KI & Datenschutz

Finanzdaten in KI eingeben: erlaubt nach der DSGVO?

Unternehmenszahlen sind nicht immer personenbezogene Daten, eine Buchführung enthält sie aber fast immer. Was die DSGVO verlangt, wenn Sie KI in Buchhaltung und Jahresabschluss einsetzen, und was Sie selbst regeln.

Kostenlos starten Zum Ratgeber

✓ Erster Jahresabschluss kostenlos ✓ Von Kleinst- bis zu großen Unternehmen ✓ Dutch GAAP: Titel 9 Buch 2 BW ✓ Primäre Datenbank in der EU

Die kurze Antwort

Ja, wenn Sie die DSGVO einhalten. Unternehmenszahlen einer BV sind meist keine personenbezogenen Daten, Gehälter, das Verrechnungskonto mit dem DGA und die Buchführung eines Einzelunternehmens dagegen schon. Nutzen Sie dafür einen geschäftlichen KI-Dienst mit Auftragsverarbeitungsvertrag, senden Sie nicht mehr mit als nötig und wissen Sie, wo die Daten verarbeitet werden. In ein privates Chatkonto gehören sie nicht.

Aktualisiert am 30. Oktober 2026

Kerndaten

Personenbezogene Daten	Alles, was eine erkennbare Person betrifft (Art. 4 Nr. 1 DSGVO)
Vereinbarung mit dem KI-Dienst	Ein Auftragsverarbeitungsvertrag, wenn der Dienst in Ihrem Auftrag verarbeitet (Art. 28 Abs. 3 DSGVO)
So wenig wie möglich	Nur die Daten, die nötig sind (Art. 5 Abs. 1 Buchst. c DSGVO)
Außerhalb des EWR	Strukturell mit Angemessenheitsbeschluss oder geeigneten Garantien; daneben begrenzte Ausnahmen (Art. 44 und 49 DSGVO)
Aufbewahrung	Die Buchführung sieben Jahre (Art. 2:10 Abs. 3 BW, Art. 52 Abs. 4 AWR)

Welche Finanzdaten personenbezogene Daten sind

Die DSGVO schützt natürliche Personen, keine BVs. Umsatz oder Bilanzsumme einer juristischen Person fallen daher nicht darunter. Dennoch enthält eine Buchführung fast immer Angaben über erkennbare Personen (Art. 4 Nr. 1 DSGVO):

das Gehalt und die Pensionsaufwendungen des Gesellschafter-Geschäftsführers sowie bei einem kleinen Unternehmen Lohnkosten, die sich auf einen Arbeitnehmer zurückführen lassen;
das Verrechnungskonto mit dem DGA, Darlehen an Geschäftsführer und deren Bezüge. Eine mittelgroße oder große juristische Person gibt die Bezüge der Geschäftsführer gemeinsam im Anhang an, darf diese Angabe aber weglassen, wenn sie sich auf eine natürliche Person zurückführen lässt (Art. 2:383 Abs. 1 BW); eine kleine ist von der Angabe befreit (Art. 2:396 Abs. 5 BW), und eine Kleinstgesellschaft hat keinen Anhang (Art. 2:395a Abs. 6 BW);
Namen in der Debitoren- und Kreditorenbuchhaltung, wenn der Kunde oder Lieferant ein Einzelunternehmen ist;
Bankumsätze mit Namen von Geschäftspartnern und Eingangsrechnungen mit Adressen;
bei einem Einzelunternehmen oder einer vof: die gesamte Buchführung, denn sie betrifft den Unternehmer selbst.

Lohndaten erfordern besondere Sorgfalt. Eine Bürgerservicenummer (BSN) darf nur verwendet werden, wofür das Gesetz es erlaubt (Art. 46 Abs. 1 UAVG, das niederländische DSGVO-Umsetzungsgesetz), und Angaben zu Krankheit betreffen die Gesundheit, eine besondere Kategorie (Art. 9 Abs. 1 DSGVO). Solche Daten gehören nicht in einen KI-Dienst, den Sie für Texte oder Erklärungen nutzen.

Privates Chatkonto oder geschäftlicher Dienst

Der Unterschied liegt nicht im Modell, sondern in den Vereinbarungen. Lassen Sie personenbezogene Daten von einem Dienst verarbeiten, der das in Ihrem Auftrag tut, schließen Sie einen Auftragsverarbeitungsvertrag mit dem Inhalt, den Art. 28 Abs. 3 DSGVO vorschreibt: Verarbeitung nur auf Ihre Weisung, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter nur mit Ihrer Zustimmung sowie Löschung oder Rückgabe nach Ende.

