Zum Inhalt springen

KI für Berufsgeheimnisträger: Entscheidend ist nicht, welche KI Sie nutzen - sondern über wen

68 KI-Modelle - von ChatGPT über Claude bis Llama - und für jedes ist dokumentiert: welcher Vertrag gezeichnet ist, wo die Daten verarbeitet werden und was offen bleibt. Damit Sie der Kammer zeigen können, was Sie haben, statt zu erklären, was Sie glauben.

Warum KI-Nutzung in der Kanzlei ein Bezugsweg-Thema ist

Kanzleien scheitern beim KI-Einsatz nicht an der Technik, sondern am Bezugsweg. Ein Sprachmodell, das Schriftsätze zusammenfasst, verarbeitet Mandatsgeheimnisse - und damit greift § 203 StGB, flankiert vom Berufsrecht (§ 43e BRAO, § 62a StBerG, § 50a WPO) und der DSGVO. Die Frage ist nicht, ob eine Kanzlei KI nutzen darf. Die Frage ist, über welche Vertrags- und Technikkette sie es tut.

Die Dogmatik dahinter ist präzise: Ein externer Dienstleister darf nach § 203 Abs. 3 Satz 2 StGB als mitwirkende Person eingebunden werden. Die Verschwiegenheitsverpflichtung dieses Dienstleisters folgt aus § 203 Abs. 4 Satz 2 Nr. 1 StGB, das die Verpflichtung zur Geheimhaltung verlangt; Textform und Belehrung über die Strafbarkeit fordert das Berufsrecht (§ 43e BRAO, § 62a StBerG, § 50a WPO) - bewährt dokumentiert als eigenständige Urkunde, nicht als bloße AVV-Klausel. Parallel adressiert die technische Linie das Tatbestandsmerkmal „offenbaren" in Absatz 1: Läuft die Verarbeitung rein automatisiert, ohne dass ein Mensch beim Anbieter Klartext liest, liegt nach der DAV-Linie schon kein Offenbaren vor. Beide Linien zusammen sind Belt-and-Suspenders als Risiko-Argument - keine kumulative Rechtsbedingung.

Diese Seite verbindet drei Dinge: die Rechtslage mit beiden Verbandslinien, die vier Bezugswege mit ihrem jeweiligen Status - von ChatGPT über Gemini und Claude bis zu offenen Modellen wie Llama, Mistral und Qwen - und die Lösungs-Treppe von der dedizierten Kanzlei-Instanz bis zum Managed Stack.

Das Problem: ein Vorsatzdelikt, zwei Verbandslinien, keine Rechtsprechung

Zur Einordnung gehört zuerst die strafrechtliche Präzision: § 203 StGB ist ein reines Vorsatzdelikt und nach § 205 StGB ein Antragsdelikt. Wer unbedacht ein KI-Werkzeug nutzt, ist nicht automatisch strafbar - die verbreitete Drohkulisse „KI-Chat mit Mandantendaten = Straftat" verkürzt die Rechtslage. Ernst bleibt sie trotzdem: Es geht um das Mandatsgeheimnis, um Berufsrecht und um die Frage, wem gegenüber die Kanzlei ihre Sorgfalt nachweisen kann.

Wer entscheidet, ob ein Cloud-KI-Dienst zulässig ist? Kein Gericht hat diese Frage bisher entschieden. Es stehen zwei Verbandslinien nebeneinander - und eine seriöse Anbieter-Aussage nennt beide:

Linie Kernaussage Konsequenz für die Kanzlei
DAV, Stellungnahme SN 32/2025Dienstleister dürfen ohne Mandanteneinwilligung eingebunden werden, soweit erforderlich (§ 43e Abs. 1 BRAO, § 203 Abs. 3 S. 2 StGB); zumutbare und angemessene Sicherungsmaßnahmen beschränken die Kenntnisnahme auf das Erforderliche. Eine Pflicht, den Zugriff technisch auszuschließen, besteht danach nicht.Cloud-KI ist gangbar, wenn die Erforderlichkeit begründet, die Kette verpflichtet und die Kenntnisnahme technisch beschränkt ist.
BRAK, KI-Leitfaden 12/2024Konservativer: Bereits die Möglichkeit der Kenntnisnahme durch den Anbieter ist kritisch.Die Vertragslinie (Abs.-4-Verpflichtung, geschlossene Systeme) gewinnt an Gewicht; reine Technik-Argumente reichen der Kammer-Linie nicht.

