← Alle Ratgeber-Artikel

§ 203 StGB und KI: Verschwiegenheit im KI-Zeitalter

Kanzlivo-Ratgeber · Stand: 14.07.2026 · Lesezeit ca. 6 Minuten

Wenn Steuerkanzleien über KI-Werkzeuge nachdenken, lautet die entscheidende Frage nicht „Was kann das Tool?", sondern „Darf ich ihm Mandantendaten anvertrauen?" Der Maßstab dafür steht seit Langem im Gesetz: die Verschwiegenheitspflicht nach § 203 StGB. Sie ist beim KI-Einsatz die zentrale Grenze — aber kein Verbot. Dieser Artikel ordnet sachlich ein, was daraus für die Tool-Auswahl folgt und wie Kanzleien KI trotzdem sicher nutzen.

Was § 203 StGB regelt — und warum er die Steuerkanzlei betrifft

§ 203 StGB stellt das unbefugte Offenbaren fremder Geheimnisse durch Berufsgeheimnisträger unter Strafe. Steuerberater gehören — wie Rechtsanwälte, Wirtschaftsprüfer und Ärzte — ausdrücklich zu diesem Kreis. Geschützt ist alles, was Mandanten der Kanzlei im Vertrauen anvertrauen: Zahlen, Verträge, persönliche und wirtschaftliche Verhältnisse.

Wichtig für die Praxis: Die Vorschrift verbietet nicht, Dienstleister einzubinden. Sie verlangt aber, dass die Kanzlei dabei sorgfältig vorgeht und die Vertraulichkeit gesichert bleibt — etwa durch die Auswahl geeigneter Anbieter und deren Verpflichtung zur Verschwiegenheit. Die Verschwiegenheitspflicht steht dabei neben der DSGVO und dem Berufsrecht; alle drei Ebenen greifen ineinander, ersetzen sich aber nicht.

Warum KI-Werkzeuge hier besonders genau geprüft werden müssen

Bei klassischer Kanzleisoftware ist meist klar, wo die Daten liegen. Bei vielen KI-Diensten ist genau das die offene Frage: Die Eingaben werden auf Servern des Anbieters verarbeitet — je nach Dienst außerhalb der EU, ohne belastbare vertragliche Grundlage und in manchen Fällen mit der Möglichkeit, dass Eingaben zum Training künftiger Modelle verwendet werden. Wer Mandantendaten in ein solches Werkzeug eingibt, gibt die Kontrolle darüber aus der Hand — und genau das verträgt sich nicht mit der Verschwiegenheitspflicht.

Das Problem ist also nicht „KI an sich". Das Problem ist der unkontrollierte Datenabfluss. Dieselbe Technologie, betrieben auf geschützter Infrastruktur mit klarer Vertragslage, ist eine andere Ausgangslage als der frei zugängliche Chatbot im Browser.

Was das für die Tool-Auswahl bedeutet

Aus der Verschwiegenheitspflicht lassen sich konkrete Prüfkriterien ableiten. Bevor ein KI-Werkzeug mit Mandantendaten in Berührung kommt, sollte die Kanzlei klären:

• EU-Hosting: Werden die Daten ausschließlich auf Servern in der EU verarbeitet?
• AVV nach Art. 28 DSGVO: Gibt es einen Auftragsverarbeitungsvertrag, der Zweckbindung, Sicherheitsmaßnahmen und Löschung verbindlich regelt?
• Keine Trainingsnutzung: Ist vertraglich ausgeschlossen, dass Eingaben zum Training von KI-Modellen verwendet werden?
• Keine Mandantendaten in US-Consumer-Clouds: Frei zugängliche Chatbot-Versionen ohne Vertragsgrundlage sind für Mandantendaten tabu.
• Vertraulichkeit des Anbieters: Ist der Dienstleister zur Verschwiegenheit verpflichtet und dokumentiert er seine Sicherheitsmaßnahmen?

Diese Kriterien gelten unabhängig vom Hersteller — auch im DATEV-Umfeld und bei jedem anderen Anbieter sollte die Kanzlei dieselben Fragen stellen. Wer sie mit „Ja" beantworten kann, hat die wichtigste Hürde genommen.

KI trotzdem sicher nutzen: drei Bausteine

1. Eine Kanzlei-Richtlinie, die jeder kennt

Eine kurze, schriftliche KI-Richtlinie beantwortet die Fragen, die sonst jeder Mitarbeiter für sich selbst entscheidet: Welche Werkzeuge sind freigegeben? Welche Daten dürfen hinein — und welche niemals? Wer gibt neue Tools frei? Zwei Seiten reichen oft aus; entscheidend ist, dass die Regeln existieren, bevor der erste Mitarbeiter im Alltag improvisiert.

2. Schulung des Teams — inzwischen auch Pflicht

Seit dem 02.02.2025 verlangt Art. 4 des EU AI Act von Unternehmen, die KI einsetzen, dass ihre Mitarbeiter über ausreichende KI-Kompetenz verfügen — unabhängig von der Risikoklasse des Systems. Die Aufsicht liegt in Deutschland bei der Bundesnetzagentur. Für Kanzleien ist das weniger Last als Chance: Ein geschultes Team erkennt selbst, welche Eingabe unbedenklich ist und welche gegen die Verschwiegenheitspflicht verstoßen würde — das ist wirksamer als jede technische Sperre.

3. Geschützte Infrastruktur statt Verbotskultur

Ein pauschales KI-Verbot klingt sicher, führt in der Praxis aber oft dazu, dass Mitarbeiter auf private Geräte und frei zugängliche Dienste ausweichen — unkontrolliert und unsichtbar für die Kanzleileitung. Der belastbarere Weg: der Kanzlei geprüfte Werkzeuge auf EU-Servern mit AVV und ausgeschlossener Trainingsnutzung bereitstellen. Dann gibt es einen erlaubten, sicheren Weg — und der unsichere verliert seinen Reiz.

Das Fazit: Grenze ja, Blockade nein

Die Verschwiegenheitspflicht zwingt Kanzleien nicht, auf KI zu verzichten. Sie zwingt sie, bei der Auswahl genau hinzusehen — und das ist angesichts dessen, was Mandanten ihrer Kanzlei anvertrauen, angemessen. Wer Tool-Auswahl, Richtlinie und Schulung sauber aufsetzt, nutzt KI nicht trotz § 203 StGB, sondern im Einklang damit.

Hinweis: Dieser Artikel gibt den Stand sorgfältig recherchiert wieder, ersetzt aber keine Rechtsberatung. Prüfen Sie Einzelfälle mit Ihrem rechtlichen Beistand.

Häufige Fragen