KI im Kanzlei-Postfach: Was die Verschwiegenheitspflicht verlangt
Was § 80 WTBG 2017 und § 9 RAO für ein Postfach mit Mandantenpost bedeuten, welche Unterlagen Sie von einem KI-Anbieter verlangen sollten und welche Fragen Sie vor dem Einsatz stellen.
Ja, das ist möglich, wenn der Anbieter vertraglich zur Verschwiegenheit verpflichtet ist und Sie ihn sorgfältig auswählen. Prüfen Sie vor dem Einsatz: einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Verschwiegenheitsklausel, eine offene Liste aller Subunternehmer, Verarbeitung in der EU, kein Training mit Ihren Daten und eine Freigabe vor dem Versand als Standard. Ob der Einsatz zu Ihrem Berufsrecht passt, entscheidet Ihre Kanzlei.
Was die Verschwiegenheitspflicht für das Postfach bedeutet
Steuerberaterinnen, Steuerberater und Wirtschaftsprüfer sind nach § 80 WTBG 2017 zur Verschwiegenheit über die ihnen anvertrauten Angelegenheiten verpflichtet; das umfasst auch persönliche Verhältnisse und Geschäftsgeheimnisse, die ihnen im Rahmen ihrer Tätigkeit bekannt werden. Für Rechtsanwältinnen und Rechtsanwälte regelt das § 9 RAO. Die Pflicht gilt auch für das Postfach: Mandantenpost ist geschützt, egal ob sie im eigenen Server, in Microsoft 365 oder in einem KI-Dienst liegt. Wer einen externen Dienst einsetzt, sollte daher sicherstellen, dass dieser Dienst und seine Mitarbeiter zur Verschwiegenheit verpflichtet sind; das Datenschutzrecht verlangt zusätzlich einen Auftragsverarbeitungsvertrag, nach dem der Dienst nur auf Weisung der Kanzlei arbeitet (Art. 28 DSGVO). Ob ein bestimmter Dienst zu den eigenen berufsrechtlichen Pflichten passt, beurteilt die Kanzlei selbst.
Dazu kommt die DSGVO: Ein Cloud-Dienst, der Mails für die Kanzlei verarbeitet, arbeitet in ihrem Auftrag. Dafür braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
In Deutschland regelt das § 203 StGB; diese Seite behandelt die Rechtslage in Österreich.
Die Entscheidung trifft die Kanzlei. Kein Anbieter kann sie ihr abnehmen.
Checkliste: Was Sie vom Anbieter verlangen sollten
- Ein AVV nach Art. 28 DSGVO, schriftlich, vor dem ersten Zugriff aufs Postfach.
- Eine Verschwiegenheitsklausel im AVV mit Bezug auf Ihr Berufsrecht.
- Die Mitarbeiter des Anbieters sind schriftlich zur Verschwiegenheit verpflichtet, auch nach dem Ausscheiden.
- Eine vollständige Liste der Subunternehmer mit Standort und Rechtsgrundlage für Übermittlungen.
- Neue Subunternehmer werden im Voraus angekündigt, mit Widerspruchsrecht.
- Verarbeitung in EU-Rechenzentren.
- Kein Training von KI-Modellen mit Ihren Daten.
- Standardmäßig gehen Mails nur nach Ihrer Freigabe hinaus; Mail-Arten wie Mandantenpost lassen sich dauerhaft auf ‚Vorschlagen‘ stellen.
- Zugriffsrechte je Person oder Gruppe.
- Verschlüsselung bei Übertragung und Speicherung, geschützte Zugangsdaten zu den Postfächern.
Enthält der Auftragsverarbeitungsvertrag eine Verschwiegenheitsklausel mit Bezug auf Ihr Berufsrecht und verpflichtet der Anbieter seine Mitarbeiter schriftlich zur Verschwiegenheit, ist eine eigene NDA in der Regel nicht nötig. Ob Ihnen das reicht, entscheiden Sie im Einzelfall.
