Die Kanzleisoftware meldet ein Update. Neu ist ein Knopf, der ganze Mandantenakten zusammenfassen kann. Er ist erfreulich gut sichtbar. Wohin die Akte dabei geschickt wird, steht weniger prominent.
Genau hier zeigt sich, warum Datenschutz in Steuerkanzleien mehr umfasst als Datenschutzhinweise und Auftragsverarbeitungsverträge. Eine neue Funktion kann Daten an weitere Anbieter übermitteln, den Zugriff auf Mandatsgeheimnisse verändern oder zusätzliche Abhängigkeiten schaffen. Die praktische Frage lautet deshalb: Darf unsere Kanzlei diese Funktion für diesen Vorgang mit diesen Daten nutzen?
Bei einem digitalen Kanzleiprozess sollten drei Fragen getrennt beantwortet werden:
Die Prüfungen ergänzen sich. Ein Dienstleister kann technisch gut abgesichert sein und trotzdem mehr Daten erhalten, als er für seine Aufgabe benötigt. Umgekehrt nützt eine saubere Vertragslage wenig, wenn sich das Archiv nach einem Ausfall nicht wiederherstellen lässt.
Bei der Verarbeitung personenbezogener Daten ihrer Mandanten sind Steuerberater und die erfassten Berufsausübungsgesellschaften nach § 11 Absatz 2 StBerG datenschutzrechtlich Verantwortliche. Sie sind für diese Verarbeitung also nicht bloß Auftragsverarbeiter ihrer Mandanten.
Anders kann es beim technischen Dienstleister sein. Verarbeitet etwa ein Hostinganbieter personenbezogene Daten ausschließlich im Auftrag und nach Weisung der Kanzlei, kommt eine Auftragsverarbeitung in Betracht. Maßgeblich ist die tatsächliche Verarbeitung, nicht die Überschrift des Vertrags. Bei einer Auftragsverarbeitung braucht es eine Vereinbarung nach Artikel 28 DSGVO.
Damit ist der Geheimnisschutz noch nicht geklärt. Wenn externe Dienstleister Zugang zu Mandatsgeheimnissen erhalten, gelten zusätzlich die berufsrechtlichen Anforderungen des § 62a StBerG. Dazu zählen insbesondere eine sorgfältige Auswahl, ein auf das Erforderliche begrenzter Zugang und vertragliche Vorgaben zur Verschwiegenheit und zum Einsatz weiterer Dienstleister. Dient die Dienstleistung unmittelbar einem einzelnen Mandat, ist für den Zugang zu fremden Geheimnissen grundsätzlich die Einwilligung des Mandanten erforderlich. Ob das bei einer KI-Funktion der Fall ist, hängt von der konkreten Leistung ab.
Zurück zum Beispiel mit der Aktenzusammenfassung. Die Kanzlei sollte zunächst klären, welche Inhalte die Funktion tatsächlich verarbeitet. Werden nur ausgewählte Textstellen übermittelt oder auch Anhänge und Metadaten? Welche Anbieter erhalten Zugriff? Werden Eingaben gespeichert oder für eigene Zwecke des Anbieters genutzt? Kommt es zu Datenübermittlungen in Drittländer?
Ein bestehender Vertrag für die Kanzleisoftware beantwortet diese Fragen nicht automatisch für jedes neue Zusatzmodul. Und auch ohne Namen kann eine Akte anhand von Beträgen, Zeitpunkten oder einem ungewöhnlichen Sachverhalt zuordenbar bleiben.
Ein sinnvoller Einstieg ist ein Test mit fiktiven Unterlagen. Für den produktiven Einsatz legt die Kanzlei anschließend fest, welche Funktionen für welche Zwecke und Daten freigegeben sind. Wer eine Zusammenfassung fachlich weiterverwendet, prüft sie am Original. Gerade bei Bescheiden kann eine ausgelassene Nebenbestimmung wichtiger sein als der Rest der Zusammenfassung.
Als Betreiber eines KI-Systems muss die Kanzlei außerdem Maßnahmen ergreifen, um die KI-Kompetenz der Personen zu fördern, die damit für sie arbeiten. Das ergibt sich aus Artikel 4 des EU AI Act in der geänderten Fassung. Für das Team ist eine Übung mit typischen Kanzleifällen meist hilfreicher als eine allgemeine Einführung, die bei der Frage nach der ersten echten Mandantenakte endet.
