KI in der Steuerkanzlei: Mandantendaten und § 62a StBerG

Worum es geht

Dieser Artikel richtet sich an Kanzleiinhaberinnen und Kanzleiinhaber, Berufsträger und alle im Kanzleiteam, die KI-Werkzeuge nutzen oder einführen. Er zeigt, welche Regeln für Mandantendaten gelten und wie Sie vor einer Eingabe schnell und begründet entscheiden.

Die Kernaussage: Ob Mandantendaten in ein KI-Werkzeug dürfen, hängt vom konkreten Zugang ab. Entscheidend sind der Vertrag mit dem Anbieter, das Konto, über das gearbeitet wird, und die Frage, ob die Aufgabe die Daten überhaupt braucht. Die Kanzlei prüft das einmal je Werkzeug und hält das Ergebnis als Regel fest. Danach reichen im Alltag wenige Fragen vor jeder Eingabe.

Sie finden hier die Rechtslage in Kurzform, eine Fragenliste für den Anbieter, eine Entscheidungshilfe für den Alltag, einen durchgespielten Arbeitsschritt mit Musterprompt und eine Vorlage für Ihre Kanzleiregel. Die rechtliche Bewertung im Einzelfall trifft Ihre Kanzlei.

Was § 62a StBerG verlangt

Steuerberaterinnen und Steuerberater dürfen Dienstleistern, auch KI-Anbietern, Zugang zu Mandantengeheimnissen geben, soweit das für die Dienstleistung erforderlich ist (§ 62a Abs. 1 StBerG). Der Anbieter muss sorgfältig ausgewählt sein (Abs. 2). Der Vertrag bedarf der Textform. Er verpflichtet den Anbieter zur Verschwiegenheit mit Belehrung über die strafrechtlichen Folgen, beschränkt seine Kenntnis auf das Erforderliche und regelt, ob er weitere Personen einsetzen darf (Abs. 3). Wird die Leistung im Ausland erbracht, muss der Geheimnisschutz dort dem deutschen vergleichbar sein (Abs. 4).

Dient der Einsatz unmittelbar einem einzelnen Mandat, braucht es zusätzlich die Einwilligung des Mandanten (Abs. 5). Ob ein KI-Werkzeug darunter fällt, ist noch nicht abschließend geklärt. Die Bundessteuerberaterkammer rät, vor sensiblen Eingaben die Einwilligung einzuholen.

Der Datenschutz bleibt unberührt (Abs. 8): Werden personenbezogene Daten verarbeitet, kommt ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO hinzu. Daneben gilt der strafrechtliche Schutz von Berufsgeheimnissen nach § 203 StGB.

Die Verschwiegenheit bezieht sich auf alles, was in Ausübung des Berufs bekannt geworden ist (§ 57 Abs. 1 StBerG). Sie erfasst damit auch Angaben über Unternehmen, die die DSGVO als solche nicht schützt. Ein Gesellschaftsvertrag oder eine Bilanz kann also unter die Verschwiegenheit fallen, auch wenn darin keine Person genannt ist.

Für das eigene Team gilt § 62 StBerG: Die Beschäftigten sind in Textform zur Verschwiegenheit zu verpflichten und über die strafrechtlichen Folgen zu belehren. Eine Kanzleiregel für KI legt zusätzlich fest, in welchen Werkzeugen diese Verschwiegenheit gewahrt ist.

Was Kammer und KI-Forum empfehlen

Die Bundessteuerberaterkammer sieht KI als Verstärker, nicht als Ersatz für steuerliche Expertise. Die Verantwortung bleibt beim Berufsträger, KI-Ergebnisse müssen geprüft werden. Sie empfiehlt ein internes Regelwerk für KI und Anbieter aus der EU oder mit Rechenzentren in der EU. Der Serverstandort allein reicht dafür nicht. Private KI-Konten für dienstliche Zwecke hält sie für unzulässig. Neue Werkzeuge sollen vor der Einführung geprüft und freigegeben werden, etwa durch die Kanzleileitung, die Datenschutzbeauftragten oder eine IT-verantwortliche Person.