Für Steuerberater kommt die eigene Kammer-Ebene hinzu: Die Bundessteuerberaterkammer hat mit ihren FAQ zum KI-Einsatz (Stand 01/2026) die Anforderungen an Auslagerung und Einwilligung konkretisiert - § 62a StBerG verlangt bei mandatsbezogener Auslagerung die ausdrückliche Einwilligung des Mandanten. Wer Ihnen einen KI-Dienst verkauft, ohne diese Linien zu unterscheiden, verkauft Ihnen ein ungeprüftes Risiko.

Quellen: DAV-Stellungnahme SN 32/2025 (anwaltverein.de), BRAK-Leitfaden zum KI-Einsatz, Stand 12/2024 (brak.de), BStBK-FAQ zum KI-Einsatz (bstbk.de); Abruf jeweils 22.07.2026.

Die 203er-Kette: acht Glieder, kein Glied verzichtbar

Ein einzelnes Dokument macht keinen konformen Bezugsweg. Die Kette, die eine Kanzlei prüfen muss, hat acht Glieder - fehlt eines, trägt die Argumentation nicht:

1

Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Die datenschutzrechtliche Basis - notwendig, aber für § 203 allein nicht hinreichend. Die generischen Enterprise-Prüffragen dazu: AVV-Checkliste für KI-Infrastruktur.

2

Verschwiegenheitsverpflichtung nach § 203 Abs. 4 Satz 2 Nr. 1 StGB. Verpflichtung zur Geheimhaltung - dokumentiert in einer eigenständigen Urkunde mit Belehrung über die Strafbarkeit, wie es das Berufsrecht verlangt (§ 43e BRAO, § 62a StBerG, § 50a WPO) - die vertragliche Antwort auf die Einbindung des Dienstleisters als mitwirkende Person (Abs. 3 Satz 2).

3

Subunternehmer-Kette. Jedes Glied hinter dem Anbieter - Rechenzentrum, Modell-Betreiber, Support - ist benannt und gleichwertig verpflichtet.

4

Der Vermittler selbst als verpflichtetes Glied. Gosign nimmt sich nicht aus: eigene Abs.-4-Verpflichtung des eingesetzten Personals, dokumentiert im Vertragskit.

5

Verarbeitungsort: EU-Region und Deployment-Typ. Wo die Inferenz tatsächlich läuft - § 203-relevant ist der Deployment-Typ mit EU-only-Verarbeitung, nicht die Marketing-Region. Die generische Infrastruktur-Ebene (EU-Regionen, Deployment-Optionen) beschreibt Datenresidenz & DSGVO.

6

Drittlandtransfer und Auslandsschranke. Art. 44 ff. DSGVO, CLOUD-Act-Exposition und DPF-Status des Anbieters - dazu die berufsrechtliche Schranke: § 43e Abs. 4 BRAO, § 62a StBerG und § 50a WPO erlauben Dienstleister im Ausland nur bei vergleichbarem Geheimnisschutz.

7

Training-Ausschluss und Retention. Vertraglich dokumentiert: keine Nutzung zu Trainingszwecken, definierte Speicher- und Löschfristen pro Datenart.

8

Mandanteneinwilligung und Transparenz. Informationspflichten nach Art. 13/14 DSGVO; für Steuerberater und Wirtschaftsprüfer verlangen § 62a StBerG und § 50a WPO bei mandatsbezogener Auslagerung die ausdrückliche Einwilligung.

Das vertiefende Erklärstück mit Prüffragen je Glied: Die 203er-Kette - acht Glieder zwischen Mandat und Modell. Warum Consumer-Zugänge wie der private ChatGPT-Account diese Kette nicht erfüllen und wie ein konformer Weg aussieht: ChatGPT-Alternative für Kanzleien.

