Diktiersoftware für Steuerberater: Mandantendaten unter Schweigepflicht

Eine Steuerkanzlei lebt vom Vertrauen. Mandanten geben ihre Einkommensverhältnisse, Bilanzen, Verträge und manchmal sehr persönliche Notlagen aus der Hand, im Vertrauen darauf, dass diese Informationen die Kanzlei nicht unkontrolliert verlassen. Diktieren spart dabei viel Zeit: Aktenvermerke, Mandantenschreiben oder Telefonprotokolle sind gesprochen oft schneller fertig als getippt.

Heikel wird die Frage, wohin das Diktat geht. Viele verbreitete Diktier- und Transkriptions-Apps schicken das Gesprochene zur Texterkennung an Server in den USA. Sobald dort Mandantennamen, Steuernummern oder geschäftliche Geheimnisse auftauchen, berührt das nicht nur die DSGVO, sondern die berufsrechtliche Verschwiegenheitspflicht des Steuerberaters. Dieser Beitrag ordnet die Rechtslage ein, ohne Rechtsberatung zu ersetzen, und zeigt, wie lokale Spracherkennung das Risiko an der Wurzel senkt.

Die Schweigepflicht des Steuerberaters: zwei Rechtsquellen

Für Steuerberaterinnen und Steuerberater ist Verschwiegenheit keine Frage des guten Stils, sondern doppelt rechtlich verankert.

§ 57 StBerG: die berufsrechtliche Pflicht

§ 57 Abs. 1 des Steuerberatungsgesetzes (StBerG) verpflichtet Steuerberater, ihren Beruf unter anderem verschwiegen auszuüben. Die Verschwiegenheit erstreckt sich auf alles, was dem Berater in Ausübung seines Berufs bekannt geworden ist. Auch gegenüber den eigenen Mitarbeitenden gilt sie im erforderlichen Umfang, und die Kanzlei muss ihre Beschäftigten ihrerseits zur Verschwiegenheit verpflichten (§ 62 StBerG). Ein Verstoß ist berufsrechtlich relevant.

§ 203 StGB: die strafrechtliche Grenze

§ 203 StGB stellt die Verletzung von Privatgeheimnissen unter Strafe. Steuerberater und Steuerbevollmächtigte sind dort ausdrücklich als Berufsgeheimnisträger genannt. Wer ein fremdes Geheimnis offenbart, das ihm in dieser beruflichen Eigenschaft anvertraut wurde, kann sich strafbar machen. Hier geht es also nicht nur um ein mögliches Bußgeld nach DSGVO, sondern um eine Straftat.

Wichtig und oft übersehen: Seit der Neufassung von § 203 StGB im Jahr 2017 ist das Einschalten externer Dienstleister, etwa für IT oder Software, nicht pauschal verboten. Es ist unter Bedingungen erlaubt. Die mitwirkende Person darf nur erfahren, was für ihre Tätigkeit erforderlich ist, und sie muss zur Geheimhaltung verpflichtet werden. Wer diese Verpflichtung unterlässt oder mehr offenbart als nötig, bewegt sich im strafbaren Bereich. Genau an dieser Stelle wird unkontrolliertes Cloud-Diktat heikel.

Warum Cloud-Diktat ein Compliance-Risiko sein kann

Pauschale Aussagen führen hier in die Irre. Cloud-Diktat ist nicht in jedem Fall unzulässig und auch nicht automatisch strafbar. Ob es zulässig ist, hängt von der Ausgestaltung ab: davon, welcher Anbieter eingebunden ist, ob ein belastbarer Auftragsverarbeitungsvertrag (AVV) besteht, ob die Daten in ein Drittland wie die USA fließen und ob der Dienstleister wirksam zur Verschwiegenheit verpflichtet wurde.

In der Praxis entstehen die Risiken meist so:

• Drittlandübermittlung. Läuft die Texterkennung auf US-Servern, greifen die DSGVO-Anforderungen an die Drittlandübermittlung (Kapitel V, Art. 44 ff.) mit eigener Rechtsgrundlage und Dokumentation.
• Mitwirkende ohne Verpflichtung. Ein Cloud-Diktatdienst ist eine mitwirkende Person im Sinne von § 203 StGB. Ohne ausdrückliche Verschwiegenheitsverpflichtung fehlt die Grundlage für die Offenbarung.
• Zu viel offenbart. Diktate enthalten oft mehr Klartext, als der Dienstleister für die reine Texterkennung benötigen würde, was dem Erforderlichkeitsmaßstab zuwiderläuft.

Kurz: Cloud-Diktat kann je nach Ausgestaltung ein Compliance-Risiko sein. Der ruhigere Weg ist, das Problem gar nicht erst entstehen zu lassen.