Ohne die Voraussetzungen von § 62a gehören nur anonymisierte Daten in eine KI. Die FAQ der Bundessteuerberaterkammer nennt noch Anonymisierung oder Pseudonymisierung. Die Orientierungshilfe für das kammerübergreifende KI-Forum (Stand 28.07.2026) stellt klar: Pseudonymisierte Daten bleiben regelmäßig personenbezogen und Berufsgeheimnis. Sie ist keine verbindliche Kammerauffassung. Die rechtliche Bewertung im Einzelfall trifft Ihre Kanzlei.

Die Orientierungshilfe nennt zwei weitere Punkte für die Praxis. Das Entfernen von Name und Steuernummer genügt häufig nicht für eine Anonymisierung: Branche, Ort, Beträge, seltene Sachverhalte oder Dateimetadaten können eine Person wieder erkennbar machen. Und ein Business- oder Enterprise-Tarif ist ein Hinweis auf bessere Kontrollen. Die Prüfung nach § 62a StBerG, § 203 StGB und DSGVO für die konkrete Einstellung bleibt trotzdem nötig.

Fragen an den Anbieter vor der Freigabe

Bevor ein Werkzeug für Mandantendaten freigegeben wird, braucht die Kanzlei belastbare Antworten. Die folgende Liste fasst zusammen, was § 62a StBerG und Art. 28 DSGVO verlangen und was die Orientierungshilfe zur Anbieterprüfung empfiehlt. Sie können sie so an den Anbieter oder Ihren Softwarepartner schicken und die Antworten mit der Freigabe ablegen.

Wer ist unser Vertragspartner und für welches Produkt, welchen Tarif und welche Funktionen gilt der Vertrag?
Verpflichten Sie sich in Textform zur Verschwiegenheit, mit Belehrung über die strafrechtlichen Folgen nach § 62a Abs. 3 StBerG?
Verschaffen sich Ihre Beschäftigten nur so weit Kenntnis von unseren Daten, wie es zur Vertragserfüllung erforderlich ist, auch im Support?
Welche weiteren Dienstleister setzen Sie ein und verpflichten Sie diese in Textform zur Verschwiegenheit?
Wo werden Eingaben verarbeitet und gespeichert, einschließlich Protokollen, Sicherungen und Supportzugriffen?
Werden unsere Eingaben für Training oder Produktverbesserung genutzt und lässt sich das vertraglich ausschließen?
Wie lange speichern Sie Eingaben und Antworten und wie weisen Sie die Löschung nach?
Schließen Sie mit uns einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO?

Ein Hinweis wie „DSGVO-konform“ oder „Hosting in der EU“ beantwortet nur einen Teil dieser Fragen. Die Orientierungshilfe empfiehlt außerdem, eine Freigabe zu befristen und mindestens jährlich oder bei Änderungen neu zu bewerten.

Entscheidungshilfe vor jeder Eingabe

Ist ein Werkzeug geprüft, entscheidet im Alltag die Aufgabe. Diese Regeln passen auf eine Seite, die neben dem Bildschirm liegen kann.

Wenn die Aufgabe ohne Mandantenbezug auskommt, dann arbeiten Sie im freigegebenen Werkzeug und prüfen das Ergebnis wie gewohnt.
Wenn die Aufgabe Mandantendaten braucht und das Werkzeug dafür freigegeben ist, dann geben Sie über das Kanzleikonto nur ein, was die Aufgabe erfordert.
Wenn der Einsatz unmittelbar einem einzelnen Mandat dient und sensible Angaben enthält, dann holen Sie vorher die Einwilligung des Mandanten ein.
Wenn das Werkzeug nicht für Mandantendaten freigegeben ist, dann kommen nur anonymisierte Angaben hinein. Ausgetauschte Namen reichen dafür nicht.
Wenn es um ein privates Konto geht, dann gehört keine Kanzleiarbeit hinein.
Wenn Sie unsicher sind, dann fragen Sie die zuständige Person in der Kanzlei, bevor Sie etwas eingeben.

