Zum Inhalt springen

Wer ist Berufsgeheimnisträger nach § 203 StGB?

Der Katalog vollständig durchgegangen - Absatz 1 mit allen sieben Nummern, Absatz 2 mit dem öffentlichen Bereich, Absatz 3 mit der Regel, auf der jede Dienstleister-Einbindung beruht, und Absatz 4 mit der Pflicht, die daran hängt.

Auswahl aus über 5.000 Projekten in 25 Jahren Softwareentwicklung

Airbus Volkswagen Shell Renault Evonik Vattenfall Philips KPMG

Die Frage klingt einfach und wird trotzdem regelmäßig falsch beantwortet: Wer ist eigentlich Berufsgeheimnisträger? § 203 StGB gibt darauf eine abschließende Antwort - er zählt die erfassten Berufe und Funktionen auf, und was dort nicht steht, fällt nicht darunter. Diese Seite geht den Katalog vollständig durch: Absatz 1 mit den sieben Berufsgruppen, Absatz 2 mit dem öffentlichen Bereich, Absatz 3 mit der Regel, auf der überhaupt erst die Einbindung von Gehilfen und Dienstleistern beruht, und Absatz 4 mit der Pflicht, die daran hängt.

Zwei Hinweise vorab. Erstens: § 203 StGB ist ein Vorsatzdelikt und wird nur auf Strafantrag verfolgt (§ 205 StGB) - das ändert nichts an der berufsrechtlichen und zivilrechtlichen Ebene, die unabhängig davon gilt. Zweitens: Die Neufassung von 2017 hat den Katalog des Absatzes 1 neu nummeriert. Ältere Kommentare und Aufsätze zitieren dieselben Gruppen teilweise noch unter abweichenden Nummern, unter anderem als „Nr. 4a" und „Nr. 6"; maßgeblich ist der aktuelle Gesetzestext, auf den am Seitenende verlinkt wird.

Absatz 1: die sieben Berufsgruppen

Absatz 1 stellt unter Strafe, wer unbefugt ein fremdes Geheimnis offenbart, das ihm in einer der folgenden Eigenschaften anvertraut worden oder sonst bekanntgeworden ist. Entscheidend ist die berufliche Rolle, nicht die Datenkategorie: Ein Geheimnis ist geschützt, weil es in dieser Rolle bekannt wurde.