Die vier Bezugswege

Der 203er-Status ist nie eine Eigenschaft des Modells - er ist eine Eigenschaft der Kombination aus Modell und Bezugsweg. Dasselbe Modell kann über einen Weg tragfähig sein und über einen anderen ungedeckt. Die fachliche Modellwahl - welches Modell welche Aufgabenklasse trägt - ordnet der allgemeine Modellvergleich 2026 ein; hier geht es um die Zulässigkeits-Ebene. Vier Wege haben wir vertraglich und technisch geprüft:

Weg 1 - Microsoft Azure: die Vertragslinie

Microsoft führt einen standardisierten Verschwiegenheits-Zusatz für Berufsgeheimnisträger, abgeschlossen zwischen Kunde und Microsoft. Der Abschluss erfolgt je Kanzlei einzeln - jede Anbindung ist ein eigener Vertragsvorgang mit eigener Laufzeit. Der öffentlich dokumentierte Geltungsbereich ist Microsoft 365; für die Azure-Modelle verweist Microsoft auf die Einzelfall-Klärung. Für unsere Vertragslinie ist diese Klärung erfolgt: Wir haben die Vertragsstrecke bis zur Unterschrift geführt, sie erfasst die Azure-Modelle - die Kanzlei verhandelt den Geltungsbereich also nicht selbst. Pflicht ist ein Deployment mit EU-only-Verarbeitung. Die CLOUD-Act-Exposition bleibt bei diesem Weg bestehen - der TIA/SCC-Baustein ist deshalb Pflichtbestandteil der Kette.

Quelle: Microsoft-Learn-Dokumentation (Verschwiegenheits-Zusatz für Berufsgeheimnisträger, Abuse-Monitoring-Eligibility, Deployment-Typen); Abruf 22.07.2026.

Weg 2 - Google Vertex: Vertrags- und Technik-Linie

Für den Google-Weg ist unsere Vertragskette gezeichnet - eine Kanzlei muss dafür keinen eigenen Vertragsvorgang mit Google führen. Instrument und Geltungsbereich legen wir auf Anfrage offen: Lieferantenkette im Vertragskit (nach E-Mail-Bestätigung). Die Gosign-Kette mit eigener Abs.-4-Verpflichtung, Redaktions-Gateway und klartextfreiem Audit-Trail steht davor.

Davon zu trennen ist die technische Linie: Dass für das Gosign-eigene Google-Cloud-Projekt keine Prompts gespeichert werden, beruht auf einer gesondert genehmigten Ausnahme; die liegt extern bei Google und ist projektgebunden. Die Referenz-Konfiguration ist bewusst maximal auf No-Persistence gestellt: EU-Endpunkt, ohne Caching, ohne Abuse Monitoring. Setups im Kunden-Tenant brauchen je Projekt eine eigene Ausnahme - die Antrags-Begleitung ist Teil der Leistung.

Über dieselbe Plattform sind auch Claude Opus, Claude Sonnet und Claude Haiku beziehbar - mit Speicherfreiheit, EU-Endpunkten und ohne Content-Zugriff von Google oder Anthropic. Das ist bemerkenswerter, als es klingt: Es sind die aktuellen Spitzenmodelle, nicht eine abgespeckte Behörden-Variante. Umgekehrt gilt die Ehrlichkeit auch nach unten: Claude Fable und Claude Mythos sind nach heutigem Stand über keinen der geprüften Wege 203er-tauglich zu beziehen - wir weisen das aus, statt es zu übergehen. Modellklassen, deren Nutzungsbedingungen eine mehrwöchige Prompt-Speicherung und verpflichtende Datenweitergabe an den Modellanbieter vorsehen, sind für Berufsgeheimnisträger-Workloads bei uns gesperrt - der 203er-Modellkatalog weist das je Kombination aus Modell und Bezugsweg aus.

Quellen: Google-Cloud-Dokumentation (Data Governance, Abuse Monitoring, Cloud Data Processing Addendum), Anthropic-Dokumentation (Claude auf Vertex AI); Abruf der Dokumentation jeweils 22.07.2026.

