Die 203er-Kette
„§ 203-konform" ist ein Satz. Eine Kette ist ein Nachweis. Acht Glieder entscheiden, ob KI-Einsatz mit Mandats- und Patientendaten auf einem tragfähigen Bezugsweg läuft - jedes fehlende Glied ist die Stelle, an der ein Anbieter-Zusage reißt.
Auswahl aus über 5.000 Projekten in 25 Jahren Softwareentwicklung
Warum eine Kette - und nicht ein Zertifikat
Wer Anbieter-Zusagen wie „§ 203-konform" prüfen will, braucht ein Prüfraster, kein Vertrauen. Die 203er-Kette ist dieses Raster: acht Glieder aus Vertrag und Technik, die zusammen den Bezugsweg tragen. Jedes Glied ist einzeln prüfbar - als Dokument, als Konfiguration oder als benannte Zuständigkeit. Fehlt eines, hängt die gesamte Aussage in der Luft. Dieses Erklärstück vertieft die Kette, die die Übersichtsseite KI für Berufsgeheimnisträger (§ 203) einführt - Glied für Glied, mit der Prüffrage und der Belegform dazu.
Der dogmatische Rahmen dahinter, transparent benannt: § 203 Abs. 3 Satz 2 StGB erlaubt die Einbindung mitwirkender Personen - dazu zählen nach herrschender Lesart auch IT- und KI-Dienstleister. § 203 Abs. 4 Satz 2 Nr. 1 StGB verlangt dafür deren Verpflichtung zur Verschwiegenheit. Die technische Linie „kein menschlicher Klartext-Zugriff" beseitigt das Offenbaren dagegen nicht: Nach der DAV-Linie (SN 32/2025) ist schon das Speichern beim Anbieter ein Offenbaren, weil dessen Personal zugreifen könnte. Sie zählt bei der Erforderlichkeit: Erlaubt ist das Offenbaren, soweit es für die Dienstleistung erforderlich ist, und der DAV verlangt zumutbare Sicherungsmaßnahmen, die die Kenntnisnahme auf das Erforderliche beschränken. Die BRAK ist strenger: Nach ihrem KI-Leitfaden (Stand 12/2024) ist bei Cloud-Diensten sehr genau zu prüfen, ob der Anbieter unbedingt Zugang zu Mandanteninformationen benötigt. Wie streng die Erforderlichkeit zu lesen ist, ist gerichtlich nicht abschließend geklärt. Deshalb fährt die Kette beide Linien parallel - Vertrag und Technik als Belt-and-Suspenders-Risikoargument, nicht als kumulative Rechtsbedingung.
Zur strafrechtlichen Präzision gehört auch: § 203 StGB ist ein reines Vorsatzdelikt und nach § 205 StGB ein Antragsdelikt. Es geht in dieser Kette nicht um eine Drohkulisse, sondern um Nachweisbarkeit - wem gegenüber kann eine Kanzlei belegen, dass ihr Bezugsweg trägt?
Quellen: DAV-Stellungnahme SN 32/2025 (anwaltverein.de), BRAK-Leitfaden zum KI-Einsatz, Stand 12/2024 (brak.de); Abruf jeweils 2026-07-22.
Glied 1: Der Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Die Basis jeder Auftragsverarbeitung: Zwecke, Datenkategorien, technische und organisatorische Maßnahmen, Weisungsrechte, Löschpflichten. Für KI-Infrastruktur muss der AVV mehr regeln als ein Standard-SaaS-Vertrag - Prompt-Inhalte als eigene Datenkategorie, Logging-Policy, Umgebungstrennung. Was ein KI-AVV konkret abdecken muss, steht im Anforderungskatalog mit 25 Prüffragen: AVV-Checkliste für KI-Infrastruktur.
Entscheidend für die Kette: Der AVV allein ist nicht die § 203-Absicherung. Er ist Glied 1 von 8 - die datenschutzrechtliche Grundlage, auf der die strafrechtliche Verpflichtung (Glied 2) aufsetzt.
