Ist KI-Automatisierung DSGVO-konform? Mit § 203 StGB für Steuerberater, Ärzte und Anwälte
Zuletzt aktualisiert: 2026-07-11 · von Florian Zitzmann, flowsulting
Ja — KI-Automatisierung ist DSGVO-konform, wenn fünf Voraussetzungen erfüllt sind: Datenverarbeitung in der EU, Auftragsverarbeitungsvertrag mit jedem Dienst, menschliche Letztentscheidung, Zugänge samt Quellcode beim Kunden — und für Berufsgeheimnisträger (Steuerberater, Ärzte, Anwälte) zusätzlich die schriftliche Verschwiegenheitsverpflichtung des Dienstleisters nach § 203 StGB vor Projektbeginn.
Die fünf Voraussetzungen im Überblick
| Anforderung | Warum | Umsetzung in der Praxis |
|---|---|---|
| Datenverarbeitung in der EU | Art. 44 ff. DSGVO — Drittlandtransfers brauchen eine eigene Rechtsgrundlage | KI-Modelle und Hosting mit EU-Verarbeitung wählen; keine Kundendaten an US-Endpunkte ohne Grundlage |
| Auftragsverarbeitungsvertrag (AVV) | Art. 28 DSGVO — Pflicht, sobald ein Dienstleister personenbezogene Daten verarbeitet | AVV mit jedem eingebundenen Dienst; Liste der Subunternehmer liegt dem Kunden vor |
| § 203 StGB (Berufsgeheimnisträger) | Steuerberater, Ärzte und Anwälte dürfen Mandats- bzw. Patientendaten nur mit verpflichteten Dienstleistern teilen | Schriftliche Verschwiegenheitsverpflichtung des Dienstleisters vor Projektbeginn (§ 203 Abs. 4 StGB) |
| Menschliche Letztentscheidung | Art. 22 DSGVO — keine rein automatisierte Entscheidung mit rechtlicher Wirkung | KI bereitet vor (Entwürfe, Sortierung, Auszüge); freigegeben und entschieden wird von Menschen |
| Zugänge & Quellcode beim Kunden | Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) und Kontrolle über die eigene Verarbeitung | Alle Konten laufen auf den Betrieb; Workflows und Quellcode gehören dem Kunden, nicht dem Berater |
Kurz gesagt: DSGVO-Konformität ist keine Eigenschaft der KI, sondern des Projekts. Dieselbe Technik kann konform oder nicht konform eingesetzt werden — der Unterschied liegt in Verträgen, Datenwegen und Verantwortlichkeiten.
§ 203 StGB: Die Extra-Hürde für Steuerberater, Ärzte und Anwälte
Für Berufsgeheimnisträger reicht die DSGVO allein nicht. Mandats- und Patientendaten stehen zusätzlich unter dem strafrechtlichen Schutz des § 203 StGB. Die gute Nachricht: Der Gesetzgeber hat 2017 klargestellt, dass externe Dienstleister eingebunden werden dürfen — unter einer klaren Bedingung. Der Dienstleister muss vor dem ersten Zugang zu geschützten Daten schriftlich zur Verschwiegenheit verpflichtet werden (§ 203 Abs. 4 StGB) und unterliegt damit selbst der Strafbarkeit bei Verstößen.
In der Praxis heißt das: Verschwiegenheitsverpflichtung und AVV werden unterschrieben, bevor irgendein System angebunden wird. flowsulting macht das standardmäßig zu Projektbeginn — nicht auf Nachfrage. Für Kanzleien und Praxen kommt hinzu, dass die KI nur vorbereitet: Sie sortiert Belege, entwirft Antworten, bereitet Termine vor. Die fachliche Entscheidung und jede Freigabe nach außen bleibt beim Berufsträger.
Und der EU AI Act?
Der EU AI Act ordnet KI-Anwendungen nach Risiko ein. Die typischen Abläufe im Betriebsalltag — E-Mail-Entwürfe, Belegzuordnung, Angebots- und Terminvorbereitung — liegen in der Kategorie mit minimalem Risiko. Relevant sind vor allem Transparenz (Mitarbeiter wissen, wo KI im Einsatz ist) und die menschliche Aufsicht, die ohnehin zum sauberen Setup gehört. Hochrisiko-Anwendungen wie automatisierte Bewerberauswahl sind ein anderes Feld und nicht Gegenstand solcher Projekte.
Hinweis: Dieser Artikel erklärt die Praxis aus Sicht eines Automatisierungsdienstleisters und ersetzt keine Rechtsberatung. Für die rechtliche Bewertung Ihres Einzelfalls sprechen Sie mit Ihrem Datenschutzbeauftragten oder einem Fachanwalt.
Häufige Fragen zu DSGVO und KI-Automatisierung
Ist KI-Automatisierung DSGVO-konform?
Ja, wenn sie richtig aufgesetzt ist: Datenverarbeitung in der EU, Auftragsverarbeitungsvertrag mit jedem eingebundenen Dienst, menschliche Letztentscheidung bei allem mit Außenwirkung und volle Kontrolle des Betriebs über Zugänge und Quellcode. Nicht das Werkzeug KI entscheidet über die Konformität, sondern die Umsetzung.
Dürfen Steuerberater, Ärzte und Anwälte KI-Automatisierung einsetzen (§ 203 StGB)?
Ja. Seit der Reform des § 203 StGB dürfen Berufsgeheimnisträger externe Dienstleister einbinden, wenn diese vor dem Zugang zu geschützten Daten schriftlich zur Verschwiegenheit verpflichtet werden (§ 203 Abs. 4 StGB) und ein Auftragsverarbeitungsvertrag besteht. Diese Verpflichtung muss vor Projektbeginn erfolgen, nicht nachträglich.
Werden bei KI-Automatisierung Daten in die USA übertragen?
Nicht zwingend. Für die meisten Abläufe im Betriebsalltag gibt es KI-Modelle und Hosting mit Datenverarbeitung in der EU. flowsulting wählt die Dienste so aus, dass personenbezogene Daten in der EU bleiben; wo das nicht möglich ist, wird der Ablauf so gebaut, dass keine personenbezogenen Daten das System verlassen.
Was bedeutet der EU AI Act für KI-Automatisierung im Unternehmen?
Typische Büro-Automatisierungen — E-Mail-Entwürfe, Belegsortierung, Terminvorbereitung — fallen in die Kategorie mit minimalem Risiko und unterliegen vor allem Transparenzpflichten. Hochrisiko-Anwendungen (etwa automatisierte Personalauswahl oder Kreditentscheidungen) sind ein anderes Feld und nicht Gegenstand solcher Projekte. Wichtig bleibt: Menschen behalten die Letztentscheidung.
Weiterlesen
- → KI-Automatisierung für Steuerkanzleien
- → KI-Automatisierung für Arztpraxen
- → Was kostet KI-Automatisierung?
- → AI-Sichtbarkeit: Gefunden werden, wenn KI antwortet
Wollen Sie wissen, welche Ihrer Abläufe sich DSGVO-konform automatisieren lassen? Der kostenlose KI-Scan zeigt es in wenigen Minuten — oder Sie buchen direkt das kostenlose Audit, 30 Minuten, kein Verkaufsgespräch.