AWS Bedrock in der Steuerkanzlei: Design-Zusage oder prüfbare Garantie?

Warum diese Kriterien zählen

Training auf euren Daten

Ob Eingaben und Ergebnisse zum Training von Modellen genutzt werden. Seriöse Business-Angebote schließen das vertraglich aus; entscheidend ist, ob der Ausschluss dokumentiert und standardmäßig aktiv ist. Zwei Fallstricke: Der Ausschluss gilt oft nur für den Unternehmenstarif, nicht für das Einzelabo derselben Marke, und er kann dort enden, wo eine Websuche ins Spiel kommt. Neben dem Training zählt zudem die Nutzung „zur Serviceverbesserung“ oder „zum Debugging“, die manche Anbieter getrennt davon regeln.

Ort der Verarbeitung

Wo die KI-Inferenz tatsächlich läuft, nicht nur wo Daten gespeichert werden. Datenhaltung in der EU und Inferenz in der EU sind zwei verschiedene Zusagen; die Dokumentation der Anbieter unterscheidet das meist präzise. Getrennt zu prüfen sind die Nebenwege: Eine Websuche oder ein Grounding-Dienst kann Inhalte auch dann außerhalb der zugesagten Region verarbeiten, wenn die Inferenz selbst in der EU bleibt.

Vertrauliche Ausführung (TEE) und Attestierung

Ob der Betreiber technisch vom Klartext ausgeschlossen ist (Trusted Execution Environment) und ob sich das per Remote Attestation unabhängig prüfen lässt. Mehr dazu im Ratgeber Confidential Computing.

Berufsrecht (§ 203 StGB, § 62a StBerG)

Ob der Anbieter die Pflichten von Berufsgeheimnisträgern ausdrücklich adressiert (Verpflichtung zur Verschwiegenheit, geeignete Vereinbarungen). Berufsgeheimnisse sind die härteste der drei Datenkategorien: Was für personenbezogene Daten genügt, genügt hier oft nicht und manche Anbieter setzen dafür eine gesonderte Vertragsanlage voraus. Zu prüfen ist auch, wie lange die Verschwiegenheitsverpflichtung nach Vertragsende gilt. Die rechtliche Einordnung bleibt Sache der Kanzlei; Grundlagen im Ratgeber § 203 StGB.

US-Rechtszugriff (CLOUD Act)

US-Anbieter unterliegen dem CLOUD Act unabhängig vom Speicherort. Herausgaben von EU-Enterprise-Inhalten sind extrem selten, seit 2025 dokumentiert Microsofts eigener Transparenzbericht aber erste Fälle auch bei EU-Kunden. Die Rechtslage lässt sich vertraglich nicht abbedingen, nur durch die Anbieterwahl adressieren.

Zertifizierungen und Nachweise

Welche unabhängig geprüften Nachweise vorliegen und ob sie öffentlich verifizierbar sind. Wichtig ist, worauf sich ein Zertifikat bezieht: auf das Unternehmen, den Dienst oder nur die Rechenzentren.

DATEV-Integration und Kanzlei-Workflows

Ob das Produkt direkt mit den Bestandsdaten der Kanzlei arbeitet (u. a. DATEV) oder ob Daten manuell kopiert werden müssen. Manuelles Kopieren kostet Zeit und schafft unkontrollierte Datenwege.

Wie wir vergleichen.

Ein Vergleich ist nur so belastbar wie die Regeln dahinter. Deshalb steht hier offen, worauf sich jede Einstufung bezieht, welche Abhängigkeiten sie hat und wo sie endet.

Die Einstufungen und was sie bedeuten

Je Kriterium gibt es vier Stufen. Ihre Beschriftung ist bewusst kriteriumsbezogen statt einheitlich Ja oder Nein: Bei negativ formulierten Kriterien wie US-Rechtszugriff oder Training auf euren Daten wäre ein pauschales Ja genau falsch herum. Die vierte Stufe, keine öffentliche Angabe, ist kein Vorwurf, sondern der Befund, dass wir zum Stand-Datum auf den geprüften Seiten nichts Belastbares gefunden haben. Jede Einstufung gilt für genau dieses eine Kriterium, nie für den Anbieter insgesamt.

Der Tarif entscheidet, nicht der Markenname

Derselbe Markenname läuft je nach Tarif unter verschiedenen Verträgen: Endkundenbedingungen für Einzelabos, Geschäftsbedingungen für Team- und Unternehmenstarife, eigene Bedingungen für den Zugang über Schnittstellen. Was für den Unternehmenstarif gilt, gilt deshalb nicht automatisch für das Einzelabo derselben Marke. Unsere Angaben beziehen sich auf das Angebot, das in der Spaltenüberschrift steht; fasst eine Spalte eine Produktfamilie zusammen, prüfe zusätzlich, welches Vertragsdokument für genau deinen Tarif gilt.

