Verschwiegenheitspflicht bei KI am Telefon: Steuerberater und 203 StGB

Die Verschwiegenheitspflicht zwingt Steuerberater dazu, einen KI-Telefonbot anders zu behandeln als ein gewöhnliches IT-Werkzeug: Wer Mandantenanliegen am Telefon durch eine KI entgegennehmen lässt, bindet einen mitwirkenden Dienstleister in das Mandantengeheimnis ein. Reicht hier ein Datenschutz-Häkchen? Nein. Genau an dieser Stelle endet das Wissen vieler Kanzlei-Ratgeber, und genau hier beginnt die berufsrechtliche Verantwortung. Dieser Beitrag erklärt sachlich, was Paragraf 203 StGB für den Einsatz von KI am Telefon in der Steuerkanzlei bedeutet, warum ein Auftragsverarbeitungsvertrag allein nicht genügt und wie sich das Berufsgeheimnis korrekt absichern lässt.

Ein typisches Beispiel: Eine Kanzlei will die Telefonzentrale entlasten und prüft einen KI-Telefonbot. Die Büroleitung holt eine Datenschutzprüfung ein, der Anbieter legt einen Auftragsverarbeitungsvertrag vor, das Häkchen ist gesetzt. Aus berufsrechtlicher Sicht ist die Kanzlei damit aber erst auf halbem Weg. Die Schweigepflicht des Berufsgeheimnisträgers ist eine eigene, schärfere Pflichtkaskade neben der DSGVO, und sie hat ein Strafmaß.

Warum die Verschwiegenheitspflicht bei KI am Telefon über die DSGVO hinausgeht

Die Verschwiegenheitspflicht des Steuerberaters reicht weiter als das Datenschutzrecht, weil sie strafbewehrt ist und ihre eigene vertragliche Form verlangt. Steuerberater sind Berufsgeheimnisträger: Alles, was ihnen im Mandat anvertraut wird, fällt unter das Mandantengeheimnis und ist durch Paragraf 203 StGB sowie Paragraf 62 und 62a StBerG geschützt. Ein KI-Telefonbot, der Anliegen aufnimmt, berührt dieses Geheimnis unmittelbar.

Der entscheidende Punkt: Datenschutzkonformität und berufsrechtliche Konformität sind nicht dasselbe. Laut activeMind AG (2024) konnte man datenschutzrechtlich vermeintlich alles richtig machen und trotzdem eine Straftat begehen. Die Einhaltung von Art. 28 DSGVO genügt bei Berufsgeheimnisträgern nicht automatisch den Anforderungen des Paragrafen 203 StGB.

Mandantengeheimnis ist mehr als personenbezogene Daten

Das Mandantengeheimnis umfasst jede Information aus dem Mandat, nicht nur klassische personenbezogene Daten. Wenn ein Anrufer am Telefon erwähnt, dass die Jahresbilanz noch nicht steht, eine Betriebsprüfung läuft oder eine Fristverlängerung beantragt werden soll, ist das geschütztes Wissen. Ein KI-Telefonbot verarbeitet solche Aussagen technisch, und damit wird sein Betreiber zu einer Person, die am Berufsgeheimnis mitwirkt.

Was Paragraf 203 Abs. 4 StGB für Steuerkanzleien konkret regelt

Paragraf 203 Abs. 4 StGB stellt das Offenbaren eines fremden Geheimnisses durch mitwirkende Personen unter Strafe und verpflichtet den Berufsgeheimnisträger, diese Personen vorab zur Geheimhaltung anzuhalten. Das Strafmaß beträgt Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Diese Norm ist der Kern, an dem sich der Einsatz externer Technik entscheidet.

Laut gesetze-im-internet.de (2024) wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, und die Strafandrohung trifft auch Personen, die für einen Dienstleister an der Dienstleistung mitwirken. Ebenso macht sich der Berufsträger strafbar, wenn er nicht dafür Sorge getragen hat, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde.

Wichtig für die Bewertung eines KI-Telefonbots: Laut Haufe, Dr. Dario Arconada Valbuena (2024) hat der Gesetzgeber mit Paragraf 203 Abs. 4 StGB Mitarbeiter und externe Dienstleister strafrechtlich auf dieselbe Stufe gestellt. Auch ein externer Anbieter wird bestraft, wenn er unbefugt ein fremdes Geheimnis offenbart.

Wer als mitwirkende Person gilt

Mitwirkende Personen sind alle, die an der beruflichen Tätigkeit teilnehmen, ohne selbst Berufsträger zu sein, also angestellte Steuerfachangestellte ebenso wie externe IT- und Telekommunikationsdienstleister. Ein KI-Telefonbot, der Mandantenanrufe annimmt, Anliegen protokolliert und an die richtige Stelle leitet, fällt eindeutig in diese Kategorie. Damit wird sein Betreiber zum Prüfstein der kanzleieigenen Schweigepflicht.

