KI-Software und § 9 Abs. 2 RAO: Verschwiegenheit wahren
Praktischer Leitfaden: Wie KI-Kanzleisoftware mit der Verschwiegenheitspflicht (§ 9 Abs. 2 RAO) und der DSGVO vereinbar ist — On-Premise oder EU-Cloud, AVV, Verschlüsselung.
Anwältinnen und Anwälte in Österreich stehen vor derselben Frage, wenn sie KI-Werkzeuge einführen: Ist das mit meiner Verschwiegenheitspflicht vereinbar? Die kurze Antwort: Ja — wenn Datenflüsse, Verträge und Technik dazu passen. Die lange Antwort steht in diesem Artikel.
§ 9 Abs. 2 RAO: Was erlaubt ist und was nicht
§ 9 Abs. 2 RAO verpflichtet Rechtsanwälte zur Verschwiegenheit über anvertraute Angelegenheiten und bekannt gewordene Tatsachen, deren Geheimhaltung im Interesse der Partei liegt. Bei KI-Software müssen Kanzleien daher insbesondere Datenflüsse, Zugriffe, Auftragsverarbeitung und technische Schutzmaßnahmen vor dem Einsatz prüfen.
Zwei Betriebsmodelle kommen in Frage: Die Verarbeitung bleibt auf der Infrastruktur der Kanzlei (On-Premise), oder sie erfolgt in einer EU-Cloud — mit einem AVV, in dem alle Auftragsverarbeiter benannt sind, und getrennter Verarbeitung je Kanzlei.
On-Premise oder EU-Cloud: Welche Option für welche Kanzlei?
On-Premise bedeutet: Die Software läuft auf eigener Hardware, mit eigenen Schlüsseln. Das gibt die größte Kontrolle über die Daten — erfordert aber IT-Ressourcen oder einen betreuten Server. Bei Subsumio ist On-Premise ein Enterprise-Angebot auf Anfrage.
Die EU-Cloud ist die einfachere Option: keine eigenen IT-Ressourcen, kein eigener Server. Der AVV regelt die Auftragsverarbeitung; die Daten jeder Kanzlei werden getrennt verarbeitet.
Entscheidend ist, wohin die KI-Anfragen gehen. Bei Subsumio gehen für KI-Antworten, Suche und Diktat Textausschnitte bzw. Dokumenttexte an benannte Anbieter, darunter Anthropic und OpenRouter in den USA (Standardvertragsklauseln). Die berufliche Verschwiegenheit ist diesen Unterauftragsverarbeitern nur überbunden, soweit das ausdrücklich vereinbart ist; mehrere arbeiten zu Standardbedingungen. Der AVV weist das je Anbieter aus, damit die Kanzlei die Auswahl nach § 40 RL-BA 2015 prüfen kann.
Beide Betriebsmodelle können die Einhaltung der Verschwiegenheit unterstützen. Ob die konkrete Ausgestaltung den berufs- und datenschutzrechtlichen Anforderungen entspricht, muss die Kanzlei anhand ihrer Datenflüsse und Verträge prüfen.
DSGVO: AVV, Verschlüsselung, getrennte Verarbeitung
Die DSGVO fordert technische und organisatorische Maßnahmen (TOMs). Für KI-Kanzleisoftware sind die kritischen Punkte: Verschlüsselung der gespeicherten Daten und der Übertragung, getrennte Verarbeitung je Kanzlei, kein Training von KI-Modellen mit Mandantendaten, ein AVV mit dem Anbieter und ein Löschkonzept für die Zeit nach Vertragsende.
Subsumio setzt dafür an: TLS bei der Übertragung, verschlüsselte Ablage der hochgeladenen Originaldateien, getrennte Verarbeitung je Kanzlei, kein Training von KI-Modellen mit Mandantendaten — und ein AVV, in dem alle Auftragsverarbeiter mit Ort und Übermittlungsgrundlage benannt sind, auch die KI-Anbieter in den USA.
Praktische Checkliste für die Einführung
1. Entscheiden Sie: On-Premise oder EU-Cloud. 2. Prüfen Sie den AVV. 3. Stellen Sie sicher, dass kein Training mit Ihren Daten erfolgt. 4. Dokumentieren Sie die TOMs. 5. Informieren Sie Ihre Mandanten über die KI-Nutzung in der Mandatsvereinbarung.
Diese Checkliste unterstützt die berufs- und datenschutzrechtliche Prüfung der Einführung. Sie ersetzt weder die Prüfung des konkreten Betriebsmodells noch eine Datenschutz-Folgenabschätzung, sofern eine solche erforderlich ist.