Was regelt § 203 StGB für Steuerberater?
§ 203 StGB stellt die Verletzung von Privatgeheimnissen unter Strafe. Steuerberater und Steuerbevollmächtigte sind in § 203 Abs. 1 Nr. 3 StGB ausdrücklich genannt. Wer ein fremdes Geheimnis offenbart, das ihm in dieser Eigenschaft anvertraut oder sonst bekannt geworden ist, macht sich strafbar.
Zu diesen Geheimnissen gehören praktisch alle Mandantendaten: Kontoumsätze, Löhne, Bilanzen, Steuerbescheide. Lädt eine Kanzlei solche Daten in ein externes System, stellt sich deshalb sofort die Frage, ob darin ein Offenbaren liegt.
Wann ist die Weitergabe an einen Dienstleister erlaubt?
Seit der Reform von 2017 enthält § 203 Abs. 3 Satz 2 StGB eine Erlaubnis. Berufsgeheimnisträger dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit dieser Personen erforderlich ist. Gemeint sind etwa IT-Dienstleister, Rechenzentren und Anbieter von Software, die Daten verarbeitet.
Ein KI-Dienstleister, der Kontoauszüge oder Abschlüsse für die Kanzlei verarbeitet, kann eine solche mitwirkende Person sein. Entscheidend ist das Wort „erforderlich“: Der Dienstleister soll nur die Daten erhalten, die er für seine Aufgabe braucht.
Was verlangt § 203 Abs. 4 StGB?
§ 203 Abs. 4 StGB erweitert die Strafbarkeit in zwei Richtungen. Erstens macht sich die mitwirkende Person selbst strafbar, wenn sie ein Geheimnis unbefugt offenbart, das ihr bei der Mitwirkung bekannt geworden ist.
Zweitens macht sich auch der Berufsgeheimnisträger strafbar, wenn er nicht dafür gesorgt hat, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde. Voraussetzung ist, dass diese dann ein Geheimnis unbefugt offenbart. Die Verpflichtung des Dienstleisters ist also keine Formalie. Fehlt sie, haftet die Kanzlei strafrechtlich mit.
Welche Pflichten ergeben sich aus § 62a StBerG?
§ 62a StBerG regelt berufsrechtlich, wie Steuerberater Dienstleister in Anspruch nehmen dürfen. Die Vorschrift ergänzt § 203 StGB und beschreibt die Sorgfaltspflichten im Einzelnen.
- Der Dienstleister erhält Zugang zu Geheimnissen nur, soweit dies für die Dienstleistung erforderlich ist.
- Der Steuerberater wählt den Dienstleister sorgfältig aus und beendet die Zusammenarbeit, wenn die Einhaltung der Vorgaben nicht gewährleistet ist.
- Der Vertrag bedarf der Textform. Darin wird der Dienstleister unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet.
- Der Vertrag legt fest, dass der Dienstleister nur so weit Kenntnis nimmt, wie es für den Auftrag erforderlich ist. Außerdem regelt er, ob der Dienstleister weitere Personen hinzuziehen darf.
- Bei Dienstleistungen im Ausland muss der Schutz der Geheimnisse dem Schutz im Inland vergleichbar sein.
- Dienen Dienstleistungen unmittelbar einem einzelnen Mandat, sieht die Vorschrift zusätzlich die Einwilligung des Mandanten vor.
Wie hängen § 203 StGB und Art. 28 DSGVO zusammen?
§ 203 StGB und § 62a StBerG schützen das Berufsgeheimnis. Die DSGVO schützt personenbezogene Daten. Beides gilt nebeneinander. Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag der Kanzlei, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig. Art. 28 Abs. 3 DSGVO legt fest, was darin stehen muss, etwa Gegenstand und Dauer der Verarbeitung, Weisungsgebundenheit, Vertraulichkeit und technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
In der Praxis lassen sich beide Anforderungen in einem Vertragswerk abbilden: AVV nach Art. 28 DSGVO plus Verschwiegenheitsverpflichtung nach § 62a StBerG mit Belehrung über § 203 StGB.
Worauf achten Sie bei KI-Anbietern konkret?
Fragen Sie, wo die Daten verarbeitet werden, ob Unterauftragnehmer beteiligt sind und ob Daten zum Training von Modellen genutzt werden. Ein Training mit Mandantendaten geht über das Erforderliche hinaus und ist mit dem Gedanken von § 203 Abs. 3 Satz 2 StGB kaum vereinbar. Lassen Sie sich die Verschwiegenheitsverpflichtung in Textform geben.
H&K Automation betreibt seine Werkzeuge auf Servern bei Hetzner in Nürnberg, schließt einen AVV nach Art. 28 DSGVO, beachtet § 203 StGB für mitwirkende Personen und nutzt Mandantendaten nicht zum Training.
Wer dahintersteckt
H&K Automation sitzt in Leonberg bei Stuttgart. Wir bauen jede Lösung selbst und betreuen sie danach weiter. Die Artikel schreiben wir aus der Arbeit an unseren Werkzeugen.
Häufige Fragen
Ist ein KI-Dienstleister eine mitwirkende Person nach § 203 StGB?
Er kann es sein, wenn er an der beruflichen Tätigkeit der Kanzlei mitwirkt, etwa durch Verarbeitung von Mandantendaten. Dann gilt die Erlaubnis aus § 203 Abs. 3 Satz 2 StGB, soweit die Weitergabe erforderlich ist.
Reicht ein AVV nach Art. 28 DSGVO aus?
Nein. Der AVV regelt den Datenschutz. Für das Berufsgeheimnis braucht es zusätzlich die Verschwiegenheitsverpflichtung in Textform nach § 62a StBerG mit Belehrung über die strafrechtlichen Folgen.
Haftet die Kanzlei, wenn der Dienstleister Daten preisgibt?
Nach § 203 Abs. 4 StGB macht sich der Berufsgeheimnisträger strafbar, wenn er nicht dafür gesorgt hat, dass der Dienstleister zur Geheimhaltung verpflichtet wurde.
Dürfen Mandantendaten zum Training von KI genutzt werden?
Das geht über das für den Auftrag Erforderliche hinaus. Kanzleien sollten vertraglich ausschließen, dass Mandantendaten zum Training verwendet werden.