KI-VO Art. 99 · WPO § 68 · StGB § 203 · HGB § 323
Bußgelder und Haftung für Wirtschaftsprüfer
Vier Sanktionsregime greifen parallel: das EU-Bußgeld nach Art. 99 KI-VO, das Berufsaufsichtsverfahren der WPK mit einer Geldbuße bis 500.000 EUR, § 203 StGB bei Verschwiegenheitsbruch und, mit dem größten Hebel, die zivilrechtliche Prüfungshaftung nach § 323 HGB.
KI-VO Bußgeld-Staffel (Art. 99)
Die Staffel knüpft an drei Pflichtenkreise an: die verbotenen Praktiken nach Art. 5, die Transparenz- und Betreiberpflichten nach Art. 50 und Art. 26 samt der Kompetenzpflicht aus Art. 4, sowie Falschangaben gegenüber der Aufsicht.
| Verstoß | Norm | Höchstbetrag |
|---|---|---|
| Verbotene Praktiken (Art. 5)Für WP-Praxen praktisch irrelevant (Social Scoring, biometrische Massenerfassung). | Art. 99 Abs. 3 | 35 Mio. / 7 % Weltjahresumsatz |
| Hochrisiko- / Transparenz-Pflichten (u.a. Art. 50)Der praxisrelevante Fall: fehlende Kennzeichnung, Betreiber-Pflichten aus Art. 26, Art. 4 Kompetenz. | Art. 99 Abs. 4 | 15 Mio. / 3 % Weltjahresumsatz |
| Falschangaben gegenüber BehördenUnrichtige Auskünfte bei einer Marktüberwachungs-Prüfung. | Art. 99 Abs. 5 | 7,5 Mio. / 1 % Weltjahresumsatz |
KMU-Privileg (Art. 99 Abs. 6): jeweils der niedrigere Schwellenwert zählt. Quelle: Art. 99 KI-VO.
Beispielrechnung: 10-MA-WP-Praxis mit 3 Mio. EUR Umsatz
Nach dem KMU-Privileg gilt jeweils der niedrigere Wert, also der Umsatz-Prozentsatz:
- Verbotene Praktiken: max. 210.000 EUR (7 % von 3 Mio.)
- Hochrisiko / Transparenz: max. 90.000 EUR (3 %)
- Falschangaben: max. 30.000 EUR (1 %)
Das ist der theoretische Maximalwert. Bei Erstverstoß mit erkennbarem Bemühen ist eine Nachbesserungs-Anordnung wahrscheinlicher. Berufsrechtlich und zivilrechtlich sind die Beträge dagegen eine andere Größenordnung, siehe unten.
Berufsaufsichtliche Maßnahmen (WPO § 68)
Die WPK kann bei berufswidrigem Verhalten, wozu dauerhafter KI-Einsatz ohne dokumentierte Compliance gehört, folgende Maßnahmen verhängen:
Rüge
Mildeste Maßnahme, aktenkundig bei WPK / APAS. Oft bei erstem, leichtem Verstoß.
Geldbuße bis 500.000 EUR
Gegen den einzelnen Wirtschaftsprüfer. Gegen eine Wirtschaftsprüfungsgesellschaft bis 1 Mio. EUR (§ 68 Abs. 1 WPO). Das ist die höchste berufsrechtliche Geldbuße der drei kammergebundenen Berufe.
Tätigkeits- und Berufsverbot
Verbot der Tätigkeit auf bestimmten Gebieten, im Extremfall Berufsverbot und Ausschließung aus dem Beruf. Existenzbedrohend.
§ 203 StGB — strafrechtliche Spitze
Wer Mandantengeheimnisse ungesichert in ein KI-System gibt, etwa Jahresabschluss-Rohdaten in ein KI-Tool ohne Auftragsverarbeitung, riskiert eine Strafverfolgung wegen Verletzung von Privatgeheimnissen.
- § 203 Abs. 1 Nr. 3 StGB: Freiheitsstrafe bis 1 Jahr oder Geldstrafe (Grundtatbestand).
- § 203 Abs. 5 StGB: bis 2 Jahre bei Handeln gegen Entgelt oder in Bereicherungs-/Schädigungsabsicht.
- Prüfungsmandate: Klausel zur KI-Nutzung im Mandatsvertrag und AVV mit dem Tool-Anbieter empfohlen.
Zivilrechtliche Prüfungshaftung (§ 323 HGB)
Der wirtschaftlich größte Hebel ist nicht das Bußgeld, sondern die Haftung aus einem fehlerhaften Bestätigungsvermerk. § 323 HGB kappt die Ersatzpflicht bei Fahrlässigkeit, bei Vorsatz gilt keine Grenze:
| Fall | Haftungshöchstgrenze |
|---|---|
| Sonstige Gesellschaft, einfache Fahrlässigkeit | 1,5 Mio. EUR |
| Sonstige Gesellschaft, grobe Fahrlässigkeit | 12 Mio. EUR |
| Kapitalmarktorientierte Gesellschaft (PIE) | 16 Mio. EUR |
| Vorsatz | unbegrenzt |
Quelle: § 323 HGB iVm § 316a HGB. Ein unkritisch übernommener KI-Output im Prüfungsurteil kann den Vorwurf grober Fahrlässigkeit begründen und die Kappung auf 12 Mio. EUR anheben.
