Welche KI-Tools dürfen Wirtschaftsprüfer und Steuerberater aus DSGVO-Sicht nutzen?

Kurze Antwort

Wirtschaftsprüfer und Steuerberater dürfen KI-Tools grundsätzlich einsetzen — entscheidend ist, ob dabei personenbezogene Mandantendaten verarbeitet werden und ob dafür ein AVV sowie eine Prüfung nach § 203 StGB vorliegen. Für Recherche, Textentwürfe oder anonymisierte Beispiele eignen sich Tools wie Claude, Gemini oder Microsoft 365 Copilot ohne größere Hürden. Sobald Steuer-IDs, Kontodaten oder vollständige Mandantenunterlagen ins Spiel kommen, braucht es entweder eine vertraglich abgesicherte Cloud-Lösung oder ein lokal betriebenes Modell. Die folgenden DSGVO-Scores sind Risikoeinschätzungen, keine rechtlichen Bewertungen.

Wichtig: Dieser Artikel stellt keine Rechtsberatung dar. Ein hoher DSGVO-Score bedeutet nicht automatisch einen aufsichtsbehördlich vertretbaren Einsatz im Einzelfall — entscheidend sind auch die konkrete Nutzung, ein AVV und interne Datenschutzprozesse. Die DSGVO-Scores sind Risikoeinschätzungen auf Basis öffentlich zugänglicher Quellen (Stand: 2026-08); vor der Nutzung neuer KI-Tools sollte eine individuelle DSGVO- und §203-Prüfung mit Ihrer Fachstelle erfolgen.

Praxisregeln für den KI-Einsatz in der Kanzlei ✅ Allgemeine Recherche, Rechtsprechungsüberblick, interne Textentwürfe ohne Mandantenbezug ✅ Anonymisierte oder stark pseudonymisierte Beispieldaten in Cloud-KI-Tools ⚠️ Personenbezogene Mandantendaten (Namen, Steuer-ID, Kontonummern) nur mit AVV und zusätzlicher Prüfung nach § 203 StGB ⚠️ Upload vollständiger Jahresabschlüsse, Prüfberichte oder Mandantenverzeichnisse in Cloud-KI ohne vertragliche Absicherung ⚠️ KI-Tools ohne dokumentierten Serverstandort oder erkennbare TOMs

Zeitersparnis in der Praxis (Erfahrungswerte):

Erfahrungswerte — individuelle Zeiten variieren je nach Kanzleigröße, Mandantenstruktur und eingesetztem Tool.

Relevante KI-Tools für Kanzleien im Überblick

Warum diese Tools?

Wer als Steuerkanzlei Belege manuell kontiert, kennt das Problem: Stunden versickern in Routinearbeit, die eigentlich die KI übernehmen könnte. Genau hier setzt Taxy.io an — im Tarif „KI Beta Club“ automatisiert das Tool Steuerprozesse speziell für deutsche Kanzleien; laut den eigenen AGB kostet dieser Tarif 149 €/Monat zzgl. USt. (Stand: 2026-08), auf der Marketing-Preisseite selbst wird der Preis nicht angezeigt. Weitere oder abweichende Tarife sollten direkt beim Anbieter erfragt werden. In unserer Methodik wird Taxy.io vor allem aufgrund der Fachspezialisierung mit einem DSGVO-Score von 8.0/10 bewertet.

Viele Kanzleien arbeiten bereits mit Word, Outlook und Teams — der Umstieg auf eine separate KI-Oberfläche kostet Zeit, die niemand hat. Microsoft 365 Copilot fügt sich direkt in diese Umgebung ein, kostet ab 18 €/Monat und erreicht dank EU Data Boundary einen DSGVO-Score von 8.0/10. Als Drittlandtransfer-Risiko bleibt zu beachten, dass Microsoft ein US-Konzern mit europäischer Tochterstruktur ist — dadurch entsteht laut Anbieterangaben kein unmittelbares Risiko durch die US-Muttergesellschaft, vollständig ausschließen lässt sich die Cloud-Act-Thematik dennoch nicht. Seit April 2026 ist zudem standardmäßig „Copilot Flex Routing” aktiv: Bei Kapazitätsengpässen kann die reine KI-Inferenz — nicht die dauerhafte Datenspeicherung, die weiterhin nach den bestehenden Residenz-Zusagen erfolgt — zeitweise auf Servern in den USA, Kanada oder Australien verarbeitet werden, sofern Tenant-Administratoren die Funktion nicht im Microsoft-365-Admin-Center manuell deaktivieren. Für §203-sensitive Mandate lohnt sich deshalb vor dem Einsatz ein Blick in genau diese Einstellung; der DSGVO-Score von 8.0/10 setzt eine geprüfte oder deaktivierte Flex-Routing-Konfiguration voraus und ersetzt diese Prüfung nicht.