Viele Aufgaben brauchen gar keine Mandantendaten:

Rundschreiben und BMF-Schreiben zusammenfassen
Checklisten und Musterbriefe entwerfen
interne Abläufe und Protokolle ohne Mandantenbezug aufbereiten, in einem von der Kanzlei freigegebenen Werkzeug
Fragen im Team aus dem Kanzleihandbuch beantworten

Ein Arbeitsschritt durchgespielt

Eine Steuerfachangestellte soll einem Mandanten erklären, warum der Einkommensteuerbescheid von der Erklärung abweicht. Sie möchte dafür einen verständlichen Entwurf von der KI.

Vorher: Sie kopiert den Bescheid mit Name, Anschrift, Steuernummer und allen Beträgen in ein KI-Konto, das sie privat nutzt. Damit gelangen Mandantengeheimnisse zu einem Anbieter ohne Vertrag nach § 62a StBerG und ohne Auftragsverarbeitung. Nach Auffassung der Bundessteuerberaterkammer ist das unzulässig.

Nachher: Sie arbeitet im freigegebenen Werkzeug über das Kanzleikonto. Sie beschreibt nur die Abweichung in allgemeiner Form, ohne Name, Anschrift, Steuernummer und Beträge. Persönliche Angaben setzt sie erst in der Kanzleisoftware ein. Der Berufsträger prüft die fachliche Aussage, bevor das Schreiben versendet wird.

Ein Musterprompt für diesen Schritt:

„Du hilfst einer Steuerkanzlei bei einem Schreiben an einen Mandanten. Der Einkommensteuerbescheid weicht von der Erklärung ab: [Abweichung in einem Satz, ohne Namen, Orte und Beträge]. Erkläre in einfacher Sprache und in höchstens fünf Sätzen, was das für den Mandanten bedeutet. Lass Platzhalter wie [ANREDE] und [BETRAG] stehen. Markiere jede Aussage, die vor dem Versand fachlich geprüft werden muss.“

Die Platzhalter halten persönliche Angaben aus der Eingabe heraus. Sie ersetzen die Freigabe des Werkzeugs nicht, denn auch eine Abweichung ohne Namen kann im Zusammenhang auf einen Mandanten schließen lassen.

Vorlage für Ihre Kanzleiregel

Die Bundessteuerberaterkammer empfiehlt ein internes Regelwerk für KI. Der folgende Text ist ein Ausgangspunkt für den Abschnitt zu Mandantendaten. Passen Sie ihn an Ihre Kanzlei an und lassen Sie ihn von der Kanzleileitung beschließen.

„Mandantendaten geben wir nur in Werkzeuge ein, die die Kanzleileitung dafür freigegeben hat. Die Liste steht unter [Ablageort].“
„Wir arbeiten ausschließlich über Kanzleikonten. Private KI-Konten nutzen wir für Kanzleiarbeit nicht.“
„Wir geben nur die Angaben ein, die die Aufgabe erfordert.“
„In nicht freigegebene Werkzeuge kommen nur öffentliche oder anonymisierte Angaben. Ausgetauschte Namen gelten nicht als anonymisiert.“
„Dient der Einsatz unmittelbar einem einzelnen Mandat, holen wir vor sensiblen Eingaben die Einwilligung des Mandanten ein.“
„Jedes Ergebnis prüft eine fachlich zuständige Person, bevor es die Kanzlei verlässt. Die Verantwortung bleibt beim Berufsträger.“
„Fragen, Fehler und versehentliche Eingaben melden wir sofort an [Ansprechperson].“

Halten Sie zusätzlich fest, welches Werkzeug wofür genutzt wird. Die Bundessteuerberaterkammer schlägt dafür ein schlankes KI-Verzeichnis vor: Eine Zeile je Werkzeug mit Zweck, Datenart, Dokumentationsstufe und zuständiger Person. Eine gesetzliche Form dafür gibt es nicht.

Welche Werkzeuge für Mandantendaten freigegeben sind, legt die Kanzleileitung fest.