Glied 2: Die Verschwiegenheitsverpflichtung (§ 203 Abs. 4 Satz 2 Nr. 1 StGB)
Das Glied, das die meisten Anbieter-Zusagen nicht belegen können: eine strafbewehrte Verpflichtung der beim Dienstleister mitwirkenden Personen zur Geheimhaltung (§ 203 Abs. 4 Satz 2 Nr. 1 StGB) - strafbewehrt, weil diese Personen bei unbefugtem Offenbaren nach § 203 Abs. 4 Satz 1 StGB selbst strafbar sind. Textform und Belehrung über die Strafbarkeit verlangt nicht § 203 StGB selbst, sondern das Berufsrecht (§ 43e BRAO, § 62a StBerG, § 50a WPO; für Notare § 26a BNotO). DSGVO-übliche Vertraulichkeitsklauseln („Mitarbeiter sind zur Vertraulichkeit verpflichtet") erfüllen diese Funktion nicht - sie sind arbeitsrechtlich, nicht strafrechtlich unterlegt. Die Auswahl- und Überwachungsverantwortung bleibt dabei beim Berufsträger: § 43e Abs. 2 BRAO verlangt die sorgfältige Auswahl des Dienstleisters, und die laufende Überwachung - bis zur Beendigung der Zusammenarbeit bei Pflichtverstößen - bleibt seine Aufgabe.
Die Prüffrage an jeden Anbieter: Ist die Verpflichtung dokumentiert und vor Vertragsschluss einsehbar? Bewährte Praxis dafür - Belegbarkeit, keine Vorgabe des § 203 selbst - ist eine eigenständige Urkunde statt einer Klausel im Hauptvertrag. In unserem eigenen Markt-Screening vom 22.07.2026 hatten rund 8 von rund 25 geprüften Anbietern im DACH-Markt überhaupt ein belastbares Vertragsdokument; die Kombination aus frei einsehbarem Dokument vor jeder Registrierung, eigenständiger Abs.-4-Urkunde als Beleg und anwaltlicher Freigabe war zum Stichtag unbesetzt. Der Rest fährt Werbeversprechen.
Glied 3: Die Subunternehmer-Kette
Die Verpflichtung endet nicht beim Vertragspartner. Wer verarbeitet tatsächlich? Der SaaS-Anbieter? Dessen Cloud-Provider? Der Modell-Betreiber dahinter? Jede Station der Kette muss selbst verpflichtet sein (Abs. 4) - es ist die Weitergabe derselben Abs.-4-Verpflichtung entlang der Kette, nicht drei verschiedene Normen. Eine benannte, aktuelle Subprozessoren-Liste mit Änderungsmitteilung ist deshalb Pflicht-Dokument - nicht Kür.
Konkret heißt das: Bei einem Kanzlei-Chat auf Azure-Basis gehören Microsoft-Vertragslinie und Deployment-Typ in die Prüfung. Bei Google-basierten Setups lautet die Frage nicht mehr, ob eine § 203-Verschwiegenheitsvereinbarung existiert - Google stellt eine -, sondern ob der Anbieter sie tatsächlich gezeichnet hat und welchen Geltungsbereich sie hat. Zwei Punkte entscheiden: Deckt sie alle eingesetzten Modelle ab oder nur einzelne? Und erfasst sie die Mandatsdaten der Kanzlei - oder nur die vertraulichen Informationen des Anbieters selbst? Das Cloud Data Processing Addendum allein beantwortet beides nicht.
Quelle: Google-Cloud-Dokumentation (Cloud Data Processing Addendum); Abruf 2026-07-22.
Glied 4: Gosign selbst als verpflichtetes Glied
Ein Bezugsweg-Anbieter, der sich selbst aus der Kette herausdefiniert, hat sie nicht verstanden. Gosign steht als Verarbeiter in der Kette: eigenes Personal und Subprozessoren zur Geheimhaltung verpflichtet - und zwar nach § 203 Abs. 4 Satz 2 Nr. 2 StGB, der Nummer für die mitwirkende Person, die sich einer weiteren bedient (Nr. 1 adressiert die Kanzlei, die uns verpflichtet) und nach dem Berufsrecht der Auftraggeber über die Strafbarkeit belehrt - es ist dieselbe Abs.-4-Verpflichtung, die die Kanzlei an Gosign weitergibt und Gosign an Personal wie Subprozessoren weiterreicht -, Gosign als benannte mitwirkende Person im AVV, Mapping-Key-Handling und Retention vertraglich geregelt.
Die Architektur dahinter ist auf No-Human-Access im Regelbetrieb ausgelegt: ein klartextfreier Audit-Trail und protokollierte Break-Glass-Ausnahmen mit Vier-Augen-Prinzip. In der Kanzlei-Instanz kommt eine Redaktions-Schicht dazu, je Modell zuschaltbar: Pseudonymisierung vor dem Modell-Aufruf, Wieder-Einsetzung danach. Wichtig in der Einordnung: Diese Redaktions-Schicht ist Datenminimierung und Defense-in-Depth - sie ersetzt Namen, nicht den Sachverhalt, ist nicht die Erfüllungsbedingung des § 203 und senkt dort, wo sie zugeschaltet ist, das Restrisiko der beiden Rechtslinien aus dem Einstieg (warum das so ist).