Wer Wert auf europäische Serverstandorte legt, ohne auf Microsoft angewiesen zu sein, landet schnell bei Mistral AI: Das französische Unternehmen bietet einen kostenlosen Einstieg, in unserer Methodik erreicht es 7.0/10 vor allem aufgrund der EU-Infrastruktur. Für laufende Buchhaltung wiederum lohnt sich der Blick auf sevDesk (ab 19 €/Monat, Score 7.0/10) und Lexoffice (ab 7,9 €/Monat, Score 8.0/10) — beide automatisieren Belegerfassung und Kontierung für kleinere Mandate, der kostenlose Einstieg fehlt hier allerdings, ein Test-Zugang lohnt sich vor der Entscheidung.

Claude und Gemini eignen sich für Recherche, Zusammenfassungen und Textentwürfe, die ohne Mandantenbezug auskommen — beide bieten einen kostenlosen Plan, erreichen in unserer Methodik aber nur 6.0/10 beziehungsweise 6.5/10, weil die Datenverarbeitung primär außerhalb der EU stattfindet. ChatGPT Plus landet mit 5.0/10 am unteren Ende der hier gelisteten Tools; für bestimmte geschäftliche Tarife stellt OpenAI einen AVV bereit — vor dem Einsatz sollte geprüft werden, welcher Tarif diesen tatsächlich enthält. Wer eigene Infrastruktur bevorzugt, prüft Open Telekom Cloud (Score 7.0/10) als deutschen Hosting-Partner für selbst betriebene Modelle.

Was andere Tools problematisch macht

Nicht jedes leistungsstarke KI-Tool eignet sich für Kanzleidaten. DeepSeek erreicht in unserer Methodik lediglich einen DSGVO-Score von 1,5/10 — vor allem aufgrund unklarer Datenverarbeitung außerhalb der EU und fehlender belastbarer Angaben zu Serverstandort und Auftragsverarbeitung. Für allgemeine, nicht mandantenbezogene Recherche mag das im Einzelfall vertretbar sein; für Mandantendaten mit Personenbezug entsteht hier ein erheblicher zusätzlicher Prüfaufwand, den die meisten Kanzleien im Tagesgeschäft nicht leisten können. Nach unserer Recherche liegt für DeepSeek zum Prüfzeitpunkt (Stand: 2026-08) keine öffentlich zugängliche, dokumentierte §203-taugliche Vereinbarung vor.

Darf ich ChatGPT, Claude & Co. als Steuerberater oder Wirtschaftsprüfer nutzen?

Ja, mit Einschränkungen. § 203 StGB stellt die unbefugte Offenbarung von Privatgeheimnissen durch Steuerberater und Wirtschaftsprüfer unter Strafe — dazu zählen auch Mandantendaten, die in eine Cloud-KI hochgeladen werden. Ein AVV allein genügt regelmäßig nicht, wenn zusätzlich § 203 StGB erfüllt werden muss: Der KI-Anbieter muss dabei regelmäßig als „mitwirkende Person” im Sinne der Norm eingeordnet und entsprechend vertraglich zur Verschwiegenheit verpflichtet werden können, was bei vielen Standard-AVVs großer Cloud-Anbieter nicht automatisch mitgeregelt ist. Zusätzlich braucht es Klarheit über Drittlandtransfer und personenbezogene Daten: Wo genau werden die Daten verarbeitet, und wer hat Zugriff?

