Warum der AVV allein nicht reicht
Steuerberater sind Berufsgeheimnisträger. Der AVV nach Art. 28 DSGVO regelt die datenschutzrechtliche Seite: Weisungsbindung, technische und organisatorische Maßnahmen, Unterauftragnehmer. Die strafrechtliche Seite regelt §203 StGB: Wer externe Dienstleister mit Mandantendaten in Berührung bringt, muss sie nach §203 Abs. 4 StGB zur Geheimhaltung verpflichten. Beide Fragen sind getrennt zu prüfen — ein „DSGVO-konform“-Label des Anbieters beantwortet nur die erste.
Die Checkliste: acht Prüfpunkte vor dem Einsatz
| Prüfpunkt | Was Sie verlangen sollten | Nachweis |
|---|---|---|
| 1. AVV | AVV nach Art. 28 DSGVO, vor dem ersten Mandantendatum geschlossen | Unterzeichneter oder digital akzeptierter AVV |
| 2. §203-Verpflichtung | Ausdrückliche Verpflichtung zur Geheimhaltung nach §203 Abs. 4 StGB | Zusatzvereinbarung zum §203 StGB |
| 3. Training | Keine Nutzung Ihrer Eingaben zum Training von Modellen | Vertragsklausel, Anbieterangabe |
| 4. Datenstandort | Speicherung und Verarbeitung in der EU, Unterauftragnehmer benannt | Unterauftragnehmer-Liste im AVV |
| 5. Zugriffskontrolle | Rollen und Rechte je Mitarbeitenden, kein gemeinsames Konto | Rechteübersicht des Tools |
| 6. DATEV-Schnittstelle | Klar, ob Export (Datei) oder Direktverbindung; Bedingungen Ihres DATEV-Vertrags geprüft | Produktbeschreibung, DATEV-Vertragsunterlagen |
| 7. Interne Regeln | Kurze KI-Richtlinie: freigegebene Tools, erlaubte Daten, Verbot privater Accounts | Schriftliche Richtlinie, Schulungsnachweis |
| 8. Kontrolle der Ergebnisse | Jeder KI-Vorschlag ist ein Entwurf; Freigabe durch die Fachkraft | Arbeitsanweisung in der Kanzlei |
DATEV: Export oder Direktverbindung?
Für die meisten Steuerkanzleien ist DATEV das zentrale System. Bei der Auswahl eines KI-Tools lohnt die Frage, wie Daten zwischen KI und DATEV fließen. Der DATEV-Export als EXTF-Datei ist in allen Tarifen Teil der Beta — ohne DATEV-Vertrag und ohne Verbindung zu DATEV; jedes Mitglied löst ihn im Chat aus und exportiert dabei nur die Belege, auf die es Zugriff hat. Die Direktverbindung (OAuth) ist laut der DATEV-Seite für Q1 2027 geplant und heute noch nicht nutzbar; die Freischaltung für den Produktivbetrieb erteilt DATEV. Prüfen Sie unabhängig vom Anbieter die Bedingungen Ihres eigenen DATEV-Vertrags.
Kurz gefasst: Ohne AVV und §203-Verpflichtung gehören keine identifizierbaren Mandantendaten in ein KI-Tool. Beides liegt bei ClapNClaw vor: der AVV ab Tag 1, die §203-Zusatzvereinbarung im Compliance-Tarif ab Tag 1.
So sieht das bei ClapNClaw aus
- AVV nach Art. 28 DSGVO ab Tag 1 — digital bereitgestellt (AVV ansehen).
- §203-Zusatzvereinbarung im Compliance-Tarif ab Tag 1 enthalten (Zusatzvereinbarung ansehen).
- Datenstandort: Ihr ClapNClaw-Container läuft auf Servern bei Hetzner in Deutschland; die KI-Inferenz (Claude) läuft über AWS Bedrock in Frankfurt (eu-central-1) ohne Datenspeicherung.
- Preis: Team 29 € pro Nutzer und Monat, Compliance 59 € pro Nutzer und Monat (50 € jährlich). Einstieg mit 7 Tagen kostenlos testen im Team-Tarif, ohne Kreditkarte.
Technische und organisatorische Maßnahmen im Überblick: Sicherheit und Compliance.
Häufige Fragen
Reicht ein AVV nach Art. 28 DSGVO für den KI-Einsatz in der Steuerkanzlei?
Nein. Der AVV deckt die datenschutzrechtliche Seite ab. §203 StGB verlangt zusätzlich, dass externe Dienstleister, die mit Berufsgeheimnissen in Berührung kommen, ausdrücklich zur Geheimhaltung verpflichtet werden (§203 Abs. 4 StGB).
Was gehört in eine KI-Richtlinie für die Kanzlei?
Welche Tools freigegeben sind, welche Daten hineindürfen, dass private Accounts für Mandantendaten tabu sind und dass jeder KI-Vorschlag von einer Fachkraft geprüft wird. Eine Seite reicht, wenn sie gelebt wird.
Ist die DATEV-Direktverbindung von ClapNClaw schon verfügbar?
Nein, sie ist für Q1 2027 geplant und heute noch nicht nutzbar. Der DATEV-Export als EXTF-Datei ist dagegen Teil der Beta, Stand auf der DATEV-Seite.
Welcher ClapNClaw-Tarif enthält die §203-Zusatzvereinbarung?
Die §203-Zusatzvereinbarung ist im Compliance-Tarif (59 € pro Nutzer und Monat, 50 € jährlich) ab Tag 1 enthalten. Der AVV nach Art. 28 DSGVO liegt ab Tag 1 vor.
KI für Ihre Steuerkanzlei — mit AVV, ehrlicher DATEV-Stand
Claude in Ihrer eigenen isolierten Umgebung auf Servern in Deutschland. AVV nach Art. 28 DSGVO ab Tag 1. DATEV-Export (EXTF-Datei) in der Beta. 7 Tage kostenlos testen.
Mehr für Steuerberater erfahren →