KI-Kanzleisoftware und § 9 Abs. 2 RAO: Wie Anwältinnen und Anwälte in Österreich die Verschwiegenheit wahren
Praktischer Leitfaden: Wie KI-Kanzleisoftware mit der Verschwiegenheitspflicht (§ 9 Abs. 2 RAO) und der DSGVO vereinbar ist — On-Premise oder EU-Cloud, AVV, Verschlüsselung.
Anwältinnen und Anwälte in Österreich stehen vor derselben Frage, wenn sie KI-Werkzeuge einführen: Ist das mit meiner Verschwiegenheitspflicht vereinbar? Die kurze Antwort: Ja — wenn Datenflüsse, Verträge und Technik dazu passen. Die lange Antwort steht in diesem Artikel.
§ 9 Abs. 2 RAO: Was erlaubt ist und was nicht
§ 9 Abs. 2 RAO verpflichtet Rechtsanwälte zur Verschwiegenheit über anvertraute Angelegenheiten und bekannt gewordene Tatsachen, deren Geheimhaltung im Interesse der Partei liegt. Bei KI-Software müssen Kanzleien daher insbesondere Datenflüsse, Zugriffe, Auftragsverarbeitung und technische Schutzmaßnahmen vor dem Einsatz prüfen.
Zwei Betriebsmodelle kommen in Frage: Die Verarbeitung bleibt auf der Infrastruktur der Kanzlei (On-Premise), oder sie erfolgt in einer EU-Cloud — mit einem AVV, in dem alle Auftragsverarbeiter benannt sind, und getrennter Verarbeitung je Kanzlei.
On-Premise oder EU-Cloud: Welche Option für welche Kanzlei?
On-Premise bedeutet: Die Software läuft auf eigener Hardware, mit eigenen Schlüsseln. Das gibt die größte Kontrolle über die Daten — erfordert aber IT-Ressourcen oder einen betreuten Server. Subsumio bietet On-Premise im Enterprise-Tarif an.
Die EU-Cloud ist die einfachere Option: keine eigenen IT-Ressourcen, kein eigener Server. Der AVV regelt die Auftragsverarbeitung; die Daten jeder Kanzlei werden getrennt verarbeitet.
Beide Betriebsmodelle können die Einhaltung der Verschwiegenheit unterstützen. Ob die konkrete Ausgestaltung den berufs- und datenschutzrechtlichen Anforderungen entspricht, muss die Kanzlei anhand ihrer Datenflüsse und Verträge prüfen.
DSGVO: AVV, Verschlüsselung, getrennte Verarbeitung
Die DSGVO fordert technische und organisatorische Maßnahmen (TOMs). Für KI-Kanzleisoftware sind die kritischen Punkte: Verschlüsselung der gespeicherten Daten und der Übertragung, getrennte Verarbeitung je Kanzlei, kein Training von KI-Modellen mit Mandantendaten, ein AVV mit dem Anbieter und ein Löschkonzept für die Zeit nach Vertragsende.
Subsumio setzt dafür an: AES-256-Verschlüsselung der gespeicherten Daten, TLS bei der Übertragung, getrennte Verarbeitung je Kanzlei, kein Training von KI-Modellen mit Mandantendaten — und ein AVV liegt vor.
Praktische Checkliste für die Einführung
1. Entscheiden Sie: On-Premise oder EU-Cloud. 2. Prüfen Sie den AVV. 3. Stellen Sie sicher, dass kein Training mit Ihren Daten erfolgt. 4. Dokumentieren Sie die TOMs. 5. Informieren Sie Ihre Mandanten über die KI-Nutzung in der Mandatsvereinbarung.
Diese Checkliste unterstützt die berufs- und datenschutzrechtliche Prüfung der Einführung. Sie ersetzt weder die Prüfung des konkreten Betriebsmodells noch eine Datenschutz-Folgenabschätzung, sofern eine solche erforderlich ist.