Glied 5: EU-Region und Data Zones
„Läuft in der EU" ist eine Deployment-Eigenschaft, kein Marketing-Satz - und sie ist pro Bezugsweg unterschiedlich konkret. Verlangen Sie den konkreten Deployment-Typ mit EU-only-Verarbeitung; ein Standard-Deployment in einer „EU-Region" genügt nicht, weil die Verarbeitung global routen kann. In dieselbe Prüfung gehören der EU-Endpunkt und die dokumentierte No-Persistence-Konfiguration: keine Speicherung von Eingaben und Ausgaben über einen technischen Zwischenspeicher von wenigen Minuten hinaus, keine Sichtung durch Beschäftigte des Anbieters, beides vertraglich zugesagt.
Die Prüffrage: Nennt der Anbieter den konkreten Deployment-Typ - oder nur den Kontinent? Die generische Infrastruktur-Ebene (EU-Regionen, Datenhaltungs-Optionen) vertieft Datenresidenz & DSGVO.
Quellen: Microsoft-Learn-/Azure-Dokumentation (Deployment-Typen und Datenresidenz), Google-Cloud-Dokumentation (Data Governance); Abruf jeweils 2026-07-22.
Glied 6: Drittlandtransfer - Art. 44 ff. DSGVO, CLOUD Act, DPF-Status, Auslandsschranke
Zwei getrennte Prüfungen, die oft in einem Satz verrührt werden:
Datenschutzrechtlich (Art. 44 ff. DSGVO): Bei US-Anbietern bleibt die CLOUD-Act-Exposition auch bei EU-Deployment bestehen - der US-Mutterkonzern kann zur Herausgabe verpflichtet werden. Ein Transfer Impact Assessment (TIA) mit dem DPF-Status je Anbieter und ergänzenden Maßnahmen ist deshalb Pflichtbaustein, keine Formalie. „CLOUD-Act-frei" darf nur behaupten, wer strukturell keinen US-Konzern in der Kette hat - das trifft auf EU-Inferenz offener Modelle und auf deutsche Rechenzentrums-Anbieter mit § 203-Verschwiegenheitsvereinbarung zu, nicht auf Azure- oder Google-Wege. Welche Bezugswege das strukturell erfüllen, ordnet die Bezugswege-Übersicht ein.
Berufsrechtlich (die Auslandsschranke): § 43e Abs. 4 BRAO, § 62a StBerG und § 50a WPO erlauben die Einschaltung von Dienstleistern im Ausland nur bei vergleichbarem Geheimnisschutz. US-Sub-Processing kann also unabhängig von SCCs und TIA berufsrechtlich unzulässig sein - ein Glied, das reine DSGVO-Checklisten systematisch übersehen.
Glied 7: Training-Ausschluss und Speicherdauer - die Fristen-Matrix
Zwei Fragen pro Modell-Weg: Wird mit den Eingaben trainiert? Und wie lange liegen Prompts oder Antworten irgendwo? Die Antworten sind pro Bezugsweg und pro Modellklasse unterschiedlich - deshalb gehört in jede Kette ein vertraglicher Training-Ausschluss und eine Fristen-Matrix pro Datenart, die mindestens diese vier Anforderungen regelt:
| Datenart | Anforderung an die Frist | Warum |
|---|---|---|
| Klartext-Eingaben (Prompts, Dokumente) | Transient - keine Persistenz über die Verarbeitung hinaus | Kern des No-Persistence-Arguments beider Rechtslinien |
| Pseudonym-Mappings | TTL-gebunden mit definierter Löschfrist | Die Wieder-Einsetzung braucht den Schlüssel nur begrenzt |
| Audit-Protokoll (klartextfrei) | GoBD-orientierte Aufbewahrung | Nachweisbarkeit ohne Geheimnis-Inhalt |
| Vertrags- und Abrechnungsdaten | Gesetzliche Fristen (HGB/AO) | Handels- und steuerrechtliche Aufbewahrungspflicht |
Dass Retention über Tauglichkeit entscheidet, zeigt ein konkreter Fall: Bestimmte Premium-Modellklassen sind über Cloud-Plattformen nur mit 30-Tage-Prompt-Retention und verpflichtender Datenweitergabe an den Modell-Anbieter verfügbar - für Berufsgeheimnisträger-Workloads damit ausgeschlossen, unabhängig davon, wie gut das Modell ist. Die konkreten Fristen je Kombination gehören in den Modellkatalog des Anbieters, nicht in eine Fußnote.
