§ 29c AO-E: KI und Echtdaten in der Finanzverwaltung

Gemäß § 29c AO-E des Referentenentwurfs des Jahressteuergesetz 2026 sollen personenbezogene Daten für die Entwicklung, Überprüfung oder Änderung automatisierter Verfahren (u. a. Einsatz von KI-Systemen der Finanzverwaltung i.S.v. Art. 3 Nr. 1 KI-VO), ebenso wie für den fortlaufenden Betrieb weiterverarbeitet werden dürfen, wenn unveränderte Daten benötigt werden oder Anonymisierung oder Pseudonymisierung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist. Damit stellt sich eine zentrale Frage: Welche Grenzen braucht der KI-Einsatz, damit Steuergeheimnis, Datenschutz und Rechtsschutz gewahrt bleiben?

Was § 29c AO-E ändern soll

Die KI soll laut der Begründung des Referentenentwurfs weiterhin nur als Hilfsmittel fungieren. Die Entscheidungsbefugnis und die finale Prüfung bleiben bei dem zuständigen Mitarbeitenden der Finanzverwaltung.

Steuerberater:innen und ihre Mandantschaft sowie Steuerabteilungen von größeren Unternehmen müssen seitens der Finanzverwaltung verstärkt mit noch mehr datenbasierten Analysen rechnen (bisher wird zum Beispiel schon die summarische Risikoprüfung angewandt). Automatisierte Risikobewertungen können Einfluss auf Auswahlentscheidungen für die Betriebsprüfung nehmen oder vertiefte Nachfragen zu Sachverhaltsaufklärungen zur Folge haben.

Das Ansinnen des Einsatzes von KI in der Finanzverwaltung ist grundsätzlich nachvollziehbar. Eine digitale Unterstützung der Beschäftigten der Finanzverwaltung insbesondere im steuerlichen Massenverfahren ist verständlich. Begründet wird die in § 29c Abs. 1 S. 1 Nr.4 AO-E vorgesehene Regelung mit der Senkung des Erfüllungsaufwands für die Finanzverwaltung. Zudem soll damit die Bearbeitung von Steuererklärungen im Massenverfahren beschleunigt werden. Einige Bundesländer wie NRW oder Hessen setzen jetzt bereits KI in der Finanzverwaltung ein. In Hessen beispielsweise nehmen Projekten wie Maxi, Kibus, Kicc und Vibe das Thema KI schon in Angriff. Nun soll dieser Einsatz durch eine bundeseinheitliche Norm geregelt und durch die Nutzung von Echtdaten erweitert werden. Künftig sollen die sensiblen Daten der Steuerpflichtigen zur Optimierung staatlicher Algorithmen herangezogen werden. Dem hat bisher der enge Zweckbindungsgrundsatz der Datenschutzgrundverordnung (DSGVO) enge Grenzen gesetzt.

Die genutzten personenbezogenen Daten müssen laut dem Entwurf spätestens ein Jahr nach dem Ende der jeweiligen Entwicklungs- oder Überprüfungsmaßnahme unwiderruflich gelöscht werden. Für Steuerpflichtige und Steuerberater:innen stellen sich hier eine Reihe von Fragen, die im Laufe des Gesetzgebungsverfahrens durch präzisere Gesetzesformulierungen zu beantworten sind:

Wodurch genau ist das Ende einer Entwicklungs- oder einer Überprüfungsmaßnahme definiert?

Wie und von wem wird die tatsächliche Löschung der personenbezogenen Daten nach Ablauf der Frist kontrolliert?

Wie stark beeinflussen algorithmische Vorbewertungen menschliche Entscheidungen?

Wie wird die Transparenz gegenüber dem Steuerpflichtigen gewährleistet, damit aus der KI-Unterstützung faktisch keine Steuerung wird?

Verbände fordern klare Grenzen für den KI-Einsatz

Zu dem Referentenentwurf des Jahressteuergesetz 2026 sind eine Vielzahl von Stellungnahmen eingegangen, die sich u. a. mit dem § 29c AO-E beschäftigen:

Laut dem IDW sind die geplanten KI-Anwendungen der Finanzverwaltung anders als in der Gesetzesbegründung dargestellt, nicht mit bisherigen digitalen Anwendungen vergleichbar. Sie benötigen zum Beispiel bereits zum Training geschützte Echtdaten von Personen, denen die Anwendung nicht unmittelbar zugutekommt. Die Nutzung von KI-Systemen birgt das technische Risiko eines Datenabflusses nach außen. Die Verarbeitung der geschützten Daten der Steuerpflichtigen sollte deshalb nur durch eine KI zulässig sein, die von der Finanzverwaltung selbst betrieben wird (Open Source). Ein Verstoß gegen § 30 AO muss ausdrücklich und garantiert ausgeschlossen sein. Mit der Nutzung echter Steuerdaten wird der ursprüngliche Verarbeitungszweck dieser Daten deutlich erweitert. Es ist eine potenzielle Profilbildung möglich. Es entsteht Intransparenz für die Betroffenen.

