Darf meine Kanzlei ChatGPT nutzen? §203 StGB und KI-Tools in der Steuerberatung

Montagmorgen, 8:15 Uhr. Ihr Steuerfachangestellter öffnet ChatGPT, gibt einen komplexen Sachverhalt ein. Mandantenname, Einkommenshöhe, Details zur Betriebsprüfung und bittet um eine Formulierungshilfe für die Stellungnahme ans Finanzamt. Zwei Minuten später hat er einen brauchbaren Entwurf. Praktisch. Effizient. Und möglicherweise strafbar.

Das ist kein hypothetisches Szenario. In vielen Kanzleien passiert es täglich – oft ohne Wissen der Kanzleileitung. Die entscheidende Frage lautet nicht, ob Ihre Mitarbeiter KI nutzen. Sondern ob sie es rechtssicher tun.

Steuerberater und Wirtschaftsprüfer bewegen sich beim KI-Einsatz in einem Spannungsfeld aus drei Rechtsgebieten, die unabhängig voneinander gelten und von denen keines allein ausreicht. 

§203 StGB: Die strafrechtliche Grenze

Als Berufsgeheimnisträger unterliegen Steuerberater der Verschwiegenheitspflicht nach §203 StGB. „Offenbaren" im Sinne dieser Vorschrift bedeutet jede Hinausgabe von Tatsachen aus dem Kreis der Wissenden – und dazu gehört auch die technische Übermittlung an einen Cloud-Dienst. Wer Mandantendaten in ein KI-Tool eingibt, das auf US-Servern läuft und diese Daten potenziell verarbeitet, speichert oder für Modelltraining verwendet, bewegt sich im Bereich der unbefugten Offenbarung.

Die Strafandrohung: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Dazu kommen berufsrechtliche Konsequenzen nach §§89, 90 StBerG – von der Rüge durch die Steuerberaterkammer bis hin zur Ausschließung aus dem Beruf.

Seit der Reform von 2017 erlaubt §203 Abs. 3 StGB zwar die Weitergabe an „sonstige mitwirkende Personen", also auch an externe IT-Dienstleister. Aber nur unter strengen Voraussetzungen: Die Inanspruchnahme muss erforderlich sein, und der Dienstleister muss nach §203 Abs. 4 StGB schriftlich zur Geheimhaltung verpflichtet werden. Fehlt diese Verpflichtung, macht sich nicht nur der Dienstleister, sondern auch der Berufsgeheimnisträger selbst strafbar.

§57 StBerG: Die berufsrechtliche Pflicht

Unabhängig vom Strafrecht regelt §62a StBerG die berufsrechtlichen Anforderungen an die Inanspruchnahme externer Dienstleister. Die Norm verlangt einen Vertrag in Textform mit Verpflichtung zur Verschwiegenheit, die sorgfältige Auswahl des Dienstleisters und die Belehrung über strafrechtliche Folgen bei Pflichtverletzung. Ein Standard-AGB-Klick bei einem US-Cloud-Anbieter erfüllt diese Anforderungen nicht.

DSGVO: Notwendig, aber nicht hinreichend

Art. 28 DSGVO regelt die Auftragsverarbeitung und stellt eigene Anforderungen an den Schutz personenbezogener Daten. Viele KI-Anbieter werben mit „DSGVO-Konformität" – und tatsächlich bieten einige Enterprise-Versionen Auftragsverarbeitungsverträge an. Aber hier liegt ein verbreiteter Denkfehler: DSGVO-Konformität schützt nicht vor strafrechtlicher Verantwortung nach §203 StGB. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hat das in seinem Bericht zum Einsatz von Microsoft 365 (November 2025) unmissverständlich klargestellt: §203 StGB setzt einen eigenständigen Schutzstandard, der über die DSGVO hinausgeht.

Die Risiken verteilen sich auf vier Ebenen:

Strafrechtlich: Bis zu einem Jahr Freiheitsstrafe oder Geldstrafe nach §203 Abs. 1 StGB – bereits bei fahrlässigem Handeln möglich, wenn der Berufsgeheimnisträger die Verpflichtung des Dienstleisters versäumt hat (§203 Abs. 4 Nr. 1 StGB).

Berufsrechtlich: Die zuständige Steuerberaterkammer kann Maßnahmen von der Rüge bis zum Berufsverbot verhängen. Die berufsrechtliche Verschwiegenheitspflicht erstreckt sich dabei auf alle mandatsbezogenen Informationen – selbst die Tatsache, dass ein Mandatsverhältnis besteht, ist geschützt.

Zivilrechtlich: Mandanten können Schadensersatz fordern. Die Verschwiegenheitspflicht ergibt sich zivilrechtlich als Nebenpflicht aus dem Geschäftsbesorgungsvertrag. Ein Verstoß begründet Ansprüche nach §280 BGB.

Versicherungsrechtlich: Ob die Berufshaftpflichtversicherung Schäden aus unkontrollierter KI-Nutzung abdeckt, ist ungeklärt. Im Zweifel trägt die Kanzlei das Risiko selbst.