Weg 3 - offene Modelle bei einem EU-Betreiber ohne US-Konzernmutter

EU-Inferenz offener Modelle bei einem europäischen Anbieter ohne US-Konzernmutter - die CLOUD-Act-Frage entfällt strukturell, die berufsrechtliche Auslandsschranke wird nicht berührt. Im Angebot stehen acht Modelle: Llama, Mistral, Qwen, Apertus, Gemma, GPT-OSS, DeepSeek und Kimi - welche Kombination aus Modell und Bezugsweg dabei welchen Status trägt, führt der 203er-Modellkatalog nach. Die § 203-Zusatzvereinbarung mit dem Betreiber ist gezeichnet, ebenso der Reseller-Vertrag: Verschwiegenheitsverpflichtung in Textform mit Belehrung über die Strafbarkeit, Kettenverpflichtung auf dessen Subunternehmer. Dieser Weg trägt die Token-/API-Angebote der Lösungs-Treppe.

Weg 4 - dieselbe Kette, aber der Rechner steht in Deutschland

Für den zweiten Weg besteht seit 2021 eine standardisierte § 203-Verschwiegenheitsvereinbarung aus deutschen Rechenzentren. Wir haben sie gezeichnet, einschließlich der Geltung für die AI Foundation Services (LLM Hub) - dort laufen unter anderem DeepSeek R1, Llama und Mistral Small managed über eine OpenAI-kompatible API. Preise laufen über den Vertrieb.

Quelle: unser Betreiber in deutschen Rechenzentren / T-Cloud-Public-Dokumentation (AI Foundation Services); Abruf 22.07.2026.

Weg 3 oder Weg 4 - woran Sie es festmachen

Beide Wege sind ohne US-Konzernmutter, bei beiden ist die Kette gezeichnet, beide tragen offene Modelle. Der Unterschied liegt an drei Stellen - und die entscheiden meist schon vorab, welcher Weg für Sie der richtige ist.

Kriterium Weg 3 - EU-Betreiber Weg 4 - deutsche Rechenzentren
Ort der VerarbeitungEUDeutschland
ModellauswahlAcht Sprachmodelle, darunter Apertus und KimiBreiter: zusätzlich Spezialmodelle für Transkription, Embeddings und Code
Vertragsgrundlage§ 203-Zusatzvereinbarung und Reseller-Vertrag, von uns mit dem Betreiber gezeichnetSeit 2021 standardisierte § 203-Verschwiegenheitsvereinbarung, von uns gezeichnet
Passt, wennSie Token oder API über uns beziehen und EU als Verarbeitungsraum genügtIhre Mandanten oder Ihre interne Richtlinie deutschen Boden verlangen, oder Sie Transkription und Suche brauchen
Kombination (Modell × Bezugsweg) 203er-Status Woran der Status hängt
Offene Modelle (Llama, Mistral, Qwen) × EU-Inferenz über die Gosign-Kettegedeckt (produktiv nach Vertragszeichnung)EU-Anbieter + § 203-Zusatzvereinbarung, keine US-Konzernmutter
DeepSeek R1 × die Gosign-Kette in deutschen RechenzentrengedecktDeutsche Rechenzentren + standardisierte § 203-VV seit 2021
GPT × AzuregedecktVertragsstrecke geführt und gezeichnet, sie umfasst die Azure-Modelle; EU-only-Verarbeitung Pflicht; CLOUD-Act-Exposition bleibt
Gemini × Google-EU über Gosign-GatewaybedingtVertragskette für den Google-Weg ist gezeichnet; bedingt wegen CLOUD-Act-Exposition und projektgebundener Ausnahme beim Prompt-Logging
Claude (Standard) × Google-EU über Gosign-GatewaybedingtWie Gemini - die § 203-Vereinbarung hängt am Dienst und erfasst die Partner-Modelle mit; Speicherfreiheit, EU-Endpunkt, kein Content-Zugriff des Modellanbieters
Beliebiges Modell × Direktbezug ohne Vertrag/AusnahmeungedecktWeder Vertrags- noch Technik-Linie trägt

„Gedeckt / bedingt / ungedeckt" beschreibt die Vertrags- und Technik-Lage der jeweiligen Kombination nach unserem Bezugswege-Dossier (Stand 22.07.2026) - bewertet nach der DAV-Linie (SN 32/2025), gerichtlich nicht abschließend geklärt. Diese Übersicht ist keine Rechtsberatung.

