§203 & KI in der Steuerkanzlei: die Compliance-Checkliste
Die 10-Punkte-Prüfliste, bevor eine Kanzlei KI mit Mandantendaten einsetzt — §203 StGB und DSGVO zusammengedacht, zum Abhaken.
Bevor eine Steuerkanzlei eine KI mit Mandantendaten einsetzt, sollte sie zehn Punkte prüfen. Sie verbinden Datenschutz (DSGVO) mit dem strafrechtlichen Berufsgeheimnis (§203 StGB). Als Prüfliste zum Abhaken:
- Verschwiegenheitsvereinbarung nach §203 Abs. 4 StGB
Ein AVV nach Art. 28 DSGVO reicht bei Berufsgeheimnisträgern nicht. Der Anbieter muss eine gesonderte Verschwiegenheitsverpflichtung nach §203 Abs. 4 StGB (bzw. §62a StBerG) eingehen. - Datenhoheit: Wo werden die Daten verarbeitet?
Idealerweise lokal auf eigener Hardware — dann verlassen die Daten die Kanzlei nie. Andernfalls: nachweislich EU/Deutschland, kein Drittlandtransfer ohne Rechtsgrundlage. - Kein Training mit euren Eingaben
Vertraglich ausschließen, dass Mandanteneingaben zum Training der Modelle genutzt werden. - Zertifizierung & technische Maßnahmen
Nachweisbare TOMs: z. B. ISO 27001, Verschlüsselung in Ruhe und Transport (etwa AES-256, TLS 1.3), Protokollierung. - Quellenbeleg je Antwort
Jede KI-Antwort sollte nachvollziehbar auf ein Quelldokument verweisen — gegen Halluzination und für die Prüfbarkeit. - Mandantentrennung & Zugriffskontrolle
Strikte Trennung der Wissensbasis je Mandant; rollenbasierte Zugriffe innerhalb der Kanzlei. - Verzeichnis der Verarbeitungstätigkeiten & DSFA
Den KI-Einsatz ins VVT aufnehmen und prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist. - Information/Einwilligung, wo erforderlich
Prüfen, ob Mandanten über den KI-Einsatz zu informieren oder um Einwilligung zu bitten sind. - Lösch- & Rückgabekonzept
Klare Regeln zu Aufbewahrung, Löschung und Rückgabe der Daten bei Vertragsende. - Anbietersitz & Rechtsraum
Sitz und Rechtsraum des Anbieters prüfen — EU-Anbieter reduzieren Transfer- und Zugriffsrisiken.
Der rote Faden: Der kritischste Punkt ist die Datenhoheit. Solange Mandantendaten das eigene System verlassen, muss der §203-Schutz vertraglich hergestellt und laufend abgesichert werden. Bei lokaler Verarbeitung auf eigener Hardware entfällt dieses Risiko strukturell — die Daten bleiben in der Kanzlei. Den Unterschied der Ansätze zeigt unser Vergleich lokal vs. Cloud.
Wie eine §203-konforme, lokale KI-Antwort-Schicht in der Praxis aussieht — mit Quellenbeleg je Antwort und den operativen Dokumenten jenseits der Buchhaltung — zeigen wir gern an einem echten Dokument: Lösung für Steuerkanzleien.
Hinweis: allgemeine Orientierung (Stand 2026), keine Rechtsberatung. Für die verbindliche Bewertung sind die Bundessteuerberaterkammer bzw. die zuständige Kammer und ggf. anwaltlicher Rat maßgeblich.
Häufige Fragen
Reicht ein AVV nach Art. 28 DSGVO für KI in der Steuerkanzlei?
Nein. Der AVV ist notwendig, aber bei Berufsgeheimnisträgern nicht hinreichend. Zusätzlich braucht es eine Verschwiegenheitsvereinbarung nach §203 Abs. 4 StGB.
Was ist der wichtigste Punkt der Checkliste?
Die Datenhoheit: Verlassen Mandantendaten das eigene System? Lokale Verarbeitung auf eigener Hardware erfüllt den §203-Schutz strukturell, weil kein Datenabfluss stattfindet.
Muss ich Mandanten über den KI-Einsatz informieren?
Das ist im Einzelfall zu prüfen — je nach Art der Verarbeitung kann eine Information oder Einwilligung erforderlich sein. Im Zweifel Kammer/anwaltlichen Rat einholen.
Wo finde ich verlässliche Vorgaben?
Bei der Bundessteuerberaterkammer (BStBK) und der zuständigen Kammer; dieser Beitrag ist eine allgemeine Orientierung, keine Rechtsberatung.