§ 203 StGB, § 62a StBerG und KI: was Kanzleien vertraglich brauchen

Verschwiegenheit ist strafbewehrt.

Steuerberater üben ihren Beruf verschwiegen aus, so verlangt es § 57 Abs. 1 StBerG. § 203 Abs. 1 Nr. 3 StGB stellt unter Strafe, wer als Steuerberater unbefugt ein fremdes Geheimnis offenbart, das ihm anvertraut oder sonst bekannt geworden ist: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

Geschützt sind nicht nur persönliche Geheimnisse, sondern ausdrücklich auch Betriebs- und Geschäftsgeheimnisse, also etwa die Zahlen einer GmbH. Hier reicht § 203 weiter als die DSGVO, die nur Daten natürlicher Personen schützt.

Dienstleister dürfen mitwirken.

Seit dem 9. November 2017 erlaubt § 203 Abs. 3 Satz 2 StGB, fremde Geheimnisse gegenüber sonstigen Personen zu offenbaren, die an der beruflichen Tätigkeit mitwirken, soweit das für deren Tätigkeit erforderlich ist. Die Gesetzesbegründung nennt ausdrücklich die Einrichtung, den Betrieb und die Wartung informationstechnischer Anlagen und Systeme. Die Bundessteuerberaterkammer (BStBK) zählt auch KI-Anbieter zu den Dienstleistern, die eine Kanzlei sorgfältig auswählen muss.

Im Gegenzug gilt § 203 Abs. 4 StGB. Die mitwirkende Person macht sich selbst strafbar, wenn sie ein Geheimnis unbefugt offenbart. Strafbar ist in diesem Fall aber auch der Berufsträger, wenn er nicht dafür gesorgt hat, dass sie zur Geheimhaltung verpflichtet wurde. Die Verpflichtung des Dienstleisters ist also keine Formalie.

Was § 62a StBerG verlangt.

Wie das berufsrechtlich geht, regelt § 62a StBerG. Die Pflichten treffen die Kanzlei:

• Sorgfältige Auswahl. Ist nicht gewährleistet, dass der Dienstleister die Vorgaben einhält, muss die Zusammenarbeit unverzüglich enden (Abs. 2).
• Vertrag in Textform (Abs. 3 Satz 1).
• Verpflichtung zur Verschwiegenheit mit Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung (Abs. 3 Satz 2 Nr. 1).
• Kenntnis nur, soweit nötig. Der Dienstleister verschafft sich Kenntnis von fremden Geheimnissen nur, soweit es zur Vertragserfüllung erforderlich ist (Nr. 2).
• Weitere Personen. Der Vertrag legt fest, ob der Dienstleister weitere Personen heranziehen darf. Wenn ja, muss er sie in Textform zur Verschwiegenheit verpflichten (Nr. 3).
• Ausland. Wird die Dienstleistung im Ausland erbracht, muss der Schutz der Geheimnisse dort grundsätzlich dem im Inland vergleichbar sein (Abs. 4).
• Einzelnes Mandat. Dient die Dienstleistung unmittelbar einem einzelnen Mandat, braucht es die Einwilligung des Mandanten (Abs. 5). Auswahl und Vertrag nach Abs. 2 und 3 gelten dann weiter, es sei denn, der Mandant verzichtet ausdrücklich darauf (Abs. 6).

Der Datenschutz bleibt daneben unberührt (Abs. 8). Verarbeitet der Dienstleister personenbezogene Daten im Auftrag der Kanzlei, kommt ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO hinzu.

Was die Bundessteuer­beraterkammer zu KI sagt.

