Was darf KI in der Steuerkanzlei? § 62a StBerG, DSGVO und AI Act erklärt

Die gute Nachricht: Die Bundessteuerberaterkammer hat im Januar 2026 ihren FAQ-Katalog „KI im steuerberatenden Berufsstand“ veröffentlicht, der Deutsche Steuerberaterverband im April 2026 eine Muster-KI-Anwendungsrichtlinie. Wer sich daran hält, kann KI rechtssicher einsetzen. Wer es nicht tut, riskiert Berufsrechts- und Datenschutzverstöße bis hin zur Strafbarkeit nach § 203 StGB.

1. Öffentliche KI-Tools sind für Mandantendaten tabu

ChatGPT in der kostenlosen Version oder Gemini im Browser: Alles, was Eingaben zum Training verwenden darf, scheidet für mandantenbezogene Daten aus. Das stellt die BStBK unmissverständlich klar. Erlaubt sind Systeme mit Auftragsverarbeitungsvertrag, ohne Trainingsnutzung, idealerweise mit EU-Hosting. Der in der Praxis häufigste Verstoß passiert dabei ganz beiläufig: Eine Mitarbeiterin kopiert eine Mandantenmail in ein kostenloses Tool, um schneller eine Antwort zu formulieren. Gut gemeint, berufsrechtlich ein Problem. Die Lösung ist nicht das Verbot, sondern ein sauber eingerichteter, konformer Weg, der genauso bequem ist.

2. § 62a StBerG gilt auch für KI-Dienstleister

Wer einen externen Dienstleister mit Zugang zu Mandantendaten beauftragt – und dazu zählt jeder Automatisierungspartner –, muss ihn vor der ersten Kenntnisnahme in Textform zur Verschwiegenheit verpflichten und über die Straffolgen des § 203 StGB belehren. Bei Anbietern außerhalb der EU muss die Kanzlei zusätzlich ein vergleichbares Schutzniveau nachweisen. Das ist eine Hürde, die US-Cloud-Dienste strukturell kaum nehmen, zumal die Rechtsgrundlage für US-Datentransfers seit dem Sommer 2026 erneut juristisch wackelt.

3. Die KI-Kompetenzpflicht gilt bereits

Artikel 4 des EU AI Act verpflichtet seit Februar 2025 jede Kanzlei, die KI einsetzt, ihr Personal nachweisbar zu schulen. Ab dem 2. August 2026 übernimmt in Deutschland die Bundesnetzagentur die Marktüberwachung, und es gelten zusätzlich Transparenzpflichten: KI-generierte Inhalte müssen als solche erkennbar sein, Chatbots müssen sich zu erkennen geben. Die Entwarnung dahinter: Typische Kanzlei-Automatisierung wie Belegverarbeitung, E-Mail-Vorsortierung oder Textentwürfe ist keine Hochrisiko-KI im Sinne der Verordnung. Wer Ihnen AI-Act-Panik verkauft, hat die Verordnung nicht gelesen.

4. Der Mensch bleibt verantwortlich

Der Steuerberater haftet für KI-gestützte Ergebnisse wie für eigene Arbeit. Deshalb ist das Vier-Augen-Prinzip, das die BStBK ausdrücklich nennt, nicht verhandelbar: Kein KI-Ergebnis geht ungeprüft an Mandanten oder Finanzamt. Das hat auch eine Versicherungsdimension: Die Berufshaftpflicht deckt KI-Fehler nach herrschender Einschätzung zwar grundsätzlich ab, aber unzureichende Kontrolle kann den Deckungsschutz gefährden. Wer seine Freigaben dokumentiert, hat im Ernstfall den Nachweis in der Hand. Wer sie nicht dokumentiert, diskutiert mit seinem Versicherer.

Die Fünf-Dokumente-Checkliste

Wenn Ihre Kanzlei KI produktiv einsetzt, sollten Sie im Zweifel diese fünf Unterlagen vorzeigen können:

• Auftragsverarbeitungsvertrag mit jedem beteiligten Anbieter
• Verschwiegenheitsverpflichtung nach § 62a StBerG für jeden Dienstleister mit Datenzugang
• KI-Tool-Verzeichnis: welches System, wofür, mit welchen Daten
• Schulungsnachweis nach Art. 4 EU AI Act für alle Mitarbeiter
• Protokoll der menschlichen Freigaben

Mit diesen fünf Dokumenten sind Kammer, Datenschutzbehörde und Versicherer beantwortbar. Ohne sie wird jede dieser Anfragen unangenehm.

So setzen wir das um

Bei Ostermann Systeme sind diese Regeln keine Zusatzleistung, sondern Architektur. Unsere Systeme laufen auf deutschen Servern, Mandantendaten verlassen die EU nicht und werden nie für KI-Training verwendet. Die Verschwiegenheitsverpflichtung nach § 62a StBerG bringen wir unterschriftsreif zum ersten Termin mit. Jeder Prozess folgt dem Freigabe-Prinzip: Keine E-Mail, kein Dokument verlässt die Kanzlei ohne menschliche Kontrolle. Jede Freigabe wird protokolliert, als Nachweis gegenüber Versicherer und Kammer. Die Team-Schulung, die die Kompetenzpflicht nach Art. 4 EU AI Act abdeckt, ist Teil jedes Projekts.

Auf Wunsch implementieren wir so, dass die DStV-Muster-Richtlinie 1:1 erfüllt ist, inklusive ausgefülltem KI-Tool- und Use-Case-Verzeichnis als Abnahmedokument. Die Fünf-Dokumente-Checkliste ist bei uns also kein zusätzliches Projekt, sondern das Abfallprodukt einer sauberen Umsetzung.

Quellen: BStBK-FAQ „KI im steuerberatenden Berufsstand“ (27.01.2026) · DStV-Muster-KI-Anwendungsrichtlinie TB-049/26 (04/2026) · Verordnung (EU) 2024/1689 – EU AI Act, Art. 4 · § 62a StBerG, § 203 StGB. Dieser Beitrag gibt den Stand Juli 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.