„Ist ChatGPT DSGVO-konform?" ist eine der häufigsten Fragen, die uns Kanzleien stellen. So verständlich sie ist, führt sie in die Irre. Denn dasselbe Produkt kann in der einen Variante völlig ungeeignet und in der anderen sauber einsetzbar sein. Es kommt darauf an, welche Fassung Sie nutzen und wie sie eingerichtet ist.
Warum die Frage nach dem konformen Tool in die Irre führt
Ein KI-Dienst besteht aus mehr als dem Modell, das die Antworten schreibt. Dahinter stehen Server an einem bestimmten Ort, Vertragsbedingungen zur Nutzung Ihrer Daten und Einstellungen, die festlegen, wer worauf zugreifen darf. Genau diese Rahmenbedingungen entscheiden über die Konformität, nicht die Qualität der Antworten. Deshalb ist die bessere Frage: Unter welchen Bedingungen darf dieses System Mandantendaten verarbeiten?
Die vier Kriterien, auf die es ankommt
Ob eine Lösung für eine Steuerkanzlei taugt, lässt sich an vier Punkten festmachen:
- EU-Datenhaltung: Werden die Daten innerhalb der Europäischen Union verarbeitet und gespeichert? Übertragungen in Drittländer brauchen zusätzliche, tragfähige Grundlagen.
- Auftragsverarbeitungsvertrag: Bietet der Anbieter einen Vertrag nach Art. 28 DSGVO an, der die Verarbeitung auf Ihre Weisung beschränkt?
- Kein Training mit Ihren Eingaben: Ist vertraglich und technisch ausgeschlossen, dass Ihre Inhalte zur Verbesserung fremder Modelle genutzt werden?
- Dokumentierte Zugriffsrechte: Ist nachvollziehbar, wer in der Kanzlei welche Funktionen nutzen darf, und lässt sich das steuern?
Sind diese vier Punkte erfüllt, spricht datenschutzrechtlich wenig gegen den Einsatz. Fehlt einer, wird es heikel. Diese Kriterien greifen eng mit der Frage nach dem Mandatsgeheimnis ineinander.
Zwei Wege, die in der Praxis funktionieren
Große Anbieter in der Enterprise-Variante
Etablierte Anbieter stellen abgesicherte Geschäftsversionen bereit, die EU-Datenräume, einen Auftragsverarbeitungsvertrag und den Ausschluss des Trainings mit Ihren Daten vorsehen. Der Vorteil: ausgereifte Modelle und wenig eigener Aufwand. Wichtig ist, wirklich die passende Variante zu buchen und nicht die kostenlose Consumer-Version.
Ein eigener, geschützter Kanzlei-Workspace
Alternativ lässt sich ein abgeschotteter Arbeitsbereich aufbauen, in dem die Kanzlei die Kontrolle über Daten und Zugriffe behält. Das eignet sich besonders, wenn internes Wissen durchsuchbar werden soll oder mehrere Anwendungen zusammenspielen. Diesen Weg beschreiben wir bei den Kanzlei-Wissenssystemen.
Woran Sie ungeeignete Tools erkennen
Vorsicht ist geboten, wenn ein Dienst keinen Auftragsverarbeitungsvertrag anbietet, den Serverstandort verschweigt, sich in den Bedingungen weitreichende Nutzungsrechte an Ihren Eingaben einräumt oder keine echte Nutzerverwaltung kennt. Kostenlose Apps ohne klare Geschäftskonditionen fallen fast immer in diese Kategorie. Bequemlichkeit ersetzt hier keine Prüfung.
Wie Sie zu einer belastbaren Entscheidung kommen
Statt lange nach dem einen konformen Tool zu suchen, lohnt sich der umgekehrte Weg: erst festlegen, welche Aufgaben KI in Ihrer Kanzlei übernehmen soll und welche Daten dabei berührt werden, dann die Systeme anhand der vier Kriterien prüfen. So entsteht eine Entscheidung, die zu Ihrer Kanzlei passt und die Sie auch gegenüber Mandanten und Aufsicht begründen können. Kanzleistrategen trifft diese Auswahl gemeinsam mit Ihnen und dokumentiert sie nachvollziehbar.
Dieser Beitrag gibt eine allgemeine Orientierung und ersetzt keine individuelle datenschutzrechtliche Prüfung.