Muss eine Steuerkanzlei ihre Mandanten informieren, wenn sie KI einsetzt?
In bestimmten Fällen ja. Verarbeitet ein KI-Dienst personenbezogene Daten der Mandanten, gehört das in die Datenschutzinformation, und ein Chatbot muss als KI erkennbar sein. Darüber hinaus kann eine Information in der Mandatsvereinbarung sinnvoll sein. Was im Einzelfall gilt, klärt die Kanzlei mit Kammer oder Rechtsberatung.
In Kürze
- Die DSGVO verlangt, dass Betroffene erfahren, wer ihre Daten wofür verarbeitet.
- Dienstleister, die Mandantendaten verarbeiten, gehören in die Datenschutzinformation.
- Chatbots müssen nach dem AI Act als KI gekennzeichnet sein.
- Rein interne Werkzeuge ohne Mandantendaten betreffen Mandanten nicht direkt.
- Offenheit schafft Vertrauen, auch wo keine Pflicht besteht.
Die kurze Antwort lautet: Es kommt darauf an, welche Daten die KI verarbeitet und wo. Wer Mandantendaten über einen externen Dienst verarbeiten lässt, muss das in aller Regel offenlegen. Wer ein Werkzeug nur für interne Abläufe ohne Mandantendaten nutzt, betrifft Mandanten nicht unmittelbar. Dieser Artikel ordnet die Lage allgemein ein und ersetzt keine Rechtsberatung.
Was verlangt die DSGVO?
Die Datenschutz-Grundverordnung (DSGVO) gibt Menschen das Recht zu erfahren, wer ihre personenbezogenen Daten verarbeitet, wozu und an wen sie weitergegeben werden. Für eine Steuerkanzlei heißt das: In der Datenschutzinformation für Mandanten stehen nicht nur Finanzamt und Sozialversicherung, sondern auch Dienstleister, die Daten im Auftrag der Kanzlei verarbeiten. Das können IT-Betreuer, Cloud-Anbieter oder eben KI-Dienste sein.
Ob ein Dienst namentlich genannt werden muss oder eine Beschreibung der Empfängerkategorie reicht, ist eine Detailfrage, die die Kanzlei mit ihrer Rechtsberatung klären sollte.
Wann sind Mandanten überhaupt betroffen?
Eine einfache Unterscheidung hilft:
| Einsatz | Mandantendaten betroffen? | Information nötig? (allgemein) |
|---|---|---|
| Wissensdatenbank nur mit Kanzleihandbuch und Vorlagen | nein | in der Regel keine besondere |
| Automatisierung, die Mandantenmails sortiert | ja | in der Datenschutzinformation |
| Belegerkennung durch einen Cloud-Dienst | ja | in der Datenschutzinformation |
| Chatbot auf der Website | Daten der Besucher | Kennzeichnung als KI und Datenschutzerklärung der Website |
| Lokales Sprachmodell im Haus | ja, aber ohne externen Dienst | je nach Einrichtung |
Die Tabelle ist eine Orientierung, keine rechtliche Bewertung.
Was gilt nach dem AI Act?
Für Chatbots ist die Lage klar: Menschen müssen erkennen können, dass sie mit einer KI sprechen. Das betrifft vor allem Besucher der Kanzleiwebsite. Für interne Werkzeuge, die keine Inhalte direkt an Mandanten ausgeben, sieht der AI Act in der Regel keine eigene Informationspflicht gegenüber Mandanten vor. Weil Teile des AI Act durch den Digital-Omnibus überarbeitet wurden, lohnt ein Blick auf den aktuellen Stand.
Was hat die Verschwiegenheit damit zu tun?
Die Verschwiegenheitspflicht nach dem Wirtschaftstreuhandberufsgesetz (WTBG 2017) verlangt, dass anvertraute Informationen nicht unbefugt weitergegeben werden. Setzt die Kanzlei einen Dienstleister ein, muss sie sicherstellen, dass die Verschwiegenheit auch dort gewahrt ist, etwa durch eine schriftliche Verpflichtung. Ob darüber hinaus eine Information oder Zustimmung der Mandanten nötig ist, ist eine berufsrechtliche Frage für Kammer oder Rechtsberatung.
Ist Offenheit auch ohne Pflicht sinnvoll?
Oft ja. Ein Beispiel: Eine Kanzlei ergänzt ihre Mandatsunterlagen um einen kurzen Absatz, dass Mails mit Hilfe einer Automatisierung vorsortiert werden, dass die Verarbeitung in der EU stattfindet und dass jede Antwort von einer Person aus der Kanzlei geprüft wird. Mandanten, die das lesen, fühlen sich eher informiert als überrumpelt. Wer erst nachträglich davon erfährt, fragt sich dagegen, was sonst noch passiert.
Was liefert Goma-IT der Kanzlei dafür?
Eine schriftliche Beschreibung, welche Dienste bei einer Leistung beteiligt sind und wo die Daten verarbeitet werden. Bei der Wissensdatenbank sind das ein eigener Server in Deutschland (Hetzner, Falkenstein) und Microsoft Azure in der EU-Datenzone, bei Automatisierungen n8n auf Servern von Goma-IT bei Hostinger in der EU. Welche Sprachmodelle bei Automatisierungen, Chatbot und Content-Automatisierung eingesetzt werden, legen wir je Projekt fest und vor dem Start offen; je nach Einrichtung können auch Anbieter außerhalb der EU beteiligt sein. Diese Angaben kann die Kanzlei für ihre Datenschutzinformation verwenden. Mehr dazu auf der Seite Datenschutz und Hosting.
Häufige Fragen
Müssen Mandanten dem Einsatz von KI zustimmen?
Das hängt von der Rechtsgrundlage der Verarbeitung und von den Vereinbarungen mit den Mandanten ab. Eine allgemeine Antwort gibt es nicht; die Kanzlei sollte das mit Kammer oder Rechtsberatung klären.
Reicht ein Satz in der Datenschutzerklärung auf der Website?
Die Datenschutzerklärung der Website betrifft vor allem Website-Besucher. Für die Mandatsarbeit braucht es meist eine eigene Datenschutzinformation für Mandanten, die oft mit der Mandatsvereinbarung übergeben wird.