Das deutsche NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Die unmittelbare Betroffenheit richtet sich nach dem BSI-Gesetz. Für die Einordnung sind insbesondere die angebotenen Leistungen, die erfassten Einrichtungsarten und gegebenenfalls die Größe maßgeblich. Die steuerberatende Tätigkeit allein macht eine Kanzlei nicht zu einer NIS2-pflichtigen Einrichtung. Zusätzliche Tätigkeiten können eine gesonderte Prüfung erforderlich machen.
Praktisch kann das Thema trotzdem in der Kanzlei ankommen. Ein erfasstes Industrieunternehmen kann seine Dienstleister etwa nach Zugriffsschutz, Datensicherung und Meldewegen bei Vorfällen fragen. Hintergrund sind die Anforderungen an die Lieferkettensicherheit nach § 30 BSIG.
Ein Sicherheitsfragebogen macht die Kanzlei noch nicht selbst NIS2-pflichtig. Verbindlich können aber Anforderungen werden, die sie vertraglich übernimmt. Vor einer Zusage lohnt daher der Blick darauf, was die Kanzlei tatsächlich leisten und nachweisen kann.
Kann die Kanzlei bei einem Anbieterwechsel ihre Unterlagen in einem nutzbaren Format exportieren? Lassen sich auch Zuordnungen und benötigte Metadaten übernehmen? Wer hilft, wenn der Import in das Nachfolgesystem scheitert?
Für erfasste Datenverarbeitungsdienste regelt Kapitel VI des EU Data Act unter anderem Anforderungen an den Anbieterwechsel und die Vertragsgestaltung. Unabhängig davon lohnt ein praktischer Exporttest. Eine heruntergeladene Datei ist noch kein wiederhergestelltes Archiv.
Ein Beispiel: Die Kanzlei bemerkt, dass ein Freigabelink zu Lohnunterlagen für Unbefugte zugänglich war. Den Link zu sperren ist die erste Maßnahme. Danach muss sie klären, welche personenbezogenen Daten betroffen waren, wer möglicherweise Zugriff hatte und welche Folgen für die betroffenen Personen drohen.
Liegt eine Verletzung des Schutzes personenbezogener Daten vor, ist sie zu dokumentieren. Sofern sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, muss die Kanzlei als Verantwortliche die Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden ab Kenntnis informieren. Bei einem voraussichtlich hohen Risiko sind grundsätzlich auch die betroffenen Personen unverzüglich zu benachrichtigen. Andere gesetzliche oder vertragliche Meldepflichten sind separat zu prüfen.
Für den Alltag heißt das: Das Team sollte wissen, wen es sofort erreicht, wer die Risikobewertung übernimmt und wer über Meldungen entscheidet. Diese Zuständigkeiten lassen sich in Ruhe besser klären als am Freitag um 17:40 Uhr.
Der breitere Digitale Omnibus sieht unter anderem Änderungen an der DSGVO vor. Das Verfahren läuft noch. Die vorgeschlagenen Änderungen sind daher keine Grundlage, um etwa heutige Meldepflichten anders zu behandeln. Davon zu unterscheiden ist die bereits verabschiedete Digital-Omnibus-Verordnung zur KI, die den EU AI Act geändert hat.
Beginnen Sie mit einem Vorgang, bei dem viele schutzbedürftige Informationen zusammenlaufen, etwa der Lohnabrechnung oder der digitalen Mandantenakte. Verfolgen Sie, wo die Daten eingehen, wer darauf zugreift, welche Dienste beteiligt sind und wie die Unterlagen wieder exportiert oder wiederhergestellt werden können.
Halten Sie für diesen Vorgang fest, welche KI-Funktionen zulässig sind, wer neue Funktionen freigibt und wie das Team bei einem Vorfall reagiert. Prüfen Sie die Regeln bei Änderungen am Dienst erneut. So entsteht eine Arbeitsgrundlage, die sich auf weitere Kanzleiprozesse übertragen lässt.
K11 Consulting unterstützt Kanzleien dabei, Datenschutz und Informationssicherheit in diesen Abläufen zusammenzuführen.
Eine Kanzlei muss nicht jedes neue EU-Regelwerk in ein eigenes Projekt übersetzen. Sie sollte aber bei ihren wichtigsten Arbeitsabläufen erklären können, welche Daten wohin gelangen, wer sie sehen darf und was passiert, wenn etwas schiefläuft.
Das ist auch ein guter Maßstab für die nächste KI-Funktion: Erst klären, was mit der Akte passiert. Dann entscheiden, ob der Knopf gedrückt werden soll.
Rechtsstand: 5. November 2026.