Fünf Präventionsmaßnahmen
ISA-230-konforme KI-Dokumentation
Jeder KI-gestützte Prüfungsschritt in den Arbeitspapieren: welches Tool, welche Inputdaten, welcher Output, welche menschliche Nachprüfung. Ohne diese Doku ist die Prüfungshandlung nicht verwertbar.
Berufshaftpflicht mit KI-Annex
Mit dem BHV-Versicherer klären, ob KI-gestützte Audit-Analytics gemeldet werden muss und ob Halluzinations-Schäden gedeckt sind. Vorsatz ist nie versicherbar.
Vier-Augen vor dem Bestätigungsvermerk
Kein KI-Output fließt ungeprüft in Prüfungsurteil oder Bestätigungsvermerk. Die professionelle Skepsis nach ISA 200 ist nicht delegierbar.
Vendor-Brief an Tool-Anbieter
Audit-Software- und KI-Anbieter schriftlich zur AI-Act-Konformität und zum Datenverbleib befragen. Antworten archivieren, das ist Ihre eigene Sorgfaltspflicht.
Vorfall-Logbuch
Halluzinationen, auffällige KI-Anomalien und Datenschutz-Vorfälle intern dokumentieren. Lessons-Learned-Termine als Fortbildung anrechnen.
Häufige Fragen
Welche Bußgelder treffen tatsächlich eine 10-MA-WP-Praxis?
KI-VO Art. 99: 35 Mio. / 7 % Weltjahresumsatz (Abs. 3), 15 Mio. / 3 % (Abs. 4), 7,5 Mio. / 1 % (Abs. 5). Das KMU-Privileg (Abs. 6) legt jeweils den niedrigeren Schwellenwert fest. Eine 10-MA-Praxis mit 3 Mio. EUR Umsatz kommt so beim praxisrelevanten Hochrisiko-/Transparenz-Verstoß auf maximal 90.000 EUR (3 % von 3 Mio.). Bei Erstverstoß ist eine Nachbesserungs-Anordnung wahrscheinlicher als das Maximal-Bußgeld.
Wo liegt der Unterschied zu Steuerberater und Anwalt?
Bei der berufsrechtlichen Geldbuße gegen die Person sind alle drei gleich: 50.000 EUR bei Anwalt (BRAO § 114) und Steuerberater (StBerG § 90), aber 500.000 EUR beim Wirtschaftsprüfer (WPO § 68). Die WP-Geldbuße ist also zehnfach höher. Der eigentliche Unterschied liegt aber in der zivilrechtlichen Prüfungshaftung nach § 323 HGB, die bis zu zweistelligen Millionenbeträgen reicht. Die KI-VO selbst ist berufsagnostisch und für alle drei identisch.
Wer entscheidet im Streitfall?
KI-VO-Bußgelder: die in Deutschland zuständige Marktüberwachungs-Behörde. Berufsrecht: die Wirtschaftsprüferkammer (WPK), bei Abschlussprüfungen von Unternehmen von öffentlichem Interesse zusätzlich die Abschlussprüferaufsichtsstelle (APAS beim BAFA). Strafrecht: Staatsanwaltschaft und ordentliches Gericht. Zivilrecht: das Landgericht bei Prüfungshaftungs-Klagen.
Wie hoch ist die zivilrechtliche WP-Haftung nach § 323 HGB?
Bei fahrlässiger Pflichtverletzung ist die Ersatzpflicht gekappt: 1,5 Mio. EUR bei sonstigen Gesellschaften, 12 Mio. EUR bei grober Fahrlässigkeit, 16 Mio. EUR bei kapitalmarktorientierten Gesellschaften. Bei Vorsatz entfällt die Obergrenze vollständig. Wer einen KI-Output unkritisch in den Bestätigungsvermerk übernimmt, riskiert den Vorwurf grober Fahrlässigkeit oder bedingten Vorsatzes.
Deckt die Berufshaftpflicht KI-Fehler?
Standard-Policen decken fahrlässige Berufsfehler bis zur vereinbarten Summe. KI-spezifische Halluzinations-Schäden sind in neueren Policen teils explizit ergänzt, teils ausgeschlossen. Vorsätzliche Verstöße, etwa das bewusste Unterzeichnen eines ungeprüften KI-Outputs, sind nie versicherbar. Einmal mit dem BHV-Versicherer klären, ob ein KI-Annex existiert.
Hinweis zum Leistungsumfang
Das AI-Act-Compliance-Kit ist eine technisch-organisatorische Hilfestellung zur Umsetzung der KI-Kompetenzpflicht nach Art. 4 der EU-Verordnung 2024/1689 (KI-VO) und ersetzt keine Rechtsberatung. Vorlagen, Schulungsinhalte und Dokumentationen sind redaktionell sorgfältig erstellt, können aber den Einzelfall nicht ersetzen. Für eine rechtsverbindliche Bewertung Ihrer konkreten Situation empfehlen wir die Hinzuziehung einer Rechtsanwältin oder eines Rechtsanwalts mit Schwerpunkt IT- und Versicherungsrecht. Stand der Inhalte: Mai 2026, Quelle: Verordnung (EU) 2024/1689 (KI-VO).
Sind Sie gegen alle vier Sanktionsregime abgesichert?
Der AI-Act-Check prüft KI-VO, Berufsrecht, § 203 StGB und die Prüfungshaftung.
AI-Act-Check starten