Die 203er-Kette
„§ 203-konform" ist ein Satz. Eine Kette ist ein Nachweis. Acht Glieder entscheiden, ob KI-Einsatz mit Mandats- und Patientendaten auf einem tragfähigen Bezugsweg läuft - jedes fehlende Glied ist die Stelle, an der ein Anbieter-Claim reißt.
Auswahl aus über 5.000 Projekten in 25 Jahren Softwareentwicklung
Warum eine Kette - und nicht ein Zertifikat
Wer Anbieter-Claims wie „§ 203-konform" prüfen will, braucht ein Prüfraster, kein Vertrauen. Die 203er-Kette ist dieses Raster: acht Glieder aus Vertrag und Technik, die zusammen den Bezugsweg tragen. Jedes Glied ist einzeln prüfbar - als Dokument, als Konfiguration oder als benannte Zuständigkeit. Fehlt eines, hängt die gesamte Aussage in der Luft. Dieses Erklärstück vertieft die Kette, die die Übersichtsseite KI für Berufsgeheimnisträger (§ 203) einführt - Glied für Glied, mit der Prüffrage und der Belegform dazu.
Der dogmatische Rahmen dahinter, transparent benannt: § 203 Abs. 3 Satz 2 StGB erlaubt die Einbindung mitwirkender Personen - dazu zählen nach herrschender Lesart auch IT- und KI-Dienstleister. § 203 Abs. 4 Satz 2 Nr. 1 StGB verlangt dafür deren Verpflichtung zur Verschwiegenheit. Und die technische Linie „kein menschlicher Klartext-Zugriff" adressiert das Tatbestandsmerkmal „offenbaren" in Absatz 1: Nach der DAV-Linie (SN 32/2025) liegt bei rein automatisierter Verarbeitung ohne menschliche Kenntnisnahme schon kein Offenbaren vor - gerichtlich nicht abschließend geklärt. Die BRAK ist konservativer: Nach ihrem KI-Leitfaden (Stand 12/2024) kann bereits die Möglichkeit der Kenntnisnahme genügen. Deshalb fährt die Kette beide Linien parallel - Vertrag und Technik als Belt-and-Suspenders-Risikoargument, nicht als kumulative Rechtsbedingung.
Zur strafrechtlichen Präzision gehört auch: § 203 StGB ist ein reines Vorsatzdelikt und nach § 205 StGB ein Antragsdelikt. Es geht in dieser Kette nicht um eine Drohkulisse, sondern um Nachweisbarkeit - wem gegenüber kann eine Kanzlei belegen, dass ihr Bezugsweg trägt?
Quellen: DAV-Stellungnahme SN 32/2025 (anwaltverein.de), BRAK-Leitfaden zum KI-Einsatz, Stand 12/2024 (brak.de); Abruf jeweils 2026-07-22.
Glied 1: Der Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Die Basis jeder Auftragsverarbeitung: Zwecke, Datenkategorien, technische und organisatorische Maßnahmen, Weisungsrechte, Löschpflichten. Für KI-Infrastruktur muss der AVV mehr regeln als ein Standard-SaaS-Vertrag - Prompt-Inhalte als eigene Datenkategorie, Logging-Policy, Umgebungstrennung. Was ein KI-AVV konkret abdecken muss, steht im Anforderungskatalog mit 25 Prüffragen: AVV-Checkliste für KI-Infrastruktur.
Entscheidend für die Kette: Der AVV allein ist nicht die § 203-Absicherung. Er ist Glied 1 von 8 - die datenschutzrechtliche Grundlage, auf der die strafrechtliche Verpflichtung (Glied 2) aufsetzt.
Glied 2: Die Verschwiegenheitsverpflichtung (§ 203 Abs. 4 Satz 2 Nr. 1 StGB)
Das Glied, das die meisten Anbieter-Claims nicht belegen können: eine strafbewehrte Verpflichtung der beim Dienstleister mitwirkenden Personen zur Geheimhaltung (§ 203 Abs. 4 Satz 2 Nr. 1 StGB) - strafbewehrt, weil diese Personen bei unbefugtem Offenbaren nach § 203 Abs. 4 Satz 1 StGB selbst strafbar sind. Textform und Belehrung über die Strafbarkeit verlangt nicht § 203 StGB selbst, sondern das Berufsrecht (§ 43e BRAO, § 62a StBerG, § 50a WPO). DSGVO-übliche Vertraulichkeitsklauseln („Mitarbeiter sind zur Vertraulichkeit verpflichtet") erfüllen diese Funktion nicht - sie sind arbeitsrechtlich, nicht strafrechtlich unterlegt.
