KI-Protokolle für Mandantengespräche: Was Steuerkanzleien berufsrechtlich prüfen müssen

Ein Mandantengespräch dauert 45 Minuten, die saubere Nachbereitung oft noch einmal genauso lang. Entsprechend naheliegend ist der Gedanke, Teams Copilot oder Otter.ai mitschreiben zu lassen. Bevor KI-Protokolle für Mandantengespräche in einer Steuerkanzlei laufen, ist die entscheidende Prüfung aber keine technische, sondern eine berufsrechtliche: Verschwiegenheit, Dienstleistervertrag, Einwilligung und Aufbewahrung.

Wichtiger Hinweis vorab: Dieser Beitrag ordnet die Rechtslage ein und ersetzt keine Rechtsberatung. Lassen Sie den konkreten Einsatz vor der Einführung von Ihrer Steuerberaterkammer oder einer auf Berufsrecht spezialisierten Anwaltskanzlei prüfen. Die zitierten Vorschriften sind der Einstieg in diese Prüfung, nicht ihr Ergebnis.

Welche Vorschriften gelten für KI-Protokolle in der Steuerkanzlei?

Für KI-Protokolle in der Steuerkanzlei greifen vier Regelwerke gleichzeitig, und keines ersetzt ein anderes: Strafrecht, Berufsrecht des Steuerberatungsgesetzes, Datenschutzrecht und, sobald mitgeschnitten wird, der Schutz des gesprochenen Wortes.

• § 203 Abs. 1 Nr. 3 StGB: Steuerberater und Steuerbevollmächtigte sind dort namentlich genannt. Wer ein fremdes Geheimnis unbefugt offenbart, dem drohen bis zu ein Jahr Freiheitsstrafe oder Geldstrafe, bei Handeln gegen Entgelt bis zu zwei Jahre (Abs. 6). Quelle: § 203 StGB
• § 203 Abs. 3 und 4 StGB: Gegenüber Personen, die an der beruflichen Tätigkeit mitwirken, darf offenbart werden, soweit das erforderlich ist. Ein KI-Dienstleister kann eine solche mitwirkende Person sein, deshalb ist ein KI-Protokolltool berufsrechtlich überhaupt denkbar. Wer aber nicht dafür Sorge trägt, dass sie zur Geheimhaltung verpflichtet wurde, macht sich nach Abs. 4 Satz 2 Nr. 1 selbst strafbar.
• § 201 Abs. 1 StGB: Wer das nichtöffentlich gesprochene Wort eines anderen unbefugt aufnimmt, wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft. Der Strafrahmen liegt hier höher als bei § 203 StGB. Quelle: § 201 StGB

Braucht ein KI-Gesprächsprotokoll die Einwilligung des Mandanten?

In aller Regel ja, aus zwei unabhängigen Gründen. § 201 StGB verlangt die Einwilligung aller Gesprächsteilnehmer in die Aufnahme, § 62a Abs. 5 StBerG die Einwilligung des Mandanten, wenn die Dienstleistung unmittelbar einem einzelnen Mandat dient.

Die Bundessteuerberaterkammer wird im FAQ-Katalog „KI im steuerberatenden Berufsstand“ (Stand 27. Januar 2026, Rechtsstand Juli 2025) im Abschnitt zur Diktier-KI deutlich: Das Aufnehmen nichtöffentlicher Gespräche ist nur mit vorheriger Einwilligung aller Beteiligten zulässig, eine nachträgliche Einwilligung ist unzulässig. Quelle: BStBK, FAQ KI im steuerberatenden Berufsstand

Die Einwilligung muss also vor dem Startknopf vorliegen und dokumentiert sein, und sie betrifft alle Beteiligten. Die zweite Hürde wird häufig übersehen: § 62a Abs. 5 StBerG unterscheidet zwischen allgemeiner Kanzlei-Infrastruktur und Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen. Ein Transkript eines konkreten Mandantengesprächs fällt schwerlich unter „allgemeines Arbeitsmittel“.

Reicht ein AV-Vertrag nach Art. 28 DSGVO aus?

