KI und Berufsrecht für Steuerberater: § 57, § 62a StBerG und § 203 StGB

§ 57 Abs. 1 StBerG: vier Pflichten, auch mit KI

Die FAQ der Kammer übertragen jede der allgemeinen Berufspflichten auf den Einsatz von KI.

§ 62a StBerG Absatz für Absatz

Die Vorschrift regelt die Inanspruchnahme von Dienstleistungen — dazu zählt nach den FAQ der Kammer auch ein KI-Anbieter, der Mandantendaten zu sehen bekommt.

• Abs. 1: Dienstleistern darf Zugang zu geschützten Tatsachen eröffnet werden, soweit das für die Dienstleistung erforderlich ist.
• Abs. 2: Der Dienstleister ist sorgfältig auszuwählen; werden die Vorgaben nach Abs. 3 nicht eingehalten, ist die Zusammenarbeit unverzüglich zu beenden.
• Abs. 3: Der Vertrag bedarf der Textform. Er enthält die Verpflichtung zur Verschwiegenheit mit Belehrung über die strafrechtlichen Folgen, die Begrenzung der Kenntnisnahme auf das Erforderliche und eine Regel, ob weitere Personen hinzugezogen werden dürfen.
• Abs. 4: Bei Dienstleistungen im Ausland ist der Zugang nur zulässig, wenn der Schutz der Geheimnisse dort dem Schutz im Inland vergleichbar ist — es sei denn, der Schutz der Geheimnisse gebietet dies nicht.
• Abs. 5: Dient die Dienstleistung unmittelbar einem einzelnen Mandat, braucht es die Einwilligung des Mandanten.
• Abs. 6: Hat der Mandant eingewilligt, gelten Abs. 2 und 3 trotzdem, es sei denn, er hat ausdrücklich auf sie verzichtet.
• Abs. 7: Die Absätze 1 bis 6 gelten nicht, soweit Dienstleistungen auf Grund besonderer gesetzlicher Vorschriften in Anspruch genommen werden; die Pflichtinhalte nach Abs. 3 Satz 2 entfallen, wenn der Dienstleister für diese Leistung selbst gesetzlich zur Verschwiegenheit verpflichtet ist.
• Abs. 8: Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt.

§ 203 StGB und § 62 StBerG: Geheimnisträger und Mitwirkende

§ 203 Abs. 1 Nr. 3 StGB nennt Steuerberater ausdrücklich als Geheimnisträger; die unbefugte Offenbarung ist mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bedroht, bei Handeln gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht nach Abs. 6 mit bis zu zwei Jahren. Abs. 3 Satz 2 erlaubt das Offenbaren gegenüber Personen, die an der beruflichen Tätigkeit mitwirken, soweit das für deren Tätigkeit erforderlich ist. Nach Abs. 4 Satz 2 Nr. 1 macht sich aber auch strafbar, wer nicht dafür sorgt, dass eine solche mitwirkende Person zur Geheimhaltung verpflichtet wurde, wenn diese dann ein Geheimnis unbefugt offenbart.

Die FAQ der Kammer betonen einen Unterschied zur DSGVO: Das Berufsgeheimnis schützt auch Daten, die keine natürliche Person betreffen. Die Bilanz einer GmbH ist datenschutzrechtlich vielleicht unkritisch, berufsrechtlich aber ein Mandantengeheimnis. Für die eigenen Beschäftigten gilt § 62 StBerG: Sie sind in Textform zur Verschwiegenheit zu verpflichten und über die strafrechtlichen Folgen zu belehren — das umfasst auch ihren Umgang mit KI-Werkzeugen.

Art. 28 DSGVO und § 62a StBerG: zwei Ebenen, zwei Prüfungen

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO verlangt hinreichende Garantien des Auftragsverarbeiters und einen Vertrag mit Mindestinhalten wie Weisungsbindung, Vertraulichkeit der eingesetzten Personen, Sicherheitsmaßnahmen sowie Löschung oder Rückgabe am Ende. Er sichert die personenbezogenen Daten ab, ersetzt aber nicht die berufsrechtliche Verschwiegenheitsvereinbarung — § 62a Abs. 8 StBerG lässt das Datenschutzrecht ausdrücklich neben der Vorschrift stehen.

Bei Anbietern außerhalb der EU kommt die Frage nach Abs. 4 hinzu. Die Vereinbarung von jahresabschluss.io weist darauf hin, dass dieser berufsrechtliche Maßstab strenger ist als ein datenschutzrechtlicher Angemessenheitsbeschluss; der Anbieter nennt der Kanzlei deshalb auf Anforderung je Dienstleister Verarbeitungsort und Maßnahmen, damit sie die Vergleichbarkeit selbst beurteilen kann.

