Der am 19.05.2026 vom BMF veröffentlichte Referentenentwurf für das Jahressteuergesetz 2026 sieht eine punktuelle, aber praktisch weitreichende Änderung des § 29c AO vor. Die Vorschrift regelt die Verarbeitung personenbezogener Daten durch Finanzbehörden zu anderen Zwecken als jene, zu denen sie ursprünglich erhoben wurden. Sie bildet damit die zentrale bereichsspezifische Rechtsgrundlage für den Einsatz automatisierter Verfahren – und künftig ausdrücklich auch von KI-Systemen – in der Steuerverwaltung.
Die Entwicklungen sind auch für Nonprofit-Organisationen relevant, da sie künftig stärker von datenbasierten Prüfungsansätzen der Finanzverwaltung betroffen sein können und die Anforderungen an eine konsistente sowie digital auswertbare Dokumentation weiter steigen dürften.
Welche Änderungen sieht der Entwurf vor?
Der Referentenentwurf sieht im Wesentlichen folgende Änderungen des § 29c AO vor:
- Neufassung des § 29c Abs. 1 Satz 1 Nr. 4 AO: Die Vorschrift wird inhaltlich neu gefasst.
- Ergänzung um neue Sätze in Absatz 1: Neu eingefügt werden insbesondere
- Satz 2, der den Anwendungsbereich ausdrücklich auf KI-Systeme erstreckt, sowie
- Satz 5, der eine einjährige Löschfrist für die verarbeiteten personenbezogenen Daten vorsieht.
- Keine weiteren Änderungen: Die Nummern 1 bis 3 sowie 5 und 6 des § 29c Abs. 1 AO und die Absätze 2 und 3 bleiben unverändert.
- Ergänzung des § 30 Abs. 6 AO: Klargestellt wird, dass nach § 30 AO geschützte Daten auch zur Weiterverarbeitung für die in § 29c Abs. 1 Nr. 4 bis 6 AO genannten Zwecke abgerufen werden dürfen.
Eine konsolidierte Neufassung des § 29c AO enthält der Referentenentwurf nicht.
Nach der Begründung des Referentenentwurfs erfasst die neu gefasste Nr. 4 nunmehr ausdrücklich auch KI-Systeme im Sinne des Art. 3 Nr. 1 der Verordnung (EU) 2024/1689 (KI-VO), einschließlich ihres fortlaufenden Betriebs.
Wann personenbezogene Daten für KI genutzt werden dürfen (§ 29c Abs. 1 Satz 1 Nr. 4)
Die Neufassung erlaubt die Weiterverarbeitung personenbezogener Daten, wenn sie für die Entwicklung, Überprüfung oder Änderung automatisierter Verfahren der Finanzbehörden erforderlich ist, weil entweder unveränderte Daten benötigt werden oder eine Anonymisierung bzw. Pseudonymisierung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist. Über einen Verweis („entsprechend“) wird der Anwendungsbereich auf KI-Systeme einschließlich deren fortlaufenden Betriebs erstreckt.
Als typische Erforderlichkeitsfälle nennt der Entwurf ausdrücklich die eindeutige Verknüpfung personenbezogener Daten aus mehreren verschiedenen Dateisystemen, sofern die Schaffung geeigneter Testfälle nicht praktikabel ist, sowie Konstellationen, in denen ein KI-System ohne die Nutzung solcher Daten in seiner Funktionsfähigkeit beeinträchtigt wäre. Damit adressiert der Gesetzgeber die im Kontext des Einsatzes von KI typische Notwendigkeit, Modelle mit Trainingsdaten in Form von „frischen“ Echt- bzw. Produktivdaten zu speisen.
Löschfrist mit Praxisproblem
Die Regelung befindet sich derzeit noch im Stadium eines Referentenentwurfs und ist noch nicht in Kraft getreten. Die neue Regelung würde die Finanzbehörden dazu verpflichten, die für Zwecke des Satzes 1 Nr. 4 verarbeiteten personenbezogenen Daten innerhalb eines Jahres nach „Beendigung der dort genannten Maßnahmen“ zu löschen. Für abgrenzbare Entwicklungs- oder Testprojekte ist der Fristbeginn handhabbar. Für den fortlaufenden Betrieb produktiver KI-Systeme, also den Regelfall künftiger Verwaltungspraxis, bleibt der Beendigungszeitpunkt jedoch praktisch unbestimmt.
Es empfiehlt sich daher, sofern die Ergänzung in § 29c AO in Kraft treten würde, die aktive Wahrnehmung ihrer datenschutzrechtlichen Rechte vorzunehmen und im Einzelfall zu prüfen, ob und wann zunächst ein Auskunftsersuchen nach § 32c AO i.V.m. Art. 15 DSGVO und im Anschluss ggf. ein Löschersuchen nach § 32f AO i.V.m. Art. 17 DSGVO an die zuständigen Finanzbehörden sinnvoll erscheint.
Praktische Auswirkungen für die steuerliche Compliance von NPOs
Es ist zu erwarten, dass steuerliche Prüfungen künftig noch stärker datengetrieben, automatisiert und KI-gestützt ablaufen werden. Die Finanzverwaltung dürfte künftig verstärkt auf datenbasierte Prüfungsansätze setzen. Hierdurch nimmt die Bedeutung konsistenter und digital auswertbarer Dokumentationen weiter zu.
Konkret sollten Nonprofit-Organisationen jetzt schon im Blick haben, die Dokumentation steuerlich relevanter Sachverhalte – insbesondere Fremdvergleichsunterlagen im Verhältnis gGmbH/Schwester-GmbH, Sphärenzuordnung in Buchhaltung und Kostenstellenrechnung sowie die Qualität der digital vorgehaltenen Daten – zu stärken. Ob Anpassungen bestehender Datenschutzhinweise, etwa gegenüber Spenderinnen und Spendern erforderlich werden, bleibt abzuwarten. Schließlich empfiehlt sich, bei Mandanten mit eigenem KI-Einsatz auf konsistente Compliance-Strukturen (KI-VO, DSGVO, § 32c AO) hinzuwirken.
Gerne unterstützen wir Sie hier bei konkreten Fragen zur steuerlichen sowie zu weiteren Compliance-Themen.