Bei einem kostenlosen oder privaten Konto eines Chatdienstes fehlt ein solcher Vertrag meist. Sie akzeptieren dann Bedingungen für Privatpersonen, und die Einstellungen des Anbieters bestimmen, ob Ihre Eingaben zur Verbesserung von Modellen genutzt werden. Geschäftliche Abonnements und API-Zugang kennen häufiger einen Auftragsverarbeitungsvertrag. Lesen Sie die Bedingungen des Anbieters selbst und halten Sie fest, welche Dienste Ihre Organisation nutzen darf.

Hat ein Mitarbeiter ohne solche Vereinbarungen Lohndaten in einen Chatdienst eingefügt, prüfen Sie, ob es sich um eine Datenpanne handelt. Ist ein Risiko für die Betroffenen nicht unwahrscheinlich, melden Sie sie innerhalb von 72 Stunden der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) (Art. 33 Abs. 1 DSGVO).

Fünf Regeln für KI in Buchhaltung und Jahresabschluss

Senden Sie nur, was nötig ist (Art. 5 Abs. 1 Buchst. c DSGVO). Für eine Erläuterung zu den Sachanlagen braucht ein Modell keine Namen von Arbeitnehmern.
Wählen Sie einen Dienst mit Auftragsverarbeitungsvertrag und prüfen Sie, welche Unterauftragsverarbeiter dieser Dienst einschaltet.
Wissen Sie, wohin die Daten gehen. Für eine strukturelle Übermittlung außerhalb des EWR ist ein Angemessenheitsbeschluss (Art. 45 Abs. 1 DSGVO) oder sind geeignete Garantien nötig, etwa die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 Buchst. c DSGVO). Art. 49 DSGVO kennt daneben begrenzte Ausnahmen für besondere Situationen; darauf bauen Sie keine feste Arbeitsweise.
Lassen Sie die KI nicht entscheiden. Ein Vorschlag, den Sie prüfen, ist keine automatisierte Entscheidung; ein Ergebnis, das jemanden ohne menschliches Eingreifen erheblich beeinträchtigt, kann eine sein (Art. 22 Abs. 1 DSGVO).
Halten Sie es fest in Ihrem Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 DSGVO): welcher KI-Dienst, zu welchem Zweck und mit welchen Daten.

Was Jaarrekening.io an KI sendet

Jaarrekening.io nutzt Sprachmodelle von Anthropic über die kommerzielle API, bei Funktionen, die Sie selbst starten. Pro Funktion geht nur mit, was diese Funktion braucht:

Funktion	Was an Anthropic geht
Zuordnung von Konten ohne RGS-Code oder frühere Wahl	Kontonummer, Kontoname und Saldo dieser Konten
Summen- und Saldenliste, Umsatzübersicht oder Jahresabschluss des Vorjahres als PDF	Das Dokument, das Sie hochladen
Entwürfe für Anhang und Lagebericht	Die festgelegten Zahlen, Ihre bestätigten Antworten und Angaben zur juristischen Person
KI-Prüfung, Zahlenkontrolle und Stilkontrolle	Der Text des Teils und die festgelegten Zahlen
Buchungsvorschlag bei einem Bankumsatz	Beschreibung, Geschäftspartner und Betrag, mit bis zu vierzig früher verarbeiteten Bankumsätzen als Beispiel; was die App als Lohn einstuft, bleibt außen vor
Eingangsrechnung oder Beleg lesen lassen	Das Dokument, mit den aufgedruckten Angaben zu Lieferant und Abnehmer
Unternehmen suchen beim Anlegen einer juristischen Person	Die Suchanfrage, um öffentliche Quellen nach Angaben zu durchsuchen, die die verwendete Handelsregisterquelle nicht liefert, etwa Geschäftsführer; Sie bestätigen, was gefunden wurde

Die Lohnbuchhaltung selbst, mit Arbeitnehmerdaten, Lohnabrechnungen und Bürgerservicenummern, geht nicht an Anthropic. Anthropic verwendet API-Eingaben und -Ausgaben standardmäßig nicht für das Modelltraining und löscht sie gemäß der standardmäßigen API-Aufbewahrungsfrist innerhalb von 30 Tagen, außer bei Ausnahmen aus Sicherheits- oder gesetzlichen Gründen oder gesondert vereinbarten Ausnahmen. Die Anfragen können in mehreren Regionen verarbeitet werden, und standardmäßig speichert Anthropic sie in den Vereinigten Staaten; diese Übermittlung beruht auf den Standardvertragsklauseln oder dem EU-US Data Privacy Framework. Die primäre Datenbank der App steht in der EU.

