§ 203 StGB technisch abgesichert.
Steuerberater unterliegen einer besonderen Verschwiegenheitspflicht. Die momentum Suite ist technisch und organisatorisch darauf ausgerichtet. Direkte Identifikatoren werden in Deutschland maskiert, bevor ein KI-Modell den Text sieht.
Sind Mandantendaten wirklich geschützt?
Ja. Wir hosten ausschließlich in Deutschland bei IONOS, halten die Vorgaben von § 203 StGB sowie der DSGVO ein und erkennen und maskieren 24 Kategorien direkter Identifikatoren automatisch, bevor der Text ein KI-Modell erreicht (Pseudonymisierung nach Art. 4 Nr. 5 DSGVO).
Ist ChatGPT für Steuerberater nach § 203 StGB zulässig?
Pauschal lässt sich das nicht beantworten. Problematisch wird es, sobald Mandantendaten unverändert an einen Cloud-LLM-Anbieter übermittelt werden, ohne dass der Anbieter als Auftragsverarbeiter vertraglich eingebunden ist und ohne Einwilligung des Mandanten. Das kann eine Offenbarung an Dritte im Sinne von § 203 StGB darstellen. Die momentum Suite adressiert genau diesen Punkt: Direkte Identifikatoren werden vor dem Versand an das KI-Modell in Deutschland erkannt und durch Platzhalter ersetzt. Zusätzlich liegt für jeden eingebundenen Anbieter ein Auftragsverarbeitungsvertrag vor und Ihre Eingaben werden vertraglich vom Modell-Training ausgeschlossen.
Brauche ich für momentum Suite einen Auftragsverarbeitungsvertrag (AVV)?
Ja, und wir stellen ihn bereit. Im Auftragsverarbeitungsvertrag sind die eingebundenen Unter-Auftragsverarbeiter benannt: der Hoster IONOS in Deutschland sowie die KI-Modell-Anbieter Microsoft Azure EU, AWS Bedrock EU, Google und Mistral EU. Direkte Identifikatoren in Mandantendaten werden vor dem Versand an ein KI-Modell durch Platzhalter ersetzt; das Modell sieht an diesen Stellen in der Regel nur Platzhalter. Wo eine Übermittlung personenbezogener Daten verbleibt, gelten die im AV-Vertrag dokumentierten Zwecke, Löschfristen und technisch-organisatorischen Maßnahmen. Eine Verwendung Ihrer Eingaben für KI-Training ist vertraglich ausgeschlossen. Dem Vertrag liegen die technisch-organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter und eine Anlage zum Berufsgeheimnisschutz bei eingesetzten Dienstleistern bei. Zusätzlich erhalten Sie die Verschwiegenheitserklärung nach § 62a Abs. 3 StBerG, zu deren Einholung Sie als Kanzlei verpflichtet sind, wenn Sie einem Dienstleister Zugang zu Mandantengeheimnissen gewähren.
Werden meine Daten zum Training von KI-Modellen verwendet?
Nein. Das ist vertraglich ausgeschlossen. Weder wir noch die angebundenen Modell-Anbieter dürfen Ihre Eingaben oder Ergebnisse für das Training von KI-Modellen verwenden.
Blockiert die momentum Suite den Zugriff auf bestimmte KI-Tools in unserer Kanzlei?
Nein, und das ist eine bewusste Entscheidung. Das Compliance-Modul führt strukturiert auf, welche Tools für welche Anwendungsfälle freigegeben sind, ordnet sie nach EU AI Act in Risikoklassen ein (minimal, begrenzt, hoch, inakzeptabel) und dokumentiert Freigaben sowie Ausschlüsse. Es ist aber kein technischer Türsteher am Mitarbeiter-Rechner, denn die Plattform kann externe KI-Nutzung nicht verhindern. Was sie schafft, ist die Nachweisstruktur, die im Prüfungsfall (Berufsaufsicht, Datenschutz-Folgenabschätzung, AI-Act-Audit) verlangt wird: konsistent, mit Zeitstempel und verantwortlicher Person, statt rückwirkend rekonstruiert.