Die Prüffrage an jeden Anbieter: Ist die Verpflichtung dokumentiert und vor Vertragsschluss einsehbar? Bewährte Praxis dafür - Belegbarkeit, keine Vorgabe des § 203 selbst - ist eine eigenständige Urkunde statt einer Klausel im Hauptvertrag. In unserem eigenen Markt-Screening vom 22.07.2026 hatten rund 8 von rund 25 geprüften Anbietern im DACH-Markt überhaupt ein belastbares Vertragsartefakt; die Kombination aus frei einsehbarem Dokument vor jeder Registrierung, eigenständiger Abs.-4-Urkunde als Beleg und anwaltlicher Freigabe war zum Stichtag unbesetzt. Der Rest fährt Marketing-Claims.
Glied 3: Die Subunternehmer-Kette
Die Verpflichtung endet nicht beim Vertragspartner. Wer verarbeitet tatsächlich? Der SaaS-Anbieter? Dessen Cloud-Provider? Der Modell-Betreiber dahinter? Jede Station der Kette muss entweder selbst verpflichtet sein (Abs. 4) oder nachweisbar keinen Klartext-Zugriff haben. Eine benannte, aktuelle Subprozessoren-Liste mit Änderungsmitteilung ist deshalb Pflicht-Artefakt - nicht Kür.
Konkret heißt das: Bei einem Kanzlei-Chat auf Azure-Basis gehören Microsoft-Vertragslinie und Deployment-Typ in die Prüfung. Bei Google-basierten Setups gehört die Besonderheit hinein, dass Google keine § 203-Verschwiegenheits-Zusatzvereinbarung anbietet - nur das Cloud Data Processing Addendum mit DSGVO-üblicher Vertraulichkeit. Diese Lücke muss ein Anbieter in seiner eigenen Kette kompensieren, und er muss das auch sagen.
Quelle: Google-Cloud-Dokumentation (Cloud Data Processing Addendum); Abruf 2026-07-22.
Glied 4: Gosign selbst als verpflichtetes Glied
Ein Bezugsweg-Anbieter, der sich selbst aus der Kette herausdefiniert, hat sie nicht verstanden. Gosign steht als Verarbeiter in der Kette: eigenes Personal zur Geheimhaltung verpflichtet (§ 203 Abs. 4 Satz 2 Nr. 1 StGB) und nach dem Berufsrecht der Auftraggeber über die Strafbarkeit belehrt, Gosign als benannte mitwirkende Person im AVV, Mapping-Key-Handling und Retention vertraglich geregelt.
Die Architektur dahinter ist auf No-Human-Access im Regelbetrieb ausgelegt - vorgesehen sind Pseudonymisierung vor dem Modell-Aufruf, Wieder-Einsetzung danach, ein klartextfreier Audit-Trail und protokollierte Break-Glass-Ausnahmen mit Vier-Augen-Prinzip. Wichtig in der Einordnung: Diese Redaktions-Schicht ist Datenminimierung und Defense-in-Depth - sie ist nicht die Erfüllungsbedingung des § 203, sondern senkt das Restrisiko der beiden Rechtslinien aus dem Einstieg.
Glied 5: EU-Region und Data Zones
„Läuft in der EU" ist eine Deployment-Eigenschaft, kein Marketing-Satz - und sie ist pro Bezugsweg unterschiedlich konkret. Bei Azure OpenAI sind die EU Data Zones (DataZone Standard/Provisioned mit EU-only-Processing) der § 203-relevante Deployment-Typ; ein Standard-Global-Deployment in einer „EU-Region" genügt nicht, weil die Verarbeitung global routen kann. Bei Google-basierten Setups gehören EU-Endpunkt, deaktiviertes Caching und die dokumentierte No-Persistence-Konfiguration in die Prüfung.
Die Prüffrage: Nennt der Anbieter den konkreten Deployment-Typ - oder nur den Kontinent? Die generische Infrastruktur-Ebene (EU-Regionen, Datenhaltungs-Optionen) vertieft Datenresidenz & DSGVO.
Quellen: Microsoft-Learn-/Azure-Dokumentation (EU Data Zones), Google-Cloud-Dokumentation (Data Governance); Abruf jeweils 2026-07-22.