Für Ihre Buchführung sind Sie Verantwortlicher und ist Jaarrekening.io Auftragsverarbeiter; dafür gilt der Auftragsverarbeitungsvertrag. Alle Unterauftragsverarbeiter stehen unter Sicherheit & Datenschutz, das Übrige in der Datenschutzerklärung. Was eine KI-Funktion vorschlägt, ist ein Entwurf, den Sie selbst prüfen und bestätigen; der Inhalt des Jahresabschlusses bleibt in der Verantwortung der Geschäftsführung (Art. 2:362 Abs. 1 BW).

KI-Verordnung und Aufbewahrungspflicht

Die europäische KI-Verordnung (Verordnung (EU) 2024/1689) stellt Regeln für KI-Systeme selbst auf. Für die personenbezogenen Daten, die Sie in ein solches System eingeben, gilt weiterhin die DSGVO; die Verordnung lässt sie unberührt.

Neben der DSGVO gilt die Aufbewahrungspflicht: Die Buchführung bewahren Sie sieben Jahre auf (Art. 2:10 Abs. 3 BW, Art. 52 Abs. 4 AWR). Ein Löschungsverlangen geht dem nicht ohne Weiteres vor. Exportieren Sie Ihre Buchführung, bevor Sie einen Dienst kündigen; siehe auch wie lange muss ich den Jahresabschluss aufbewahren?. Eine Checkliste zur Sicherheit von Jahresabschluss-Software im Allgemeinen, vom Hosting bis zur Zwei-Faktor-Authentifizierung, steht unter Jahresabschluss-Software und die DSGVO.

Quellen

Rechtlicher Hinweis: Diese Informationen sind allgemeiner Natur und ersetzen weder Steuer- oder Rechtsberatung noch eine Prüfung durch einen Accountant. Für die inhaltliche Richtigkeit und Vollständigkeit des Jahresabschlusses bleibt die Geschäftsführung verantwortlich.

Häufige Fragen

Darf ich meine Summen- und Saldenliste in ChatGPT eingeben?

Enthält sie personenbezogene Daten, etwa das Gehalt des Gesellschafter-Geschäftsführers (DGA) oder das Verrechnungskonto mit dem DGA, nur bei einem Dienst, mit dem Ihr Unternehmen einen Auftragsverarbeitungsvertrag hat. Entfernen Sie diese Daten sonst zuerst. Zahlen einer BV ohne rückführbare Angaben fallen nicht unter die DSGVO, bleiben aber vertraulich.

Brauche ich einen Auftragsverarbeitungsvertrag mit einem KI-Dienst?

Ja, wenn der Dienst in Ihrem Auftrag personenbezogene Daten verarbeitet (Art. 28 Abs. 3 DSGVO). Bei Buchhaltung und Jahresabschluss ist das fast immer so, und sei es nur durch die Namen von Geschäftsführern und Geschäftspartnern.

Trainiert Jaarrekening.io KI-Modelle mit meinen Daten?

Nein. Die App nutzt die kommerzielle API von Anthropic, die Eingaben und Ausgaben standardmäßig nicht für das Modelltraining verwendet und innerhalb von 30 Tagen löscht, außer bei den Ausnahmen in der Datenschutzerklärung.

Werden meine Daten außerhalb der EU verarbeitet?

Die primäre Datenbank steht in der EU. Bei einer KI-Funktion können die dafür nötigen Daten außerhalb der EU verarbeitet werden, weil Anthropic in mehreren Regionen verarbeitet und standardmäßig in den Vereinigten Staaten speichert. Das geschieht auf Grundlage der Standardvertragsklauseln oder des EU-US Data Privacy Framework.

Geht meine Lohnbuchhaltung an KI?

Nicht in Jaarrekening.io. Arbeitnehmerdaten, Lohnabrechnungen und Bürgerservicenummern (BSN) gehen nicht an Anthropic. Bei einem Buchungsvorschlag bleiben Bankumsätze, die die App aufgrund von Konto, Beschreibung oder Geschäftspartner als Lohn einstuft, auch als Beispiel außen vor.

Weiterlesen

Jahresabschluss-Software und die DSGVO →Kann ChatGPT meinen Jahresabschluss erstellen? →KI und Buchhaltung →Wie lange muss ich den Jahresabschluss aufbewahren? →Jahresabschluss mit KI →

Niederländischen Jahresabschluss aufstellen?

Ihr erster Jahresabschluss ist kostenlos, für jede Größenklasse. Erstellen Sie ein Konto und stellen Sie den niederländischen Jahresabschluss Ihres in den Niederlanden eingetragenen Unternehmens nach Titel 9 Buch 2 BW auf.

Kostenlos starten