Zwei Dienstleister, wenn Sie Claude oder ChatGPT anbinden

KI-Kompetenz und Dokumentation

Die Kammer empfiehlt ein schlankes KI-Verzeichnis. Ein Beispiel, wie es aussehen kann:

KI-Verzeichnis der Kanzlei (Beispiel)
Nr.  Einsatz                              Daten              Stufe   Grundlage                        Zuständig
KI-1 Rundschreiben ohne Mandantenbezug    keine Mandatsdaten leicht  Kanzlei-Richtlinie               Kanzleiorganisation
KI-2 Kontierungsvorschläge in der FiBu    Mandantendaten     hoch    § 62a-Vereinbarung, AVV          Leitung FiBu
KI-3 Chat-Konnektor, nur Lesen, Mandant A Mandantendaten     hoch    Einwilligung A, AVV, § 62a-Prüfung Partnerin
Überprüfung: vierteljährlich und bei jedem neuen Einsatz

Nach Art. 4 der KI-Verordnung in der durch die Verordnung (EU) 2026/1744 geänderten Fassung ergreifen Anbieter und Betreiber von KI-Systemen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Niveau für jede Person müssen sie ausdrücklich nicht garantieren. Die FAQ der Kammer geben die Vorschrift noch mit der früheren Formulierung „sicherstellen“ wieder. Steuerberater, die KI eigenverantwortlich einsetzen, sind nach den FAQ der Kammer in der Regel Betreiber. Eine Zertifizierung verlangt die Verordnung laut Bundesnetzagentur nicht; sie empfiehlt aber, die Maßnahmen zu dokumentieren.

Eine gesetzliche Form für die Dokumentation des KI-Einsatzes gibt es nach den FAQ nicht, ebenso wenig eine Pflicht zum KI-Beauftragten. Das Verzeichnis oben ist eine praktische Hilfe, keine Vorgabe. Nachweise wie die angenommene § 62a-Vereinbarung oder Einwilligungen von Mandanten gehören in die Handakte, die § 66 StBerG für zehn Jahre nach Ablauf des Kalenderjahres der Auftragsbeendigung aufzubewahren verlangt.

Checkliste vor dem ersten Einsatz mit Mandantendaten

• Einsatz beschreiben: Welche Aufgabe, welche Daten, welche Mandanten?
• Anbieter prüfen: Vertrag in Textform mit Verschwiegenheit und Belehrung nach § 62a Abs. 3 StBerG, Auftragsverarbeitung nach Art. 28 DSGVO, Regelung zum Training.
• Auslandsbezug klären: Verarbeitungsort und Maßnahmen nach § 62a Abs. 4 StBerG.
• Einzelmandat? Dann Einwilligung nach § 62a Abs. 5 StBerG einholen und zur Handakte nehmen — oder ohne identifizierende Daten arbeiten.
• Konten und Rechte festlegen: betriebliche Zugänge, keine privaten Konten; bei Verbindungen in Mandantenbücher zuerst nur Leserecht.
• Beschäftigte nach § 62 StBerG verpflichten und schulen; Richtlinie, welche Daten in welches System dürfen.
• Prüfung festlegen: Wer kontrolliert KI-Ergebnisse, und wo gilt das Vier-Augen-Prinzip?
• Datenschutzinformation für Mandanten ergänzen und den Einsatz im KI-Verzeichnis eintragen.

Grenzen dieser Seite

Diese Seite fasst Normen und die FAQ der Bundessteuerberaterkammer zusammen; sie ist keine Rechtsberatung. Ob § 62a Abs. 5 StBerG auf den Einsatz eines Chat-Assistenten in einem einzelnen Mandat anzuwenden ist, halten die FAQ selbst für nicht zweifelsfrei. Ob ein Vertrag die Anforderungen erfüllt, beurteilt die Kanzlei in eigener Verantwortung; bei Zweifeln helfen die zuständige Steuerberaterkammer, der Datenschutzbeauftragte und der Berufshaftpflichtversicherer.

Häufige Fragen

Dürfen Steuerberater KI mit Mandantendaten nutzen?

Ja, wenn die Voraussetzungen erfüllt sind: ein sorgfältig ausgewählter Anbieter mit Verschwiegenheitsvereinbarung nach § 62a StBerG, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, bei Auslandsbezug vergleichbarer Schutz und im Einzelmandat die Einwilligung des Mandanten. Ohne diese Grundlage sind Daten zu anonymisieren.

Braucht jeder KI-Dienst eine Vereinbarung nach § 62a StBerG?

Jeder Dienst, der Zugang zu Mandantengeheimnissen erhält. Ein Chat-Assistent, in den nur Texte ohne Mandantenbezug gelangen, berührt das Berufsgeheimnis nicht; sobald er Mandantendaten liest, gilt § 62a StBerG wie bei einem Cloud-Dienst.

Wann ist die Einwilligung des Mandanten nötig?

Nach § 62a Abs. 5 StBerG, wenn die Dienstleistung unmittelbar einem einzelnen Mandat dient. Weil die Anwendung auf KI-Assistenten nicht zweifelsfrei geklärt ist, raten die FAQ der Kammer, vor der Eingabe sensibler Mandantendaten die Einwilligung einzuholen.

Reicht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?

Nein. Er regelt den Datenschutz, nicht das Berufsgeheimnis. § 62a StBerG verlangt zusätzlich eine Verschwiegenheitsverpflichtung in Textform mit Belehrung, und das Berufsgeheimnis schützt auch Daten von Gesellschaften, die die DSGVO nicht erfasst.

Dürfen Mitarbeitende private KI-Konten für Mandantenarbeit nutzen?

Nein. Nach den FAQ der Bundessteuerberaterkammer ist der Einsatz privater KI für dienstliche Zwecke unzulässig, weil Mandantendaten so das Kanzleiumfeld verlassen können. Die Kanzlei stellt betriebliche Zugänge bereit.

Deckt die Berufshaftpflicht Fehler durch KI?

In der Regel ja, weil KI ein Werkzeug des Steuerberaters ist und er für das Ergebnis einsteht. Maßgeblich sind aber die Versicherungsbedingungen; die FAQ der Kammer raten, im Zweifel beim Versicherer nachzufragen.