Kaum eine Frage taucht in Kanzleien so schnell auf wie diese: Dürfen wir KI überhaupt einsetzen, wenn wir zur Verschwiegenheit verpflichtet sind? Die Sorge ist berechtigt, die pauschale Antwort „nein" aber falsch. Wer die Bedingungen kennt, kann KI rechtssicher nutzen, ohne das Mandatsgeheimnis zu gefährden.
Was § 203 StGB wirklich verlangt
§ 203 StGB stellt das unbefugte Offenbaren eines fremden Geheimnisses unter Strafe, das einem Berufsgeheimnisträger anvertraut wurde. Steuerberaterinnen und Steuerberater gehören ausdrücklich dazu. Verboten ist also nicht der Einsatz von Software, sondern dass ein Geheimnis Personen zugänglich wird, die es nichts angeht.
Genau hier liegt der Schlüssel. Eine KI ist zunächst nur ein Werkzeug. Ob mit ihr ein Geheimnis offenbart wird, hängt davon ab, wer im Hintergrund technisch Zugriff auf die Eingaben hat und was mit ihnen geschieht. Bleibt die Verarbeitung in einem abgesicherten, vertraglich gebundenen Rahmen, wird nichts unbefugt offenbart.
Die technische Bedingung: eine geschützte Umgebung
Die erste Voraussetzung ist eine Umgebung, die für vertrauliche Daten gebaut ist. Konkret bedeutet das:
- EU-Datenhaltung: Verarbeitung und Speicherung finden innerhalb der Europäischen Union statt, nicht auf Servern in Drittländern ohne angemessenes Schutzniveau.
- Kein Training mit Ihren Eingaben: Der Anbieter darf die eingegebenen Inhalte nicht verwenden, um seine Modelle weiterzutrainieren.
- Verschlüsselung und Zugriffsschutz: Daten sind auf dem Transportweg und im Ruhezustand verschlüsselt, Zugriffe sind protokolliert.
Frei zugängliche Consumer-Versionen bekannter Chatbots erfüllen das in der Regel nicht. Sie sind bequem, aber ihre Standardbedingungen sind für Mandantendaten der falsche Rahmen. Welche Systeme diese Anforderungen erfüllen, erklären wir im Beitrag zu DSGVO-konformen KI-Tools.
Die rechtliche Bedingung: Auftragsverarbeitung und Verschwiegenheit
Technik allein genügt nicht. Sobald ein externer Anbieter Mandantendaten verarbeitet, braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Er legt fest, dass der Anbieter die Daten nur weisungsgebunden verarbeitet, sie nicht für eigene Zwecke nutzt und sie angemessen schützt.
Für Berufsgeheimnisträger kommt eine zweite Ebene hinzu. § 203 Abs. 3 StGB erlaubt die Einbindung sonstiger mitwirkender Personen, wenn diese ihrerseits zur Verschwiegenheit verpflichtet werden. Ein IT-Dienstleister, der Zugriff auf geschützte Daten haben könnte, muss also vertraglich in die Verschwiegenheit eingebunden sein. Beides zusammen, Auftragsverarbeitung und Verschwiegenheitsverpflichtung, bildet das rechtliche Fundament.
Die organisatorische Bedingung: klare interne Regeln
Der dritte Baustein wird oft unterschätzt. Selbst die beste Umgebung hilft nicht, wenn niemand weiß, was hineingehört und was nicht. Deshalb braucht jede Kanzlei einfache, verbindliche Regeln:
- Welche Daten dürfen in welches System eingegeben werden, und welche grundsätzlich nicht?
- Wer gibt eine neue Anwendung frei, bevor sie mit echten Akten genutzt wird?
- An welcher Stelle prüft immer noch ein Mensch das Ergebnis, bevor es zum Mandanten geht?
Dieses Prinzip, den Menschen an den entscheidenden Stellen in der Schleife zu halten, ist kein Bremsklotz, sondern der Grund, warum KI in einer Kanzlei überhaupt verantwortbar ist.
Was das für Ihre Kanzlei heißt
Das Mandatsgeheimnis ist kein Argument gegen KI, sondern ein Argument für den richtigen Aufbau. Kanzleien, die von Anfang an in einer geschützten Umgebung arbeiten, die Verträge sauber schließen und interne Regeln festlegen, können die Vorteile nutzen, ohne ein Risiko einzugehen. Kanzleistrategen klärt genau diese Rahmenbedingungen, bevor die erste echte Mandantenakte im System landet, und begleitet die schrittweise Einführung.
Dieser Beitrag gibt eine allgemeine Orientierung und ersetzt keine individuelle rechtliche Prüfung des Einzelfalls.