KI in der Steuerkanzlei: Was mit Mandantendaten erlaubt ist

Steuerberater sind zur Verschwiegenheit verpflichtet, und zwar über alles, was ihnen bei der Arbeit bekannt wird (§ 57 Abs. 1 StBerG). Wer ein Mandantengeheimnis unbefugt offenbart, macht sich nach § 203 StGB strafbar. Es drohen Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

Eine KI ist rechtlich ein Dienstleister. Wer einen Steuerbescheid, eine E-Mail des Mandanten oder eine Lohnabrechnung in ein KI-Werkzeug gibt, gibt Mandantengeheimnisse an diesen Dienstleister weiter. Das ist nicht verboten, aber nur unter Bedingungen erlaubt.

Seit 2017 regelt § 62a StBerG, wann Steuerberater Dienstleistern Zugang zu Mandantengeheimnissen geben dürfen. Das gilt für Cloud-Speicher und IT-Betreuung genauso wie für KI-Werkzeuge. Der Anbieter ist sorgfältig auszuwählen. Der Vertrag muss in Textform geschlossen werden und mindestens Folgendes enthalten:

• • Der Anbieter wird zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen eines Verstoßes belehrt.
• • Er darf sich Mandantengeheimnisse nur verschaffen, soweit das für den Auftrag nötig ist.
• • Es ist geregelt, ob er weitere Dienstleister einschalten darf. Wenn ja, muss er diese ebenfalls in Textform zur Verschwiegenheit verpflichten.

Zwei Punkte sind bei KI besonders wichtig. Erbringt der Anbieter seine Leistung im Ausland, muss dort ein vergleichbarer Schutz bestehen (Abs. 4). Dient der Einsatz unmittelbar einem einzelnen Mandat, ist die Einwilligung des Mandanten nötig (Abs. 5). Hält der Anbieter die Pflichten nicht ein, ist die Zusammenarbeit unverzüglich zu beenden.

Wo kein passender Vertrag besteht, hilft nur Anonymisieren: Name, Anschrift, Steuernummer und alle anderen Hinweise auf den Mandanten müssen vor der Eingabe heraus. Bei hochgeladenen Dokumenten gilt das für jede einzelne Seite.

Neben dem Berufsrecht gilt die DSGVO. Verarbeitet ein KI-Anbieter personenbezogene Daten im Auftrag der Kanzlei, braucht es einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und angemessene technische Schutzmaßnahmen wie Verschlüsselung und Zugriffsrechte (Art. 32). Es dürfen nur so viele Daten in die KI, wie für den Zweck nötig sind.

Sitzt der Anbieter außerhalb der EU, kommt die Übermittlung in ein Drittland hinzu. Sie ist nur mit zusätzlichen Absicherungen zulässig, etwa Standardvertragsklauseln. Die Bundessteuerberaterkammer zieht daraus ein klares Fazit: KI aus der EU ist datenschutzrechtlich die bessere Wahl.

Birgt der KI-Einsatz voraussichtlich ein hohes Risiko für die Betroffenen, kann eine Datenschutz-Folgenabschätzung nötig sein (Art. 35 DSGVO). Und die Mandanten sollten in der Datenschutzinformation erfahren, dass die Kanzlei KI einsetzt.

Wer KI im Betrieb eigenverantwortlich einsetzt, ist nach der europäischen KI-Verordnung „Betreiber“. Seit dem 2. Februar 2025 müssen Betreiber dafür sorgen, dass ihre Mitarbeiter den Umgang mit KI lernen (Art. 4 KI-VO). Seit dem 27. Juli 2026 gilt dafür eine überarbeitete Fassung: Die Kanzlei muss Maßnahmen ergreifen, die KI-Kompetenz zu entwickeln, ein bestimmtes Niveau für jeden Einzelnen muss sie nicht garantieren.

Für Steuerberater kommt die allgemeine Fortbildungspflicht hinzu (§ 57 Abs. 2a StBerG). Dazu gehört heute auch der kompetente Umgang mit KI, vor allem das kritische Prüfen ihrer Ergebnisse. KI-Systeme können Vorschriften oder Urteile erfinden. Was die Kanzlei verlässt, verantwortet der Berufsträger.

1. 1Festlegen, welche KI-Werkzeuge in der Kanzlei erlaubt sind, und private KI-Zugänge für dienstliche Zwecke ausdrücklich ausschließen.
2. 2Für jedes Werkzeug, das Mandantendaten sieht: Vertrag nach § 62a StBerG in Textform und Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
3. 3Prüfen, wo die Daten verarbeitet werden. Anbieter mit Rechenzentrum in der EU bevorzugen.
4. 4Wo kein solcher Vertrag besteht: Namen, Anschrift, Steuernummer und alles, was auf den Mandanten schließen lässt, vorher entfernen.
5. 5Mitarbeiter im Umgang mit KI schulen und die Schulung kurz dokumentieren.
6. 6Die Datenschutzinformation für Mandanten um den KI-Einsatz ergänzen.
7. 7Jedes KI-Ergebnis fachlich prüfen, bevor es die Kanzlei verlässt.

Darf ein Steuerberater ChatGPT nutzen?

Ja, aber nicht mit Mandantendaten, solange kein Vertrag nach § 62a StBerG besteht und der Mandant nicht eingewilligt hat. Die Bundessteuerberaterkammer empfiehlt, in solche Dienste keine Angaben einzugeben, die auf den Mandanten oder das Mandat schließen lassen. Für allgemeine Recherchen und Texte ohne Mandatsbezug ist der Einsatz möglich.

Braucht man die Einwilligung des Mandanten?

Nicht immer. Ist die KI ein allgemeines Arbeitsmittel der Kanzlei und besteht ein Vertrag nach § 62a StBerG, reicht dieser. Dient der Einsatz unmittelbar einem einzelnen Mandat, verlangt § 62a Abs. 5 StBerG die Einwilligung. Ob das bei KI-Werkzeugen zutrifft, ist nicht abschließend geklärt. Die Kammer rät deshalb, vor der Eingabe sensibler Daten eine Einwilligung einzuholen oder die Daten zu anonymisieren.

Muss die Kanzlei einen KI-Beauftragten benennen?

Nein, eine solche Pflicht gibt es nicht. Wer KI in der Kanzlei einsetzt, muss aber nach Art. 4 KI-Verordnung Maßnahmen ergreifen, damit Inhaber und Mitarbeiter den Umgang damit lernen. Eine feste Ansprechperson für KI-Fragen kann dabei helfen.

Reicht ein Server in Deutschland für den Datenschutz?

Der Standort ist ein wichtiger Baustein, aber nicht alles. Dazu gehören ein Auftragsverarbeitungsvertrag, eine Verschwiegenheitsvereinbarung nach § 62a StBerG, technische Schutzmaßnahmen wie Verschlüsselung und Zugriffsrechte und die Frage, ob Daten an weitere Anbieter außerhalb der EU fließen.