Wie ein einziger Prompt eine Kanzlei ins Risiko bringen kann – und wie man es richtig macht
Praxisfall: «Nur ein schneller Entwurf…»
Die Steuerkanzlei Kanzlei S. gilt als digital fortschrittlich. An einem Montagmorgen wendet sich ein langjähriger Mandant mit einem dringenden Anliegen an sie: Das Finanzamt hat bestimmte Betriebsausgaben nicht anerkannt, die Einspruchsfrist rückt näher. Eine Mitarbeiterin – nennen wir sie Mitarbeiterin A. – öffnet zur Vorbereitung ein gängiges GPT-Tool, um eine erste Argumentationsstruktur generieren zu lassen.
Der Prompt lautet:
«Erstelle eine strukturierte Begründung für einen Einspruch eines selbstständigen Kreativdienstleisters aus Süddeutschland, Jahr 2023, dessen Betriebsausgaben für Homeoffice und Software nicht anerkannt wurden.»
Für Mitarbeiterin A. erscheint die Eingabe harmlos. Kein Name, keine Mandatsnummer, keine Adresse. Die KI liefert einen wohlformulierten Entwurf, der anschließend in der Kanzlei weiter ausgearbeitet wird. Am Ende reicht man einen fachlich sauberen Einspruch ein.
Was niemand bedenkt: Bereits dieser Prompt war berufsrechtlich kritisch, datenschutzrechtlich nicht zulässig und haftungsrechtlich brisant – nicht wegen eines offensichtlichen Fehlers, sondern wegen der Kombination aus Angaben, die den Mandanten identifizierbar machen:
Diese Kombination genügt – insbesondere bei kleineren Mandaten oder spezifischen Mandatsportfolios – häufig, um Rückschlüsse auf die Person zu ermöglichen.
Schwerer wiegt: Der Prompt wurde an einen nicht abgesicherten externen Dienst übermittelt, ohne Pseudonymisierung und ohne interne Richtlinie.
Der Fall verdeutlicht: KI mag Arbeitsprozesse beschleunigen – doch Sorgfalt und organisatorische Kontrolle bleiben unverzichtbar.
Im Folgenden wird systematisch dargelegt, wie Steuerberater und Wirtschaftsprüfer KI rechtssicher und effizient einsetzen – und wie der beschriebene Fall korrekt hätte ablaufen müssen.
Der Praxisfall macht deutlich: Nicht die KI selbst birgt das Risiko, sondern mangelhafte Organisationskontrolle. Die größten Gefahren entstehen nicht durch Technik, sondern durch unbedachte Offenlegung.
Das Risiko beginnt bereits mit dem Prompt
Viele Kanzleien unterschätzen, wie rasch in Prompts personenbezogene oder zumindest personenbeziehbare Informationen einfließen. Bereits folgende Kombination ist kritisch:
Für den Berufsstand handelt es sich dabei um geschützte Geheimnisse – unabhängig davon, ob der Name genannt wird.
Der Praxisfall zeigt ein typisches Muster: Die Mitarbeiterin wollte lediglich eine Formulierungshilfe – schuf dabei jedoch unbeabsichtigt ein Berufsrechtsrisiko.
Mandantendaten dürfen nie ungefiltert verarbeitet werden
Für Steuerberater gilt:
Ein KI-Dienst (insbesondere Cloud- oder US-basiert) ist aus rechtlicher Sicht stets ein externer Dritter.
Die Eingabe eines echten Fallkontextes ohne Pseudonymisierung ist damit:
Im Praxisfall hätte die Kanzlei – schlimmstenfalls – sowohl gegenüber dem Mandanten als auch gegenüber der Kammer Erklärungsbedarf gehabt.
Der zentrale Fehler im Fall der Kanzlei S. liegt darin, dass keine verbindliche interne Steuerung existierte. KI wurde verwendet wie ein beliebiges Schreibwerkzeug – ohne Governance.
Im Jahr 2025 verlangen mehrere Entwicklungen, dass Kanzleien KI strukturiert einbinden:
Berufshaftpflichtversicherer beobachten seit 2024, dass KI Arbeitsprozesse verändert – und damit neue Fehlerquellen entstehen. Standardpolicen decken zwar Beratungsfehler ab, nicht jedoch automatisch Fehler, die aus intransparenten oder unkontrollierten KI-Prozessen resultieren.
