KI-Tools im Treuhandbüro: Was mit Mandantendaten erlaubt ist

KI-Tools im Treuhandbüro: Was mit Mandantendaten erlaubt ist

Treuhandbüros und Steuerberater arbeiten täglich mit den sensibelsten Daten ihrer Mandanten: Lohnlisten, Jahresabschlüsse, private Vermögensverhältnisse. Gleichzeitig nutzen Mitarbeitende KI-Tools wie ChatGPT oder DeepL, oft ohne klare interne Regel. Dieser Artikel zeigt, wo die Grenzen liegen — und wie Sie einen praxistauglichen Ausgangspunkt finden.

Das Problem: KI ist schon im Betrieb, bevor die Regel steht

In vielen Treuhandbüros ist KI bereits im Alltag angekommen: E-Mail-Zusammenfassungen, Textentwürfe, Übersetzungen. Das Problem entsteht, wenn Mandantendaten in externe KI-Systeme übertragen werden, ohne dass das bewusst entschieden wurde. ChatGPT und ähnliche Cloud-Dienste sind keine lokalen Systeme. Was einmal hochgeladen ist, kann nicht einfach zurückgeholt werden.

Das Schweizer Datenschutzgesetz (DSG, in Kraft seit 2023) verlangt, dass Personendaten nur dann an Dritte weitergegeben werden, wenn eine ausreichende Rechtsgrundlage besteht. Für Treuhandbüros bedeutet das: Mandantendaten dürfen nur dann in externe Cloud-Systeme fliessen, wenn das explizit erlaubt und dokumentiert ist.

Typische Situationen mit KI-Risiko im Treuhandbüro

• Jahresabschluss-Texte: Mitarbeitende fügen Finanzzahlen in ChatGPT ein, um Kommentare zu formulieren — ohne zu wissen, ob der Anbieter die Daten für Training nutzt.
• Lohnblatt-Auswertungen: Excel-Dateien mit Lohndaten werden in KI-Tools zur Analyse hochgeladen.
• Mandanten-E-Mails: Anfragen werden mit persönlichen Details in ein KI-System kopiert, um schneller antworten zu können.
• Vertragsübersetzungen: Vertragsdokumente mit Namen und Finanzdaten werden via DeepL übersetzt.

Keine dieser Situationen ist per se illegal — aber jede erfordert eine bewusste Entscheidung und eine klare interne Regel.

Welche KI-Nutzung ist im Treuhandbereich unproblematisch?

Nicht jede KI-Nutzung ist riskant. Diese Fälle sind in der Regel datenschutzrechtlich weniger kritisch:

• KI-Tools, die lokal auf dem eigenen Server laufen (kein Datenexport)
• Nutzung mit vollständig anonymisierten oder fiktiven Beispieldaten
• KI für allgemeine Recherchen und Wissensabfragen ohne Mandantenbezug
• Microsoft Copilot, wenn das Unternehmen einen Enterprise-Vertrag mit Datenverarbeitungsvertrag hat

Drei Schritte für eine praxistaugliche KI-Regelung

1. KI-Inventory erstellen

Fragen Sie intern: Welche KI-Tools nutzen wir bereits? Wer nutzt sie? Für welche Aufgaben? Viele Büros stellen fest, dass die Nutzung weiter verbreitet ist als erwartet. Ein einfaches Tool-Register schafft Übersicht.

2. Datenklassen festlegen

Definieren Sie, welche Daten als «sensibel» gelten und nie in externe KI-Tools dürfen (z. B. Lohn- und Vermögensdaten, Steuerdaten, Gesundheitsinformationen). Welche Daten sind unkritisch (allgemeine Brancheninformationen, Muster-Texte)? Diese Unterscheidung reicht für einen ersten Ausgangspunkt.

3. Kurze schriftliche Nutzungsregel

Eine einseitige interne Richtlinie ist besser als keine. Sie muss nicht juristisch perfekt sein — aber klar genug, dass Mitarbeitende wissen, was erlaubt ist und was nicht. Im Treuhandbereich genügt oft eine kurze «KI-Ampel»: Grün (erlaubt), Gelb (nur nach Prüfung), Rot (verboten).

Relevante Quellen und Ressourcen

• EDÖB — Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter: offizielle Schweizer Datenschutzbehörde, aktuelle Stellungnahmen zu KI und Cloud
• Schweizer Treuhänder (TREUHAND|SUISSE): Berufsverband mit Merkblättern zu Datenschutz und Digitalisierung
• ISB — Informationssicherheit Bund: Leitlinien zur sicheren Cloud-Nutzung in regulierten Berufen
• KMU-Portal Datenschutz: praxisnahe Einführung ins Schweizer DSG für Kleinunternehmen

Wichtiger Hinweis

Dieser Artikel stellt keine Rechtsgarantie und keine Rechtsberatung dar. Für spezifische Compliance-Fragen und die rechtliche Beurteilung Ihres Einzelfalls konsultieren Sie bitte offizielle Quellen, Ihre Kantonale Datenschutzbeauftragte oder eine spezialisierte Anwaltskanzlei.

Nächster Schritt: Prüfen Sie in wenigen Minuten, welche KI-Regeln Ihr Unternehmen konkret braucht — mit dem kostenlosen KI-Regelcheck für KMU.