Der Fall AG Köln: Eine Warnung, die auch Steuerberater betrifft

Wie konkret diese Risiken sind, zeigt ein Beschluss des Amtsgerichts Köln vom 2. Juli 2025 (Az. 312 F 130/25). Ein Fachanwalt für Familienrecht reichte einen Schriftsatz ein, der offenbar von einer generativen KI erstellt worden war. Das Ergebnis: sämtliche Fundstellen ab Seite acht waren frei erfunden – nicht existente Urteile, fiktive Kommentarstellen, falsche Autorenzuordnungen. Das Gericht rügte den Anwalt scharf und stellte einen Verstoß gegen §43a Abs. 3 BRAO fest.

Dieser Fall betrifft zwar das Anwaltsberufsrecht, aber die Parallele zur Steuerberatung ist offensichtlich: Wer KI-generierte Inhalte ungeprüft in Stellungnahmen, Mandantenschreiben oder Dokumentationen übernimmt, riskiert nicht nur fachliche Fehler, sondern auch berufsrechtliche Konsequenzen. Die BRAK hat im Dezember 2024 einen Leitfaden veröffentlicht, der ausdrücklich vor dem Risiko von KI-Halluzinationen warnt und die eigenverantwortliche Prüfung aller KI-Ergebnisse als zwingend erforderlich bezeichnet. Der Deutsche Anwaltverein hat im Juli 2025 nachgelegt und klargestellt: Es gibt kein „Grundvertrauen" in KI-generierte Arbeitsprodukte.

Seit dem 2. Februar 2025 verpflichtet Art. 4 der EU-KI-Verordnung alle Unternehmen, die KI-Systeme nutzen, sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Das gilt ausdrücklich auch für Steuerkanzleien, die ChatGPT, Copilot oder andere KI-Tools einsetzen.

Die Pflicht umfasst technisches Grundverständnis, Kenntnis der Risiken und Bewusstsein für ethische Aspekte. Die Durchsetzung mit Sanktionsmöglichkeiten greift ab August 2026 – aber die Pflicht selbst gilt bereits jetzt. Kanzleien, die KI ohne interne Richtlinien und Schulungsmaßnahmen einsetzen, handeln seit Februar 2025 rechtswidrig.

Der Deutsche Steuerberaterverband (DStV) hat dazu klar Position bezogen: „Technologiekompetenz wird so wichtig wie Rechts- und BWL-Know-how."

Damit KI-Nutzung in einer Steuerkanzlei den Anforderungen aus §203 StGB, StBerG, DSGVO und EU AI Act genügt, müssen folgende Voraussetzungen erfüllt sein:

Server-Standort und Datenverarbeitung:

• Verarbeitung ausschließlich auf Servern in der EU, idealerweise in Deutschland
• Keine Übertragung von Eingabedaten an Server außerhalb der EU
• Keine Nutzung von Eingabedaten für das Training von KI-Modellen
• Verschlüsselung ruhender und übertragener Daten

Vertragliche Absicherung:

• Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgeschlossen
• Zusätzliche Geheimhaltungsverpflichtung des Anbieters nach §203 Abs. 4 StGB – das ist der entscheidende Punkt, den die meisten KI-Anbieter nicht adressieren
• Belehrung des Anbieters über strafrechtliche Folgen bei Pflichtverletzung
• Vertrag in Textform (§62a StBerG)

Organisatorische Maßnahmen:

• Kanzleiinterne KI-Richtlinie erstellt und dokumentiert
• Mitarbeiter geschult (Art. 4 EU AI Act)
• Prüfpflicht für alle KI-generierten Inhalte definiert und kommuniziert
• Berufshaftpflichtversicherung über den KI-Einsatz informiert

Qualitätssicherung:

• Keine ungeprüfte Übernahme von KI-Outputs in mandatsbezogene Dokumente
• Anonymisierung oder Pseudonymisierung von Mandantendaten, wo möglich
• Dokumentation des KI-Einsatzes für Audit-Zwecke

KI in der Steuerberatung zu nutzen ist nicht nur erlaubt – es wird zunehmend zur wirtschaftlichen Notwendigkeit. 25% der Steuerberater nutzen bereits regelmäßig generative KI, die DATEV KI-Werkstatt hat 40.000 Nutzer. Die Branche bewegt sich, und wer jetzt nicht mitgeht, verliert den Anschluss.

Aber: Die Rahmenbedingungen müssen stimmen. Das bedeutet nicht, dass jede Kanzlei eine eigene Rechtsabteilung braucht, die KI-Tools bewertet. Es bedeutet, dass die Plattformwahl eine strategische Entscheidung ist, die über den reinen Funktionsumfang hinausgeht. Ein KI-Tool, das für Berufsgeheimnisträger nach §203 StGB konzipiert ist, löst viele der oben genannten Anforderungen by design – ohne dass der einzelne Mitarbeiter bei jeder Nutzung eine juristische Prüfung vornehmen muss.

Die Frage für Kanzleiinhaber lautet deshalb nicht: Sollen wir KI nutzen? Sondern: Nutzen wir sie schon – und wenn ja, wie kontrolliert?

Wie eine KI-Plattform aussieht, die speziell für Berufsgeheimnisträger nach §203 StGB entwickelt wurde, zeigen wir auf unserer Übersichtsseite → KI für Steuerberater & Wirtschaftsprüfer