ChatGPT in der Steuerkanzlei: Erlaubt, geduldet oder strafbar?

Laut der SWI Finance Studie 2025 bestätigen 91,6 % der Steuerkanzleien, dass KI in ihrem Berufsalltag angekommen ist. Gleichzeitig zeigt die STAX-Befragung 2024 der Bundessteuerberaterkammer (BStBK): Nur 23 % der Steuerberater glauben, dass deklaratorische Aufgaben vollständig von KI übernommen werden können. Zwischen diesen beiden Zahlen liegt der Alltag, in dem Mitarbeiter längst ChatGPT für Recherche, Mandantenbriefe oder Vertragsprüfungen einsetzen, nicht selten ohne Wissen der Kanzleileitung. Dieser Artikel zeigt, unter welchen Voraussetzungen KI-Tools in der Kanzlei rechtlich zulässig sind und warum die Antwort nicht pauschal "Ja" oder "Nein" lautet.

Warum "Darf ich ChatGPT nutzen?" die falsche Frage ist

Die Frage klingt simpel, suggeriert aber eine binäre Antwort, die es nicht gibt. Ob ein KI-Tool in der Kanzlei zulässig ist, hängt nicht vom Produktnamen ab, sondern von drei Faktoren: der vertraglichen Ausgestaltung mit dem Anbieter, der technischen Konfiguration des Dienstes und der Art der Daten, die eingegeben werden.

Wer "ChatGPT" sagt, meint oft generische KI. Aber zwischen der kostenlosen Browserversion, einem Business-Tarif mit Auftragsverarbeitungsvereinbarung und einer dedizierten Plattform mit §203-Geheimhaltungsvertrag liegen Welten. Der BStBK FAQ-Katalog KI, den die Bundessteuerberaterkammer am 11. Februar 2026 veröffentlicht hat, ordnet diese Differenzierung erstmals berufsständisch ein und macht deutlich: Die Frage ist nicht, ob Kanzleien KI nutzen dürfen, sondern wie sie es rechtssicher tun.

Entscheidend ist dabei ein Punkt, der in Beratungsgesprächen zur KI-Einführung in Steuerkanzleien regelmäßig für Irritation sorgt: Die meisten Kanzleiinhaber gehen davon aus, dass eine DSGVO-konforme Auftragsverarbeitungsvereinbarung (AVV) ausreicht, um KI-Tools bedenkenlos mit Mandantendaten zu nutzen. Das ist ein Irrtum, der im schlimmsten Fall strafrechtliche Konsequenzen hat.

§203 StGB und DSGVO: Zwei Rechtskreise, die Kanzleien auseinanderhalten müssen

Die häufigste Frage in Beratungsgesprächen zur KI-Einführung in Kanzleien lautet sinngemäß: "Reicht unsere AVV für die Berufsträgerpflichten aus?" Die kurze Antwort: Nein. Die lange Antwort erfordert ein Verständnis dafür, dass hier zwei völlig getrennte Rechtskreise ineinandergreifen.

Die DSGVO schützt personenbezogene Daten. §203 StGB schützt Berufsgeheimnisse. Das sind unterschiedliche Schutzgüter, mit unterschiedlichen Rechtsgrundlagen und unterschiedlichen Konsequenzen bei Verstößen.

Was die AVV abdeckt, und was nicht

Eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO regelt, wie ein Dienstleister personenbezogene Daten im Auftrag verarbeitet. Sie deckt technisch-organisatorische Maßnahmen, Löschpflichten, Unterauftragnehmer und das Weisungsrecht des Verantwortlichen ab. Für den Datenschutz ist das die richtige Grundlage.

Für Steuerberater reicht sie jedoch nicht. Die berufsrechtliche Verschwiegenheitspflicht nach §57 StBerG geht weiter als der allgemeine Datenschutz. Sie schützt nicht nur personenbezogene Daten, sondern jede Information, die im Zusammenhang mit dem Mandat steht, einschließlich der Tatsache, dass ein Mandatsverhältnis überhaupt besteht. Eine AVV adressiert diesen strafrechtlichen Schutzbereich schlicht nicht.

Die Geheimhaltungsvereinbarung nach §203 Abs. 4 StGB

Seit der Novellierung des §203 StGB im Jahr 2017 dürfen Berufsgeheimnisträger externe Dienstleister als "mitwirkende Personen" einbinden, ohne dass dies automatisch eine strafbare Offenbarung darstellt. Die Voraussetzung dafür regelt §62a StBerG: Der Dienstleister muss schriftlich zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden. Eine Einwilligung des Mandanten ist dafür nicht erforderlich.

Entscheidend ist der Umkehrschluss: Unterlässt der Steuerberater diese Verpflichtung, macht er sich selbst strafbar (§203 Abs. 4 Nr. 1 StGB). Der Gesetzgeber bestraft also nicht nur die unbefugte Offenbarung, sondern auch die Nachlässigkeit bei der Absicherung. Für den KI-Einsatz bedeutet das: Jeder Anbieter, dem Mandantendaten zugänglich werden, braucht neben der datenschutzrechtlichen AVV eine separate, strafrechtlich wirksame Geheimhaltungsvereinbarung nach §203 Abs. 4 StGB.