Das IDSt begrüßt den Ansatz, KI-Anwendungen in der Finanzverwaltung unter Nutzung personenbezogener Daten einzusetzen, fordert aber einige Nachschärfungen durch den Gesetzgeber. Dazu gehören Mindestanforderungen an die Verfahrensdokumentation, und eine genauere Begründung für die neuen Kontrollsysteme sowie eine klare Regelung der Datensicherheit, der Transparenz und der Fristenklarheit. Für den fortlaufenden Betrieb schlägt es eine dokumentierte Überprüfung spätestens alle 36 Monate vor.

Die DSTG fordert in ihrer Stellungnahme hingegen eine Ausweitung der Löschfrist von einem auf drei Jahre. Eine so lange Nutzung echter personenbezogener Daten nach dem Ende einer Entwicklungs- oder Überprüfungsmaßnahme (bisher gibt es keine Definition von Anfang und Ende dieser jeweiligen Maßnahmen; wie werden z. B. kleinere Softwareentwicklungsschritte bewertet und eingestuft?) ist meiner Ansicht nach unverhältnismäßig und daher abzulehnen.

Die BStBK kritisiert die Regelung des § 29c AO-E als deutlich zu weitreichend, nicht ausreichend konturiert und vielfach zu unbestimmt. Außerdem bezweifelt sie, dass in Massenverfahren jedes KI-generierte Ergebnis tatsächlich kritisch, nachvollziehbar und einzelfallbezogen geprüft werden kann.

Effizienzgewinne treffen auf Datenschutz und Rechtsschutz

Der Gesetzentwurf bedeutet eine Abwägung von Effizienzgewinnen gegen datenschutzrechtliche Grundsätze. Auch hier stellen sich eine Reihe von Fragen an den Gesetzgeber:

Wieviel und was „lernen“ die KI-Modelle aus den Steuerdaten und lassen sich ggf. doch Rückschlüsse ziehen?
Wie wird die tatsächliche Löschung der personenbezogenen Daten protokolliert?
Wie stark beeinflussen algorithmische Vorentscheidungen die menschlichen Entscheidungen der Finanzbeamten?
Wie kann verhindert werden, dass aus der KI-Unterstützung faktisch eine Steuerung wird?
Wie wird die Transparenz gegenüber dem einzelnen Steuerpflichtigen und seinem steuerlichen Beratenden gewährleistet?
Was wird in einem Klageverfahren dem Finanzgericht offengelegt?

FAZIT

Der Einsatz technischer Hilfsmittel wie KI in der Finanzverwaltung ist grundsätzlich zu begrüßen. Sollen dafür jedoch personenbezogene Echtdaten verwendet werden, braucht es eine klare und bundeseinheitliche gesetzliche Grundlage. Diese sollte insbesondere regeln, wer Echtdaten zu Entwicklungs- oder Überprüfungszwecken abrufen darf, wie der Abruf und die Nutzung im konkreten Steuerfall protokolliert werden, wann die Daten zu löschen sind und wie die Löschung nachvollziehbar dokumentiert wird.

Das ist nicht nur aus Gründen der DSGVO und der KI-VO erforderlich, sondern auch für einen wirksamen Rechtsschutz der Steuerpflichtigen. Steuerpflichtige und ihre Beraterinnen und Berater müssen nachvollziehen können, ob und in welcher Weise KI im Besteuerungsverfahren eine Rolle gespielt hat. Nur dann lassen sich rechtliches Gehör, eine überprüfbare Entscheidungsbegründung und eine wirksame Kontrolle im Einspruchs- oder finanzgerichtlichen Verfahren sicherstellen.

Im weiteren Gesetzgebungsverfahren sollten Steuerberaterinnen und Steuerberater sowie Unternehmen deshalb auf klare Vorgaben zu Abrufrechten, Protokollierung, Speicherung, Löschung und Transparenz drängen. Entscheidend ist zudem: Die Ergebnisse eines KI-gestützten Verfahrens dürfen die menschliche Entscheidung nicht ersetzen. Bewerten und entscheiden muss am Ende weiterhin ein Mensch – in der Finanzverwaltung ebenso wie in der Steuerberatung und vor dem Finanzgericht.

Wann der Kabinettsbeschluss für das Jahressteuergesetz 2026 vorgesehen ist, steht derzeit noch nicht fest. Daran anschließend wird das Gesetz im Bundestag und Bundesrat beraten. Wenn der Bundestag das Gesetz in 2./3. Lesung verabschiedet und der Bundesrat dem Gesetz zugestimmt hat, soll die Neuregelung des § 29c AO nach dem Tag der Verkündigung Inkrafttreten.

______________________