§ 29c AO regelt bereits die Weiterverarbeitung von Steuerdaten für Zwecke jenseits der ursprünglichen Erhebung. Die bisherige Nr. 4 erlaubte dies für die Entwicklung, Überprüfung oder Änderung automatisierter Verfahren, wenn unveränderte Daten erforderlich waren oder eine Anonymisierung unverhältnismäßig gewesen wäre. Für KI-Systeme reichte dies jedoch nicht aus. 

Der Unterschied liegt vor allem im laufenden Betrieb. KI-Systeme können personenbezogene Daten auch später benötigen, etwa wenn Steuerfälle mit der Hilfe von Daten anderer Steuerpflichtiger analysiert werden.[2] Diese Betriebsphase war rechtlich bisher nicht ausdrücklich erfasst. 

Die Neufassung schließt diese Lücke: Die Befugnis soll künftig ausdrücklich auch für „KI-Systeme der Finanzbehörden im Sinne des Artikels 3 Nummer 1 der Verordnung (EU) 2024/1689 einschließlich ihres fortlaufenden Betriebs“ gelten.[3] 

Der Verweis auf den AI Act verankert das Steuerverfahrensrecht ausdrücklich im europäischen KI-Regulierungsrahmen.

Die neue Regelung verbindet Datenschutzrecht, europäische KI-Regulierung und Steuergeheimnis. 

Datenschutzrechtlicher Ausgangspunkt bleibt die DSGVO. Sie fragt nach Zweck, Rechtsgrundlage und Grenzen der Verarbeitung personenbezogener Daten. Für Finanzbehörden folgt die Verarbeitung aus ihrer gesetzlichen Aufgabenerfüllung. § 29c AO erweitert diesen Rahmen ausdrücklich um die Entwicklung, das Training und den Betrieb von KI-Systemen.[4] 

Damit schafft der Gesetzgeber Rechtssicherheit, wenn Steuerdaten nicht mehr nur für den ursprünglichen Erhebungszweck verwendet werden. Die Finanzverwaltung erhält eine klare Grundlage, vorhandene Datenbestände für Analyse- und Risikomanagementverfahren einzusetzen. 

Ergänzend setzt der AI Act Anforderungen an KI-Systeme, insbesondere bei risikobehafteten Anwendungen. Für die Finanzverwaltung können Vorgaben zu Datenqualität, Dokumentation, Nachvollziehbarkeit und menschlicher Aufsicht relevant werden. § 29c AO erlaubt die Verarbeitung; der AI Act prägt ihre technische und organisatorische Ausgestaltung.[5] 

Hinzu kommt das Steuergeheimnis. Durch die parallele Anpassung von § 30 AO wird klargestellt, dass geschützte Steuerdaten innerhalb der Finanzverwaltung auch für die neu geregelten KI-Zwecke abgerufen werden dürfen. Die Unsicherheit beim internen Zugriff auf Steuerdaten zu Trainings- und Entwicklungszwecken wird dadurch beseitigt.

Die Neuregelung bleibt laut Gesetzesbegründung an Datensparsamkeit und Speicherbegrenzung gebunden. 

Erstens gilt ein Erforderlichkeitsvorbehalt: Können anonymisierte oder pseudonymisierte Daten verwendet werden, ist die Verarbeitung personenbezogener Daten unzulässig. Kommt ein System später ohne personenbezogene Daten aus, entfällt die Befugnis.[6] 

Zweitens gilt eine klare Löschfrist: Personenbezogene Daten sind innerhalb eines Jahres nach Beendigung der Maßnahme zu löschen. Im laufenden Betrieb beginnt die Frist, sobald die Daten nicht mehr erforderlich sind. Damit wird das Speicherbegrenzungsgebot konkretisiert.[7] 

Drittens bleibt die Letztentscheidungsbefugnis beim Menschen. KI ist nur ein technisches Hilfsmittel; negative Konsequenzen für einzelne Steuerpflichtige dürfen nicht ohne menschliche Verantwortung entstehen. Dies korrespondiert mit den Anforderungen an die menschliche Aufsicht nach Artikel 14 des AI Acts. 

Die Verarbeitung muss auf Servern der Finanzverwaltung erfolgen; Cloud-Infrastrukturen außerhalb des DSGVO-Anwendungsbereichs sind ausgeschlossen.[8] 

Für Steuerpflichtige und Berater ist die neue Version von § 29c AO zwar eine Organisationsnorm der Finanzverwaltung, mittelbar jedoch von erheblicher Bedeutung. Der Einsatz von KI-Systemen zur Risikoanalyse, Plausibilitätsprüfung und Prüfungsauswahl erhält damit eine ausdrückliche gesetzliche Grundlage. Zugleich steigen die Anforderungen an Qualität, Transparenz und Fairness; die Rechte der Steuerpflichtigen nach der DSGVO bleiben grundsätzlich bestehen. 

Entscheidend wird die Kontrolle der eingesetzten Systeme sein. Insbesondere müssen die Anforderungen des AI Acts an Datenqualität, Dokumentation, Nachvollziehbarkeit und menschliche Aufsicht eingehalten werden. Auch Datenschutz, Löschfristen und Datensicherheit müssen wirksam überprüfbar bleiben. 

Zwar bestehen datenschutzrechtliche, fachaufsichtliche und gerichtliche Kontrollmechanismen. Fraglich ist jedoch, ob diese angesichts der Komplexität und begrenzten Transparenz automatisierter Verfahren ausreichen. Erforderlich sind daher klare Sicherheits- und Löschkonzepte, unabhängige Kontrollen und wirksame Rechtsschutzmöglichkeiten. 

Für die steuerliche Prüfungspraxis ist der KI-Einsatz längst kein Zukunftsthema mehr. Gerade im Verrechnungspreisbereich waren datenbasierte Risikoanalysen bereits durch den länderbezogenen Bericht angelegt. Die Transaktionsmatrix nach § 90 Abs. 3 AO verstärkt diese Entwicklung. Datengetriebene Prüfungsstrategien verlangen daher auch datengetriebene Verteidigungsstrategien. 

§ 29c AO ist damit ein kurzer Paragraf mit großer Signalwirkung. Die entscheidende Frage ist nicht mehr, ob die Finanzverwaltung KI einsetzen wird, sondern unter welchen Bedingungen und mit welchen Folgen. Dafür braucht es sowohl eine gute Vorbereitung der Steuerpflichtigen als auch eine wirksame Kontrolle der Finanzverwaltung.