Die Voreinstellung entscheidet, nicht das Maximum

Viele Zusagen hängen an der Konfiguration: an einer abgeschalteten Missbrauchsprüfung, an zusätzlich abgeschlossenen Vertragsanlagen, an deaktivierter Websuche. Wir beschreiben, was ohne Zusatzschritte gilt, und benennen, wo für ein anderes Ergebnis zusätzliche Schritte nötig sind. Ein Kriterium, das erst nach einem Antrags- oder Freischaltverfahren erfüllt ist, ist im Kanzleialltag etwas anderes als eine Voreinstellung.

Drei Datenkategorien, drei Messlatten

Personenbezogene Daten, vertrauliche Mandantendaten und Berufsgeheimnisse nach § 203 StGB und § 62a StBerG sind drei Stufen mit steigenden Anforderungen. Ein Dienst kann für die erste Stufe geeignet sein und für die dritte nicht. Dazu kommen besondere Kategorien nach Art. 9 DSGVO, die in der Kanzlei häufiger vorkommen als gedacht: die Konfession in der Lohnabrechnung wegen der Kirchensteuer, Gesundheitsdaten aus Entgeltfortzahlung und Schwerbehinderung, die Gewerkschaftszugehörigkeit bei Beitragsabzügen. Manche Auftragsverarbeitungsverträge sehen die Verarbeitung genau dieser Kategorien nicht vor.

Websuche und andere Nebenwege

Greift ein Werkzeug ins offene Netz, kann für diesen Schritt ein anderes Vertragswerk gelten als für den Dienst selbst und die Anfrage kann beim Suchanbieter landen. Das ist einer der häufigsten Wege, auf denen Mandanteninhalte aus der ausgehandelten Vereinbarung herausfallen, oft ohne dass es in der Oberfläche sichtbar wird. Die Frage gehört deshalb getrennt vom Dienst selbst in jede Anbieterprüfung; die Anbieter-Checkliste stellt sie.

Der Auftragsverarbeitungsvertrag ist die Vorbedingung

Art. 28 DSGVO verlangt einen Vertrag, bevor ein Dienstleister personenbezogene Daten im Auftrag verarbeitet. Fehlt er, ist die Verarbeitung von Mandantendaten kein Abwägungsfall, sondern unzulässig. Bei reinen Endkundenabos ist ein solcher Vertrag häufig gar nicht vorgesehen und manche Angebote treten überhaupt nicht als Auftragsverarbeiter auf, sondern als eigener Verantwortlicher: Dann gibt es keinen AVV und die Weitergabe braucht eine eigene Rechtsgrundlage. Prüfe außerdem, wie der Vertrag Unterauftragsverarbeiter regelt: Ankündigungsfrist, Widerspruchsrecht und die vollständige Kette bis zum Modellanbieter.

Was der Anbieter gut macht

• Zero Data Retention und Zero Operator Access als dokumentierter Standard, inklusive transparenter Offenlegung der Claude-Fable-5-Ausnahme.
• Das Nitro-System-Design schließt nach AWS-Dokumentation regulären Mitarbeiterzugriff konstruktiv aus und wurde laut AWS unabhängig begutachtet.
• Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln gilt automatisch, ohne gesonderte Verhandlung.
• Sauberes Isolationsmodell mit getrennten Model-Deployment-Accounts; keine Weitergabe an Modellanbieter als Standard.
• Reale Investitionen in EU-Betriebsautonomie: European Sovereign Cloud mit eigener Partition, Bedrock ist dort gelistet.

Häufige Fragen

Quellen

1. [1]AWS: The CLOUD Act (Compliance-Seite mit Herausgabe-Statistik) , abgerufen am 30. Juli 2026
2. [2]AWS Bedrock User Guide: Abuse detection , abgerufen am 15. Juli 2026
3. [3]AWS re:Post: Amazon Bedrock model data use , abgerufen am 15. Juli 2026
4. [4]AWS Bedrock User Guide: Data protection , abgerufen am 15. Juli 2026
5. [5]AWS Bedrock User Guide: Model support by AWS Region , abgerufen am 15. Juli 2026
6. [6]AWS GDPR Center , abgerufen am 15. Juli 2026
7. [7]AWS News Blog: Opening the AWS European Sovereign Cloud , abgerufen am 15. Juli 2026
8. [8]AWS Machine Learning Blog: Exploring the zero operator access design of Mantle , abgerufen am 15. Juli 2026
9. [9]US Congress: H.R. 4943 CLOUD Act , abgerufen am 15. Juli 2026
10. [10]50 U.S. Code § 1881a (FISA Section 702) , abgerufen am 15. Juli 2026