Nein. § 62a Abs. 3 StBerG verlangt einen Vertrag in Textform mit drei Pflichtinhalten, die ein handelsüblicher Auftragsverarbeitungsvertrag nicht automatisch abdeckt. Berufsrecht und Datenschutzrecht laufen nebeneinander, § 62a Abs. 8 StBerG stellt das ausdrücklich klar.

• Verschwiegenheitsverpflichtung mit Belehrung: Der Dienstleister ist unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit zu verpflichten (Nr. 1). Die Belehrung ist Teil der Pflicht, nicht optional.
• Begrenzte Kenntnisnahme: Kenntnisnahme nur, soweit sie zur Vertragserfüllung erforderlich ist (Nr. 2).
• Regelung zu Unterbeauftragten: Es ist festzulegen, ob weitere Personen herangezogen werden dürfen. Wenn ja, muss der Dienstleister auch diese in Textform verpflichten (Nr. 3). Quelle: § 62a StBerG
• Auswahl und Abbruch: Nach § 62a Abs. 2 StBerG ist der Dienstleister sorgfältig auszuwählen und die Zusammenarbeit unverzüglich zu beenden, wenn die Vorgaben nicht mehr gewährleistet sind. Eine laufende Pflicht.
• Leistungen aus dem Ausland: § 62a Abs. 4 StBerG erlaubt den Zugang nur, wenn der dortige Geheimnisschutz dem inländischen vergleichbar ist. Bei Verarbeitung außerhalb der EU ist das der aufwendigste Prüfschritt.

Parallel bleibt Art. 28 DSGVO anwendbar: Vertrag in schriftlicher, auch elektronischer Form, Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, Löschung oder Rückgabe nach Ende der Leistung, Genehmigungspflicht für Unterauftragsverarbeiter. Quelle: Art. 28 DSGVO Daraus folgt eine sehr konkrete Frage an jeden Anbieter: Gibt es eine berufsrechtliche Zusatzvereinbarung nach § 62a Abs. 3 StBerG, oder nur den Standard-AV-Vertrag? Zu beantworten am konkreten Vertragswerk, für Otter.ai genauso wie für Microsoft.

Wo landet das Transkript, und wie lange bleibt es liegen?

Ein Teams-Transkript ist kein flüchtiges Nebenprodukt, sondern eine Datei mit Speicherort und Berechtigungen. Microsoft dokumentiert, dass Aufzeichnungen und Transkripte in OneDrive for Business beziehungsweise SharePoint landen und denselben Berechtigungs- und Aufbewahrungsregeln unterliegen wie jede andere Datei. Quelle: Microsoft Learn

Für Copilot in Teams-Besprechungen unterscheidet Microsoft zwei Betriebsarten: beibehaltene Transkripte, die gespeichert und auffindbar bleiben, und temporäre Transkripte, die nur für Copilot erzeugt und nach Ende der Besprechung dauerhaft entfernt werden. Quelle: Microsoft Learn Diese Wahl ist für eine Kanzlei eine berufsrechtliche, keine Komfortentscheidung.

Die Aufbewahrung regelt § 66 StBerG: Handakten sind zehn Jahre aufzubewahren, gerechnet ab Ablauf des Kalenderjahres der Auftragsbeendigung, nach Absatz 4 auch in elektronischer Form. Quelle: § 66 StBerG Die Kanzlei muss festlegen, ob ein KI-Protokoll internes Arbeitspapier oder Teil der Handakte ist. Sonst trifft das Standard-Löschintervall des Tools diese Entscheidung stillschweigend.

Aus unseren Copilot-Enablement-Projekten ist der häufigste Fund nicht das KI-Modell, sondern die Ablage: Transkripte landen im OneDrive des Organisators und erben dessen Freigaben. Wer Berechtigungen nicht vor dem Rollout aufräumt, verteilt mit dem Protokoll auch den Zugriff darauf. Mehr dazu in Copilot-Rollout und das Oversharing-Risiko beschrieben.

In welcher Reihenfolge prüfen Sie das in der Praxis?

