DSGVO und Ihr eigener KI-Agent: was mit den Buchhaltungsdaten geschieht

Der Datenfluss in drei Strecken

Welche personenbezogenen Daten in Antworten stecken können

• Geschäftspartner: Namen, Anschrift, Ansprechpartner, E-Mail-Adresse und IBAN liefern list_business_partners und get_business_partner – bei Privatkunden und Einzelunternehmern sind das Daten natürlicher Personen.
• Bankumsätze: Name der Gegenpartei und Verwendungszweck (list_bank_transactions).
• Belege und Rechnungen: Lieferantendaten, Rechnungsinhalte, Leistungsbeschreibungen (list_receipts, get_receipt_proposal, list_incoming_invoices).
• Buchungstexte im Journal, die Namen enthalten können – etwa bei Lohnbuchungen (Herkunft lohnjournal) oder bei Erstattungen an Mitarbeitende.

Summen und Salden sind nicht automatisch personenbezogen; entscheidend ist, ob eine natürliche Person bestimmbar ist. Eine Saldenliste mit Sachkonten ist etwas anderes als eine Liste der offenen Posten mit Namen.

Wer wofür verantwortlich ist

Verantwortlicher ist, wer über Zwecke und Mittel einer Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO), Auftragsverarbeiter, wer personenbezogene Daten im Auftrag verarbeitet (Art. 4 Nr. 8). Entscheiden Sie, dass Ihr Agent Buchhaltungsdaten liest und an ein Modell gibt, treffen Sie diese Entscheidung als Verantwortlicher. Nach Art. 28 Abs. 1 arbeiten Sie dann nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; Art. 28 Abs. 3 nennt, was der Vertrag regeln muss, darunter Gegenstand, Dauer, Art und Zweck der Verarbeitung und die Bindung an Ihre Weisungen.

Ob der Anbieter Ihres KI-Programms als Auftragsverarbeiter tätig wird, ob er Eingaben zum Training nutzt und ob er außerhalb der EU verarbeitet, ergibt sich aus seinen Bedingungen für Ihr Konto. Manche Anbieter unterscheiden dabei zwischen Privat- und Unternehmenskonten und bieten einen Vertrag zur Auftragsverarbeitung für Geschäftskunden an. Prüfen Sie das, bevor Sie einen Schlüssel verbinden – bei Übermittlungen in Drittländer zusätzlich die Garantien nach Art. 44 ff.

Datenminimierung in der Praxis

Personenbezogene Daten müssen auf das für den Zweck notwendige Maß beschränkt sein (Art. 5 Abs. 1 Buchstabe c DSGVO). Für einen Agenten heißt das:

curl -X POST "https://api.jahresabschluss.io/functions/v1/bookkeeping-api/v1/receipts" \
  -H "Authorization: Bearer $JAB_API_KEY" \
  -F "file=@rechnung-4711.pdf" \
  -F "direction=incoming"

• Nur das Leserecht, wenn der Agent nur auswerten soll; mit dem Steuer-Modul allein erreicht ein Schlüssel ohnehin nur Steuer-Routen und Stammdaten.
• Enge Fragen mit Filtern: Zeitraum (from, to), Wirtschaftsjahr, kind=debitor oder kreditor, status. „Summe der offenen Forderungen“ braucht keine Liste mit Namen.
• Saldenliste statt Journal: get_saldenliste liefert Konten und Salden; export_bookkeeping mit format journal gibt dagegen das ganze Journal als Text an das Modell.
• Dateien bleiben außerhalb des Modells: Originalbelege (get_receipt_file), Kanzlei Software- und GoBD-Exporte, das Belegarchiv und Jahresabschluss-Dateien nennt der Server nur mit ihrem Download-Weg.
• Belege per REST einliefern: Mit dem MCP-Werkzeug upload_receipt steht die Datei base64-kodiert im Werkzeugaufruf und läuft durch Ihr KI-Programm. Wer das vermeiden will, liefert Belege aus einem Skript per POST /v1/receipts ein.

