203-Readiness-Report für private Krankenversicherer: § 203 Abs. 1 Nr. 6 StGB plus Art. 9 DSGVO

Rechtsgrundlagen ohne Kammer-Berufsrecht und die realistischen Bezugswege

Berufsgruppe: Private Krankenversicherung
Autor: Bert Gogolin, Geschäftsführer
Herausgeber: Gosign GmbH, Hamburg
Stand: Juli 2026

1 - Einordnung: Warum ein definierter Bezugsweg

Ob eine Kanzlei oder ein Versicherer KI mit Mandats- und Kundendaten einsetzen kann, entscheidet kein einzelnes Tool, sondern der Bezugsweg: Wer verarbeitet was, welche Verträge tragen die Einbindung, und was lässt sich nachweisen, wenn Mandantschaft, Kammer oder Aufsicht fragen. Dieser Report ordnet Ihre Lage und beschreibt die vier Stufen eines definierten Bezugswegs.

Zur nüchternen Einordnung des Risikos: § 203 StGB ist ein reines Vorsatzdelikt und wird nach § 205 StGB nur auf Strafantrag verfolgt. Es geht in der Praxis nicht um eine Drohkulisse, sondern um Nachweisbarkeit - eine Weisungslage, eine geschlossene Vertragskette und einen Bezugsweg, der die freie Tool-Nutzung ablöst.

Die rechtliche Messlatte benennen wir transparent: ein berufsrechts- und § 203-konformer Bezugsweg nach der DAV-Linie (SN 32/2025) - bei rein automatisierter Verarbeitung ohne menschlichen Klartext-Zugriff liegt danach schon kein Offenbaren vor; gerichtlich nicht abschließend geklärt. Die konservativere BRAK-Linie (bereits die Möglichkeit der Kenntnisnahme ist kritisch) nennen wir mit. Für Steuerberatung, Wirtschaftsprüfung und Notariat sind nicht die anwaltlichen Verbandslinien maßgeblich, sondern die eigenen Normen und Kammer-Aussagen - das Rechtsgrundlagen-Kapitel dieses Reports ordnet das für Ihre Berufsgruppe zu.

2 - Ihre Rechtsgrundlagen: § 203 Abs. 1 Nr. 6 StGB

Ausgangspunkt ist § 203 Abs. 1 Nr. 6 StGB: Angehörige von Unternehmen der privaten Kranken-, Unfall- oder Lebensversicherung sind Berufsgeheimnisträger. Ein Kammer-Berufsrecht wie bei Anwälten oder Steuerberatern existiert hier nicht - an dessen Stelle treten Arbeits- und Datenschutzrecht: die Weisungslage läuft über arbeitsrechtliche Instrumente, die Datenverarbeitung über die DSGVO.

Die Einbindung externer Dienstleister folgt § 203 Abs. 3 und Abs. 4 StGB: mitwirkende Personen dürfen eingebunden werden, müssen aber zur Verschwiegenheit verpflichtet und über die Strafbarkeit belehrt werden - als eigenständige Urkunde neben dem AVV.

3 - Stufe 1: Dedizierte Kanzlei-Instanz

Ein 203er-Chat als Single-Tenant-Instanz: eigene Subdomain, eigene Datenbank, eigene Schlüssel. Datei-Upload und Vorlagen inklusive, betrieben unter der Produktmarke veryai.de, ein Produkt der Gosign GmbH. Das ist ein architektonischer Unterschied zu mandantenfähigen Plattformen (viele Kanzleien, eine Datenbank) - er verändert, was Sie der Berufsaufsicht und dem Mandanten auf die Frage nach der Datenhaltung antworten können.

Profil: Kanzleien ohne eigene IT, 1 bis 50 Personen, Zielbild Chat mit Datei-Upload und Vorlagen. Die Vertragskette (Verschwiegenheitsverpflichtung nach § 203 Abs. 4 StGB in Textform, AVV, Subprozessor-Dokumentation, Einwilligungs-Muster) gehört zum Setup - nicht als Aufpreis. Der Einstieg läuft in Tagen, ohne IT-Projekt: 14 Tage kostenloser Test ohne Zahlungsdaten.

349 € / 790 € / 1.490 € im Monat je Paketgröße (bis 10 / 25 / 50 Nutzer) - inklusive 100 € KI-Budget, 14 Tage kostenlos testbar, ohne Zahlungsdaten.