Die BStBK hat ihre Hinweise in einem FAQ zusammengefasst („FAQ: KI im steuerberatenden Berufsstand“, Stand 27. Januar 2026, Rechtsstand Juli 2025). Zur Verschwiegenheit hält sie fest:

• Ohne Einwilligung des Mandanten gilt § 62a StBerG bei KI wie bei Cloud-Diensten: Der Anbieter muss vertraglich zur Geheimhaltung verpflichtet sein, bevor er Kenntnis von den Daten erlangt.
• In öffentlich zugängliche KI-Dienste ohne solche Vereinbarung gehören keine Daten, die Rückschlüsse auf Mandanten zulassen, sondern nur anonymisierte oder pseudonymisierte Eingaben.
• § 62a Abs. 5 zielt auf Dienstleistungen für ein einzelnes Mandat, nicht auf die allgemeine IT der Kanzlei. Ob KI, die bei der Bearbeitung eines einzelnen Mandats eingesetzt wird, darunter fällt, sei nicht zweifelsfrei zu beantworten. Die BStBK rät, bei sensiblen mandantenbezogenen Daten vorher die Einwilligung einzuholen.
• Anbieter aus der EU oder mit Rechenzentren in der EU seien vorzuziehen. Das erleichtere die Einhaltung der DSGVO und die Durchsetzung von Geheimhaltungspflichten.

Welche Unterlagen Sie sich vorlegen lassen sollten.

• Eine Vereinbarung zur Verschwiegenheit nach § 62a StBerG in Textform, mit Belehrung über § 203 StGB, geschlossen zwischen Ihrer Kanzlei und dem Anbieter.
• Einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit den technischen und organisatorischen Maßnahmen.
• Die Liste der Unterauftragsverarbeiter mit Sitz und Ort der Verarbeitung, ausdrücklich auch für das Sprachmodell.
• Die Antwort, ob und wie der Anbieter seine eigenen Dienstleister zur Verschwiegenheit verpflichtet (§ 62a Abs. 3 Satz 2 Nr. 3 StBerG).
• Angaben zu Speicherung und Training: wie lange Eingaben gespeichert bleiben und ob sie zum Training genutzt werden.
• Bei Diensten außerhalb der EU die Grundlage der Übermittlung und eine Einschätzung zum Schutzniveau nach § 62a Abs. 4 StBerG.

Nehmen Sie die Unterlagen zu Ihren Akten. Sie belegen die sorgfältige Auswahl und gehören in das KI-Verzeichnis, das die BStBK empfiehlt.

Wie Sachbearbeiter das regelt.

Die Artesiana GmbH schließt mit Ihrer Kanzlei eine Vereinbarung zur Verschwiegenheit nach § 62a StBerG in Textform, mit Belehrung über die Strafbarkeit nach § 203 StGB, und einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Unterauftragsverarbeiter stehen namentlich im Vertrag, mit jedem besteht ein Vertrag nach Art. 28 DSGVO.

Zur Verschwiegenheit nach § 203 StGB verpflichtet ist derzeit keiner unserer Unterauftragsverarbeiter, auch nicht der Anbieter des Sprachmodells. Die Vorgabe des § 62a Abs. 3 Satz 2 Nr. 3 StBerG ist für sie damit noch nicht erfüllt. So steht es auch in der Vereinbarung; sobald sich das ändert, teilen wir es Ihnen in Textform mit. Beziehen Sie das in Ihre Entscheidung ein, ob Sie Mandanten um ihre Einwilligung bitten oder Daten pseudonymisieren. Eine nach § 62a Abs. 5 StBerG nötige Einwilligung holt die Kanzlei selbst ein.

Wo Ihre Daten liegen und wohin sie fließen, beschreibt die Seite Sicherheit.

Zum Nachlesen.

§ 203 StGB (Verletzung von Privatgeheimnissen)
§ 57 StBerG (Allgemeine Berufspflichten)
§ 62a StBerG (Inanspruchnahme von Dienstleistungen)
Verordnung (EU) 2016/679 (DSGVO), Art. 28
Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen vom 30.10.2017, BGBl. I S. 3618: Gesetzesmaterialien beim Bundesgerichtshof
Bundessteuerberaterkammer: FAQ: KI im steuerberatenden Berufsstand, Stand 27.01.2026, Kapitel 5 und 7