Die Lösungs-Treppe: vier Stufen, ein Prinzip

Nicht jede Kanzlei braucht denselben Bezugsweg. Eine Drei-Personen-Kanzlei ohne IT hat andere Anforderungen als eine Sozietät mit eigenem Microsoft-Vertrag. Die Treppe ordnet - und auf jeder Stufe gilt dasselbe Prinzip: Redaktions-Gateway und klartextfreier Audit-Trail sind als Standard-Architektur vorgesehen, nie als Aufpreis.

Stufe 1 - Dedizierte Kanzlei-Instanz

Ein 203er-Chat als Single-Tenant-Instanz: eigene Subdomain, eigene Datenbank, eigene Schlüssel - kein geteilter Mandanten-Pool. Datei-Upload und Vorlagen inklusive. Betrieben unter der Produktmarke veryai.de, ein Produkt der Gosign GmbH.

Sie erkennen sich wieder, wenn: 1–50 Personen, keine eigene IT-Abteilung - Sie wollen diese Woche anfangen, nicht nach einem Infrastruktur-Projekt.

Stufe 2a - 203er-Token/API

OpenAI-kompatibler API-Zugang zu EU-Inferenz offener Modelle - mit vollständiger Vertragskette; das Redaktions-Gateway davor ist die verbindliche Zielarchitektur dieses Wegs. Für Legal-Tech-Anbieter, Software-Häuser und Kanzleien, die eigene Werkzeuge bauen, aber keinen eigenen Cloud-Vertrag verhandeln wollen.

Sie erkennen sich wieder, wenn: Sie entwickeln selbst Software oder Automatisierungen und brauchen den konformen Unterbau - nicht noch ein Chat-Frontend.

Was wir bisher zu leise gesagt haben: An Ihrem Verbrauch verdienen wir nichts. Die Token-Kosten reichen wir zum Einkaufspreis durch, ohne Aufschlag. Verdient wird an der Einrichtung, der Vertragskette und dem Betrieb - nicht daran, wie viel Sie das System nutzen. Der Unterschied wächst mit der Nutzung: Bei einer Nutzungspauschale zahlen Sie einen Preis, in den der Verbrauch anderer einkalkuliert ist. Hier zahlen Sie Ihren eigenen. Wer ernsthaft mit KI arbeitet, fährt damit günstiger - und sieht in der Abrechnung, wofür.

Stufe 2b - Setup im eigenen Tenant + Compliance-Retainer

Aufbau des Bezugswegs im eigenen Azure- oder Google-Tenant: Amendment- bzw. Ausnahme-Antragsbegleitung, EU-Data-Zone-Deployment, Governance-Dokumentation - danach laufende Betreuung per Retainer. Ehrlich gesagt: Der Azure-Weg setzt Microsoft-managed- bzw. EA-Status voraus, und Freigabe wie Zeitplan liegen bei Microsoft beziehungsweise Google - wir begleiten den Antrag, wir versprechen keinen fremden Kalender.

Sie erkennen sich wieder, wenn: eigene IT, eigener Microsoft- oder Google-Vertrag - Sie wollen die Kette im eigenen Haus halten und gegenüber Mandanten selbst zeichnen.

Stufe 3 - Managed 203er-Stack + Agenten

Für große Kanzleien, Versicherer und Kliniken: der vollständige Stack mit Konnektoren in die Bestandslandschaft, Agenten für definierte Prozesse und Decision-Layer-Architektur - jede Entscheidung dokumentiert, jeder Zugriff nachvollziehbar.

Sie erkennen sich wieder, wenn: mehrere Standorte, DMS- und Fachverfahrens-Landschaft, eigene Prozesse - und Prüfungs- wie Dokumentationspflichten, die über einen Chat weit hinausgehen.

Der Redaktions-Gateway ist auf allen Stufen gleich konzipiert: Pseudonymisierung vor dem Modell-Aufruf, Wieder-Einsetzung danach, Audit-Trail ohne Klartext. Das ist Datenminimierung und Defense-in-Depth - nicht die Erfüllungsbedingung des § 203. Die trägt die Vertragskette. Preise und Leistungsschnitt jeder Stufe stehen auf der Angebots-Übersicht - inklusive der drei Fragen zur Selbst-Einordnung.