Kurz gesagt: Wenn du personenbezogene Mandantendaten verarbeitest, brauchst du fast immer: (1) einen AVV mit dem KI-Anbieter, (2) eine zusätzliche Prüfung, ob § 203 StGB besondere Anforderungen an die eingebundenen Dienstleister stellt, (3) möglichst eine EU-Datenverarbeitung ohne Drittlandtransfer, (4) im Zweifel: Daten anonymisieren oder pseudonymisieren, bevor sie in die KI gehen.

Schnell-Vergleich

• Rechtsprechungsrecherche ohne Mandantenbezug → Claude/Gemini → kein AVV nötig, da kein Personenbezug
• Beleg- und Buchungsautomatisierung → Taxy.io/sevDesk/Lexoffice → AVV plus §203-Prüfung nötig
• Kanzleiweite Textarbeit im Microsoft-Umfeld → Microsoft 365 Copilot → AVV plus Flex-Routing-Einstellung prüfen
• Hochsensible Mandate (Sonderprüfungen, Compliance-Fälle) → lokale KI erwägen

Gibt es eine DATEV-KI?

DATEV hat sein KI-Angebot 2026 deutlich ausgebaut. Seit Mai 2026 steht der DATEV Copilot als zentraler KI-Assistent in MyDATEV zur Verfügung und bündelt mehrere produktive Bausteine an einer Stelle. Dazu zählt die Beleg-OCR („Smart Login”) mit automatischen Kontierungsvorschlägen, deren Erkennungsquote bei wiederkehrenden Lieferanten nach Angaben aus der Fachpresse nach einigen Wochen Anlernzeit bei rund 90 Prozent liegt — einen eigenen, öffentlich dokumentierten Referenzwert direkt von DATEV konnten wir dafür nicht bestätigen. Ergänzend bietet der Copilot einen Mandanten-Brief-Generator für ausgehende Standardschreiben aus Vorlagen sowie einen Recherche-Copilot in DATEV Wissen, der Fachfragen unter Einbindung von Kommentierungen und Rechtsprechung beantwortet; in Verbindung mit LEXinform plus ist laut DATEV zusätzlich lizenzpflichtige, spezialisierte Fachrecherche verfügbar. Laut Fachpresse-Berichten sparen Kanzleien mit rund fünf Mitarbeitenden dadurch typischerweise 8 bis 15 Stunden pro Woche vor allem bei der Dokumentenverarbeitung ein — eine grobe Einschätzung aus Erfahrungsberichten, keine von DATEV selbst veröffentlichte Kennzahl. Als deutsches Unternehmen mit Sitz in Nürnberg verarbeitet DATEV Kanzleidaten nach eigenen Angaben in Deutschland, was aus §203- und DSGVO-Sicht grundsätzlich vorteilhaft ist.

Für Kommunikation ohne direkten Datenbezug — etwa Mandantenschreiben in allgemeiner Form, interne Notizen oder Recherche zu Gesetzesänderungen — eignen sich ergänzend die oben gelisteten Cloud-KI-Tools wie Claude oder Gemini, solange keine echten Mandantendaten eingegeben werden. Als dritte Ebene lohnt sich Workflow-Automatisierung: Tools wie Taxy.io oder sevDesk docken an bestehende DATEV-Prozesse an, ohne diese zu ersetzen, und automatisieren vor allem die Vor- und Nachbereitung.

Welche KI eignet sich für Wirtschaftsprüfungsgesellschaften mit mehreren Mandanten?

Bei größeren Wirtschaftsprüfungsgesellschaften mit vielen parallelen Mandaten zählt vor allem eines: saubere Mandantentrennung. Cloud-Tools mit mandantenübergreifender Ablage bergen das Risiko, dass Kontext aus einem Mandat versehentlich in ein anderes einfließt — deshalb lohnt sich bei mehreren Mandaten besonders der Blick auf Tools mit granularer Zugriffskontrolle wie Microsoft 365 Copilot, das bestehende Berechtigungsstrukturen für Team- und Mandantenordner nutzt, oder auf spezialisierte Prüfungssoftware, die Mandate von Haus aus isoliert. Reine Chat-Tools wie Claude oder Gemini eignen sich in diesem Szenario eher für mandantenunabhängige Aufgaben — etwa Musterprüfprogramme, interne Schulungsunterlagen oder allgemeine Fachrecherche — nicht aber für den direkten Umgang mit mehreren parallelen Mandantenakten gleichzeitig.

