DSGVO und § 203 StGB: Was KI in der Steuerkanzlei dürfen darf

Die rote Linie

Die meisten Datenschutzprobleme mit KI in Kanzleien entstehen nicht durch Projekte, sondern durch Alltag: Ein Mitarbeiter kopiert einen Bescheid in einen öffentlichen Chat-Dienst, um ihn zusammenfassen zu lassen. Das verletzt die Verschwiegenheit nach § 203 StGB und ist eine Datenübermittlung ohne Rechtsgrundlage. Der Weg dagegen ist nicht Verbot, sondern eine Alternative, die dieselbe Hilfe bietet und die Regeln einhält.

Sechs Fragen vor jedem KI-Einsatz

1. Wo liegen die Daten? Die Antwort muss ein Ort sein, kein Wort wie „Cloud“. Bei TRUSTAX: europäische Rechenzentren, für die meisten Kanzleien Frankfurt. Keine Verarbeitung außerhalb der EU.
2. Gibt es einen Auftragsverarbeitungsvertrag? Nach Art. 28 DSGVO, mit Weisungsbindung, Löschfristen und Unterauftragnehmern. Ohne AV-Vertrag kein Start.
3. Sind die Dienstleister nach § 203 StGB verpflichtet? Seit 2017 dürfen Berufsgeheimnisträger Dienstleister einbinden, wenn diese zur Verschwiegenheit verpflichtet und über die Strafbarkeit belehrt sind (§ 203 Abs. 4 StGB, § 62a StBerG). In Österreich gilt § 80 WTBG. Das muss schriftlich vorliegen.
4. Wird mit den Daten trainiert? Die Antwort muss Nein sein, vertraglich. Korrekturen des Teams dürfen für die Kanzlei gespeichert werden, aber nicht in ein Modell fließen.
5. Wer sieht was? Die KI muss die Rechte aus der Kanzleisoftware übernehmen. Was in DATEV getrennt ist (Lohn, Fibu, Beratung), darf die KI nicht zusammenführen. Vor dem Einsatz sollten Berechtigungen im Dateisystem und in Microsoft 365 geprüft werden, denn dort sind sie oft offener als in der Kanzleisoftware.
6. Wie ist die Aufsicht geregelt? Jede Aktion wird protokolliert, jede Außenwirkung braucht eine Freigabe, KI-Vorschläge sind als solche gekennzeichnet.

Was der EU AI Act für Kanzleien bedeutet

Die typischen Anwendungen in Kanzleien (Belege lesen, Mails zuordnen, Fragen zu Akten beantworten, Entwürfe erstellen) sind nach unserer Einschätzung keine Hochrisiko-Systeme im Sinne des AI Act. Es gelten vor allem Transparenzpflichten (Nutzer wissen, dass sie mit KI arbeiten), die Pflicht zu menschlicher Aufsicht und Dokumentation. Die Freigabe-Regel und die Verfahrensbeschreibung je Ablauf erfüllen das. Wir verfolgen die Konkretisierungen und passen Dokumentation an, wenn sich Pflichten ändern.

Die Verfahrensbeschreibung

Für jeden Ablauf halten wir fest: Auslöser, beteiligte Systeme, Datenfluss (was kommt woher, geht wohin), Rechte, Freigaben, Löschfristen, eingesetzte Modelle und Hosting. Dieses Dokument wandert ins Verarbeitungsverzeichnis der Kanzlei und ist die Antwort auf Fragen von Kammer, Datenschutzbeauftragtem oder Mandant. Es dauert in der Erstellung einen halben Tag und spart später jede Diskussion.

Checkliste zum Mitnehmen

• Datenstandort schriftlich: EU, mit Nennung des Rechenzentrums.
• AV-Vertrag nach Art. 28 DSGVO inklusive Unterauftragnehmer.
• Verschwiegenheitsverpflichtung nach § 203 StGB / § 62a StBerG / § 80 WTBG für jeden Dienstleister mit Datenzugang.
• Vertraglicher Ausschluss von Training mit Mandantendaten.
• Berechtigungen aus der Kanzleisoftware übernommen, Dateisystem und M365 geprüft.
• Protokoll, Kennzeichnung, Freigabe für jede Außenwirkung.
• Verfahrensbeschreibung je Ablauf im Verarbeitungsverzeichnis.