Das 203er-Vertragskit: fünf Bausteine offen, zwei nach E-Mail-Bestätigung

Nachweisbarkeit heißt: Sie können die Vertragsbausteine lesen, bevor Sie mit uns sprechen. In unserem eigenen Markt-Screening vom 22.07.2026 - Kriterien und Trefferliste legen wir im Gespräch offen - fanden wir bei rund 8 von rund 25 geprüften Anbietern überhaupt ein belastbares Vertragsdokument - und bei keinem die Kombination aus frei einsehbarem Dokument vor jeder Registrierung, eigenständiger Abs.-4-Urkunde und anwaltlicher Freigabe. Dahinter steht, was ein Screening nicht sieht: Unsere Vertragskette ist sowohl für den Google-Weg als auch für den Azure-Weg gezeichnet - zwei tatsächliche Unterschriften, keine Absichtserklärungen. Das ist der Unterschied zwischen einem Versprechen und einer Unterschrift. Zwei der drei Elemente sind seit v0.4 live (frei einsehbar, eigenständige Urkunde). Das Kit umfasst:

Der Status, ehrlich benannt: Fünf der sieben Bausteine sind frei einsehbar (v0.11), die Subprozessor-Dokumentation und der vollständige TIA/SCC-Baustein nach E-Mail-Bestätigung. Den Nutzungs-Rahmen erklärt das README des Kits (DOCX). Jedes Dokument trägt den Hinweis: Muster zur anwaltlichen Einzelfall-Anpassung, ohne Gewähr, ersetzt keine Rechtsberatung.

Ihre Berufsgruppe, Ihre Rechtsgrundlage

Die DAV-Linie gilt anwaltlich - Steuerberater, Wirtschaftsprüfer, Notare, Heilberufe und private Versicherer haben eigene, teils konservativere Regeln. Deshalb mappt jeder Spoke seine eigene Rechtsgrundlage. Wer zuerst wissen will, ob er überhaupt dazugehört, findet den vollständigen Personenkreis des § 203 StGB auf der Nachschlage-Seite zum Täterkreis.

Wer hinter dem Angebot steht

Die Vertragskette zeichnet die Gosign GmbH - deshalb wohnt der Nachweis auf dieser Firmen-Domain. Gosign entwickelt seit 25 Jahren Software in Hamburg, mit 108 Mitarbeitern und über 5.000 Projekten. Die dedizierten Kanzlei-Instanzen der Stufe 1 laufen unter der Produktmarke veryai.de; Token-Pakete, Tenant-Setups und der Managed Stack sind Gosign-Leistungen mit Gosign-Vertragskette. Referenz-Kanzleien entstehen derzeit im Design-Partner-Programm - die ersten Plätze sind offen.

Diese Seite beschreibt Vertrags- und Architektur-Bausteine aus Anbieter-Perspektive. Die berufsrechtliche Bewertung des Einzelfalls obliegt der Kanzlei und ihren Beratern - wir liefern die Kette und die Dokumente, auf denen diese Bewertung aufsetzen kann.

Eine Kanzlei, die andere auf Compliance prüft - und uns geprüft hat

Roser Rechtsanwälte Wirtschaftsprüfer Steuerberater ist eine multidisziplinäre Kanzlei mit 38 Berufsträgern und rund 100 Mitarbeitenden. Der Betrieb prüft Mandanten auf Compliance - und legt an die eigene KI-Infrastruktur denselben Maßstab an. Geliefert wurde eine Umgebung mit mandantengetrennter Zugriffskontrolle, serverseitig erzwungener Anbieter-Freigabe und lückenlosem Audit-Trail.

„Als Steuerberater und Wirtschaftsprüfer prüfen wir andere auf Compliance - da müssen unsere eigenen Systeme erst recht einwandfrei sein. Die Governance-Architektur von Gosign erfüllt genau die Standards, die wir bei unseren Mandanten anlegen."

Geschäftsführer, Roser Rechtsanwaltsgesellschaft mbH

Weitere Projekte führt die Seite Referenzen.

Wo Sie jetzt anfangen

Zwei Wege, je nachdem, wie weit Sie sind. Wenn Sie erst wissen wollen, wo Ihre Kanzlei steht, beantworten Sie den Readiness-Check - er dauert wenige Minuten und liefert eine Einschätzung, keine Verkaufsmail. Wenn die Frage konkreter ist, sprechen wir darüber, welcher der vier Bezugswege zu Ihrer Konstellation passt.

