KI-Kanzleisoftware und § 203 StGB: Wie Anwälte in DACH mandantendaten-sicher bleiben
Praktischer Leitfaden: Wie KI-Kanzleisoftware mit § 203 StGB, DSGVO und Berufsgeheimnis-Pflichten vereinbar ist — Self-Hosting vs. EU-Cloud, AVV, Verschlüsselung.
Anwälte in Deutschland, Österreich und der Schweiz stehen vor derselben Frage, wenn sie KI-Tools einführen: Ist das mit meiner Schweigepflicht vereinbar? Die kurze Antwort: Ja — wenn die Architektur für Berufsgeheimnisträger gebaut ist. Die lange Antwort steht in diesem Artikel.
§ 203 StGB: Was erlaubt ist und was nicht
§ 203 StGB verbietet die unbefugte Offenbarung von Fremdgeheimnissen. Für Anwälte bedeutet das: Mandantendaten dürfen nicht an Dritte gelangen, die nicht unter der Schweigepflicht stehen. Eine KI-Software, die Mandantendaten an einen US-Cloud-Anbieter sendet, ohne dass ein AVV (Auftragsverarbeitungsvertrag) besteht und die Verschlüsselung mandantensepariert erfolgt, verletzt diese Pflicht.
Die Lösung ist architektonisch: Entweder bleibt die Datenverarbeitung vollständig innerhalb der Kanzlei (Self-Hosting) oder sie erfolgt in einer EU-Cloud mit AVV, mandantenseparierter Verschlüsselung und ohne Zugriff Dritter auf unverschlüsselte Daten.
Self-Hosting vs. EU-Cloud: Welche Option für welche Kanzlei?
Self-Hosting bedeutet: Die KI-Engine läuft auf eigener Hardware, mit eigenen Schlüsseln. Mandantendaten verlassen niemals die Kanzlei. Das ist die sicherste Option — erfordert aber IT-Ressourcen oder einen verwalteten Server.
Die EU-Cloud ist die einfachere Option: Keine IT-Ressourcen nötig, kein Server-Management. Der AVV regelt die Auftragsverarbeitung. Die Verschlüsselung erfolgt mandantensepariert — keine andere Kanzlei hat Zugriff auf deine Daten.
Beide Optionen sind mit § 203 StGB vereinbar. Die Wahl hängt von Kanzleigröße, IT-Kapazität und Risikopräferenz ab.
DSGVO: AVV, Verschlüsselung, Mandantenseparation
Die DSGVO fordert technische und organisatorische Maßnahmen (TOMs). Für KI-Kanzleisoftware sind die kritischen TOMs: Verschlüsselung at-rest und in-transit, mandantenseparierte Verarbeitung, kein Training auf Mandantendaten, AVV mit dem Cloud-Anbieter, und Löschkonzept für Mandantendaten nach Beendigung.
Subsumio erfüllt alle diese Anforderungen: AES-256-Verschlüsselung at-rest, TLS 1.3 in-transit, mandantenseparierte Verarbeitung, kein Training auf geteilten Modellen, und ein AVV liegt vor.
Praktische Checkliste für die Einführung
1. Entscheide: Self-Hosting oder EU-Cloud. 2. Prüf den AVV. 3. Stell sicher, dass kein Training mit deinen Daten erfolgt. 4. Dokumentiere die TOMs. 5. Informiere deine Mandanten über die KI-Nutzung in der Mandatsvereinbarung.
Mit dieser Checkliste ist die Einführung von KI-Kanzleisoftware mit § 203 StGB und DSGVO vereinbar — und du kannst die Effizienzgewinne nutzen, ohne Haftungsrisiken einzugehen.