§ 203 StGB und Cloud-Software: Was Steuerberater vor dem Einsatz wirklich prüfen müssen

Warum ein AVV allein nicht reicht

Wer als Steuerberater Software einsetzt, die Mandantendaten verarbeitet, bewegt sich in zwei Rechtswelten gleichzeitig: dem Datenschutzrecht (DSGVO) und dem Strafrecht (§ 203 StGB). Viele Anbieter werben mit „DSGVO-konform" und einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — und genau hier liegt das Missverständnis: Der AVV regelt den Datenschutz, nicht das Berufsgeheimnis. § 203 StGB stellt die unbefugte Offenbarung fremder Geheimnisse unter Strafe — und zwar für den Berufsträger persönlich, nicht für den Softwareanbieter.

Was § 203 StGB für den Software-Einsatz bedeutet

Seit der Reform von 2017 dürfen Berufsgeheimnisträger externe Dienstleister einschalten (§ 203 Abs. 3 StGB) — aber nur unter Bedingungen. Zentral ist § 203 Abs. 4 StGB: Der Berufsträger muss den Dienstleister zur Geheimhaltung verpflichten. Diese Verpflichtung ist etwas anderes als ein AVV: Sie muss die strafrechtliche Dimension abdecken und sollte in Textform mit Strafbelehrung erfolgen. Und sie endet nicht beim ersten Anbieter: Auch dessen Subunternehmer müssen entsprechend verpflichtet werden — die Kette muss lückenlos bis zum letzten Glied dokumentiert sein.

Die Prüfliste: Sieben Fragen an jeden Anbieter

• 1. Wo liegen die Daten physisch? Rechenzentrums-Standorte für Datenbank, Dokumente und KI-Verarbeitung — konkret benannt, nicht als Marketingfloskel.

• 2. Wer ist der Betreiber? Ein EU-Rechenzentrum eines US-Anbieters ist etwas anderes als ein EU-Anbieter. Beides kann zulässig sein — aber es muss offen benannt und über EU-Standardvertragsklauseln (SCC) plus Transfer-Folgenabschätzung (TIA) abgesichert sein.

• 3. Gibt es eine vollständige Subprozessor-Liste? Inklusive der Dienstleister zweiter Ordnung. Wer die Liste nicht herausgibt, kann die §-203-Kette nicht belegen.

• 4. Liegt eine Verpflichtungserklärung nach § 203 Abs. 4 StGB vor? Oder ist der Anbieter zumindest bereit, eine solche zu zeichnen?

• 5. Werden Mandantendaten für KI-Training verwendet? Die Antwort muss ein belegbares Nein sein — vertraglich zugesichert, nicht nur behauptet.

• 6. Wie ist die Mandantentrennung technisch umgesetzt? Trennung auf Datenbankebene ist belastbarer als reine Oberflächen-Trennung.

• 7. Was passiert bei Vertragsende? Vollständiger Datenexport und nachweisbare Löschung gehören in den Vertrag.

Die Sanktionsseite: Warum Sorgfalt hier kein Formalismus ist

§ 203 StGB ist ein Antragsdelikt (§ 205 StGB) — es braucht also in der Regel einen Strafantrag des Verletzten. Darauf verlassen sollte sich niemand: Neben der strafrechtlichen Dimension drohen berufsrechtliche Konsequenzen nach dem StBerG sowie zivilrechtliche Haftung. Für die Kanzlei ist am Ende entscheidend, dass sie die eigene Sorgfalt dokumentieren kann: Wer welche Verträge geprüft, welche Verpflichtungen eingeholt und welche Einwilligungen dokumentiert hat.

Der Zusammenhang mit § 62a StBerG

Für Steuerberater konkretisiert § 62a StBerG die Inanspruchnahme von Dienstleistern. In der Praxis hat sich etabliert, für KI-gestützte Verarbeitung zusätzlich die Einwilligung der Mandanten einzuholen — transparent, in Textform und mit Benennung der eingesetzten Dienstleister. Wie das praktisch und ohne Papierschlacht funktioniert, behandeln wir in einem eigenen Beitrag.

Fazit

Cloud- und KI-Software ist für Steuerkanzleien kein Tabu — aber sie verlangt eine Prüfung, die über das DSGVO-Etikett hinausgeht. Die entscheidenden Fragen sind: lückenlose Dienstleisterkette, dokumentierte Geheimhaltungsverpflichtungen, offene Benennung aller Datenflüsse. Anbieter, die diese Fragen präzise und schriftlich beantworten, nehmen das Berufsgeheimnis ernst. Anbieter, die ausweichen, disqualifizieren sich selbst.

Hinweis: Dieser Beitrag gibt den Rechtsstand Juli 2026 wieder und ersetzt keine rechtliche Beratung im Einzelfall. Quellen: §§ 203, 205 StGB; § 62a StBerG; Art. 28 DSGVO.

Über Valyr: Valyr wurde von der Architektur her auf § 203 StGB ausgelegt: EU-Hosting, dokumentierte Dienstleisterkette mit SCC und Transfer-Folgenabschätzung, Mandantentrennung auf Datenbankebene und ein eingebautes System für die §-62a-Einwilligung. Alle Unterlagen legen wir vor Vertragsschluss offen. Mehr zur Pilotphase.