Warum „Entwurf statt Versand“ in der Kanzlei Pflicht sein sollte
Fachliche Aussagen bleiben beim Berufsträger. Die KI entwirft, ein berechtigter Mensch prüft und gibt frei. Welche Mail-Arten überhaupt automatisch hinausgehen dürfen und warum Mandantenpost nicht dazu gehört, zeigt die Entscheidungstabelle im Ratgeber Vollautomatisch oder mit Freigabe?
Wann eine KI-Mail einen Hinweis braucht, erklären wir im Ratgeber KI-E-Mails kennzeichnen.
Fragen, die Sie dem Anbieter stellen sollten
- Wo liegen die Daten, welche Subunternehmer gibt es, und wer hat Zugriff?
- Wie sind die Daten bei Übertragung und Speicherung verschlüsselt?
- Haben Dienstleister Mutterkonzerne außerhalb der EU?
- Gibt der Anbieter den AVV und seine Unterlagen schon vor dem Vertrag heraus?
Ein seriöser Anbieter beantwortet diese Fragen offen. Unsere eigenen Antworten finden Sie im nächsten Abschnitt und in den häufigen Fragen weiter unten.
So geht das mit kiato
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Verschwiegenheitsklausel für Berufsgeheimnisträger (§ 9 RAO, § 80 WTBG), Ziffer 7.2 des AV-Vertrags.
- Mitarbeiter schriftlich zur Verschwiegenheit verpflichtet (§ 6 DSG), auch nach dem Ausscheiden.
- Alle Subunternehmer offen gelistet (Tabelle unten).
- Neue Subunternehmer kündigen wir 14 Tage vorher an; Sie können widersprechen (Ziffer 6.2 des AV-Vertrags).
- Verarbeitung ausschließlich in EU-Rechenzentren; keine Verwendung Ihrer Daten zum Training von KI-Modellen.
- Standardmäßig gehen Mails nur nach Ihrer Freigabe hinaus; Mail-Arten wie Mandantenpost lassen sich dauerhaft auf ‚Vorschlagen‘ stellen. Freigeben dürfen nur Benutzer oder Gruppen mit der Berechtigung dafür.
- Ist kiato unsicher, fragt es nach, statt zu raten.
- Daten werden verschlüsselt übertragen (TLS) und in EU-Rechenzentren verschlüsselt gespeichert (AES-256). Zugangsdaten zu Ihren Postfächern verschlüsselt kiato zusätzlich mit einem eigenen Schlüssel je Unternehmenskonto.
- Anmeldung über Microsoft möglich; dann gilt die Mehrfaktor-Anmeldung Ihres Microsoft-Kontos.
Subunternehmer
| Anbieter | Zweck | Standort |
|---|---|---|
| Supabase (Vertragspartner Supabase Pte. Ltd., Singapur) | Datenbank, Dateiablage, Sicherungen | Irland (eu-west-1) |
| Railway | Betrieb der Anwendung | Amsterdam |
| Vercel | Website und Frontend, keine Kundendaten | Frankfurt |
| Resend | Service-Mails und Belegexport | Irland |
| AWS Bedrock und/oder Google Vertex AI | KI-Modelle | EU-Regionen |
Die Rechtsgrundlage für etwaige Übermittlungen ist je Anbieter in Anlage 2 angegeben. Vollständige Liste: Anlage 2 des AV-Vertrags.
Zum Nachlesen: AV-Vertrag · Datenschutzerklärung · Nutzungsbedingungen (§ 13 Abs. 2) · Branchenseiten für Steuerberater und Rechtsanwaltskanzleien · Preise
Bitte prüfen Sie den Einsatz anhand Ihres Berufsrechts; gern stellen wir Ihnen AVV und Unterlagen zur Verfügung.
Quellen
Abgerufen am 14. Oktober 2026.
