§ 29c AO-E: KI und Echtdaten in der Finanzverwaltung

Gemäß § 29c AO-E des Referentenentwurfs des Jahressteuergesetz 2026 sollen personenbezogene Daten für die Entwicklung, Überprüfung oder Änderung automatisierter Verfahren (u. a. Einsatz von KI-Systemen der Finanzverwaltung i.S.v. Art. 3 Nr. 1 KI-VO), ebenso wie für den fortlaufenden Betrieb weiterverarbeitet werden dürfen, wenn unveränderte Daten benötigt werden oder Anonymisierung oder Pseudonymisierung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist. Damit stellt sich eine zentrale Frage: Welche Grenzen braucht der KI-Einsatz, damit Steuergeheimnis, Datenschutz und Rechtsschutz gewahrt bleiben?

Was § 29c AO-E ändern soll

Die KI soll laut der Begründung des Referentenentwurfs weiterhin nur als Hilfsmittel fungieren. Die Entscheidungsbefugnis und die finale Prüfung bleiben bei dem zuständigen Mitarbeitenden der Finanzverwaltung.

Steuerberater:innen und ihre Mandantschaft sowie Steuerabteilungen von größeren Unternehmen müssen seitens der Finanzverwaltung verstärkt mit noch mehr datenbasierten Analysen rechnen (bisher wird zum Beispiel schon die summarische Risikoprüfung angewandt). Automatisierte Risikobewertungen können Einfluss auf Auswahlentscheidungen für die Betriebsprüfung nehmen oder vertiefte Nachfragen zu Sachverhaltsaufklärungen zur Folge haben.

Das Ansinnen des Einsatzes von KI in der Finanzverwaltung ist grundsätzlich nachvollziehbar. Eine digitale Unterstützung der Beschäftigten der Finanzverwaltung insbesondere im steuerlichen Massenverfahren ist verständlich. Begründet wird die in § 29c Abs. 1 S. 1 Nr.4 AO-E vorgesehene Regelung mit der Senkung des Erfüllungsaufwands für die Finanzverwaltung. Zudem soll damit die Bearbeitung von Steuererklärungen im Massenverfahren beschleunigt werden. Einige Bundesländer wie NRW oder Hessen setzen jetzt schon allgemein KI in der Finanzverwaltung ein. Jetzt soll dieser Einsatz durch eine bundeseinheitliche Norm geregelt und durch die Nutzung von Echtdaten erweitert werden. Künftig sollen die sensiblen Daten der Steuerpflichtigen zur Optimierung staatlicher Algorithmen herangezogen werden. Dem hat bisher der enge Zweckbindungsgrundsatz der Datenschutzgrundverordnung (DSGVO) enge Grenzen gesetzt.

Die genutzten personenbezogenen Daten müssen laut dem Entwurf spätestens ein Jahr nach dem Ende der jeweiligen Entwicklungs- oder Überprüfungsmaßnahme unwiderruflich gelöscht werden. Für Steuerpflichtige und Steuerberater:innen stellen sich hier eine Reihe von Fragen, die im Laufe des Gesetzgebungsverfahrens durch präzisere Gesetzesformulierungen zu beantworten sind:

Wodurch genau ist das Ende einer Entwicklungs- oder einer Überprüfungsmaßnahme definiert?
Wie und von wem wird die tatsächliche Löschung der personenbezogenen Daten nach Ablauf der Frist kontrolliert?
Wie stark beeinflussen algorithmische Vorbewertungen menschliche Entscheidungen?
Wie wird die Transparenz gegenüber dem Steuerpflichtigen gewährleistet, dass aus der KI-Unterstützung faktisch keine Steuerung wird?

Verbände fordern klare Grenzen für den KI-Einsatz

Zu dem Referentenentwurf des Jahressteuergesetz 2026 sind eine Vielzahl von Stellungnahmen eingegangen, die sich u. a. mit dem § 29c AO-E beschäftigen:

Laut dem IDW sind die geplanten KI-Anwendungen der Finanzverwaltung anders als in der Gesetzesbegründung dargestellt, nicht mit bisherigen digitalen Anwendungen vergleichbar. Sie benötigen zum Beispiel bereits zum Training geschützte Echtdaten von Personen, denen die Anwendung nicht unmittelbar zugutekommt. Die Nutzung von KI-Systemen birgt das technische Risiko eines Datenabflusses nach außen. Die Verarbeitung der geschützten Daten der Steuerpflichtigen sollte deshalb nur durch eine KI zulässig sein, die von der Finanzverwaltung selbst betrieben wird (Open Source). Ein Verstoß gegen § 30 AO muss ausdrücklich und garantiert ausgeschlossen sein. Mit der Nutzung echter Steuerdaten wird der ursprüngliche Verarbeitungszweck dieser Daten deutlich erweitert. Es ist eine potenzielle Profilbildung möglich. Es entsteht Intransparenz für die Betroffenen.