4 - Stufe 2a: 203er-Token/API

OpenAI-kompatibler API-Zugang zu EU-Inferenz mit vollständiger § 203-Vertragskette und Redaktions-Gateway als Standard-Architektur. Die Kette wird als Schnittstelle bezogen: Legal-Tech-Anbieter, Software-Häuser und Kanzleien mit eigenen Werkzeugen binden KI ein, ohne die Vertragsverhandlung mit Cloud- und Modell-Anbietern selbst zu führen.

Profil: KI per API in eigene Software oder Produkte einbinden - vom internen Werkzeug bis zum Kundenprodukt. Das Preismodell ist transparent: eine Grundgebühr plus Token zum vereinbarten Satz.

Grundgebühr zwischen 99 und 299 € im Monat plus Token zum vereinbarten Satz - konkrete Sätze auf Anfrage, bis der Reseller-Vertrag mit dem EU-Inferenz-Anbieter gezeichnet ist.

5 - Stufe 2b: Setup im eigenen Cloud-Tenant

Aufbau des Bezugswegs im eigenen Microsoft- oder Google-Tenant: Ihre Cloud, Ihre Schlüssel, unsere Begleitung. Die Governance-Fragen kommen zuerst - wer hält die Schlüssel, wo läuft die Inferenz, was steht im Audit-Trail, welche Modelle sind freigegeben. Danach Antrags-Begleitung, Governance-Dokumentation und Gateway-Anbindung; DATEV-/DMS-Konnektoren kommen als paketierte Add-ons dazu.

Ihre Microsoft-Vertragslage ist Teil des Setups: Sonderfreigaben wie das Modified Abuse Monitoring stehen nur Microsoft-managed- bzw. EA-Kunden offen, und Freigaben und Zeitpläne liegen beim jeweiligen Cloud-Anbieter - über fremde Freigabeprozesse machen wir keine Zusagen. Nach dem Setup hält der Compliance-Retainer das System aktuell: Quartals-Review der Rechtslage, Modell- und Katalog-Updates, Audit-Bereitstellung, Subprozessor-Monitoring.

Setup ab 5.000 €, zzgl. Freigabezeit des Cloud-Anbieters - Compliance-Retainer zwischen 500 und 1.500 € im Monat.

6 - Stufe 3: Managed 203er-Stack

Der vollständige Stack als Projektgeschäft: Agenten für definierte Prozesse, Konnektoren in die Bestandslandschaft, Betrieb - und ein Audit-Trail, der jede Entscheidung dokumentiert (Decision-Layer). Für große Kanzleien, Versicherer und Kliniken, deren Anforderungen an Prozess-Integration und Dokumentationspflichten über einen Chat weit hinausgehen.

Profil: über 50 Berufsträger bzw. Konzern-Strukturen, eigene Agenten-Workflows und Integrationen. Der Zuschnitt entsteht in einer Discovery-Phase - Prozesse, Datenklassen, Governance-Anforderungen - und wird vor der Beauftragung beziffert.

Projektgeschäft - Preisfindung pro Projekt nach Discovery.

7 - Ihre nächsten Schritte, priorisiert

Bezugsweg-orientiert und so gebaut, dass die Liste auch dann trägt, wenn Sie nie mit uns sprechen:

1. Datenklassen trennen: Leistungsfall- und Gesundheitsdaten vs. interne Texte ohne Personenbezug.
2. DSFA-Prozess mit dem Datenschutzbeauftragten aufsetzen (Art. 35 DSGVO), bevor Leistungsfall-Daten fließen.
3. Verpflichtungs- und Subunternehmer-Kette für den gewählten Bezugsweg dokumentieren.
4. Betriebsrat und Compliance früh einbinden - die Weisungslage läuft über Arbeitsrecht.

Vertiefung online: Praxis-Leitfaden für die Private Krankenversicherung - www.gosign.de/de/berufsgeheimnistraeger/pkv/

8 - Quellen und Einordnung

Muster und Vertragskit

Muster für Mandanteneinwilligung, Verschwiegenheitsverpflichtung nach § 203 Abs. 4 StGB und Transparenzhinweis sind Bestandteil des Gosign-203er-Vertragskits, das frei einsehbar ist (v0.4, intern mehrstufig rechtsgeprüft; die externe anwaltliche Freigabe steht aus) - als Muster zur anwaltlichen Einzelfall-Anpassung, ohne Gewähr.