Quelle: Google-Cloud-Dokumentation (Abuse Monitoring, Modellklassen mit Aufbewahrungspflicht); Abruf 2026-07-22.
Glied 8: Mandanteneinwilligung und Transparenz (Art. 13/14 DSGVO)
Das letzte Glied schließt die Kette zur Mandantschaft. Erstens die Transparenzpflichten nach Art. 13/14 DSGVO: Die Datenschutzhinweise der Kanzlei müssen die KI-Verarbeitung und die Dienstleister-Kette abbilden. Zweitens - je nach Berufsrecht - die Mandanten- bzw. bei Notaren Beteiligten-Einwilligung: § 62a Abs. 5 StBerG und § 50a Abs. 5 WPO verlangen sie bei mandatsbezogener Auslagerung regelmäßig ausdrücklich; anwaltlich verlangt § 43e Abs. 5 BRAO die Einwilligung der Mandantschaft, wenn sich die Beauftragung des Dienstleisters auf ein einzelnes Mandat bezieht; für Notare verlangt § 26a Abs. 4 BNotO die Einwilligung der Beteiligten, wenn die Dienstleistung unmittelbar einem einzelnen Amtsgeschäft dient. Ein Anbieter, der zur Einwilligungsfrage schweigt, lässt seine Kunden das schwierigste Glied allein lösen.
Muster-Einwilligungen für Mandanten und für Beteiligte sowie der Muster-Transparenzhinweis sind Bestandteil des Gosign-Vertragskits (v0.15) und frei einsehbar, als Muster zur anwaltlichen Einzelfall-Anpassung, ohne Gewähr.
Fünf der sieben Bausteine frei einsehbar vor jeder Registrierung, die Subprozessoren-Liste und der vollständige Drittlandtransfer-Baustein nach E-Mail-Bestätigung - v0.15; Muster zur anwaltlichen Einzelfall-Anpassung, ohne Gewähr. Die sieben Bausteine:
- Nutzungs-Rahmen und Disclaimer (README) (DOCX)
- Verschwiegenheits-Zusatzvereinbarung (§ 203 Abs. 4 StGB) (DOCX)
- AVV-Baustein mit Gosign-Selbstverpflichtung (Art. 28 DSGVO) (DOCX)
- Subprozessoren-Liste
- Drittlandtransfer-Baustein (TIA/SCC, Art. 44 ff. DSGVO)
- DSFA-Vorlage (Art. 35 DSGVO) (DOCX)
- Retention-Matrix, Muster-Einwilligungen, Transparenzhinweis (DOCX)
Der verlinkte Baustein: die DSFA (Art. 35 DSGVO)
Kein neuntes Glied, aber Pflicht-Anbau: Für KI-Verarbeitung von Mandats- und Gesundheitsdaten ist regelmäßig eine Datenschutz-Folgenabschätzung nötig. Der Verarbeiter schuldet dabei Assistenz nach Art. 28 Abs. 3 lit. f DSGVO - konkret Zulieferbausteine zu Verarbeitungsbeschreibung, technischen und organisatorischen Maßnahmen und Restrisiken, die die Kanzlei in ihre DSFA übernimmt. Eine DSFA-Vorlage mit genau diesen Zulieferbausteinen gehört zum Gosign-Vertragskit - frei einsehbar wie die Muster aus Glied 8 (Download-Liste dort).