Warum ein Auftragsverarbeitungsvertrag allein nicht ausreicht

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist notwendig, aber für einen Berufsgeheimnisträger nicht hinreichend. Er regelt die datenschutzrechtliche Beziehung, nicht aber die strafbewehrte Schweigepflicht aus dem Berufsrecht. Genau diese Lücke ist der häufigste blinde Fleck bei der Einführung von KI in der Steuerkanzlei.

Die Berufsorganisationen sind hier eindeutig. Laut den Hinweisen der Bundessteuerberaterkammer und des DStV, Stand Dezember 2025 ist bei Dienstleistern, die Daten unter beruflicher Verschwiegenheit verarbeiten, eine Ergänzung des Auftragsverarbeitungsvertrags um die Verpflichtung nach Paragraf 203 StGB und Paragraf 62a StBerG erforderlich, abzuschließen in Textform und einschließlich Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung.

Die folgende Übersicht stellt die beiden Ebenen gegenüber, die in der Kanzlei oft verwechselt werden.

Die Klarstellung des Gesetzgebers von 2017

Die rechtliche Grundlage für das Outsourcing an externe Dienstleister wurde 2017 geschaffen. Laut der Steuerberaterkammer München (2017) dürfen Steuerberater seit dem zum 9. November 2017 in Kraft getretenen Gesetz externe Dienstleister einbinden, etwa IT-Dienstleister. Der Dienstleister muss jedoch per Vertrag und unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet werden, sonst macht sich der Steuerberater nach Paragraf 203 Abs. 4 StGB strafbar.

Wie ein KI-Telefonbot die Verschwiegenheitspflicht berufsrechtlich konform wahrt

Berufsrechtlich konform wird ein KI-Telefonbot, wenn der Anbieter zusätzlich zum Auftragsverarbeitungsvertrag in Textform auf das Mandantengeheimnis verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt wird. Drei Elemente müssen zusammenkommen: die sorgfältige Auswahl des Dienstleisters, die schriftliche Geheimhaltungsverpflichtung und die nachweisbare Belehrung.

Diese Anforderungen lassen sich nicht im Vorbeigehen erfüllen. Sie verlangen einen Anbieter, der das Berufsrecht der Steuerberater kennt und die Vertragsdokumente passgenau bereitstellt, statt nur ein Standard-Datenschutzpaket zu liefern.

Die Pflichtkaskade in der Praxis

In der Praxis bedeutet das eine klare Reihenfolge. Zuerst wählt die Kanzlei den Dienstleister sorgfältig aus und prüft dessen technische und organisatorische Schutzmaßnahmen. Dann wird der Auftragsverarbeitungsvertrag um die Verpflichtung nach Paragraf 203 StGB und Paragraf 62a StBerG ergänzt. Schließlich wird der Anbieter in Textform belehrt, und der Zugang dieser Belehrung wird dokumentiert.

• Sorgfältige Auswahl: Prüfung von Server-Standort, Schutzmaßnahmen und Referenzen
• Geheimhaltungsverpflichtung: Ergänzung des Vertrags um Paragraf 203 StGB und Paragraf 62a StBerG in Textform
• Belehrung: nachweisbare Aufklärung über die strafrechtlichen Folgen einer Pflichtverletzung
• Dokumentation: Aufbewahrung der Unterlagen zur Erfüllung der Rechenschaftspflicht

Warum der Server-Standort dazugehört

Wo die Mandantendaten verarbeitet werden, ist Teil der sorgfältigen Auswahl. Ein KI-Telefonbot, dessen Daten auf Servern in Deutschland verarbeitet werden, vereinfacht die rechtliche Bewertung und verringert die Zahl der zu prüfenden Übermittlungswege. Datenschutz und Berufsgeheimnis greifen hier ineinander. Wer beide Ebenen sauber bedient, kann die Compliance gegenüber Mandanten als Vertrauensargument nutzen, statt sie als Risiko zu fürchten. Wer die Hintergründe des Datenschutzes vertiefen will, findet sie in der DSGVO-konforme KI im Unternehmen: 10-Punkte-Checkliste.

Warum sich der Aufwand für Kanzleien trotz Personalmangels lohnt

Der berufsrechtliche Aufwand lohnt sich, weil die telefonische Entlastung in vielen Kanzleien dringend gebraucht wird und der Fachkräftemangel kaum nachlässt. Laut der Berufsstatistik STAX 2024 der Bundessteuerberaterkammer (2025) konnten Berufsausübungsgesellschaften nur 23,2 Prozent ihrer offenen Stellen vollständig besetzen, 59,1 Prozent dagegen nur teilweise. Gesucht wurden vor allem Steuerfachangestellte.