Sie wollen zuerst die Verträge sehen? Das 203er-Vertragskit liegt offen - fünf Bausteine als PDF und DOCX, ohne Formular.

Häufige Fragen zu KI und § 203 StGB

Ist die Nutzung von KI mit Mandatsdaten strafbar?

§ 203 StGB ist ein reines Vorsatzdelikt - strafbar ist das vorsätzliche unbefugte Offenbaren eines fremden Geheimnisses, nicht die unbedachte Werkzeugwahl. Verfolgt wird zudem nur auf Strafantrag (§ 205 StGB). Entscheidend ist der Bezugsweg - das gilt für ChatGPT und die übrigen Modelle der GPT-Familie genauso wie für jedes andere Modell: Beide gehen davon aus, dass ein Offenbaren vorliegt - schon der Speichervorgang bei einem externen Anbieter erfüllt das nach der Gesetzesbegründung. Erlaubt ist es nach § 43e Abs. 1 BRAO und § 203 Abs. 3 S. 2 StGB, soweit es für die Inanspruchnahme der Dienstleistung erforderlich ist. Die DAV-Stellungnahme SN 32/2025 verlangt dafür zumutbare und angemessene Sicherungsmaßnahmen zur Beschränkung der Kenntnisnahme und wendet sich ausdrücklich gegen die Lesart, der Zugriff müsse technisch ausgeschlossen sein; der BRAK-Leitfaden (12/2024) verlangt, bei Cloud-Diensten sehr genau zu prüfen, ob der Anbieter absoluten Zugriff auf vertrauliche Informationen hat. Gerichtlich ist die Auslegung der Erforderlichkeit nicht abschließend geklärt - deshalb arbeiten wir mit einer vollständigen Vertrags- und Technikkette statt mit Zusicherungen.

Reicht ein Auftragsverarbeitungsvertrag (AVV)?

Nach überwiegender Auffassung nicht. Der AVV erfüllt Art. 28 DSGVO - er ersetzt nicht die Verschwiegenheitsverpflichtung nach § 203 Abs. 4 Satz 2 Nr. 1 StGB, mit der die mitwirkende Person (§ 203 Abs. 3 Satz 2 StGB) zur Geheimhaltung verpflichtet wird; strafbewehrt ist das, weil sie bei unbefugtem Offenbaren nach § 203 Abs. 4 Satz 1 StGB selbst strafbar ist. Textform und Belehrung über die Strafbarkeit verlangt das Berufsrecht (§ 43e BRAO, § 62a StBerG, § 50a WPO). Es gibt allerdings eine Gegenauffassung: Weil § 203 StGB keine über die Textform hinausgehende Form verlangt und jeder AVV zwingend eine Vertraulichkeitsklausel enthält, könne der AVV die strafrechtliche Anforderung bereits erfüllen (Keiper, tax & bytes / NWB, 22.07.2026, Abruf 26.07.2026). Der Autor kennzeichnet das selbst als teleologische Auslegung ohne bestätigende Kommentierung oder Rechtsprechung. Wir zeichnen die eigenständige Abs.-4-Urkunde trotzdem, weil eine ungeklärte Auslegungsfrage keine tragfähige Grundlage für eine Kanzlei-Entscheidung ist - und weil eine ausdrückliche Belehrung über die Strafbarkeit im Streitfall nachweisbar ist, eine allgemeine Vertraulichkeitsklausel nicht. Die 203er-Kette hat acht Glieder; AVV und Abs.-4-Urkunde sind zwei davon.

Muss der KI-Einsatz überhaupt „erforderlich" sein?

