KI und Verschwiegenheit: § 203 StGB in der Kanzlei

Diese Frage kommt spätestens dann, wenn die erste Software mit KI-Funktion im Haus ist, und sie kommt oft zu spät, nämlich nachdem der Vertrag unterschrieben ist.

Die Ausgangslage

Steuerberater gehören zu den in § 203 StGB genannten Berufsgeheimnisträgern. Die Verletzung der Verschwiegenheit ist eine Straftat, nicht nur ein Berufsrechtsverstoß. Parallel gilt § 57 StBerG mit der berufsrechtlichen Verschwiegenheitspflicht.

Geschützt ist alles, was der Kanzlei in ihrer beruflichen Eigenschaft anvertraut wurde. Das ist weit zu verstehen: Nicht nur Inhalte, sondern bereits die Tatsache, dass ein bestimmtes Mandatsverhältnis besteht.

Eine Offenbarung liegt vor, wenn diese Information einem Dritten zugänglich gemacht wird. Dass ein Mensch sie tatsächlich liest, ist nicht erforderlich. Es genügt, dass sie den Herrschaftsbereich verlässt und für einen anderen wahrnehmbar wird.

Damit ist die Ausgangsfrage beantwortet: Wer Belege oder Mandantendaten an einen externen Dienst übergibt, offenbart sie. Die Frage ist nicht ob, sondern unter welchen Voraussetzungen das zulässig ist.

Die Ausnahme für mitwirkende Personen

§ 203 Abs. 3 StGB erlaubt die Einbeziehung sonstiger mitwirkender Personen. Damit sind ausdrücklich auch externe Dienstleister gemeint, einschließlich IT-Dienstleistern.

Die Vorschrift knüpft das an Bedingungen:

Mitwirkung an der beruflichen Tätigkeit. Der Dienstleister muss an der Tätigkeit der Kanzlei mitwirken. Ein Buchhaltungssystem, das Belege verarbeitet, tut das. Ein Dienst, der ohne Bezug zur Mandatsarbeit genutzt wird, nicht.

Beschränkung auf das Erforderliche. Offenbart werden darf nur, was für die Mitwirkung notwendig ist. Ein vollständiger Mandantenbestand an einen Dienst, der einzelne Belege auslesen soll, überschreitet das.

Verpflichtung zur Verschwiegenheit. Der Dienstleister ist zu verpflichten, und zwar ausdrücklich und nachweisbar. Diese Verpflichtung ist etwas anderes als ein Auftragsverarbeitungsvertrag.

Sorgfältige Auswahl und Überwachung. Die Kanzlei bleibt verantwortlich. Sie muss prüfen, wen sie einbindet, und das nicht nur einmal.

Wer außer dem Anbieter noch mitwirkt

Die Ausnahme für sonstige mitwirkende Personen ist nicht auf Softwareanbieter zugeschnitten, sondern erfasst eine ganze Reihe von Beteiligten, die im Kanzleialltag selbstverständlich eingebunden sind. Die Voraussetzungen gelten für sie alle in gleicher Weise, und die Prüfung ist bei jedem Einzelnen dieselbe.

Dazu gehören der externe IT-Dienstleister, der Zugriff auf die Systeme hat, der Anbieter der Fernwartung, das Rechenzentrum, in dem die Daten liegen, das Aktenvernichtungsunternehmen, der Übersetzungsdienst und der freie Mitarbeiter, der Buchführungen bearbeitet. In den meisten Kanzleien sind für diese Beteiligten längst Verpflichtungserklärungen vorhanden, weil die Frage dort seit Jahren gestellt wird.

Das ist die eigentliche Erleichterung bei der Einführung eines KI-gestützten Systems: Der Prüfmaßstab ist kein neuer. Wer den bestehenden Ablauf für IT-Dienstleister kennt, kann ihn übernehmen und muss lediglich zwei Punkte ergänzen, die bei klassischen Dienstleistern nicht auftauchen. Der erste ist die Frage nach der Verwendung der Daten für Trainingszwecke. Der zweite ist die Frage, ob überhaupt eine Übermittlung stattfindet oder die Verarbeitung lokal erfolgt, weil das bei einem Wartungsvertrag nie zweifelhaft war.