Lokale KI statt Cloud-KI

Für besonders sensible Mandate — etwa Sonderprüfungen, Compliance-Untersuchungen oder Mandate mit strengen vertraglichen Geheimhaltungsklauseln — lohnt sich der Blick auf lokal betriebene KI-Modelle. Der Vorteil: Mandantendaten verlassen die eigene Infrastruktur in der Regel nicht, wodurch sich viele §203- und Drittlandtransfer-Fragen häufig von vornherein erübrigen. Der Nachteil: Aufbau und Betrieb erfordern technisches Know-how, passende Hardware und laufende Wartung ohne den Komfort eines Cloud-Supports.

Hinweis: Aleph Alpha ist als Anbieter noch nicht vollständig in unserer Tool-Datenbank geprüft (Stand: 2026-08).

Konkrete Ansätze: Ollama oder n8n in Kombination mit einem lokal betriebenen Open-Source-Modell für Kanzleien mit eigener IT-Infrastruktur; Aleph Alpha, ein deutscher Anbieter mit bisherigem Sitz in Heidelberg, positioniert sich laut eigener Website explizit mit europäischer Infrastruktur für regulierte Branchen. Aleph Alpha und das kanadische Unternehmen Cohere gaben im April 2026 eine Fusion bekannt, bei der Cohere-Anteilseigner den überwiegenden Teil des kombinierten, mit rund 20 Milliarden US-Dollar bewerteten Unternehmens erhalten sollen; die Transaktion war zum Prüfzeitpunkt (Stand: 2026-08) noch nicht vollständig abgeschlossen und stand unter regulatorischem Vorbehalt. Kanzleien, die Aleph Alpha aktuell evaluieren, sollten den Status dieser Transaktion vor einer Entscheidung erneut prüfen. Für den Betrieb eigener Modelle in einer deutschen Cloud-Umgebung kommt außerdem Open Telekom Cloud infrage (Score 7.0/10) — hier bleibt die Kanzlei Herrin über Serverstandort und Zugriffskontrolle, muss die Modellpflege aber selbst organisieren.

Kann ich ChatGPT für Mandantendaten nutzen?

Nur mit erheblichen Einschränkungen. Solange keine personenbezogenen Mandantendaten eingegeben werden, spricht wenig gegen ChatGPT für Recherche oder Textentwürfe. Sobald Namen, Steuer-IDs oder Kontodaten im Spiel sind, braucht es mindestens einen passenden Geschäftstarif mit AVV sowie eine gesonderte Prüfung, ob § 203 StGB zusätzliche Anforderungen an den Dienstleister stellt — pauschal „ja” oder „nein” lässt sich das nicht beantworten.

Methodik

Die DSGVO-Scores in diesem Artikel basieren auf unserer Methodik unter /methodik und sind Risikoeinschätzungen auf Basis öffentlich zugänglicher Datenschutzerklärungen, AVV-Dokumente und Preisseiten der Anbieter — keine rechtliche Bewertung im Einzelfall.

Fazit & Empfehlung

KI kann Kanzleien spürbar entlasten, solange die Trennung zwischen mandantenbezogenen und allgemeinen Aufgaben klar bleibt. Für Recherche und Textarbeit ohne Personenbezug sind Claude, Gemini oder Mistral AI unkompliziert einsetzbar; für Beleg- und Buchhaltungsautomatisierung lohnt sich der Blick auf spezialisierte Tools wie Taxy.io, sevDesk, Lexoffice oder den neuen DATEV Copilot. Bei hochsensiblen Mandaten bleibt lokale KI oder ein eng geprüfter Cloud-Vertrag mit AVV und §203-Absicherung die sicherere Wahl — jeder Einzelfall muss individuell geprüft werden. Wer unsicher ist, startet am besten mit einem einzelnen, klar abgegrenzten Anwendungsfall ohne Personenbezug und erweitert den KI-Einsatz erst nach einer sauberen AVV- und §203-Prüfung, bei Microsoft 365 Copilot inklusive eines Blicks auf die Flex-Routing-Einstellung.

Du willst nicht jeden Vertrag selbst prüfen? Unsere Tooltests zeigen pro KI-Tool: AVV, DPA, KI-Training, Cloud-Act-Risiko, DSGVO-Score.