Acht Fragen, die jede Anbieter-Prüfung beantworten muss
Die Kette als Prüfraster, komprimiert auf eine Frage und eine Belegform pro Glied. Antwortet ein Anbieter auf eine der acht Fragen mit einem Satz statt mit einem Dokument oder einem Konfigurations-Nachweis, ist das die Stelle, an der die Zusage reißt:
| # | Glied | Prüffrage | Belegform |
|---|---|---|---|
| 1 | AVV | KI-spezifischer AVV (Prompts als Datenkategorie, Logging-Policy)? | Dokument, einsehbar |
| 2 | Abs.-4-Verpflichtung | Verpflichtung zur Geheimhaltung dokumentiert - bewährt: eigenständige Urkunde inklusive Belehrung? | Dokument, vor Vertragsschluss |
| 3 | Subunternehmer | Vollständige Kette benannt, jede Station verpflichtet? | Subprozessoren-Liste |
| 4 | Anbieter selbst | Eigenes Personal verpflichtet, No-Human-Access-Architektur beschrieben? | Verpflichtungs-Nachweis + Architektur-Doku |
| 5 | EU-Deployment | Konkreter Deployment-Typ mit EU-only-Verarbeitung statt „EU-Region"? | Konfigurations-Nachweis |
| 6 | Drittland | TIA/DPF-Status + Auslandsschranke (§ 43e Abs. 4 BRAO) geprüft? | TIA-Dokument |
| 7 | Retention | Fristen-Matrix pro Datenart, Training-Ausschluss vertraglich? | Vertrag + Konfiguration |
| 8 | Mandantschaft | Muster-Einwilligung + Transparenzhinweis mitgeliefert? | Muster-Dokumente |
Diese Tabelle prüft Belegbarkeit, keine Qualitätsurteile - und sie ist keine Rechtsberatung.
Abgrenzung und Einstieg
Wo Ihre Kanzlei entlang dieser acht Glieder heute steht, ordnet der 203er-Readiness-Check ein: zehn Fragen, drei Minuten, Ergebnis sofort auf der Seite - ohne E-Mail-Eingabe. Er nennt zu jeder Lücke das Glied, an dem sie sitzt, und die Bezugsweg-Stufe, die sie schließt.
Die 203er-Kette ist die berufsgeheimnisträger-spezifische Klammer über zwei generischen Prüfwerkzeugen: Die AVV-Checkliste stellt die 25 Prüffragen an jeden KI-AVV (alle Branchen), Datenresidenz & DSGVO ordnet Deployment- und Datenhaltungs-Optionen. Beide decken je ein Glied dieser Kette ab - die Kette verbindet sie mit der strafrechtlichen und berufsrechtlichen Ebene.
Den Einstieg in Rechtslage, Bezugswege und Lösungs-Treppe gibt die Übersichtsseite KI für Berufsgeheimnisträger (§ 203). Die berufsgruppen-spezifische Rechtsgrundlage mappen die Detailseiten: Rechtsanwälte (§ 43e BRAO) und Steuerberater / Wirtschaftsprüfer (§ 62a StBerG, § 50a WPO).
Acht Glieder, von einem Haus geprüft, das prüfen muss
Roser Rechtsanwälte Wirtschaftsprüfer Steuerberater ist eine multidisziplinäre Kanzlei mit 38 Berufsträgern und rund 100 Mitarbeitenden - ein Haus, das im Mandat selbst prüft, ob Systeme den Anforderungen genügen, und deshalb an die eigene KI-Umgebung denselben Maßstab anlegt.
„Als Steuerberater und Wirtschaftsprüfer prüfen wir andere auf Compliance - da müssen unsere eigenen Systeme erst recht einwandfrei sein. Die Governance-Architektur von Gosign erfüllt genau die Standards, die wir bei unseren Mandanten anlegen."
Sie kennen jetzt die Glieder - und jetzt?
Drei Wege, je nachdem, was Sie als Nächstes brauchen. Wenn Sie wissen wollen, wo Ihre Kanzlei entlang der acht Glieder heute steht: der Readiness-Check, zehn Fragen, Ergebnis sofort auf der Seite, ohne E-Mail-Eingabe. Wenn Sie einen Anbieter konkret prüfen wollen: die 203er-Prüfliste macht aus jedem Glied eine Frage mit Belegform. Und wenn Sie die Dokumente selbst sehen wollen, bevor Sie mit jemandem sprechen: das 203er-Vertragskit liegt offen - fünf Bausteine als PDF und DOCX, ohne Formular.
Welcher Bezugsweg welches Glied wie deckt, führt die Übersicht KI für Berufsgeheimnisträger; die Stufen mit Preisen stehen im Angebot.
Häufige Fragen zur 203er-Kette
Reicht ein AVV nach Art. 28 DSGVO für § 203 StGB?
Ist KI-Nutzung ohne diese Kette strafbar?
Ersetzt Pseudonymisierung die Vertragskette?
Gilt die Kette auch für Steuerberater und Wirtschaftsprüfer?
Kette gegen Ihr Setup prüfen
Wir gehen die acht Glieder gegen Ihren geplanten oder laufenden KI-Einsatz durch - Bezugsweg, Verträge, Deployment-Typ. Als technisch-organisatorische Einordnung, nicht als Rechtsberatung.