Die zwei Ebenen sauber trennen

In Gesprächen werden Datenschutz und Berufsrecht regelmäßig vermengt. Sie sind getrennt zu prüfen:

Der letzte Punkt wird häufig übersehen. Die DSGVO schützt keine juristischen Personen. Das Berufsgeheimnis schon: Auch die Umsatzzahlen einer GmbH unterliegen der Verschwiegenheit, obwohl es sich nicht um personenbezogene Daten handelt.

Ein Dienstleister, der nur einen Auftragsverarbeitungsvertrag anbietet, hat damit die eine Ebene abgedeckt und die andere nicht.

Wo im Kanzleialltag Daten das Haus verlassen

Die Diskussion dreht sich meist um die große Buchhaltungssoftware. Praktisch relevanter sind die vielen kleinen Stellen, an denen mandatsbezogene Angaben eine externe Verarbeitung erreichen, ohne dass jemand eine Entscheidung darüber getroffen hätte.

Die Belegverarbeitung. Der offensichtliche Fall und zugleich der am besten geregelte, weil er beschafft, geprüft und vertraglich unterlegt wird. Hier greifen die Voraussetzungen des § 203 Abs. 3 StGB regelmäßig, sofern die vertragliche Grundlage stimmt.

Die Übersetzung oder Zusammenfassung eines Dokuments. Eine Bilanz, ein Schriftsatz oder eine Betriebsprüfungsanordnung wird in ein frei zugängliches Werkzeug kopiert, um sie zu kürzen oder in eine andere Sprache zu bringen. Der Vorgang dauert eine Minute und ist die Konstellation, die in Kanzleien am häufigsten unbemerkt auftritt.

Die Diktier- und Transkriptionsfunktion. Aufzeichnungen aus Mandantengesprächen enthalten regelmäßig sowohl Inhalte als auch die Tatsache des Mandatsverhältnisses. Ob die Umwandlung lokal oder auf einem fremden Server erfolgt, ist keine technische Feinheit, sondern die eigentliche Frage.

Die Erweiterung im Textverarbeitungs- oder Mailprogramm. Assistenzfunktionen, die den Inhalt eines Dokuments oder einer Nachricht verarbeiten, um Vorschläge zu erzeugen, greifen auf genau die Inhalte zu, die der Verschwiegenheit unterliegen. Sie werden zentral ausgerollt, oft ohne dass die Frage im Haus gestellt wurde.

Die Recherchefunktion in Fachdatenbanken. Sie ist meist unbedenklich, solange abstrakt gefragt wird. Wird der Sachverhalt des Mandats zur Verbesserung der Antwort eingegeben, ändert sich die Bewertung.

Die Aufstellung zeigt das eigentliche Problem: Die vertraglich geregelte Verarbeitung ist selten der kritische Punkt. Kritisch sind die Wege, die sich niemand als Verarbeitung vorgestellt hat.

Ein Prüfschema für den einzelnen Vorgang

Vor der Nutzung eines Werkzeugs lässt sich die Lage mit vier Fragen einordnen. Sie ersetzen keine Prüfung des Einzelfalls, sortieren die Fälle aber zuverlässig vor.

Die erste Zeile ist die wirksamste, weil sie viele Fälle bereits ausscheidet. Eine Verarbeitung, die den Rechner der Kanzlei nicht verlässt, wirft die Frage nicht auf. Genau deshalb ist bei jedem Werkzeug zuerst zu klären, wo die Verarbeitung tatsächlich stattfindet, und nicht, wo der Anbieter seinen Sitz hat.

Die dritte Zeile wird in Verhandlungen am häufigsten übergangen. Wer für die Belegverarbeitung eine Schnittstelle einrichtet, sollte prüfen, welche Daten dabei tatsächlich übertragen werden. Ein vollständiger Abzug des Mandantenstamms, weil die Schnittstelle nichts anderes vorsieht, ist keine Beschränkung auf das Erforderliche, auch wenn er technisch bequem ist.

Die Anonymisierung und ihre Grenzen

Ein naheliegender Gedanke lautet, die Frage durch Entfernen der Namen zu erledigen. Das trägt weniger weit, als es scheint.

