Fachbeitrag · KI in der Steuerkanzlei · Stand: August 2026
§ 62a StBerG: KI-Anbieter rechtssicher einbinden
Wer als Steuerberaterin oder Steuerberater ein KI-Tool eines externen Anbieters einsetzt und dabei mandantenbezogene Daten verarbeiten lässt, gibt damit Zugang zu Tatsachen, die der Verschwiegenheitspflicht nach § 57 Abs. 1 StBerG unterliegen. § 62a StBerG regelt, unter welchen Voraussetzungen das zulässig ist – und stellt dafür konkrete Anforderungen an den Vertrag mit dem Anbieter. Dieser Beitrag ordnet den Gesetzestext Schritt für Schritt ein und zeigt, was das für den KI-Einsatz in der Praxis bedeutet.
Der Hintergrund: warum es § 62a StBerG überhaupt gibt
Die Vorschrift steht im Zusammenhang mit einer Reform des § 203 StGB (Verletzung von Privatgeheimnissen), die seit dem 9. November 2017 in Kraft ist. Diese Reform hat die strafrechtliche Lage für Berufsgeheimnisträger in zwei Richtungen verändert:
- Öffnung: Nach § 203 Abs. 3 StGB liegt kein strafbares "Offenbaren" vor, wenn ein Berufsgeheimnisträger Geheimnisse an "sonstige mitwirkende Personen" weitergibt – vorausgesetzt, das ist für deren Tätigkeit erforderlich. Ein IT-Dienstleister oder KI-Anbieter, der mandantenbezogene Daten verarbeitet, ist eine solche mitwirkende Person.
- Kompensation: Im Gegenzug verschärft § 203 Abs. 4 StGB die Verantwortung: Strafbar macht sich sowohl die mitwirkende Person selbst, wenn sie unbefugt ein Geheimnis offenbart, als auch der Berufsgeheimnisträger, wenn er nicht dafür gesorgt hat, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde.
§ 62a StBerG konkretisiert für den steuerberatenden Berufsstand, wie diese Verpflichtung der mitwirkenden Person konkret auszusehen hat – mit klaren Vorgaben für den Vertragsinhalt.
Zur Einordnung
Eine nicht sorgfältig ausgewählte oder unzureichend überwachte mitwirkende Person ist für sich genommen nach § 203 StGB nicht strafbar. § 62a Abs. 2 StBerG verlangt eine sorgfältige Auswahl des Dienstleisters aber als eigenständige berufsrechtliche Pflicht – unabhängig vom Strafrecht.
Was zählt als "Dienstleister"?
§ 62a Abs. 1 StBerG definiert einen Dienstleister denkbar weit: jede andere Person oder Stelle, die vom Steuerberater oder von der Steuerberaterin im Rahmen der Berufsausübung mit Dienstleistungen beauftragt wird. Ein KI-Anbieter, dessen Tool mandantenbezogene Belege, Sachverhalte oder Dokumente verarbeitet, fällt darunter – unabhängig davon, ob es sich um ein spezialisiertes Fachverlags-Tool, eine DATEV-nahe Lösung oder einen allgemeinen Chatbot handelt.
Die Anforderungen im Einzelnen
Grundsatz und Erforderlichkeit (Abs. 1)
Der Zugang zu geschützten Tatsachen darf nur so weit eröffnet werden, wie es für die Inanspruchnahme der Dienstleistung tatsächlich erforderlich ist. Wer ein KI-Tool nur für allgemeine Recherche nutzt, sollte entsprechend keine vollständigen Mandantenakten hochladen, wenn ein anonymisierter Ausschnitt genügt.
Sorgfältige Auswahl (Abs. 2)
Die Kanzlei muss den Anbieter sorgfältig auswählen. Zeigt sich, dass die Vorgaben aus Abs. 3 nicht eingehalten werden, muss die Zusammenarbeit unverzüglich beendet werden – eine laufende Kontrollpflicht, nicht nur eine einmalige Prüfung beim Vertragsschluss.
Vertragsinhalt (Abs. 3)
Der Vertrag mit dem Anbieter bedarf der Textform (§ 126b BGB) – eine E-Mail-Bestätigung oder ein PDF-Dokument reicht dafür aus, eine handschriftliche Unterschrift ist nicht erforderlich. Inhaltlich muss der Vertrag drei Punkte abdecken:
- Der Anbieter wird unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit verpflichtet
- Der Anbieter wird verpflichtet, sich nur insoweit Kenntnis von Mandantengeheimnissen zu verschaffen, wie dies zur Vertragserfüllung erforderlich ist
- Es wird festgelegt, ob der Anbieter weitere Personen (Unterauftragnehmer, z. B. Cloud- oder Hosting-Anbieter) einbeziehen darf – falls ja, muss der Anbieter auch diese in Textform zur Verschwiegenheit verpflichten
Auslandsdienstleister (Abs. 4)
Viele KI-Anbieter verarbeiten Daten außerhalb Deutschlands oder der EU. In diesem Fall darf der Zugang zu Mandantengeheimnissen nur eröffnet werden, wenn das Schutzniveau dort mit dem im Inland vergleichbar ist. Das ist bei der Wahl eines KI-Tools ein eigenständiger Prüfpunkt – unabhängig von der datenschutzrechtlichen Bewertung nach DSGVO.