Welche KI-Tools dürfen Steuerberater 2026 nutzen?

Die Antwort hängt von der konkreten Konstellation ab. Im Wesentlichen gibt es drei Szenarien, die sich in ihrer rechtlichen Bewertung grundlegend unterscheiden.

Szenario 1: Consumer-Versionen wie ChatGPT Free oder Plus bieten weder eine AVV noch eine §203-Geheimhaltungsvereinbarung. Eingabedaten können zum Modelltraining verwendet werden. Für Steuerberater sind diese Versionen bei jeder Eingabe mit Mandatsbezug ausgeschlossen.

Szenario 2: Business-Tarife wie ChatGPT Enterprise oder Team bieten eine datenschutzrechtliche Vereinbarung und schließen Modelltraining aus. Eine §203-Geheimhaltungsvereinbarung nach deutschem Strafrecht bietet OpenAI nach aktuellem Stand jedoch nicht an. Das bedeutet: Für allgemeine Aufgaben ohne Mandatsbezug (etwa Recherche zu Gesetzesänderungen, Formulierungshilfen für generische Texte) sind diese Tools nutzbar. Sobald Mandantennamen, Aktenzeichen oder Sachverhaltsbezüge eingegeben werden, fehlt die strafrechtliche Absicherung.

Szenario 3: §203-konforme Plattformen bieten sowohl eine AVV nach DSGVO als auch eine ergänzende Geheimhaltungsvereinbarung nach §203 Abs. 4 StGB, EU-Hosting und ein dokumentiertes Training-Opt-Out. Erst in dieser Konstellation ist die Arbeit mit Mandantendaten in KI-Tools rechtlich abgesichert.

Was das in der Praxis bedeutet

Eine mittelständische WP/StB-Kanzlei aus unserer Beratungspraxis stand vor genau diesem Problem: Die Mitarbeiter wollten KI nutzen, die Kanzleileitung wusste um die §203-Thematik. Die Lösung war ein aufwendiger Workaround. Vor jeder KI-Anfrage mussten Mandantennamen, Aktenzeichen und Sachverhaltsbezüge manuell anonymisiert werden. Der Produktivitätsgewinn der KI wurde durch diesen Anonymisierungsaufwand erheblich reduziert. Erst der Wechsel zu einer Plattform mit §203-Geheimhaltungsvertrag machte den Anonymisierungsschritt überflüssig und ermöglichte den eigentlichen Effizienzgewinn.

Vier Schritte zur §203-konformen KI-Nutzung in Ihrer Kanzlei

Die folgenden Schritte funktionieren unabhängig davon, für welches KI-Tool Sie sich entscheiden. Sie stellen sicher, dass Ihre Kanzlei rechtlich abgesichert ist, bevor Mandantendaten in ein KI-System gelangen.

Erstens: Bestandsaufnahme der aktuellen Nutzung. Fragen Sie Ihre Mitarbeiter, welche KI-Tools sie bereits verwenden. Die Bitkom-Studie 2025 zeigt, dass 25 % der Unternehmen von unkontrollierter Schatten-KI berichten. In Kanzleien ist das Risiko besonders hoch, weil die strafrechtliche Schwelle niedrig liegt: Bereits eine einzige Eingabe mit Mandatsbezug in ein nicht abgesichertes Tool kann den Tatbestand des §203 StGB erfüllen.

Zweitens: Vertragsprüfung bei bestehenden Tools. Prüfen Sie für jedes eingesetzte KI-Tool zwei Fragen: Liegt eine AVV nach Art. 28 DSGVO vor? Und, für Kanzleien entscheidend: Existiert eine Geheimhaltungsvereinbarung nach §203 Abs. 4 StGB, in der der Anbieter als mitwirkende Person zur Verschwiegenheit verpflichtet und über die Strafbarkeit belehrt wurde? Fehlt die zweite Vereinbarung, dürfen keine Mandantendaten in das Tool eingegeben werden.

Drittens: KI-Richtlinie für die Kanzlei erstellen. Definieren Sie schriftlich, welche Daten in welche Tools eingegeben werden dürfen, wer neue Tools genehmigt und wie mit Ergebnissen umgegangen wird. Der BStBK FAQ-Katalog KI empfiehlt ausdrücklich die Einführung einer solchen internen Governance-Struktur.

Viertens: Schulungspflicht umsetzen. Seit Februar 2025 verlangt Art. 4 der europäischen KI-Verordnung (EU AI Act), dass alle Mitarbeiter, die KI-Systeme einsetzen, über ausreichende KI-Kompetenz verfügen. Das gilt auch für Kanzleimitarbeiter. Dokumentieren Sie die Schulungen, denn die Nachweispflicht liegt beim Arbeitgeber.

Wie §203-konforme KI-Nutzung in der Kanzleipraxis konkret aussieht, von der Vertragsgestaltung bis zur Mitarbeiterschulung, zeigen wir auf unserer Übersicht KI für Steuerkanzleien.

Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Für die rechtliche Bewertung Ihrer konkreten Situation konsultieren Sie bitte Ihren Rechtsanwalt.