Glied 6: Drittlandtransfer - Art. 44 ff. DSGVO, CLOUD Act, DPF-Status, Auslandsschranke
Zwei getrennte Prüfungen, die oft in einem Satz verrührt werden:
Datenschutzrechtlich (Art. 44 ff. DSGVO): Bei US-Anbietern bleibt die CLOUD-Act-Exposition auch bei EU-Deployment bestehen - der US-Mutterkonzern kann zur Herausgabe verpflichtet werden. Ein Transfer Impact Assessment (TIA) mit dem DPF-Status je Anbieter und ergänzenden Maßnahmen ist deshalb Pflichtbaustein, keine Formalie. „CLOUD-Act-frei" darf nur behaupten, wer strukturell keinen US-Konzern in der Kette hat - das trifft auf EU-Inferenz offener Modelle und auf deutsche Rechenzentrums-Anbieter mit § 203-Verschwiegenheitsvereinbarung zu, nicht auf Azure- oder Google-Wege. Welche Bezugswege das strukturell erfüllen, ordnet die Bezugswege-Übersicht ein.
Berufsrechtlich (die Auslandsschranke): § 43e Abs. 4 BRAO, § 62a StBerG und § 50a WPO erlauben die Einschaltung von Dienstleistern im Ausland nur bei vergleichbarem Geheimnisschutz. US-Sub-Processing kann also unabhängig von SCCs und TIA berufsrechtlich unzulässig sein - ein Glied, das reine DSGVO-Checklisten systematisch übersehen.
Glied 7: Training-Ausschluss und Retention - die Fristen-Matrix
Zwei Fragen pro Modell-Weg: Wird mit den Eingaben trainiert? Und wie lange liegen Prompts oder Antworten irgendwo? Die Antworten sind pro Bezugsweg und pro Modellklasse unterschiedlich - deshalb gehört in jede Kette ein vertraglicher Training-Ausschluss und eine Fristen-Matrix pro Datenart, die mindestens diese vier Anforderungen regelt:
| Datenart | Anforderung an die Frist | Warum |
|---|---|---|
| Klartext-Eingaben (Prompts, Dokumente) | Transient - keine Persistenz über die Verarbeitung hinaus | Kern des No-Persistence-Arguments beider Rechtslinien |
| Pseudonym-Mappings | TTL-gebunden mit definierter Löschfrist | Die Wieder-Einsetzung braucht den Schlüssel nur begrenzt |
| Audit-Protokoll (klartextfrei) | GoBD-orientierte Aufbewahrung | Nachweisbarkeit ohne Geheimnis-Inhalt |
| Vertrags- und Abrechnungsdaten | Gesetzliche Fristen (HGB/AO) | Handels- und steuerrechtliche Aufbewahrungspflicht |
Dass Retention über Tauglichkeit entscheidet, zeigt ein konkreter Fall: Bestimmte Premium-Modellklassen sind über Cloud-Plattformen nur mit 30-Tage-Prompt-Retention und verpflichtender Datenweitergabe an den Modell-Anbieter verfügbar - für Berufsgeheimnisträger-Workloads damit ausgeschlossen, unabhängig davon, wie gut das Modell ist. Die konkreten Fristen je Kombination gehören in den Modellkatalog des Anbieters, nicht in eine Fußnote.
Quelle: Google-Cloud-Dokumentation (Abuse Monitoring, Covered Models); Abruf 2026-07-22.
Glied 8: Mandanteneinwilligung und Transparenz (Art. 13/14 DSGVO)
Das letzte Glied schließt die Kette zur Mandantschaft. Erstens die Transparenzpflichten nach Art. 13/14 DSGVO: Die Datenschutzhinweise der Kanzlei müssen die KI-Verarbeitung und die Dienstleister-Kette abbilden. Zweitens - je nach Berufsrecht - die Einwilligung: § 62a StBerG und § 50a WPO verlangen sie bei mandatsbezogener Auslagerung regelmäßig ausdrücklich; anwaltlich verlangt § 43e Abs. 5 BRAO die Einwilligung der Mandantschaft, wenn sich die Beauftragung des Dienstleisters auf ein einzelnes Mandat bezieht. Ein Anbieter, der zur Einwilligungsfrage schweigt, lässt seine Kunden das schwierigste Glied allein lösen.
