Ratgeber für DATEV-Kanzleien: KI und Berufsgeheimnis: § 203 StGB und § 62a StBerG in der Steuerkanzlei.

Was regelt § 203 StGB beim Einsatz von KI?

§ 203 Abs. 1 Nr. 3 StGB nennt Steuerberater und Steuerbevollmächtigte ausdrücklich. Für den KI-Einsatz sind zwei weitere Absätze wichtig:

• Abs. 3: Geheimnisse dürfen sonstigen mitwirkenden Personen zugänglich gemacht werden, soweit das für deren Tätigkeit erforderlich ist. Das ist kein Offenbaren im Sinne der Vorschrift.
• Abs. 4: Strafbar macht sich auch, wer nicht dafür sorgt, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde.

Der Strafrahmen liegt bei Freiheitsstrafe bis zu einem Jahr oder Geldstrafe, in den Fällen des Abs. 6 bei bis zu zwei Jahren. Die Bundessteuerberaterkammer (BStBK) weist darauf hin, dass der Schutz anders als bei der DSGVO auch Daten von Unternehmen erfasst. Der Name einer GmbH in einem Prompt ist also kein Randthema.

Was verlangt § 62a StBerG vom Vertrag mit dem KI-Anbieter?

Die BStBK wendet § 62a StBerG auf KI-Anbieter so an wie auf andere Cloud-Dienstleister. Prüfen Sie die Vertragsunterlagen des Anbieters auf diese Punkte:

1. Sorgfältige Auswahl (Abs. 2): Die Auswahl muss nachvollziehbar sein. Ist die Einhaltung der Vorgaben nicht mehr sichergestellt, ist die Zusammenarbeit unverzüglich zu beenden.
2. Textform (Abs. 3): Der Vertrag muss in Textform vorliegen.
3. Verschwiegenheit mit Belehrung: Der Anbieter wird zur Verschwiegenheit verpflichtet und auf die strafrechtlichen Folgen hingewiesen.
4. Begrenzte Kenntnisnahme: Er darf nur so viel zur Kenntnis nehmen, wie für den Auftrag nötig ist.
5. Unterauftragnehmer: Der Vertrag regelt, ob er weitere Personen hinzuziehen darf. Diese sind dann ebenfalls in Textform zu verpflichten.
6. Ausland (Abs. 4): Bei Leistungen aus dem Ausland muss der dortige Geheimnisschutz dem inländischen vergleichbar sein, außer der Schutz der Geheimnisse verlangt das nicht.

Die allgemeinen Nutzungsbedingungen eines KI-Dienstes enthalten diese Punkte nicht automatisch. Die BStBK weist darauf hin, dass der Abschluss einer solchen Vereinbarung im Einzelfall aufwändig sein kann, sofern der Anbieter sie überhaupt anbietet. Der Datenschutz kommt hinzu, denn nach Abs. 8 bleiben die Datenschutzvorschriften unberührt. Eine Vereinbarung zur Auftragsverarbeitung ersetzt die Verschwiegenheitsverpflichtung also nicht, und umgekehrt.

Wann braucht es trotzdem die Einwilligung des Mandanten?

Dient die Leistung unmittelbar einem einzelnen Mandat, darf der Zugang zu den Geheimnissen nach § 62a Abs. 5 StBerG nur mit Einwilligung eröffnet werden. Abs. 2 und 3 gelten dann weiter, es sei denn, der Mandant verzichtet ausdrücklich darauf.

Offen ist die Abgrenzung im Alltag. Ein KI-System als allgemeines Arbeitsmittel der Kanzlei gehört zur allgemeinen IT-Struktur. Ob auch eine einzelne Anfrage zu einem bestimmten Mandat unter Abs. 5 fällt oder die Vorschrift nur Fälle wie den Sachverständigen oder Übersetzer meint, bezeichnet die BStBK als nicht zweifelsfrei zu beantworten. Sie rät, bei sensiblen mandantenbezogenen Daten vorher die Einwilligung einzuholen oder zu anonymisieren.

Was gilt für Mitarbeiter und private KI-Zugänge?

Nach § 62 StBerG sind Beschäftigte in Textform zur Verschwiegenheit zu verpflichten und über die strafrechtlichen Folgen zu belehren. Schauen Sie nach, ob die vorhandenen Erklärungen in der Personalakte das hergeben, auch für Aushilfen und Praktikanten.

Den Einsatz privater KI-Zugänge für dienstliche Zwecke bezeichnet die BStBK als unzulässig. In der Praxis beginnt das Problem oft genau dort: Ein Mitarbeiter lädt einen Bescheid hoch, um ihn sich erklären zu lassen, und die Kanzlei erfährt nichts davon. Stellen Sie deshalb einen freigegebenen Zugang bereit, statt nur ein Verbot auszusprechen.

Beim Anonymisieren reicht es nicht, den Namen zu löschen. Auch scheinbar harmlose Angaben können zusammen Rückschlüsse erlauben. Bei hochgeladenen Dokumenten muss jede Seite frei von Namen, Adressen und Steuernummern sein.

Welche Schritte sollte die Kanzlei jetzt gehen?

1. Bestand aufnehmen: Führen Sie ein schlankes KI-Verzeichnis, wie es die BStBK empfiehlt: Werkzeug, Zweck, Art der Daten, zuständige Person.
2. Anbieter prüfen: Gehen Sie je Werkzeug die sechs Punkte oben durch und legen Sie die Unterlagen ab. Dazu gehören Auftragsverarbeitung, Datenort und die vertragliche Regelung zum Training mit Ihren Daten.
3. KI-Richtlinie schreiben: Welche Werkzeuge sind freigegeben, welche Daten dürfen hinein, wer entscheidet im Zweifel?
4. Verpflichtungen prüfen: Mitarbeiter und alle Dienstleister, die an der Einführung mitwirken.
5. Freigabe festlegen: Die KI schlägt vor, das Programm rechnet nach, Ihr Team entscheidet. Laut BStBK bleibt die Verantwortung für das Ergebnis beim Berufsträger.
6. Datenschutzinformation anpassen: Fließen personenbezogene Mandantendaten an einen KI-Dienst, gehört das laut BStBK in die Information an die Mandanten.

Wie die Einführung danach Schritt für Schritt läuft, steht im Ratgeber KI in der Steuerkanzlei.

Häufige Fragen

Nächster Schritt

KanzleiStandard führt KI mit Kanzleiregeln, KI-Richtlinie und Schulung ein und bindet sie an Ihre DATEV-Abläufe an. Die rechtliche Bewertung übernehmen wir nicht, sie bleibt bei Ihnen und Ihrer Rechtsberatung. Mehr dazu auf der Seite KI in der Kanzlei. Im Erstgespräch klären wir, wo Ihre Kanzlei steht.