Datenschutz, DSGVO
und KI im Steuerrecht.

Zwei Schutzschichten: Steuergeheimnis und DSGVO

Im Besteuerungsverfahren greifen zwei Regime nebeneinander. Das Steuergeheimnis nach § 30 AO verpflichtet Amtsträger, Verhältnisse der Beteiligten nicht zu offenbaren; Durchbrechungen sind nur in den enumerativ aufgeführten Fällen zulässig, etwa zur Durchführung eines Verfahrens, mit Zustimmung oder bei zwingendem öffentlichen Interesse. Ein Verstoß ist nach § 355 StGB strafbar.

Ergänzend gilt die DSGVO, deren Anwendung §§ 29b bis 32j AO für das Steuerverfahren modifiziert. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 Buchst. e DSGVO in Verbindung mit § 29b AO; die Betroffenenrechte bestehen fort, sind aber durch §§ 32a bis 32d AO eingeschränkt, soweit die Aufgabenerfüllung gefährdet würde.

1. Prüfen, welche Stelle verantwortlich ist: Finanzamt, Familienkasse, Zollverwaltung oder Berater.
2. Rechtsgrundlage der konkreten Verarbeitung bestimmen – im Steuerverfahren regelmäßig § 29b AO.
3. Betroffenenrechte identifizieren: Auskunft, Berichtigung, Einschränkung, Widerspruch.
4. Einschränkungen der §§ 32a bis 32d AO gegenprüfen, bevor ein Antrag gestellt wird.
5. Antrag schriftlich und mit konkretem Bezug auf Steuerart und Zeitraum stellen.
6. Antwortfrist von einem Monat notieren und bei Fristablauf Beschwerde vorbereiten.

Betroffenenrechte gegenüber der Finanzverwaltung

Der Auskunftsanspruch nach Art. 15 DSGVO umfasst Verarbeitungszwecke, Kategorien der Daten, Empfänger, Speicherdauer und die Herkunft; im Steuerverfahren ist er nach § 32c AO eingeschränkt, wenn die Erfüllung der Aufgaben gefährdet würde. Die Frist beträgt einen Monat, verlängerbar um zwei Monate bei Komplexität (Art. 12 Abs. 3 DSGVO).

Statt einer Löschung tritt im Steuerverfahren regelmäßig die Einschränkung der Verarbeitung nach § 32f Abs. 1 AO, weil Aufbewahrungsfristen entgegenstehen. Unrichtige Daten sind nach Art. 16 DSGVO zu berichtigen; das ersetzt jedoch nicht den Einspruch gegen einen fehlerhaften Bescheid – die Datenkorrektur ändert die Festsetzung nicht.

Betriebsprüfung: Datenzugriff sauber begrenzen

In der Außenprüfung darf die Finanzverwaltung nach § 147 Abs. 6 AO auf steuerrelevante Daten zugreifen – unmittelbar am System (Z1), mittelbar über Auswertungen des Steuerpflichtigen (Z2) oder durch Überlassung von Datenträgern (Z3). Der Zugriff ist auf steuerrelevante Daten begrenzt; private Daten, Mandantendaten Dritter und berufsgeheimnisgeschützte Inhalte sind vorher zu separieren.

Praktisch entscheidend ist die Vorbereitung: Wer unsortierte Gesamtdatenbestände überlässt, verliert die Kontrolle über den Prüfungsumfang. Die Prüfungsanordnung nach § 196 AO ist ein anfechtbarer Verwaltungsakt und begrenzt Zeitraum und Umfang – sie ist der erste Ansatzpunkt.

1. Prüfungsanordnung auf Umfang, Steuerarten und Zeiträume kontrollieren.
2. Datenbestände vor dem Zugriff trennen: steuerrelevant, privat, berufsgeheimnisgeschützt.
3. Zugriffsart schriftlich vereinbaren und Z3-Überlassung auf definierte Auszüge begrenzen.
4. Zugriffsprotokolle führen und übergebene Datenträger dokumentieren.
5. Rückgabe oder Löschung der Daten nach Abschluss der Prüfung verlangen, § 147 Abs. 6 S. 5 AO.
6. Bei unzulässigem Zugriffsverlangen Einspruch gegen die betreffende Aufforderung einlegen.