Geschützt ist nicht der Name, sondern das Geheimnis. Ein Sachverhalt kann eine Zuordnung zum Mandanten auch ohne Namensnennung ermöglichen, etwa über die Branche, den Ort, die Größenordnung des Umsatzes oder eine ungewöhnliche Konstellation. Bei einem regional tätigen Betrieb einer seltenen Branche genügen zwei dieser Angaben. Hinzu kommt, dass die Tatsache des Mandatsverhältnisses selbst geschützt ist, sodass bereits die Übermittlung eines identifizierbaren Bestands problematisch ist, selbst wenn die Inhalte unkenntlich wären.

Praktisch brauchbar ist die Anonymisierung deshalb vor allem für eine Gruppe von Fällen: die abstrakte Rechtsfrage. Wer wissen möchte, wie ein bestimmter Sachverhaltstyp umsatzsteuerlich zu behandeln ist, kann die Frage ohne jeden Bezug zum Mandat stellen und erhält dieselbe Antwort. Das ist keine Anonymisierung im technischen Sinn, sondern das Weglassen von Angaben, die für die Antwort ohnehin nicht gebraucht werden.

Nicht brauchbar ist der Ansatz dort, wo gerade die konkreten Zahlen und Umstände verarbeitet werden sollen. Ein Beleg lässt sich nicht anonymisiert auslesen, denn die auszulesenden Angaben sind der Inhalt. Wer für die Belegverarbeitung nach einer Anonymisierungslösung sucht, sucht am falschen Ort. Der richtige Weg ist dort die vertragliche Grundlage.

Was in die Akte gehört

Die sorgfältige Auswahl ist im Ernstfall nachzuweisen, und ein Nachweis besteht aus Unterlagen, nicht aus Erinnerung. Sinnvoll ist eine schlanke Ablage je eingesetztem Dienst mit sechs Bestandteilen:

1. Die Verschwiegenheitsverpflichtung des Anbieters, unterschrieben, mit Erstreckung auf die Unterauftragnehmer.
2. Der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nebst der Liste der Unterauftragnehmer.
3. Die Auskunft zum Verarbeitungsort und zum Sitz der beteiligten Unternehmen.
4. Die Auskunft zur Verwendung der Daten für Trainingszwecke, möglichst als Zusicherung und nicht als Auszug aus einer Webseite, die sich ändern kann.
5. Die Angaben zu Speicherdauer und Löschung, einschließlich der Frage, was bei Vertragsende geschieht.
6. Ein datierter Vermerk über die Prüfung selbst, mit dem Ergebnis und der Person, die entschieden hat.

Der sechste Punkt ist der einzige, der Arbeit macht, und der einzige, der die Prüfung als Prüfung erkennbar macht. Er umfasst wenige Sätze.

Ergänzend gehört eine Wiedervorlage dazu, weil die Überwachung keine einmalige Pflicht ist. Anbieter wechseln Unterauftragnehmer, verlagern Verarbeitungsorte und ändern ihre Bedingungen. Eine jährliche Durchsicht mit dem Abgleich der Unterauftragnehmerliste genügt in aller Regel und dauert je Dienst wenige Minuten.

Die interne Regelung, die den Alltag trägt

Verträge regeln die geplanten Wege. Der ungeplante Weg entsteht am Arbeitsplatz, und dagegen hilft nur eine verständliche interne Vorgabe. Sie sollte drei Dinge benennen und sonst nichts, damit sie gelesen wird:

Welche Werkzeuge freigegeben sind, namentlich und mit dem Zusatz, für welche Aufgaben. Eine Liste mit fünf Einträgen ist wirksamer als eine abstrakte Beschreibung zulässiger Kategorien.

Was nicht eingegeben wird, ebenso konkret: keine Belege, keine Jahresabschlüsse, keine Schriftsätze, keine Namen von Mandanten, keine Angaben, aus denen sich ein Mandat erschließen lässt.

Wen man fragt, wenn ein neues Werkzeug nützlich erscheint. Ohne diesen dritten Punkt entsteht kein Weg für den berechtigten Bedarf, und dann wird er ohne Rückfrage gedeckt.

Zwei Ergänzungen erhöhen die Wirkung deutlich. Erstens sollte die Regelung erklären, warum sie besteht, denn eine Verbotsliste ohne Begründung wird umgangen, sobald sie unbequem wird. Zweitens gehört sie in die Einarbeitung neuer Mitarbeiter, weil die problematischen Eingaben typischerweise nicht von den Personen kommen, die die Software beschafft haben.