Nächste Schritte

Erfassen Sie, welche KI-Werkzeuge in Ihrer Kanzlei heute genutzt werden, auch die nicht offiziell eingeführten.
Schicken Sie die Fragenliste an die Anbieter der Werkzeuge, die Mandantendaten verarbeiten sollen.
Beschließen Sie die Kanzleiregel und benennen Sie eine Ansprechperson.
Gehen Sie die Entscheidungshilfe mit dem Team an zwei, drei typischen Aufgaben durch, mit erfundenen Daten.

Wenn Sie dabei Begleitung möchten: Die KI-Schulung für Steuerkanzleien richtet sich in einem halben Tag an Berufsträger und Kanzleileitung. Sie behandelt Verschwiegenheit, Datenschutz und KI-Verordnung in der Praxis. Sie nehmen Prüfschritte, eine Checkliste für Werkzeuge, einen Entwurf für Ihre KI-Richtlinie und eine Teilnahmebestätigung je Person mit. Geübt wird ohne echte Mandantendaten.

Welche Werkzeuge nutzt Ihr Team heute schon, ohne dass sie geprüft sind?

Häufige Fragen

Darf ein KI-Assistent Mandanten beraten?

Nicht eigenständig. Geschäftsmäßige Hilfeleistung in Steuersachen dürfen nur dazu befugte Personen und Vereinigungen leisten, etwa Steuerberaterinnen und Steuerberater (§§ 2 und 3 StBerG). Ein Assistent der Kanzlei gibt sich als KI zu erkennen, informiert, sammelt Unterlagen und übergibt an einen Menschen, sobald eine rechtliche Prüfung des Einzelfalls nötig ist.

Brauchen wir für jede KI-Nutzung die Einwilligung des Mandanten?

Nein. § 62a StBerG erlaubt den Einsatz von Dienstleistern ohne Einwilligung, wenn seine Voraussetzungen erfüllt sind. Dient der Einsatz unmittelbar einem einzelnen Mandat, ist die Einwilligung nötig. Ob ein KI-Werkzeug darunter fällt, ist noch nicht abschließend geklärt, deshalb rät die Bundessteuerberaterkammer, sie vor sensiblen Eingaben einzuholen.

Reicht es, Namen und Steuernummer zu entfernen?

Oft nicht. Nach der Orientierungshilfe für das KI-Forum können Branche, Ort, Beträge, seltene Sachverhalte oder Dateimetadaten eine Person wieder erkennbar machen. Pseudonymisierte Daten bleiben regelmäßig personenbezogen und Berufsgeheimnis. In ein nicht freigegebenes Werkzeug gehören nur anonymisierte Angaben.

Reicht ein Anbieter mit Servern in der EU?

Nein. Die Bundessteuerberaterkammer empfiehlt Anbieter aus der EU oder mit Rechenzentren in der EU, der Serverstandort allein reicht dafür nicht. Zusätzlich braucht es den Vertrag nach § 62a StBerG und bei personenbezogenen Daten den Vertrag zur Auftragsverarbeitung.

Müssen wir Mandanten sagen, dass wir KI nutzen?

Eine ausdrückliche berufsrechtliche Pflicht dazu gibt es nach der Bundessteuerberaterkammer derzeit nicht. Fließen personenbezogene Mandantendaten an einen KI-Dienst, sollte die Datenschutzinformation der Kanzlei das erläutern. Holen Sie eine Einwilligung nach § 62a Abs. 5 StBerG ein, erklären Sie den Einsatz dabei konkret.

Muss unsere Kanzlei zu KI schulen?

Wer KI einsetzt, muss nach Artikel 4 der KI-Verordnung Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz unterstützen. Eine Schulung mit Teilnahmebestätigung ist eine naheliegende und gut dokumentierte Maßnahme.

Quellen

Stand: 01.10.2026. Dieser Artikel ersetzt keine Rechtsberatung.

KI-Schulung für SteuerkanzleienVerschwiegenheit, Datenschutz und KI-Verordnung in der Praxis

Schulung ansehen

KI in der Steuerkanzlei: Was mit Mandantendaten geht

Das Wichtigste