Blog Draft: EU AI Act für Steuerberater — die vollständige Compliance-Übersicht

Scheduled: Di 22.07.2026 (backing für LI Hook A + LI Hook C, beide verlinken auf /blog/eu-ai-act-steuerberater-2026)
Slug: /blog/eu-ai-act-steuerberater-2026/
Status: [DRAFT — NICHT LIVE VOR 22.07.2026] [R155-konform]
Platform: agentic-movers.com/blog/
Language: DE
Target length: 1000-1300 Wörter
Zielgruppe: Steuerberater, Kanzlei-IT, Compliance-Verantwortliche in Steuerkanzleien

§5-UWG Pre-Check

• Kein "§203-konform" — nur "auf §203-Compliance ausgelegt" ✅
• Kein "rechtssicher", kein "garantiert", kein Beratungsversprechen ✅
• Alle Datumsangaben geprüft: Art. 50 = 02.08.2026; Art. 4 = 02.02.2025 ✅
• Disclaimer am Ende: kein Rechtsrat ✅
• Kein Revenue-Split/Token-Bezug ✅

ARTIKEL

EU AI Act für Steuerberater: 3 Fehler, zwei Gesetze, ein Checkliste

Ab 02. August 2026 greifen die Transparenzpflichten nach Artikel 50 des EU AI Act. Das bedeutet: wer KI-Systeme einsetzt, die mit Menschen interagieren oder Inhalte generieren, muss das kenntlich machen.

Aber für Steuerberater ist das nur ein Teil der Compliance-Anforderung — und nicht mal der schwierigste.

Dieser Artikel erklärt warum.

Zwei Gesetze, zwei verschiedene Fragen

Der EU AI Act und §203 StGB schützen unterschiedliche Dinge und stellen unterschiedliche Fragen.

EU AI Act fragt: Welche Risikoklasse hat dieses KI-System? Welche Transparenz- und Dokumentationspflichten gelten? Wurde das System für den geplanten Zweck registriert und bewertet?

§203 StGB fragt: Hat unbefugter Zugang zu Mandantendaten stattgefunden — auch ohne Absicht, auch ohne Datenweitergabe im klassischen Sinne?

Ein AVV (Auftragsverarbeitungsvertrag nach DSGVO Art. 28) beantwortet keine dieser Fragen vollständig. Er dokumentiert die Rahmenbedingungen der Datenverarbeitung — aber weder die Risikoklasse eines KI-Systems noch die Zugangsfrage nach §203.

Fehler 1: AVV als §203-Lösung behandeln

Viele Kanzleien gehen davon aus: wenn ein Dienstleister einen AVV anbietet, ist die §203-Frage beantwortet.

Das stimmt nicht.

§203 Abs. 4 StGB stellt unter Strafe, wer einem Unbefugten die Möglichkeit verschafft, ein Geheimnis wahrzunehmen. Es geht nicht nur um aktive Weitergabe — die Zugangsmöglichkeit reicht aus.

Ein AVV dokumentiert die Verarbeitung. Er schließt Sub-Prozessoren nicht aus und gibt dem Dienstleister oft technische Zugriffsmöglichkeiten auf die verarbeiteten Daten. Für §203 StGB kann das ausreichen.

Fehler 2: Sub-Prozessoren ignorieren

Cloud-KI-Dienste sind selten monolithisch. Wer einen KI-Chat-Dienst, ein Dokumenten-KI-Tool oder ein KI-Recherche-System nutzt, nutzt typischerweise:

• Den primären Anbieter (Vertragspartner, im AVV genannt)
• Infrastruktur-Sub-Prozessoren (Hosting, Datenbanken, CDN)
• Modell-API-Anbieter (das Sprachmodell läuft oft bei einem dritten Unternehmen)
• Logging- und Monitoring-Dienste

Mandantendaten können alle diese Layer berühren. Der AVV listet Sub-Prozessoren oft nur in Kategorien. Für §203 StGB ist die Frage: Kann irgendeiner dieser Akteure auf Mandantendaten zugreifen?

Was hilft: Konkrete Sub-Prozessoren anfragen, Datenflussdokumentation verlangen, klären ob Mandantendaten ausschließlich auf Hardware verarbeitet werden, die der Kanzlei oder einem kontrollierten Hosting-Anbieter gehört.

Fehler 3: August 2026 als Startdatum verstehen

Viele Kanzleien planen ihre KI-Compliance für "nach August 2026". Das ist falsch priorisiert.

Was ab 02.08.2026 neu gilt:
Art. 50 EU AI Act — Transparenzpflichten. KI-Chatbots müssen als KI erkennbar sein. KI-generierte Inhalte müssen gekennzeichnet werden. Das ist real, aber begrenzt im unmittelbaren Kanzleibetrieb.