Ja, und das ist eine eigene Hürde vor der ganzen Vertragskette. § 43e Abs. 1 BRAO erlaubt die Eröffnung des Zugangs zu geschützten Tatsachen nur, „soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist"; § 62a StBerG und § 50a WPO sind parallel gebaut. Praktisch heißt das zweierlei. Erstens ist die Frage nicht, ob KI allgemein nützlich ist, sondern ob für diesen konkreten Arbeitsschritt die Offenbarung geschützter Tatsachen nötig ist - ein Entwurf ohne Mandatsbezug, eine Recherche zu einer Rechtsfrage oder ein zuvor geschwärzter Text berühren die Schwelle gar nicht erst. Zweitens ist Erforderlichkeit eine Mengenfrage: Es dürfen nur die Daten fließen, die der Schritt braucht, nicht die vollständige Akte, weil sie ohnehin vorliegt. Deshalb sind Datenminimierung und Redaktion bei uns Architektur und nicht Zubehör - sie senken nicht nur das Schadenspotenzial, sie halten den Einsatz in dem Rahmen, den das Berufsrecht überhaupt zulässt. Die Erforderlichkeitsprüfung steht vor der Vertragskette und wird von ihr nicht ersetzt: Sie entscheidet, welche Daten überhaupt fließen - die Kette entscheidet, unter welchen Pflichten sie fließen. (Quelle: § 43e Abs. 1 BRAO, gesetze-im-internet.de, Abruf 26.07.2026.)

Was ist mit US-Anbietern?

Zwei getrennte Prüfungen. Erstens die DSGVO-Ebene: Drittlandtransfer nach Art. 44 ff. DSGVO, CLOUD-Act-Exposition und der DPF-Status des Anbieters. Zweitens die berufsrechtliche Auslandsschranke: § 43e Abs. 4 BRAO, § 62a StBerG und § 50a WPO erlauben Dienstleister im Ausland nur bei vergleichbarem Geheimnisschutz - US-Sub-Processing kann damit unabhängig vom Vertragswerk unzulässig sein. Wer beide Themen strukturell vermeiden will, wählt die CLOUD-Act-freien Säulen: EU-Inferenz offener Modelle über EU-Inferenz über einen von uns angebundenen Betreiber oder die Gosign-Kette in deutschen Rechenzentren.

Ersetzt Pseudonymisierung die Verschwiegenheitsverpflichtung?

Nein. Redaktion und Pseudonymisierung sind Datenminimierung und Defense-in-Depth - keine Erfüllungsbedingung des § 203. Pseudonymisierte Daten bleiben personenbezogene Daten (EDPB-Stellungnahme 28/2024), und § 203 schützt das Geheimnis selbst, nicht nur Namenskategorien. Die Konformitäts-Argumentation trägt die Kombination aus vertraglicher Abs.-4-Verpflichtung und dem Tatbestands-Argument zum Offenbaren (Abs. 1, DAV-Linie); die Redaktion senkt zusätzlich das Restrisiko.

Gilt die DAV-Linie auch für Steuerberater und Wirtschaftsprüfer?

Die DAV-Stellungnahme ist eine anwaltliche Verbands-Auffassung. Für Steuerberater und Wirtschaftsprüfer gelten § 62a StBerG und § 50a WPO mit eigenen Anforderungen - insbesondere der ausdrücklichen Mandanteneinwilligung bei mandatsbezogener Auslagerung - sowie die Hinweise der Bundessteuerberaterkammer (BStBK-FAQ, Stand 01/2026). Der Spoke für Steuerberater und Wirtschaftsprüfer mappt die eigene Rechtsgrundlage im Detail.

Wann ist das 203er-Vertragskit verfügbar?

Jetzt: Das Kit ist als v0.11 unter /de/berufsgeheimnistraeger/vertragskit/ gesammelt - eigenständige Abs.-4-Zusatzvereinbarung, AVV-Baustein, Subprozessor-Dokumentation, TIA/SCC-Baustein, DSFA-Vorlage, Retention-Matrix mit Muster-Einwilligungen. Fünf der sieben Bausteine sind frei einsehbar vor jeder Registrierung, die Subprozessor-Dokumentation und der vollständige TIA/SCC-Baustein nach E-Mail-Bestätigung. Es ist Jedes Dokument ist ein Muster zur anwaltlichen Einzelfall-Anpassung, ohne Gewähr - es ersetzt keine Rechtsberatung.

Welcher Bezugsweg passt zu Ihrer Kanzlei?

Wir gehen Ihre Ausgangslage durch - Berufsgruppe, IT-Situation, Mandatsstruktur - und benennen den Bezugsweg mit seiner Vertragskette. Ohne Registrierung, ohne Verkaufsdruck.