Steuerberater sind Organe der Rechtspflege. § 57 StBerG bindet Sie zur Verschwiegenheit über alles, was Ihnen in Ausübung des Berufs anvertraut wird - gegenüber jedermann, ohne zeitliche Grenze. Diese Pflicht ist der Kern des Mandantenverhältnisses und lässt sich nicht per Nutzungsbedingung eines Software-Anbieters aushebeln.

Genau hier liegt das Problem beim unbedachten KI-Einsatz: Geben Sie Mandanten-Daten in ChatGPT, Microsoft Copilot oder Google Gemini ein, verlassen diese Daten Ihre Kanzlei und werden auf den Servern eines Dritten - häufig außerhalb der EU - verarbeitet. Das ist eine Übermittlung an Dritte und damit potenziell ein Verstoß gegen § 57 StBerG, für den die Kanzlei einsteht. Entscheidend ist die Trennung: Für Aufgaben ohne Personenbezug (Formulierungshilfe, Übersetzung von Fachtexten) ist der Einsatz unkritisch - sobald echte Mandanten-Daten im Spiel sind, gilt sie nicht mehr.

Die Berufsstände greifen das auf: Die Steuerberaterkammer Baden-Württemberg und die Bundessteuerberaterkammer (BStBK) haben Hinweise und Rundschreiben zur KI-Nutzung in der Kanzlei veröffentlicht, an denen wir uns orientieren. Auch Ihre Berufshaftpflicht spielt mit hinein: Versicherer prüfen zunehmend, ob KI-Werkzeuge dokumentiert und AVV-belegt eingesetzt werden. Ein geordneter, nachweisbarer KI-Einsatz ist deshalb nicht nur berufsrechtlich, sondern auch versicherungsseitig die tragfähigere Position als ein informeller Wildwuchs.

In unserem Workshop halten wir Dummy- und Echt-Daten konsequent getrennt: Der Standard läuft auf Dummy-Daten, sodass kein Mandantengeheimnis berührt wird. Erst wenn Sie bewusst mit echten Daten arbeiten möchten, greift der AVV-Vorab-Prozess (siehe Abschnitt 4).

Der AI-Act sortiert jede KI-Anwendung in vier Klassen: unzulässig (etwa Social Scoring), Hochrisiko (etwa bestimmte Bewertungs- und Auswahlsysteme, Anhang III), begrenztes Risiko (Transparenz-Pflicht, also Kennzeichnung als KI) und minimales Risiko. Für beratende Berufe gilt: Der AI-Act ersetzt die Kammerregeln nicht - er kommt zu § 57 StBerG und DSGVO hinzu. So ordnen sich typische Kanzlei-Use-Cases ein:

• KI-Recherche in Mandanten-Akten - typisch begrenztes Risiko mit Transparenz-Pflicht: Ihre Mitarbeitenden erkennen, dass eine KI beteiligt war. Bei Echt-Daten kommt die AVV-Pflicht hinzu.
• Vorlagen-Generator (Anschreiben, Mandanten-Mailings) - typisch minimales Risiko, im Default auf Dummy-Daten.
• Audit-Vorbereitung (Belegklassifikation) - begrenztes Risiko mit AVV-Pflicht, sobald echte Belege verarbeitet werden.
• KI-gestützte Mandanten-Bewertung oder -Scoring - kann Hochrisiko sein (Anhang III) und Konformitätsbewertung auslösen. Solche Use-Cases bauen wir im Workshop bewusst nicht.

Die meisten Kanzlei-Anwendungen liegen also in den unteren beiden Klassen, in denen Transparenz-Kennzeichnung und DSGVO-Konformität im Vordergrund stehen. Die Grenze verläuft dort, wo eine KI Personen bewertet oder über sie entscheidet.

Seit 2. Februar 2026 müssen Betreiber von KI-Systemen sicherstellen, dass ihr Personal über ausreichende „KI-Kompetenz" verfügt. Sobald Ihre Kanzlei ChatGPT, Microsoft Copilot oder ein anderes KI-Werkzeug einsetzt, sind Sie Betreiber im Sinne des AI-Acts - und diese Pflicht gilt ausdrücklich auch für kleine Kanzleien.

„Ausreichende KI-Kompetenz" heißt nicht Zertifizierung oder Informatik-Studium. Gemeint ist, dass die Menschen, die mit den Werkzeugen arbeiten, deren Grundlagen, Grenzen und Risiken verstehen: Was kann das System, wo halluziniert es, welche Daten dürfen hinein - und welche nicht. Für Ihre Kanzlei läuft das in der Praxis auf zwei Bausteine hinaus: eine Schulung, die diese Befähigung vermittelt, und eine Dokumentation, die sie nachweisbar macht.

Gerade der Dokumentations-Teil zahlt doppelt ein: Er belegt die Erfüllung von Artikel 4 und ist zugleich das, was Ihre Berufshaftpflicht im Zweifel sehen möchte - ein nachvollziehbarer, geordneter Umgang mit KI statt eines informellen Einsatzes, den niemand belegen kann.

Genau das bedient unser Halbtag-Workshop mit: Er vermittelt die KI-Kompetenz praxisnah anhand echter Kanzlei-Use-Cases und dokumentiert die Teilnahme - ohne Zertifizierungs-Theater, aber nachweisbar für Kammer und Versicherer.

Der Auftragsverarbeitungsvertrag (AVV) regelt, wie ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeiten darf. Bei Steuerkanzleien ist er der zentrale Datenschutz-Baustein, sobald echte Mandanten-Daten im Spiel sind - und wir haben ihn bewusst dem Workshop vorgeschaltet.

Sie erhalten die AVV-Vorlage sieben Tage vor dem gebuchten Termin - früh genug, damit Ihre Berufshaftpflicht, Ihr Datenschutzbeauftragter oder Ihre Kammer sie in Ruhe prüfen kann. Der Standard-Workshop läuft ohnehin auf Dummy-Daten, sodass in vielen Fällen gar kein AVV erforderlich ist und das Mandantengeheimnis von vornherein unberührt bleibt.

Bei den eingesetzten Werkzeugen sind wir transparent: ChatGPT, Microsoft Copilot und Google Gemini nutzen wir im Workshop nicht, auch nicht für Demo-Zwecke. Die von uns genutzte Anthropic-API (Claude Code) läuft mit abgesichertem Transfer nach AVV und EU-Standardvertragsklauseln; die Datenschutz-Abwägung dazu besprechen wir offen mit Ihnen.

Für den späteren, datenschutzfreundlichen Eigenbetrieb in Ihrer Kanzlei empfehlen wir Open-Source-Sprachmodelle - dann liegen Modell und Daten vollständig in Ihrer Hand. Das ist eine Empfehlung für den Weg nach dem Workshop, nicht bereits die Workshop-Umgebung selbst.

• EUR-Lex:Verordnung (EU) 2024/1689 (AI-Act Volltext)
• StBerG § 57 (Berufsordnung der Steuerberater)
• Steuerberaterkammer Baden-Württemberg, Rundschreiben „KI-Werkzeuge in der Kanzlei"
• Bundessteuerberaterkammer (BStBK), Hinweise zur KI-Nutzung
• Deutscher Steuerberaterverband (DStV), Positionspapier KI

Alle Aussagen zu gesetzlichen Pflichten ersetzen keine Rechtsberatung. Wir empfehlen die Rückkopplung mit Ihrer Kammer, Ihrer Berufshaftpflicht oder einem Fachanwalt für IT-Recht.