§ 62a StBerG und KI-Anbieter: Was Steuerkanzleien vertraglich regeln müssen

Wer in der Kanzlei ein KI-Werkzeug mit Mandatsdaten nutzt, gibt Geheimnisse an einen externen Dienstleister weiter. Ob das erlaubt ist, entscheidet nicht allein die DSGVO, sondern vor allem § 62a StBerG. Die Vorschrift sagt, unter welchen Voraussetzungen Steuerberater Dienstleistern Zugang zu Tatsachen eröffnen dürfen, die der Verschwiegenheit unterliegen. Dieser Beitrag zeigt, was die Norm verlangt und wie Sie einen KI-Anbieter daraufhin prüfen.

Kurz gesagt:

• § 62a StBerG erlaubt die Einbindung von Dienstleistern, aber nur soweit das für die Dienstleistung erforderlich ist.
• Der Vertrag mit dem KI-Anbieter braucht Textform und eine Verschwiegenheitsverpflichtung mit Belehrung über die strafrechtlichen Folgen.
• Wird die Leistung im Ausland erbracht, muss der Geheimnisschutz dort dem deutschen vergleichbar sein.
• Dient die Leistung unmittelbar einem einzelnen Mandat, braucht es die Einwilligung des Mandanten.
• Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ersetzt diese Anforderungen nicht.

Was regelt § 62a StBerG?

Steuerberater sind nach § 57 Abs. 1 StBerG zur Verschwiegenheit verpflichtet. § 62a StBerG macht davon eine Ausnahme für die Zusammenarbeit mit Dienstleistern. Dienstleister ist jede andere Person oder Stelle, die der Steuerberater im Rahmen seiner Berufsausübung mit Dienstleistungen beauftragt. Das sind IT-Betreuer, Rechenzentren, Cloud-Anbieter und eben auch Anbieter von KI-Systemen.

Die Norm hat acht Absätze. Für die Praxis sind vor allem diese Punkte entscheidend:

1. Erforderlichkeit (Abs. 1): Zugang zu geschützten Tatsachen nur, soweit er für die Inanspruchnahme der Dienstleistung erforderlich ist.
2. Sorgfältige Auswahl (Abs. 2): Der Dienstleister ist sorgfältig auszuwählen. Ist die Einhaltung der vertraglichen Vorgaben nicht gewährleistet, muss die Zusammenarbeit unverzüglich enden.
3. Vertrag in Textform (Abs. 3): Der Dienstleister wird unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet, darf sich nur so weit Kenntnis verschaffen, wie es zur Vertragserfüllung nötig ist, und der Vertrag legt fest, ob er weitere Personen heranziehen darf. Wenn ja, muss er diese ebenfalls in Textform zur Verschwiegenheit verpflichten.
4. Ausland (Abs. 4): Bei Leistungen, die im Ausland erbracht werden, muss der dortige Schutz der Geheimnisse dem Schutz im Inland vergleichbar sein, es sei denn, der Schutz der Geheimnisse gebietet das nicht.
5. Einzelnes Mandat (Abs. 5): Dient die Dienstleistung unmittelbar einem einzelnen Mandat, braucht es die Einwilligung des Mandanten.
6. Datenschutz bleibt (Abs. 8): Die Vorschriften zum Schutz personenbezogener Daten gelten daneben weiter.

Textform heißt: Eine Unterschrift auf Papier ist nicht nötig. Eine lesbare, dauerhaft gespeicherte Erklärung genügt, etwa ein PDF oder eine E-Mail.

Warum ein AV-Vertrag nicht ausreicht

Viele KI-Anbieter legen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor. Der regelt den Umgang mit personenbezogenen Daten. § 62a StBerG schützt dagegen das Mandatsgeheimnis, und das umfasst auch Tatsachen ohne Personenbezug, etwa Zahlen einer GmbH oder Details einer geplanten Umstrukturierung.

Die Anforderungen überschneiden sich, sind aber nicht deckungsgleich. Ein AV-Vertrag enthält in der Regel keine Belehrung über die strafrechtlichen Folgen und keine Verschwiegenheitspflicht im Sinne des Berufsrechts. Prüfen Sie deshalb, ob der Anbieter eine eigene Verschwiegenheitsvereinbarung nach § 62a StBerG anbietet oder ob die Klauseln im AV-Vertrag ergänzt werden.

Der strafrechtliche Hintergrund: § 203 StGB

§ 62a StBerG ist eng mit § 203 StGB verzahnt. Nach § 203 Abs. 3 StGB dürfen Berufsgeheimnisträger fremde Geheimnisse gegenüber sonstigen mitwirkenden Personen offenbaren, soweit das für deren Tätigkeit erforderlich ist. Nach § 203 Abs. 4 Satz 2 Nr. 1 StGB macht sich aber auch der Steuerberater strafbar, wenn er nicht dafür gesorgt hat, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde, und diese das Geheimnis unbefugt offenbart.