Die Prüfung läuft von der Berufspflicht zur Technik, nicht umgekehrt. Wer mit dem Tool beginnt, baut die Rechtfertigung um eine bereits getroffene Entscheidung herum.

• Zweck und Verarbeitungsort klären: Interne Aktennotiz, Mandantenprotokoll oder Auswertung? Wo wird transkribiert, wo liegt das Ergebnis, gibt es Unterauftragsverarbeiter? Ohne diese Antworten ist § 62a Abs. 4 StBerG nicht prüfbar.
• Vertragslage schließen: Zusatzvereinbarung nach § 62a Abs. 3 StBerG in Textform plus AV-Vertrag nach Art. 28 DSGVO. Beides, nicht eines von beidem.
• Einwilligung operationalisieren: Eine feste Formulierung, vor dem Gesprächsstart genannt und dokumentiert, für alle Beteiligten.
• Ablage und Löschung festlegen: Speicherort, Berechtigungen, Aufbewahrungsdauer und Löschkonzept schriftlich, abgestimmt auf § 66 StBerG.
• Richtlinie, Schulung, Freigabe: Die BStBK empfiehlt eine KI-Richtlinie mit Freigabeprozess und betriebliche Accounts statt privater Logins. Dazu die KI-Kompetenzpflicht, siehe Artikel 4 EU AI Act. Der Pilotbetrieb startet erst danach.

Fazit

KI-Protokolle sind in der Steuerkanzlei nicht verboten, sie sind voraussetzungsvoll. Die BStBK stuft Diktier-KI als grundsätzlich zulässig ein, knüpft das aber an Einwilligung, Vertragslage und Verschwiegenheit. Klären Sie den konkreten Fall vor dem Rollout mit Ihrer Steuerberaterkammer oder einer berufsrechtlich spezialisierten Anwaltskanzlei. Bei der Umsetzung unterstützen wir Sie mit unserer Automatisierung für Steuerberater. Was DATEV selbst mitbringt, zeigt unser Beitrag zum DATEV Copilot 2026.

Häufige Fragen

Dürfen Steuerkanzleien Teams Copilot oder Otter.ai für Mandantengespräche nutzen?

Ein pauschales Verbot gibt es nicht. Zulässig ist der Einsatz nur, wenn die vorherige Einwilligung aller Gesprächsteilnehmer vorliegt (§ 201 StGB), der Anbieter nach § 62a Abs. 3 StBerG in Textform zur Verschwiegenheit verpflichtet ist und ein AV-Vertrag nach Art. 28 DSGVO besteht.

Reicht der Standard-AV-Vertrag des Anbieters aus?

Nein. Der AV-Vertrag deckt das Datenschutzrecht ab, nicht das Berufsrecht. § 62a Abs. 3 StBerG verlangt zusätzlich eine Verschwiegenheitsverpflichtung mit Belehrung über die strafrechtlichen Folgen, eine Begrenzung der Kenntnisnahme und eine Regelung zu Unterbeauftragten.

Genügt es, den Mandanten nach dem Gespräch um Zustimmung zu bitten?

Nein. Die Einwilligung in die Aufnahme des nichtöffentlich gesprochenen Wortes muss vorher vorliegen. Die Bundessteuerberaterkammer stellt in ihrem KI-FAQ fest, dass eine nachträgliche Einwilligung unzulässig ist.

Wie lange muss ein KI-Gesprächsprotokoll aufbewahrt werden?

Das hängt davon ab, ob es zur Handakte gehört. Handakten sind nach § 66 Abs. 1 StBerG zehn Jahre aufzubewahren, gerechnet ab Ablauf des Kalenderjahres der Auftragsbeendigung, nach Absatz 4 auch in elektronischer Form. Die Einordnung muss die Kanzlei selbst treffen und dokumentieren.

Ist ein Anbieter außerhalb der EU ausgeschlossen?

Nicht automatisch, aber die Hürde steigt. § 62a Abs. 4 StBerG lässt den Zugang nur zu, wenn der dortige Geheimnisschutz dem inländischen vergleichbar ist, und der Drittstaatentransfer muss datenschutzrechtlich abgesichert sein.