Lokale Modelle als Option

Läuft das Modell auf Ihrem eigenen Rechner, gehen die gelesenen Daten an kein KI-Unternehmen. LM Studio und Goose binden den MCP-Server direkt mit Ihrem Schlüssel an, Jan über die Brücke mcp-remote, ein Ollama-Modell über ein MCP-fähiges Programm wie Goose, Cline oder Zed. Die Buchhaltung selbst bleibt bei jahresabschluss.io, und die Aufrufe dorthin laufen verschlüsselt über HTTPS.

Lokal heißt nicht automatisch datenschutzkonform – es verringert die Zahl der Empfänger. Kleinere Modelle wählen Werkzeuge und Argumente zudem weniger zuverlässig; beginnen Sie mit einem Leseschlüssel.

Abgrenzung: KI in der App und Ihr eigener Agent

Die KI-Funktionen der App – Belegerkennung, Kontierungsvorschläge, Entwürfe für Anhang und Lagebericht – arbeiten mit Modellanbietern, die jahresabschluss.io beauftragt; Zweck, Empfänger und Schutzmaßnahmen beschreiben Vertrag zur Auftragsverarbeitung und Datenschutzerklärung. Ihr eigener Agent dagegen ist Ihr Werkzeug: Welches Modell die Daten sieht, bestimmen Sie.

Beide Welten berühren sich an einer Stelle: Liefert Ihr Agent mit upload_receipt eine Rechnung ein, liest die Belegerkennung der App sie aus – das ist die KI der App und zählt auf das Kontingent der KI-erkannten Belege. E-Rechnungen im XML-Format werden ohne KI gelesen.

Grenzen

• Was Ihr KI-Programm speichert – Chatverläufe, Protokolle, Zwischenstände –, liegt außerhalb der Buchhaltung und außerhalb unseres Einflusses.
• Laufen weitere MCP-Server in derselben Sitzung, können auch sie sehen, was der Agent gelesen hat.
• Webhooks senden Ereignisse an Adressen, die Sie selbst eintragen; für den Empfänger sind Sie verantwortlich.
• Diese Seite ersetzt keine datenschutzrechtliche Beurteilung Ihres Einsatzes; ziehen Sie gegebenenfalls Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten hinzu.

Häufige Fragen

Brauche ich einen Vertrag zur Auftragsverarbeitung mit dem Anbieter meines KI-Programms?

Wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen solchen Vertrag. Ob und für welche Kontoart er angeboten wird, steht in den Bedingungen des Anbieters; jahresabschluss.io ist für diese Strecke nicht Ihr Vertragspartner.

Bekommt jahresabschluss.io meine Chatverläufe?

Nein. Der Server erhält nur die Werkzeugaufrufe mit ihren Argumenten. Protokolliert werden je Aufruf Schlüssel, Methode, Pfad und Status, bei erfolgreichen Schreibaufrufen zusätzlich die Kennungen angelegter Objekte – nicht Ihre Unterhaltung mit dem Agenten.

Gehen meine Belegdateien an das Modell?

Beim Lesen nicht: Originalbelege und Exportdateien nennt der Server nur mit ihrem Download-Weg. Beim Einliefern mit dem MCP-Werkzeug upload_receipt steht die Datei dagegen im Werkzeugaufruf; per REST mit POST /v1/receipts bleibt sie außerhalb des Modells.

Ist ein lokales Modell automatisch DSGVO-konform?

Nein, aber es verringert die Zahl der Empfänger: Was der Agent liest, geht an Ihr lokales Modell und an keinen KI-Anbieter. Die übrigen Pflichten, etwa zur Zweckbindung und Datenminimierung, bleiben.

Kann ich ChatGPT im Browser mit meiner Buchhaltung verbinden?

Derzeit nicht direkt, weil der MCP-Server noch keine OAuth-Anmeldung anbietet. Programme, die eine Kopfzeile mit dem Schlüssel senden – etwa Codex, Claude Code oder Cursor –, verbinden sich direkt. Datenschutzrechtlich gilt für jedes Programm dieselbe Frage: Welcher Anbieter sieht die Daten, und auf welcher vertraglichen Grundlage?

Welche Rechte braucht ein Agent für Auswertungen?

Nur das Leserecht, das in jedem Schlüssel enthalten ist. Damit sieht der Agent keine schreibenden Werkzeuge und kann nichts verändern.