Die Verschwiegenheitsverpflichtung ist damit nicht nur eine Formalie. Sie schützt die Kanzlei selbst.

Was bedeutet der Auslandsbezug für KI-Anbieter?

Die leistungsfähigsten Sprachmodelle stammen heute überwiegend von Anbietern aus den USA. Läuft die Modellberechnung dort, wird die Dienstleistung im Ausland erbracht, und Abs. 4 greift. Die Kanzlei muss dann beurteilen, ob der Geheimnisschutz beim Anbieter und im Zielland dem deutschen Schutz vergleichbar ist.

Für diese Beurteilung helfen vor allem:

• vertragliche Zusagen zur Vertraulichkeit und zum Ausschluss der Nutzung von Kundendaten für das Training,
• kurze Speicherfristen und eine klare Löschregel für übermittelte Inhalte,
• die Rechtsgrundlage für die Datenübermittlung nach DSGVO, etwa das EU-US Data Privacy Framework oder Standardvertragsklauseln,
• eine dokumentierte Abwägung, welche Daten überhaupt übermittelt werden müssen.

Die Bewertung für einzelne Drittstaaten ist in der Fachliteratur nicht einheitlich. Halten Sie Ihre Abwägung schriftlich fest, damit Sie sie bei einer Prüfung durch die Steuerberaterkammer vorlegen können.

Wann braucht es die Einwilligung des Mandanten?

Abs. 5 verlangt eine Einwilligung, wenn die Dienstleistung unmittelbar einem einzelnen Mandat dient. Allgemeine Kanzleiinfrastruktur wie E-Mail-Hosting oder Datensicherung fällt in der Regel nicht darunter. Wird ein KI-System dagegen gezielt zu einem konkreten Mandat befragt, liegt der Bezug zu diesem Mandat nahe.

Viele Kanzleien nehmen deshalb eine Einwilligung in die Mandatsvereinbarung oder die Allgemeinen Auftragsbedingungen auf. Nach Abs. 6 gelten die Anforderungen aus Abs. 2 und 3 auch dann weiter, es sei denn, der Mandant verzichtet ausdrücklich darauf.

Prüfliste: KI-Anbieter nach § 62a StBerG

Gehen Sie diese Punkte mit jedem Anbieter durch, bevor Mandatsdaten in das System gelangen:

1. Verschwiegenheitsverpflichtung in Textform mit Belehrung über die strafrechtlichen Folgen liegt vor.
2. Erforderlichkeit ist geregelt: Der Anbieter verschafft sich nur die Kenntnis, die er für die Leistung braucht.
3. Unterauftragnehmer sind benannt, und der Vertrag verpflichtet den Anbieter, sie ebenfalls in Textform zur Verschwiegenheit zu verpflichten.
4. Ort der Verarbeitung ist bekannt, getrennt nach Datenspeicherung und Modellberechnung.
5. Bei Auslandsbezug ist die Vergleichbarkeit des Geheimnisschutzes geprüft und dokumentiert.
6. Trainingsausschluss für Kanzleidaten ist vertraglich zugesichert.
7. Einwilligung der Mandanten ist geregelt, soweit einzelne Mandate betroffen sind.
8. AV-Vertrag nach Art. 28 DSGVO liegt zusätzlich vor.
9. Beendigung ist möglich: Ein Sonderkündigungsrecht bei Verstößen hilft, die Pflicht aus Abs. 2 zur unverzüglichen Beendigung umzusetzen.

Mehr zur Einordnung von DSGVO, EU AI Act und Berufsrecht lesen Sie im Beitrag zu datenschutzkonformer KI in Steuerkanzleien.

Wie Arminius mit § 62a StBerG umgeht

Arminius ist für Steuerkanzleien mit 10 bis 200 Mitarbeitern gebaut. Die Daten jeder Kanzlei liegen in einer eigenen, getrennten Datenbank auf Servern in Deutschland. Für die Beantwortung einer Frage wird der nötige Kontext an den Modellanbieter Anthropic in den USA übermittelt. Das ist ein Auslandsbezug im Sinne von Abs. 4, und wir benennen ihn offen, damit Ihre Kanzlei ihn in die eigene Abwägung aufnehmen kann.

Fragen Sie uns nach den Vertragsunterlagen und der Liste der Unterauftragnehmer. Für ein Angebot für Ihre Kanzlei nutzen Sie Angebot anfordern.

Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.