Automatisierte Bescheide, Risikomanagement, Art. 22 DSGVO

Steuerbescheide dürfen nach § 155 Abs. 4 AO vollständig automatisiert erlassen werden, soweit kein Anlass zur Bearbeitung durch Amtsträger besteht. Welche Fälle personell geprüft werden, entscheiden Risikomanagementsysteme nach § 88 Abs. 5 AO; deren Einzelheiten sind ausdrücklich nicht zu veröffentlichen, was die Nachprüfbarkeit begrenzt.

Datenschutzrechtlich flankiert Art. 22 DSGVO das Verfahren: Bei ausschließlich automatisierten Entscheidungen mit erheblicher Wirkung besteht ein Recht auf Darlegung des Standpunkts und auf menschliche Überprüfung. Praktisch wird dieses Recht über den Einspruch nach § 355 AO ausgeübt, der stets zur personellen Bearbeitung führt.

KI-Einsatz in Steuerfragen: KI-Verordnung und Berufsgeheimnis

Die KI-Verordnung der EU wirkt risikobasiert und stufenweise: Verbotene Praktiken und Vorgaben zur KI-Kompetenz gelten seit Februar 2025, Pflichten für Allzweck-KI-Modelle seit August 2025, die Anforderungen an Hochrisiko-Systeme folgen bis 2027. Für die Steuerpraxis heißt das vor allem: Transparenz über den KI-Einsatz, dokumentierte Aufsicht durch Menschen und Schulung der Nutzenden.

Wer beruflich mit Mandanten- oder Beschäftigtendaten arbeitet, braucht zusätzlich eine datenschutzrechtliche Grundlage, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und die Sicherheit, dass Eingaben nicht zum Training verwendet werden. Für Berufsgeheimnisträger tritt § 203 StGB hinzu: Die Einbeziehung mitwirkender Personen – auch Dienstleister – ist nach § 203 Abs. 3 StGB zulässig, erfordert aber sorgfältige Auswahl und schriftliche Verpflichtung zur Geheimhaltung.

1. Einsatzzweck definieren und Risikoklasse nach der KI-Verordnung bestimmen.
2. Verarbeitungsverzeichnis ergänzen und die Rechtsgrundlage je Verarbeitung festhalten.
3. Auftragsverarbeitungsvertrag abschließen und Training mit Eingabedaten vertraglich ausschließen.
4. Drittlandtransfer prüfen: Angemessenheitsbeschluss oder Standardvertragsklauseln mit Transfer-Impact-Assessment.
5. Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen, wenn ein hohes Risiko besteht.
6. Menschliche Letztkontrolle und Kennzeichnung KI-generierter Inhalte verbindlich festlegen.

Rechtsschutz: Beschwerde, Klage und Schadensersatz

Bleibt ein Antrag erfolglos, stehen zwei Wege offen. Die Beschwerde nach Art. 77 DSGVO richtet sich an die zuständige Aufsichtsbehörde – im Steuerbereich häufig der Bundesbeauftragte für den Datenschutz oder die Landesbeauftragten; sie ist kostenfrei und ohne Frist, sollte aber zeitnah erfolgen. Parallel ist der Rechtsweg zu den Finanzgerichten eröffnet, weil datenschutzrechtliche Streitigkeiten im Besteuerungsverfahren nach § 32i AO dorthin gehören.

Ein Schadensersatzanspruch nach Art. 82 DSGVO setzt einen Verstoß und einen konkreten – auch immateriellen – Schaden voraus; nach der Rechtsprechung des EuGH genügt der Verstoß allein nicht, wohl aber ein nachvollziehbarer Kontrollverlust. Die Darlegung des Schadens ist der praktisch entscheidende Punkt.

1. Antrag und Antwort vollständig dokumentieren, inklusive Zugangsnachweisen.
2. Fristablauf nach einem Monat feststellen und schriftlich anmahnen.
3. Beschwerde nach Art. 77 DSGVO mit Sachverhalt, Rechtsgrundlage und Anlagen einreichen.
4. Bei Bescheiden parallel Einspruch nach § 355 AO einlegen – die Datenschutzbeschwerde hemmt keine Steuerfrist.
5. Klage nach § 32i AO beim Finanzgericht prüfen, wenn die Behörde endgültig ablehnt.
6. Schadensersatz nach Art. 82 DSGVO nur mit konkret dargelegtem Schaden geltend machen.