Die Prüffragen vor dem Einsatz

Sechs Punkte gehören geklärt und dokumentiert:

1. Wo werden die Daten verarbeitet und gespeichert? Serverstandort und Sitz des Anbieters.
2. Wer sind die Unterauftragnehmer? Ein Anbieter mit Sitz in Deutschland kann Modelle eines Anbieters außerhalb der EU nutzen. Die Kette gehört offengelegt.
3. Werden die Daten zum Training verwendet? Das ist die wichtigste einzelne Frage. Ein Anbieter, der Eingaben zur Verbesserung seiner Modelle nutzt, verarbeitet sie nicht nur für die Kanzlei.
4. Wie lange werden Eingaben vorgehalten? Zwischenspeicher zur Missbrauchserkennung sind üblich und gehören benannt.
5. Liegt eine Verschwiegenheitsverpflichtung vor, und erstreckt sie sich auf die Unterauftragnehmer?
6. Wie wird gelöscht, und was passiert bei Vertragsende?

Diese Prüfung gehört schriftlich festgehalten. Nicht wegen der Ästhetik, sondern weil die sorgfältige Auswahl im Ernstfall nachzuweisen ist, und ein Gespräch aus dem Vorjahr ist kein Nachweis.

Drei Fälle, die in der Praxis Schwierigkeiten machen

Die Prüfschemata sind eindeutig, solange die Sachverhalte es sind. Drei Konstellationen sind es nicht und tauchen regelmäßig auf.

Der Anbieter mit Sitz in Deutschland und Modell außerhalb der EU. Die Vertragspartnerin ist eine deutsche Gesellschaft, die Verarbeitung erfolgt jedoch teilweise bei einem Unterauftragnehmer in einem Drittland. Berufsrechtlich ist entscheidend, ob die Verschwiegenheitsverpflichtung diese Kette erfasst, denn ein Vertrag mit der deutschen Gesellschaft allein verpflichtet den Unterauftragnehmer nicht. Datenschutzrechtlich kommt die Frage der Übermittlungsgrundlage hinzu. Beide Punkte sind zu klären, und die Antwort steht nicht auf der Produktseite, sondern in der Unterauftragnehmerliste.

Die Funktion, die still hinzukommt. Ein bereits eingesetztes Programm erhält im Rahmen einer Aktualisierung eine Assistenzfunktion, die Inhalte an einen externen Dienst übermittelt. Die ursprüngliche Prüfung bezog sich auf ein Produkt ohne diese Funktion. Wer keine Wiedervorlage führt, bemerkt die Änderung erst, wenn sie jemand zufällig liest. Das ist der eigentliche Grund, warum die Überwachungspflicht kein formaler Zusatz ist.

Der Mandant, der selbst ein Werkzeug einsetzt. Ein Mandant lässt seine Belege vorab durch einen eigenen Dienst laufen und übergibt der Kanzlei nur noch Daten. Hier offenbart die Kanzlei nichts, denn die Übermittlung erfolgt durch den Mandanten über seine eigenen Daten. Zu prüfen bleibt die fachliche Seite: Die übernommenen Daten sind ein Vorschlag Dritter, für dessen Richtigkeit die Kanzlei bei der Verarbeitung einsteht.

Der dritte Fall zeigt zugleich die Trennlinie: Die Verschwiegenheitspflicht schützt das Geheimnis der Kanzlei gegenüber Dritten. Der Mandant kann über seine eigenen Angelegenheiten verfügen, und er tut es zunehmend, ohne die Kanzlei zu fragen.

Was das praktisch bedeutet

Der Einsatz von KI in der Buchhaltung ist berufsrechtlich zulässig, wenn die Voraussetzungen eingehalten werden. Es gibt kein Verbot, und es gibt auch keinen Freibrief.

Drei Konstellationen sind im Alltag zu unterscheiden:

Unproblematisch: Abstrakte Fragen ohne Mandatsbezug. Wer ein Modell nach der Systematik des § 13b UStG fragt, offenbart nichts.

Zulässig unter Bedingungen: Ein eingebundener Dienst, der Belege verarbeitet, mit Verpflichtung, Auftragsverarbeitungsvertrag, dokumentierter Auswahl und ohne Training auf den Daten. Dass ein solches System aus Korrekturen lernt, steht dem nicht entgegen: Gelernt wird in den Stammdaten der Kanzlei und nicht durch Anpassung eines Modells, siehe Wie eine Buchhaltungs-KI aus Korrekturen lernt.