Wenn knappes Fachpersonal nicht im Sekretariat am Telefon gebunden werden soll, ist ein KI-Telefonbot eine naheliegende Antwort. Er nimmt Routineanrufe an, protokolliert Anliegen und leitet Echtfälle weiter, während das Team an Jahresabschlüssen und Steuererklärungen arbeitet. Voraussetzung bleibt, dass die Verschwiegenheitspflicht beim Einsatz von KI am Telefon vollständig gewahrt ist.

Genau hier setzt steuerberater-telefonbot.de an. Der KI-Telefonbot wird von DigiRift geplant, entwickelt, integriert und betrieben, samt der vertraglichen Verpflichtung auf das Mandantengeheimnis nach Paragraf 203 StGB und Paragraf 62a StBerG, in Textform, mit Belehrung und mit Verarbeitung auf Servern in Deutschland. Die Kanzlei muss nichts davon selbst aufsetzen. In einem Gespräch über die Einrichtung klären wir in rund 30 Minuten, welche Anrufarten der Bot für Ihre Kanzlei übernimmt, wie die Geheimhaltungsverpflichtung formuliert wird und wie der Bot in Ihre bestehenden Abläufe eingebunden wird.

Fazit: Berufsgeheimnis ist Pflicht und Vertrauensargument zugleich

Die Verschwiegenheitspflicht macht den Einsatz von KI am Telefon für Steuerberater nicht unmöglich, sondern verlangt einen zusätzlichen Schritt über die DSGVO hinaus. Ein Auftragsverarbeitungsvertrag allein reicht nicht: Erforderlich ist die Verpflichtung des Anbieters nach Paragraf 203 StGB und Paragraf 62a StBerG in Textform, einschließlich Belehrung über die strafrechtlichen Folgen. Wer das versäumt, riskiert eine eigene Strafbarkeit nach Paragraf 203 Abs. 4 StGB. Wer es korrekt umsetzt, verwandelt eine Compliance-Hürde in ein belastbares Vertrauenssignal gegenüber den Mandanten. Eine kanzleispezifische Bewertung der eigenen Anrufprozesse ist der erste praktische Schritt. Die Kanzlei kann das Vorgehen unverbindlich besprechen und erfährt dabei konkret, welche Vertragsbausteine für den berufsrechtlich konformen Betrieb nötig sind.

Quellen

1. Bundessteuerberaterkammer und Deutscher Steuerberaterverband, Hinweise für den Umgang mit personenbezogenen Daten durch Steuerberater und Steuerberatungsgesellschaften, Stand Dezember 2025: https://www.bstbk.de/downloads/bstbk/steuerrecht-und-rechnungslegung/fachinfos/Hinweise-fuer-den-Umgang-mit-personenbezogenen-Daten-durch-Steuerberater-und-Steuerberatungsgesellschaften.pdf
2. Steuerberaterkammer München, Gesetzgeber schafft Rechtssicherheit bei der Inanspruchnahme externer Dienstleister, 2017: https://www.steuerberaterkammer-muenchen.de/de/aktuelles/fachnachrichten/archiv/november_2017/gesetzgeber_schafft_rechtssicherheit_bei_der_inanspruchnahme_externer_dienstleister/index_ger.html
3. Bundesministerium der Justiz, Paragraf 203 StGB, gesetze-im-internet.de, 2024: https://www.gesetze-im-internet.de/stgb/__203.html
4. activeMind AG, DSGVO und Berufsgeheimnisträger in der Auftragsverarbeitung, 2024: https://www.activemind.de/magazin/dsgvo-berufsgeheimnistraeger-auftragsverarbeitung/
5. Haufe, Dr. Dario Arconada Valbuena, Strafbarkeit von Mitarbeitern und externen Dienstleistern nach Paragraf 203 Abs. 4 StGB, 2024: https://www.haufe.de/id/beitrag/outsourcing-von-beratungsleistungen-312-strafbarkeit-von-mitarbeitern-und-externen-dienstleistern-nach-203-abs4-stgb-nf-HI13294354.html
6. Bundessteuerberaterkammer, STAX 2024 Sonderauswertung Digitalisierung und Fachkräftemangel, 2025: https://www.bstbk.de/downloads/bstbk/recht-und-berufsrecht/fachinfos/02_Sonderauswertungen_Digitalisierung_Fachkraeftemangel_STAX2024.pdf