Was bereits gilt:
- Art. 4 EU AI Act (KI-Kompetenzpflicht) — seit 02.02.2025. Kanzleien die KI einsetzen, müssen sicherstellen dass ihre Mitarbeiter ausreichend KI-Kenntnisse haben.
- §203 StGB — gilt seit 1871. Keine Übergangsfrist, kein Compliance-Datum.
- DSGVO Art. 5+28 — gilt seit 2018. AVV-Pflicht existiert unabhängig vom EU AI Act.

Das bedeutet: wer August 2026 als Startdatum für KI-Compliance-Überlegungen nutzt, ist bereits mindestens 18 Monate zu spät.

Was "auf §203-Compliance ausgelegt" bedeutet

Es gibt keine Zertifizierung für §203-konforme KI. Das ist eine rechtliche Einschätzung die von einem Fachanwalt im Einzelfall vorgenommen werden muss.

Was es technisch bedeutet, ein KI-System so zu bauen dass die §203-Frage beantwortbar wird:

1. Daten verlassen die kontrollierte Infrastruktur nicht. Lokale Inferenz oder Hosting beim kontrollierten Anbieter. Keine externen Modell-APIs für mandantenbezogene Daten.

2. Sub-Prozessoren sind bekannt und dokumentiert. Nicht nur "Kategorien von Empfängern" wie im Standard-AVV, sondern konkrete Liste mit Zugriffsmöglichkeiten.

3. Zugriffsprotokolle existieren. Wer konnte theoretisch auf welche Daten zugreifen — nachvollziehbar dokumentiert, nicht nur für den Dienstleister, sondern für die Kanzlei.

Compliance Checkliste (nicht abschließend)

Für Steuerberater die KI-Tools in der Mandantenarbeit einsetzen oder planen:

§203 StGB:
- [ ] Wo werden Mandantendaten verarbeitet? (Welche Hardware, welches Land?)
- [ ] Welche Sub-Prozessoren haben technischen Zugang?
- [ ] Werden Anfragen für Training oder Logging gespeichert?
- [ ] Ist der Dienstleister selbst nach §203 zur Verschwiegenheit verpflichtet?

EU AI Act Art. 50 (ab 02.08.2026):
- [ ] Werden KI-Chatbots oder KI-Assistenten gegenüber Mandanten genutzt?
- [ ] Sind KI-generierte Dokumente als solche gekennzeichnet?
- [ ] Werden Deepfakes oder KI-Stimmen eingesetzt? (Separate Pflichten)

EU AI Act Art. 4 (seit 02.02.2025):
- [ ] Haben Mitarbeiter die KI-Tools nutzen ausreichende KI-Kenntnisse?
- [ ] Gibt es interne Schulungsmaßnahmen oder Richtlinien?

DSGVO:
- [ ] AVV mit dem KI-Anbieter vorhanden und aktuell?
- [ ] Verarbeitungsverzeichnis enthält KI-Systeme?
- [ ] Datenschutz-Folgenabschätzung für hochriskante Verarbeitungen?

Unser Ansatz

Wir bauen KI-Workflows für Kanzleien so, dass die §203-Fragen technisch beantwortbar sind. Nicht durch Zertifizierung — durch Architektur.

Konkret: lokale Inferenz, klare Sub-Prozessor-Dokumentation, Daten-Fluss-Transparenz. Was wir nicht liefern: die rechtliche Einschätzung für Ihre konkrete Situation. Das ist Aufgabe Ihres Rechtsanwalts. Was wir liefern: die technische Grundlage, auf der diese Einschätzung möglich ist.

Bratschke Solutions GmbH — KI-Automatisierung auf §203-Compliance ausgelegt.
Kostenloses Gespräch buchen | §203-Compliance für Steuerberater

Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Ihre konkrete Situation empfehlen wir einen auf IT-Recht und Datenschutz spezialisierten Fachanwalt.

POSTING INSTRUCTIONS (22.07.2026)

1. §5-UWG-Check am Posting-Tag — Datumsangaben für Art. 50 (02.08.2026) aktualisieren falls nötig
2. Slug: /blog/eu-ai-act-steuerberater-2026/ — bestehende Steuerberater/blog/steuerberater-Links prüfen
3. Nach Live-Schaltung: URL in LI Hook A + Hook C als erster Kommentar einfügen (beide Posts)
4. Interne Links prüfen: /steuerberater/ muss live sein (GH#675 + GH#782 ICT-tasks)
5. Kein separater Social-Post — dieser Blog ist Backing für zwei LI-Hooks