Problematisch: Mandatsbezogene Angaben in einem öffentlichen Chatdienst ohne vertragliche Grundlage. Das ist der Fall, der in Kanzleien am häufigsten und meist unbeabsichtigt vorkommt, weil er so niedrigschwellig ist.

Die dritte Konstellation ist der Grund, warum zum Thema KI in der Kanzlei eine interne Regelung gehört: welche Werkzeuge freigegeben sind, welche nicht und was auf keinen Fall eingegeben wird. Eine solche Regel ist in einer Stunde geschrieben und verhindert den Fall, der später niemandem mehr erklärbar ist.

Die Schnittstelle zum Mandanten

Ein Bereich, der bei der Prüfung regelmäßig übersehen wird, ist der Rückweg. Sobald ein System Rückfragen an den Mandanten stellt, Belege abholt oder Auswertungen bereitstellt, verlassen Daten die Kanzlei nicht nur in Richtung Dienstleister, sondern auch in Richtung Empfänger.

Berufsrechtlich ist das der einfachere Fall, denn gegenüber dem eigenen Mandanten besteht keine Verschwiegenheitspflicht hinsichtlich seiner eigenen Angelegenheiten. Zwei Punkte bleiben dennoch zu klären.

Der richtige Empfänger. Bei einer Gesellschaft ist nicht jeder Ansprechpartner berechtigt, jede Information zu erhalten. Lohnauswertungen sind das Musterbeispiel, weil sie regelmäßig an eine Person gehen sollen und nicht an den Verteiler der Buchhaltung. Ein Zugang, der nach Mandat und nicht nach Person vergeben wird, erzeugt hier ein Risiko, das nichts mit KI zu tun hat und durch deren Einsatz nur häufiger auftritt, weil mehr automatisch bereitgestellt wird.

Der Weg der Zustellung. Eine Rückfrage, die den Beleginhalt in einer unverschlüsselten Nachricht wiedergibt, verlagert das Problem in den Mailverkehr. Sinnvoll ist, in der Benachrichtigung nur den Anlass zu nennen und den Inhalt hinter einem geschützten Zugang zu belassen. Zu den organisatorischen Voraussetzungen dafür siehe Vorbereitende Buchhaltung beim Mandanten.

Abgrenzung zu den GoBD

Berufsrecht, Datenschutz und Ordnungsmäßigkeit der Buchführung werden in Auswahlgesprächen häufig gemeinsam abgehandelt. Sie beantworten unterschiedliche Fragen, und eine Zusicherung aus dem einen Bereich sagt nichts über den anderen.

Die Verschwiegenheit fragt, wer die Daten sehen darf. Der Datenschutz fragt, auf welcher Grundlage personenbezogene Daten verarbeitet werden. Die Ordnungsmäßigkeit fragt, ob die Aufzeichnungen nachvollziehbar, unveränderbar und vollständig sind. Ein Dienst kann berufsrechtlich einwandfrei eingebunden sein und trotzdem keine ausreichende Protokollierung führen, und umgekehrt.

Praktisch bedeutet das für die Anbieterprüfung, dass drei getrennte Nachweisstränge erforderlich sind: die Verschwiegenheitsverpflichtung, der Auftragsverarbeitungsvertrag und die Verfahrensdokumentation nebst Beschreibung der Protokollierung. Wer nur einen davon anfordert, hat die anderen beiden nicht geprüft, sondern nur nicht bemerkt. Zur dritten Ebene siehe GoBD in der Belegverarbeitung.

Die Verantwortung bleibt

Unabhängig von allen vertraglichen Konstruktionen bleibt die fachliche Verantwortung beim Berufsträger. Ein Buchungsvorschlag ist ein Vorschlag, und wer ihn freigibt, verantwortet ihn.

Das ist kein Nachteil der Technik, sondern der Grund, warum die Prüfschicht zwischen Vorschlag und Festschreibung nicht wegoptimiert werden sollte. Ein System, das Vorschläge erzeugt und dem Menschen die Entscheidung lässt, passt zu dieser Verantwortungsverteilung. Eines, das ungefragt festschreibt, passt nicht dazu.