Das IDSt begrüßt den Ansatz, KI-Anwendungen in der Finanzverwaltung unter Nutzung personenbezogener Daten einzusetzen, fordert aber einige Nachschärfungen durch den Gesetzgeber. Dazu gehören Mindestanforderungen an die Verfahrensdokumentation, und eine genauere Begründung für die neuen Kontrollsysteme sowie eine klare Regelung der Datensicherheit, der Transparenz und der Fristenklarheit. Für den fortlaufenden Betrieb schlägt es eine dokumentierte Überprüfung spätestens alle 36 Monate vor.

Die DSTG fordert in ihrer Stellungnahme hingegen eine Ausweitung der Löschfrist von einem auf drei Jahre. Eine so lange Nutzung echter personenbezogener Daten nach dem Ende einer Entwicklungs- oder Überprüfungsmaßnahme (bisher gibt es keine Definition von Anfang und Ende dieser jeweiligen Maßnahmen; wie werden z. B. kleinere Softwareentwicklungsschritte bewertet und eingestuft?) ist meiner Ansicht nach unverhältnismäßig und daher abzulehnen.

Die BStBK kritisiert die Regelung des § 29c AO-E als deutlich zu weitreichend, nicht ausreichend konturiert und vielfach zu unbestimmt. Außerdem bezweifelt sie, dass in Massenverfahren jedes KI-generierte Ergebnis tatsächlich kritisch, nachvollziehbar und einzelfallbezogen geprüft werden kann.

Effizienzgewinne treffen auf Datenschutz und Rechtsschutz

Der Gesetzentwurf bedeutet eine Abwägung von Effizienzgewinnen gegen datenschutzrechtliche Grundsätze. Auch hier stellen sich eine Reihe von Fragen an den Gesetzgeber:

Wieviel und was „lernen“ die KI-Modelle aus den Steuerdaten und lassen sich ggf. doch Rückschlüsse ziehen?
Wie wird die tatsächliche Löschung der personenbezogenen Daten protokolliert?
Wie stark beeinflussen algorithmische Vorentscheidungen die menschlichen Entscheidungen der Finanzbeamten?
Wie kann verhindert werden, dass aus der KI-Unterstützung faktisch eine Steuerung wird?
Wie wird die Transparenz gegenüber dem einzelnen Steuerpflichtigen und seinem steuerlichen Beratenden gewährleistet?
Was wird in einem Klageverfahren dem Finanzgericht offengelegt?

FAZIT

Der Einsatz von technischen Hilfsmitteln in der Finanzverwaltung wie KI ist grundsätzlich zu begrüßen. Da hier aber echte personenbezogene Daten genutzt werden sollen, bedarf es nicht zuletzt aufgrund eines vernünftigen Rechtsschutzes des Steuerpflichtigen, der DGSVO sowie der KI-VO einer Präzisierung der Definition einer Entwicklungs- oder Überprüfungsmaßnahme, der Abrufberechtigten, der Protokollierung des Einsatzes von KI im konkreten Steuerfall, sowie der Protokollierung der Löschung der personenbezogenen Daten. Der Steuerpflichtige und seine Berater:innen haben Anspruch auf rechtliches Gehör und eine Entscheidungsbegründung. Nur mit Transparenz (Nutzung, Speicherung, Löschung; Abrufrechte) wird es auch zu Akzeptanz der neuen Verfahren kommen. Darauf sollten insbesondere Steuerberater:innen und Unternehmen im weiteren Gesetzgebungsverfahren drängen und die dann gefunden Regelungen auf ihre Auswirkungen in der Praxis analysieren. Die Ergebnisse des gesetzlich geregelten Einsatzes von KI bewerten und entscheiden muss letztendlich immer der Mensch, das gilt für die Finanzverwaltung genauso wie für die Steuerberatung und das Finanzgericht.

Der Kabinettsbeschluss für das Jahressteuergesetz 2026 ist für den 22.07.2026 vorgesehen. Anschließend wird das Gesetz im Bundestag und Bundesrat beraten. Wenn der Bundestag das Gesetz in 2./3. Lesung verabschiedet und der Bundesrat dem Gesetz zugestimmt hat, soll die Neuregelung des § 29c AO nach dem Tag der Verkündigung Inkrafttreten.

______________________