hochrisiko-Kategorien.

Was gilt gegenüber den eigenen Mitarbeitenden?

Dieselben Datenschutzpflichten, dazu eigene Regeln des Arbeitsrechts, denn KI-Lösungen verarbeiten regelmäßig auch Daten der Mitarbeitenden. Die BStBK nennt Informationspflichten gegenüber Mitarbeitenden und, wo es einen Betriebsrat gibt, dessen Mitbestimmungsrechte, etwa bei Leistungs- und Verhaltenskontrolle. Die DSK empfiehlt klare interne Regeln und weist darauf hin, dass die Einführung einer KI-Anwendung einen Mitbestimmungstatbestand erfüllen kann (Rn. 36, 37). Auch für interne Besprechungen gilt § 201 StGB: Der Wortlaut unterscheidet nicht zwischen Mandanten und Kollegen.

Wer trägt die Verantwortung für KI-Ergebnisse?

Der Berufsträger. Die eigenverantwortliche und gewissenhafte Berufsausübung nach § 57 Abs. 1 StBerG gilt auch für KI-gestützte Arbeit. Die BStBK verlangt, dass jedes Ergebnis von einer fachkundigen Person geprüft und freigegeben wird, und vergleicht KI-Ergebnisse mit der Arbeit unerfahrener Mitarbeitender. Gegenüber dem Mandanten haftet der Steuerberater für Fehler. Solche Fehler sind nach der FAQ in der Regel von der Berufshaftpflicht gedeckt, entscheidend bleiben aber die Versicherungsbedingungen.

Womit fängt die Kanzlei an?

Mit einer Bestandsaufnahme: Welche KI-Tools nutzt das Team bereits, auch inoffiziell? Daraus entstehen ein KI-Verzeichnis und eine kurze Richtlinie, die festlegt, welche Daten in welche Systeme dürfen. Eine gesetzliche Form für diese Dokumentation gibt es laut FAQ nicht, oft reicht eine schlanke Tabelle. Der Umfang richtet sich nach dem Risiko: Je näher KI an Fachprozesse und Mandatsdaten rückt, desto mehr ist festzuhalten.

Neue Tools durchlaufen einen Freigabeprozess und eine Testphase mit unverfänglichen Daten. Die Fragen an den Anbieter stehen im Beitrag Worauf achte ich bei der Auswahl eines Anbieters?, die Aussagen der Kammer im Überblick in Die FAQ in 12 Punkten.

Für Mandantengespräche gibt es Werkzeuge, die auf diesen Kontext zugeschnitten sind. TaxMeet (Next Intelligence GmbH, Berlin) ist für § 203 StGB konzipiert: Kein Meeting-Bot tritt dem Gespräch bei, die Erfassung läuft pro Teilnehmer auf dem Gerät, und nichts wird ohne menschliche Freigabe ausgeführt. Die Einwilligung aller Beteiligten holt die Kanzlei ein.