FAQ-Katalog zum KI-Einsatz in Steuerkanzleien
Die Bundessteuerberaterkammer (BStBK) hat jüngst einen umfangreichen FAQ-Katalog zum Einsatz Künstlicher Intelligenz im steuerberatenden Berufsstand veröffentlicht. Das Dokument adressiert praxisrelevante Fragen aus den Bereichen Datenschutz, Berufsrecht, Tool-Governance und Qualitätssicherung – und ist damit auch für Datenschutzbeauftragte in Kanzleien von unmittelbarer Relevanz.
Datenschutz und Berufsgeheimnis als zentrale Leitplanken
Der Katalog stellt klar: Mandantendaten dürfen grundsätzlich nicht in öffentlich zugängliche KI-Dienste wie ChatGPT eingegeben werden, sofern keine ausreichende vertragliche Absicherung besteht. Die berufsrechtliche Verschwiegenheitspflicht nach § 57 StBerG und § 203 StGB gilt technologieneutral – also auch beim KI-Einsatz. Sollen mandatsbezogene Daten verarbeitet werden, sind entweder eine Anonymisierung oder der Abschluss eines Auftragsverarbeitungsvertrags sowie einer Verschwiegenheitsvereinbarung nach § 62a StBerG erforderlich. EU-basierte Anbieter sind ausdrücklich zu bevorzugen; bei Drittstaatenanbietern – insbesondere außerhalb der EU – gelten erhöhte Anforderungen.
DSGVO-Compliance und Datenschutz-Folgenabschätzung
Sobald KI-Systeme personenbezogene Daten verarbeiten, greifen vollumfänglich die DS-GVO-Grundsätze: Rechtsgrundlage, Datenminimierung, Zweckbindung, Löschkonzepte und Drittstaatentransfers müssen geprüft und dokumentiert sein. Die Aufsichtsbehörden verlangen nach Art. 35 DS-GVO eine Datenschutz-Folgenabschätzung, wenn der KI-Einsatz voraussichtlich hohe Risiken für Betroffenenrechte birgt. In diesem Fall entsteht auch für kleinere Kanzleien die Pflicht zur Bestellung eines Datenschutzbeauftragten.
KI-Kompetenz als Betreiberpflicht
Kanzleien, die KI eigenverantwortlich einsetzen, gelten als Betreiber im Sinne von Art. 3 Nr. 4 KI-VO und sind nach Art. 4 KI-VO verpflichtet, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Eine gesetzliche Pflicht zur Nutzung von KI oder zur Bestellung eines KI-Beauftragten besteht nicht – die BStBK empfiehlt jedoch ausdrücklich, einen internen Ansprechpartner zu benennen sowie ein KI-Verzeichnis als Compliance-Werkzeug einzuführen. Fachliche Endverantwortung verbleibt stets beim Berufsträger; KI-Ergebnisse sind grundsätzlich kritisch zu prüfen und dürfen nicht ungeprüft übernommen werden.
(Foto: Sina Ettmer – stock.adobe.com)
Das könnte Sie auch interessieren
-
408.000 Euro Bußgeld wegen fehlenden Datenschutzes durch Technikgestaltung
Die spanische Datenschutzbehörde AEPD hat gegen die CaixaBank Geldbußen von insgesamt 510.000 Euro festgesetzt (Verfahren PS-00028-2025). Die Bank hatte bei der Abwicklung von Erbfällen standardmäßig mehr Daten verlangt als erforderlich und die Erben unzureichend informiert. Da sie die Geldbuße freiwillig vorab bezahlte, ermäßigte sich der Betrag um 20 Prozent auf 408.000 Euro. Sachverhalt Nach dem
Mehr erfahren -
Verlorene Papierakte: DS-GVO greift, Schadensersatz aber nicht
Auch Papierakten können unter die DS-GVO fallen. Wenn eine solche Akte verschwindet, begründet das aber nicht automatisch einen Anspruch auf Schmerzensgeld. Das hat das LG Magdeburg mit Urteil vom 25.06.2026 (Az. 10 O 1894/25) entschieden. Das Urteil ist rechtskräftig. Sachverhalt Bei einem Fachaufsichtsbesuch in der JVA Burg fiel auf, dass ein Ordner mit der Einsatzakte
Mehr erfahren -
Standortdaten: 403 Millionen Euro Bußgeld gegen Google
Die irische Datenschutzbehörde (DPC) hat am 21.09.2026 ein Bußgeld von 403 Millionen Euro gegen Google Ireland verhängt. Gegenstand ist die Verarbeitung von Standortdaten über die Kontoeinstellungen „Location History“, „Web & App Activity“ und „Location Accuracy“ im Zeitraum von Mai 2018 bis Februar 2020. Das Verfahren ging auf Beschwerden europäischer Verbraucherverbände zurück, darunter der europäische Dachverband
Mehr erfahren