Wie lokale Verarbeitung das Problem entschärft

Wenn die Spracherkennung vollständig auf dem Mac läuft, verlässt das Diktat das Gerät nicht. Dann gibt es:

• keine Drittlandübermittlung, weil keine Übermittlung stattfindet,
• keinen externen Verarbeiter, der nach § 203 StGB als mitwirkende Person verpflichtet werden müsste,
• keine Cloud-Richtlinie der Kanzlei, die verletzt wird.

Damit verschiebt sich die Bewertung grundlegend. Statt eine Drittlandübermittlung zu rechtfertigen, dokumentieren Sie eine rein lokale Verarbeitung. Das unterstützt die Wahrung der Schweigepflicht und ist die technische Grundlage dafür, dass ein Diktierwerkzeug DSGVO-konform eingesetzt werden kann. Die rechtskonforme Einbettung in die Kanzleiabläufe bleibt Aufgabe der Kanzlei.

Cloud-Diktat und lokales Diktat im Vergleich

Aspekt	Cloud-Diktat (US-Server)	Lokales Diktat (Flinktext)
Wo wird verarbeitet	auf fremden Servern, oft im Drittland	on-device auf dem Mac
Mandanten-Audio verlässt das Gerät	ja	nein (im Standard)
Drittlandübermittlung (DSGVO Kap. V)	meist relevant	entfällt
§ 203-Verpflichtung des Anbieters nötig	ja	entfällt, kein Dritter eingebunden
AVV erforderlich	ja	nicht für die lokale Verarbeitung
Offline nutzbar	nein	ja
Account / Registrierung	meist ja	nein
Code prüfbar	nein (proprietär)	ja, Open Source (MIT)
Kosten	meist Abo	kostenlos

Hinweis zur Fairness: Spezialisierte Profilösungen wie Dragon Legal sind ausgereift, fachsprachlich trainiert und in vielen Kanzleien etabliert. Sie sind allerdings kostenpflichtig (oft im Bereich mehrerer hundert Euro pro Arbeitsplatz) und je nach Edition cloud- oder serverbasiert. Flinktext tritt nicht als Funktionssieger an, sondern besetzt eine andere Position: lokal im Standard, kostenlos, quelloffen und damit besonders einfach im Datenschutz zu begründen.

Flinktext: lokale Diktiersoftware für die Kanzlei

Flinktext ist eine native macOS-App von Lighthouse Consultings, die konsequent auf lokale Verarbeitung setzt. Die Bedienung ist bewusst schlicht: Hotkey halten, sprechen, loslassen. Der erkannte Text erscheint sofort am Cursor, in jeder Anwendung, ob in der Kanzleisoftware, in Outlook, in Word oder im Dokumentenmanagement.

Die belegbaren Datenschutz-Eigenschaften

Diese Punkte sind im offenen Quellcode nachprüfbar:

• Standardmäßig 100 % lokal. Die Spracherkennung nutzt ein gebündeltes, on-device laufendes Whisper-Modell. Ihr Audio verlässt das Gerät nicht.
• Keine Telemetrie, kein Tracking, kein Account. Es gibt keine Analytics und keinen Crash-Reporter, die im Hintergrund Daten senden.
• Schlüssel nur in der Keychain. Zugangsdaten liegen ausschließlich gerätegebunden in der macOS-Keychain, ohne iCloud-Sync.
• Open Source unter MIT-Lizenz. Der Code liegt öffentlich auf GitHub und kann von Ihrer IT oder Ihrem Datenschutzbeauftragten geprüft werden.
• Härtung gegen Prompt-Injection ist eingebaut, um manipulierte Eingaben abzufangen.

Optionale Cloud-Backends (etwa für besonders anspruchsvolle Formulierungen) existieren, sind aber standardmäßig ausgeschaltet. Sie werden nur aktiv, wenn ein Nutzer sie bewusst einschaltet und einen eigenen API-Schlüssel hinterlegt. Im Auslieferungszustand bleibt alles lokal, und genau das ist bei Mandantendaten der entscheidende Punkt.

Vier Modi für den Kanzleialltag

• Roh liefert das 1:1-Transkript, passend für den wörtlichen Aktenvermerk.
• Poliert glättet Füllwörter und Grammatik zu sauberem Schriftdeutsch, etwa für das Mandantenschreiben.
• Compose nimmt einen gesprochenen Befehl entgegen und formuliert den Text aus.
• Emoji ergänzt passende Emojis, im Kanzleikontext eher selten gebraucht.

Für die Kanzlei sind vor allem Roh und Poliert relevant: entweder das exakte Wort oder direkt ein sauber lesbarer Entwurf.

Fertige App, kein Selbstbau

Flinktext ist die fertige Version dessen, was die quelloffene Vorlage Blitztext (von cmagnussen, MIT-Lizenz) als Bausatz angelegt hat. Bei Blitztext mussten Anwender die App selbst aus dem Quellcode kompilieren. Bei Flinktext laden Sie eine fertige DMG-Datei, ziehen die App in den Ordner Programme und legen los. Kein Compiler, kein Terminal, kein Build.