Einzelmandatsbezogene Dienstleistungen (Abs. 5)
Bezieht sich die Dienstleistung unmittelbar auf ein einzelnes Mandat, ist zusätzlich die Einwilligung des betroffenen Mandanten erforderlich.
Verhältnis zur Mandanten-Einwilligung (Abs. 6)
Hat der Mandant der Einbindung des Dienstleisters zugestimmt, entlässt das die Kanzlei nicht automatisch aus den Pflichten der Absätze 2 und 3 – es sei denn, der Mandant hat ausdrücklich auf deren Einhaltung verzichtet.
Ausnahmen (Abs. 7) und Verhältnis zur DSGVO (Abs. 8)
Beruht die Dienstleistung auf besonderen gesetzlichen Vorschriften, gelten die Absätze 1 bis 6 nicht. Und ausdrücklich klargestellt: Die Vorschriften zum Schutz personenbezogener Daten bleiben von alldem unberührt. § 62a StBerG und die DSGVO stehen gleichrangig nebeneinander – die Erfüllung der einen Vorschrift ersetzt nicht automatisch die Erfüllung der anderen.
Der häufigste Irrtum
Eine DSGVO-Auftragsverarbeitungsvereinbarung (AVV) mit dem KI-Anbieter regelt ausschließlich die datenschutzrechtliche Seite. § 62a StBerG verlangt einen eigenständigen Vertragsinhalt – insbesondere die ausdrückliche Verschwiegenheitsverpflichtung unter Belehrung über § 203 StGB. Eine AVV allein deckt das nicht ab.
Was das für den KI-Einsatz in der Praxis heißt
- Prüfen Sie, ob Ihr KI-Anbieter neben einer AVV auch einen § 62a-StBerG-konformen Vertragstext anbietet – oder ob Sie diesen ergänzend selbst nachfordern müssen
- Klären Sie, ob der Anbieter Unterauftragnehmer einsetzt (z. B. für Hosting oder Rechenleistung) und ob diese ebenfalls vertraglich zur Verschwiegenheit verpflichtet sind
- Prüfen Sie den Verarbeitungsstandort: Liegt er außerhalb der EU, ist das Schutzniveau vor Ort ein eigener Prüfpunkt neben der DSGVO-Bewertung
- Geben Sie in allgemeine KI-Tools ohne § 62a-konformen Vertrag keine ungeprüften Mandantendaten ein – anonymisieren Sie Sachverhalte, wo immer möglich
Der DSGVO-Irrtum: Ist Ihr KI-Anbieter § 62a-StBerG-konform?
Prüfraster zum Sofort-Check: Gehen Sie in wenigen Minuten durch, ob der Vertrag mit Ihrem KI-Anbieter die Anforderungen erfüllt.
Häufige Fragen zu § 62a StBerG
Muss der Vertrag mit dem KI-Anbieter unterschrieben werden?
Nein. Das Gesetz verlangt Textform (§ 126b BGB) – eine E-Mail-Bestätigung oder ein PDF-Dokument genügt, eine handschriftliche Unterschrift ist nicht erforderlich.
Reicht die DSGVO-Auftragsverarbeitungsvereinbarung meines KI-Anbieters aus?
Nein. Die AVV regelt den Datenschutz, nicht die berufsrechtliche Verschwiegenheitspflicht. § 62a StBerG und die DSGVO gelten gleichrangig nebeneinander und müssen beide erfüllt sein.
Was gilt, wenn der KI-Anbieter Server außerhalb der EU nutzt?
Nach § 62a Abs. 4 StBerG darf der Zugang zu Mandantengeheimnissen dann nur eröffnet werden, wenn das dortige Schutzniveau mit dem im Inland vergleichbar ist. Das ist unabhängig von der datenschutzrechtlichen Prüfung gesondert zu beurteilen.
Was passiert, wenn ich diese Vorgaben nicht einhalte?
Verstöße können berufsrechtliche Konsequenzen haben. Kommt es zusätzlich zu einer unbefugten Offenbarung eines Geheimnisses durch den Anbieter, kann sich der Steuerberater nach § 203 Abs. 4 StGB strafbar machen, wenn er den Anbieter nicht ordnungsgemäß zur Verschwiegenheit verpflichtet hat.