Muster-Einwilligung und Muster-Transparenzhinweis sind Bestandteil des Gosign-Vertragskits - veröffentlicht wird das Kit erst nach anwaltlicher Freigabe, als Muster zur anwaltlichen Einzelfall-Anpassung, ohne Gewähr.
Der verlinkte Baustein: die DSFA (Art. 35 DSGVO)
Kein neuntes Glied, aber Pflicht-Anbau: Für KI-Verarbeitung von Mandats- und Gesundheitsdaten ist regelmäßig eine Datenschutz-Folgenabschätzung nötig. Der Verarbeiter schuldet dabei Assistenz nach Art. 28 Abs. 3 lit. f DSGVO - konkret Zulieferbausteine zu Verarbeitungsbeschreibung, technischen und organisatorischen Maßnahmen und Restrisiken, die die Kanzlei in ihre DSFA übernimmt. Eine DSFA-Vorlage mit genau diesen Zulieferbausteinen gehört zum Gosign-Vertragskit - gleiche Freigabe-Bedingung wie die Muster aus Glied 8.
Acht Fragen, die jede Anbieter-Prüfung beantworten muss
Die Kette als Prüfraster, komprimiert auf eine Frage und eine Belegform pro Glied. Antwortet ein Anbieter auf eine der acht Fragen mit einem Satz statt mit einem Dokument oder einem Konfigurations-Nachweis, ist das die Stelle, an der der Claim reißt:
| # | Glied | Prüffrage | Belegform |
|---|---|---|---|
| 1 | AVV | KI-spezifischer AVV (Prompts als Datenkategorie, Logging-Policy)? | Dokument, einsehbar |
| 2 | Abs.-4-Verpflichtung | Verpflichtung zur Geheimhaltung dokumentiert - bewährt: eigenständige Urkunde inklusive Belehrung? | Dokument, vor Vertragsschluss |
| 3 | Subunternehmer | Vollständige Kette benannt, jede Station verpflichtet oder zugriffslos? | Subprozessoren-Liste |
| 4 | Anbieter selbst | Eigenes Personal verpflichtet, No-Human-Access-Architektur beschrieben? | Verpflichtungs-Nachweis + Architektur-Doku |
| 5 | EU-Deployment | Konkreter Deployment-Typ (z. B. EU Data Zone) statt „EU-Region"? | Konfigurations-Nachweis |
| 6 | Drittland | TIA/DPF-Status + Auslandsschranke (§ 43e Abs. 4 BRAO) geprüft? | TIA-Dokument |
| 7 | Retention | Fristen-Matrix pro Datenart, Training-Ausschluss vertraglich? | Vertrag + Konfiguration |
| 8 | Mandantschaft | Muster-Einwilligung + Transparenzhinweis mitgeliefert? | Muster-Dokumente |
Diese Tabelle prüft Belegbarkeit, keine Qualitätsurteile - und sie ist keine Rechtsberatung.
Abgrenzung und Einstieg
Die 203er-Kette ist die berufsgeheimnisträger-spezifische Klammer über zwei generischen Prüfwerkzeugen: Die AVV-Checkliste stellt die 25 Prüffragen an jeden KI-AVV (alle Branchen), Datenresidenz & DSGVO ordnet Deployment- und Datenhaltungs-Optionen. Beide decken je ein Glied dieser Kette ab - die Kette verbindet sie mit der strafrechtlichen und berufsrechtlichen Ebene.
Den Einstieg in Rechtslage, Bezugswege und Lösungs-Treppe gibt die Übersichtsseite KI für Berufsgeheimnisträger (§ 203). Die berufsgruppen-spezifische Rechtsgrundlage mappen die Detailseiten: Rechtsanwälte (§ 43e BRAO) und Steuerberater / Wirtschaftsprüfer (§ 62a StBerG, § 50a WPO).
Häufige Fragen zur 203er-Kette
Reicht ein AVV nach Art. 28 DSGVO für § 203 StGB?
Ist KI-Nutzung ohne diese Kette strafbar?
Ersetzt Pseudonymisierung (PII-Gateway) die Vertragskette?
Gilt die Kette auch für Steuerberater und Wirtschaftsprüfer?
Kette gegen Ihr Setup prüfen
Wir gehen die acht Glieder gegen Ihren geplanten oder laufenden KI-Einsatz durch - Bezugsweg, Verträge, Deployment-Typ. Als technisch-organisatorische Einordnung, nicht als Rechtsberatung.
Gespräch vereinbaren