Den Download und die aktuelle Version finden Sie auf der Produktseite zu Flinktext.

DSGVO-konform einsetzbar, nicht zertifiziert

Eine ehrliche Einordnung gehört dazu: Keine Software ist von sich aus DSGVO-zertifiziert oder garantiert § 203-konform. Flinktext ist ein Werkzeug, das eine lokale, datensparsame Verarbeitung möglich macht und damit die Wahrung der Schweigepflicht unterstützt. Konformität entsteht immer im konkreten Einsatz, also aus Werkzeug plus Prozess plus Dokumentation. Einen Auftragsverarbeitungsvertrag und Datenschutz-Unterlagen für den Kanzlei-Rollout stellen wir auf Anfrage bereit. Die rechtskonforme Ausgestaltung stimmen Sie bitte mit Ihrem Datenschutzbeauftragten und gegebenenfalls Ihrer Steuerberaterkammer ab.

Wenn Sie Flinktext in Ihrer Kanzlei einführen möchten, begleitet Lighthouse Consultings den Schritt von der Pilotinstallation bis zum datenschutzkonformen Betrieb. 🧭

FAQ

Dürfen Steuerberater mit Cloud-Software diktieren? Pauschal lässt sich das nicht beantworten. Es kommt auf die Ausgestaltung an: Anbieter, AVV, Drittlandübermittlung und die Verschwiegenheitsverpflichtung des Dienstleisters nach § 203 StGB müssen sauber geregelt sein. Lokale Verarbeitung umgeht diese Fragen, weil keine Daten übermittelt werden.

Verlässt mein Diktat bei Flinktext das Gerät? Im Standardbetrieb nicht. Die Spracherkennung läuft on-device über ein gebündeltes Whisper-Modell. Optionale Cloud-Backends sind standardmäßig ausgeschaltet und werden nur aktiv, wenn Sie sie selbst einschalten und einen eigenen Schlüssel hinterlegen.

Brauche ich für Flinktext einen AVV? Für die rein lokale Verarbeitung wird kein Auftragsverarbeitungsvertrag benötigt, weil kein externer Dienstleister Ihre Daten verarbeitet. Für den institutionellen Rollout und die Datenschutzdokumentation stellen wir einen AVV auf Anfrage bereit.

Ist Flinktext § 203-konform oder rechtssicher? Flinktext ist ein Werkzeug, keine Rechtszusage. Die lokale Verarbeitung unterstützt die Wahrung der Schweigepflicht, weil im Standard kein Audio das Gerät verlässt und damit keine Offenbarung an Dritte stattfindet. Ob Ihr konkreter Einsatz § 203 StGB und der DSGVO genügt, bewerten Sie mit Ihrem Datenschutzbeauftragten. Eine Software allein macht eine Kanzlei nicht compliant.

Funktioniert das Diktat auch ohne Internet? Ja. Da die Verarbeitung lokal stattfindet, funktioniert das Diktieren vollständig offline.

Was kostet Flinktext, und muss ich programmieren können? Die App ist kostenlos und Open Source unter MIT-Lizenz. Anders als bei der Vorlage Blitztext muss kein Quellcode kompiliert werden. Sie laden die fertige DMG-Datei und starten die App.

Eignet sich Flinktext auch für Rechtsanwälte und Wirtschaftsprüfer? Ja. Auch Rechtsanwälte, Wirtschaftsprüfer, Ärztinnen und weitere Berufsgruppen unterliegen § 203 StGB. Der lokale Ansatz adressiert dasselbe Grundproblem: vertrauliche Inhalte sollen nicht unkontrolliert an externe Dienste abfließen.

Nächster Schritt

Wenn Sie in Ihrer Kanzlei diktieren wollen, ohne dass Mandantendaten in die US-Cloud wandern, ist die lokale Variante der ruhigere Weg. Laden Sie Flinktext kostenlos auf der Produktseite und sprechen Sie uns für einen Kanzlei-Rollout an.

Verwandter Beitrag: DSGVO-konform einsetzbare Diktiersoftware für den Mac: lokal statt US-Cloud

Verwandte Ratgeber

• Blitztext Alternative: Flinktext, die fertige Diktier-App für den Mac
• Wispr Flow Alternative: lokal diktieren, ohne Cloud und ohne Abo
• DSGVO-konforme Diktiersoftware für den Mac: lokal statt US-Cloud
• Diktiersoftware für die Schule: Inklusion ohne US-Cloud
• Diktiersoftware Mac kostenlos & lokal: der ehrliche Vergleich
• Diktiersoftware für die Kanzlei: lokal diktieren unter Schweigepflicht (§ 203 StGB)
• Medizinische Spracherkennung lokal: Diktiersoftware für die Arztpraxis ohne US-Cloud
• Diktiersoftware unter Schweigepflicht: lokal diktieren als Berufsgeheimnisträger