Versicherer wollen zunehmend wissen:
Versicherer berücksichtigen bei der Risikoprüfung, ob eine Kanzlei:
Fehlt eine solche organisatorische Absicherung, drohen im Schadenfall spürbare Konsequenzen:
Wären im KI-generierten Einspruch-Text gravierende Fehler enthalten gewesen, hätte der Versicherer im Schadenfall fragen können:
«War der Einsatz dieses Tools in Ihrer Kanzlei organisatorisch geregelt?»
Ohne entsprechenden Nachweis wäre der Versicherer in der Lage gewesen, zumindest Mitverschulden der Kanzlei geltend machen zu können. Damit wird deutlich: Versicherungsrecht ist ein weiterer zwingender Grund, KI-Nutzung sauber zu dokumentieren.
Damit sich der Fall von Kanzlei S. nicht wiederholt, müssen drei Kernprinzipien im Kanzleialltag verankert werden.
Der riskante Prompt hätte (beispielsweise) wie folgt sicher formuliert werden müssen:
«Erstelle eine allgemeine Argumentationsstruktur für einen Fall, in dem Betriebsausgaben eines Einzelunternehmens nicht anerkannt wurden.»
Keine Branche, kein Ort, kein spezifisches Streitjahr – nur der abstrahierte Kern des Problems.
Das genügt für ein brauchbares KI-Ergebnis und wahrt zugleich die Berufspflichten.
Einfaches Kanzlei-Prinzip
Was eine dritte Person ohne Mandantenbezug verstehen darf, kann in die KI eingegeben werden. Alles andere nicht.
Diese Regel ist praxistauglich und sofort anwendbar.
Im Beispiel fehlte eine klare Vorgabe. Eine funktionierende KI-Richtlinie hätte Folgendes geregelt:
Welche Tools genutzt werden dürfen
Nur solche, die:
Wie Prompts formuliert werden müssen
Mit verpflichtender:
Welche Datenarten tabu sind
Namentlich:
Dokumentationspflichten
Zum Beispiel:
Schulungspflichten
Mindestens einmal jährlich – mit praxisnahen Beispielen.
Haftungs- und Versicherungsbezug
Die Versicherungspolice sollte festhalten:
Damit können Kanzleien gegenüber Versicherern belegen: «Wir nutzen KI verantwortungsvoll, kontrolliert und mit dokumentierten Prozessen.»
Ein sicherer Ablauf im Praxisfall wäre gewesen:
Diese Rollentrennung verhindert:
Einspruchserstellung: Der sichere Prozess
Sicherer Ablauf:
So wird das Risiko deutlich reduziert.
KI eignet sich hervorragend für:
Hier bestehen kaum personenbezogene Risiken. Im Praxisfall hätte die Kanzlei genau diese Anwendung unbeschwert nutzen können.
Fachliche Bewertungen: KI als Inspiration, nicht als Quelle
KI kann:
Allerdings:
Im Beispiel hätte KI durchaus Argumentationsansätze liefern können – die fachliche Bewertung wäre jedoch weiterhin menschliche Aufgabe geblieben.
Wirtschaftsprüfer müssen:
KI darf unterstützen – aber nicht prüfen.
Kanzleien, die KI klar geregelt einsetzen, strahlen Professionalität aus. Eine kommunikativ geschickt eingesetzte KI-Strategie schafft Vertrauen.
Versicherer und Aufsichtsbehörden achten auf Governance
Der Praxisfall macht deutlich:
Hier entsteht ein echter Wettbewerbsvorteil.
Eine durchdachte KI-Richtlinie führt zu:
Mit klaren Regeln wäre das Dilemma des Praxisfalls gar nicht erst entstanden.
Der (fiktive) Fall der Kanzlei S. ist alltäglich und zugleich lehrreich.
Er verdeutlicht:
Die drei Leitprinzipien, die sich aus diesem Fall ableiten:
Wer diese Grundsätze beherzigt, nutzt KI sicher, effizient und professionell – im Interesse der Mandanten, der Kanzlei und aller berufsrechtlichen Anforderungen.
In der heutigen globalisierten Welt ist der Datentransfer ein wesentlicher Bestandteil des Geschäftslebens. Dennoch unterliegt der Transfer...
Die Datenschutz-Folgenabschätzung (DSFA) ist ein entscheidendes Instrument, um den Schutz personenbezogener Daten in Unternehmen und Organisationen...
Erfahren Sie, warum Informationssicherheit Chefsache ist und wie ISO 27001 Kapitel 5.1 Führung und Engagement in den Mittelpunkt stellt.
Sind Sie der Erste, der über neueste zu Themen wie Geldwäscheprävention, Datenschutz und aktueller Rechtsprechung informiert wird.