- RIS: § 80 WTBG 2017 (Fassung ab 19.02.2026)
- RIS: § 9 RAO (Fassung ab 01.01.2025)
- RIS: § 6 DSG (Datengeheimnis)
- Verordnung (EU) 2016/679 (DSGVO), Art. 28, EUR-Lex
- kiato: AV-Vertrag Fassung 2 mit Anlage 2, Nutzungsbedingungen § 13 Abs. 2, Datenschutzerklärung
- kiato-Ratgeber: KI-E-Mails kennzeichnen (AI Act) und Vollautomatisch oder mit Freigabe?
Häufige Fragen aus Kanzleien zur KI im Postfach
Darf eine Steuerberatung KI auf das E-Mail-Postfach lassen?
Das ist möglich, wenn der Anbieter vertraglich zur Verschwiegenheit verpflichtet ist, ein AVV nach Art. 28 DSGVO vorliegt und die Kanzlei ihn sorgfältig ausgewählt hat. Ob der Einsatz zum Berufsrecht passt, entscheidet die Kanzlei selbst.
Gilt das auch für Rechtsanwaltskanzleien?
Ja, sinngemäß nach § 9 RAO. Prüfen Sie dieselben Punkte: AVV mit Verschwiegenheitsklausel, Subunternehmer, EU-Verarbeitung, Freigabe vor dem Versand.
Brauche ich zusätzlich eine NDA mit dem Anbieter?
Nicht unbedingt. Enthält der Auftragsverarbeitungsvertrag eine Verschwiegenheitsklausel mit Bezug auf Ihr Berufsrecht und verpflichtet der Anbieter seine Mitarbeiter schriftlich zur Verschwiegenheit, ist eine eigene NDA in der Regel nicht nötig. Ob Ihnen das reicht, entscheiden Sie im Einzelfall.
Werden Mandantendaten zum Training der KI verwendet?
Bei kiato nein. Die KI-Modelle laufen in EU-Regionen, ohne Training mit Kundendaten.
Verlassen die Daten Österreich?
Ja, aber nicht die EU. Die Rechenzentren stehen u. a. in Irland und den Niederlanden.
Kann sich unsere Kanzlei mit Microsoft anmelden?
Ja. Sie können sich bei kiato mit Ihrem Microsoft-Konto anmelden. Dann gilt die Mehrfaktor-Anmeldung, die Sie in Microsoft eingerichtet haben.
Sind die E-Mails verschlüsselt?
Daten werden verschlüsselt übertragen (TLS) und in EU-Rechenzentren verschlüsselt gespeichert (AES-256). Zugangsdaten zu Ihren Postfächern verschlüsselt kiato zusätzlich mit einem eigenen Schlüssel je Unternehmenskonto.
Liest die KI meine E-Mails?
Ja, die KI muss den Text einer Mail lesen, um sie einzuordnen und eine Antwort zu entwerfen. Das geschieht in EU-Regionen, auf Grundlage des Auftragsverarbeitungsvertrags und ohne Training mit Ihren Daten. Wer in kiato welches Postfach sieht, legen Sie je Person oder Gruppe fest.
Gehören die Dienstleister zu US-Konzernen?
Einige unserer Dienstleister sind US-Unternehmen oder gehören zu US-Konzernen. Ihre Daten werden in EU-Rechenzentren verarbeitet; soweit dennoch Übermittlungen in die USA möglich sind, stützen sie sich auf das EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln. Alle Dienstleister finden Sie in Anlage 2 unseres AV-Vertrags.
Geht eine Mail an Mandanten automatisch hinaus?
Nur wenn Sie es einstellen. Mandantenpost lässt sich dauerhaft auf „Vorschlagen“ stellen, dann gibt immer ein berechtigter Mensch frei.
Weiterlesen
KI für Steuerberater
Belege erfassen und Mandantenanfragen vorbeantworten, mit Freigabe.
Mehr erfahren →KI für Rechtsanwaltskanzleien
Mandatsanfragen einordnen, Unterlagen anfordern, Termine vorschlagen.
Mehr erfahren →Mandantenpost vorbereiten lassen,
selbst freigeben.
14 Tage kostenlos testen.