Nummer und Berufe Was die Nummer praktisch erfasst Was das für KI-Werkzeuge bedeutet
Nr. 1 - Heilberufe
Ärzte, Zahnärzte, Tierärzte, Apotheker und Angehörige anderer Heilberufe, die für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordern
Die zahlenmäßig größte Gruppe: Praxen, Medizinische Versorgungszentren, Kliniken, Zahnarzt- und Tierarztpraxen, Apotheken. Über die Auffangformel auch Psychotherapeuten sowie Pflege-, Hebammen- und Therapieberufe mit staatlich geregelter Ausbildung.Diktat, Arztbrief-Entwurf, Befund-Zusammenfassung und Abrechnungsvorbereitung arbeiten fast immer am anvertrauten Geheimnis. Ein Werkzeug ohne Verpflichtungs-Kette ist hier nicht durch Anonymisierungs-Versprechen zu retten.
Nr. 2 - Berufspsychologen
mit staatlich anerkannter wissenschaftlicher Abschlussprüfung
Psychologinnen und Psychologen mit einschlägigem Studienabschluss - auch ohne Approbation und auch außerhalb der Heilkunde, etwa in der betrieblichen, schulischen oder forensischen Psychologie.Testauswertungen, Gutachten- und Berichtsentwürfe enthalten Persönlichkeitsdaten in besonderer Dichte. Die Rolle bringt die Schweigepflicht mit, auch wenn der Arbeitgeber ein normales Unternehmen ist.
Nr. 3 - rechts- und wirtschaftsberatende Berufe
Rechtsanwälte, Kammerrechtsbeistände, Patentanwälte, Notare, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigte Buchprüfer, Steuerberater und Steuerbevollmächtigte
Die zweite große Gruppe. Sie knüpft an den einzelnen Berufsträger an - die Gesellschaftsebene steht seit der Berufsrechtsreform in einer eigenen Nummer direkt darunter.Schriftsatz- und Vertragsarbeit, Aktenauswertung, Jahresabschluss- und Prüfungsunterlagen. Hier kommt zum Strafrecht das Berufsrecht mit eigenen Anforderungen hinzu (siehe Abschnitt zu den Parallelnormen).
Nr. 3a - Berufsausübungsgesellschaften
Organe und Mitglieder eines Organs einer Rechtsanwalts-, Patentanwalts-, Wirtschaftsprüfungs-, Buchprüfungs- oder Steuerberatungsgesellschaft
Seit der Berufsrechtsreform eine eigene Nummer. Wer als Geschäftsführerin oder Vorstand einer Berufsausübungsgesellschaft handelt, steht selbst im Täterkreis - auch ohne eigene Zulassung als Berufsträger.Betrifft die Ebene, auf der über Werkzeuge entschieden wird: Wer die Einführung eines KI-Dienstes für die Gesellschaft verantwortet, verantwortet die Kette mit.
Nr. 4 - Beratungsstellen
Ehe-, Familien-, Erziehungs- und Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder einer Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist
Regelmäßig übersehen: Erziehungs- und Familienberatungsstellen, Suchtberatung bei Trägern der freien Wohlfahrtspflege und kommunalen Stellen. Voraussetzung ist die Anerkennung der Stelle, nicht eine Kammermitgliedschaft der beratenden Person.Gesprächsdokumentation, Fallverläufe und Berichte an Kostenträger sind Geheimnisse im Sinne der Norm. Beratungsstellen arbeiten oft mit knapper IT-Ausstattung - genau dort entsteht Schatten-Nutzung frei verfügbarer KI-Dienste.
Nr. 5 - Schwangerschaftskonfliktberatung
Mitglieder und Beauftragte einer anerkannten Beratungsstelle nach den §§ 3 und 8 des Schwangerschaftskonfliktgesetzes
Eine eigene Nummer für einen besonders geschützten Beratungskontext. Erfasst sind Mitglieder und Beauftragte der anerkannten Stelle, nicht nur angestellte Beraterinnen und Berater.Der Vertraulichkeitsanspruch ist hier maximal. Cloud-gestützte Dokumentation und KI-Assistenz brauchen eine lückenlose Kette oder scheiden aus - eine Zwischenlösung gibt es nicht.
Nr. 6 - Soziale Arbeit
staatlich anerkannte Sozialarbeiter und staatlich anerkannte Sozialpädagogen
Die zweite regelmäßig übersehene Gruppe: Jugendamt, allgemeiner Sozialdienst, Eingliederungshilfe, Schulsozialarbeit, Bewährungshilfe. Anknüpfungspunkt ist die staatliche Anerkennung der Qualifikation.Fallakten, Hilfeplanungen und Berichte enthalten hochsensible Angaben zu Dritten, insbesondere zu Kindern. Wo im öffentlichen Dienst gearbeitet wird, kommt Absatz 2 zusätzlich zur Anwendung.
Nr. 7 - Versicherer und Verrechnungsstellen
Angehörige eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle
Die dritte übersehene Gruppe - und die einzige, die an die Zugehörigkeit zu einem Unternehmen anknüpft statt an einen Beruf. Damit steht die Sachbearbeitung in Leistungs- und Antragsprüfung im Täterkreis, nicht nur der Gesellschaftsarzt.Dokumenten-Klassifikation, Arztbrief-Zusammenfassung und Korrespondenz-Entwürfe treffen die Geheimnisse direkt. Es gibt hier keine Kammer-Leitlinie, an der man sich ausrichten könnte - die Begründungslast liegt vollständig im Haus.

Wichtig für die Selbsteinordnung: Die Nummern 4, 5, 6 und 7 werden in der Praxis deutlich seltener mitgedacht als die Nummern 1 und 3 - obwohl sie denselben Strafrahmen tragen. Wer eine Beratungsstelle, einen Sozialdienst oder eine Versicherungs-Sachbearbeitung digitalisiert, arbeitet an derselben Norm wie eine Großkanzlei.

Absatz 2: der öffentliche Bereich

Absatz 2 stellt dasselbe Verhalten für Funktionen im öffentlichen Bereich unter Strafe. Anknüpfungspunkt ist hier nicht ein Beruf, sondern eine Amtsstellung oder eine förmliche Verpflichtung:

  • Amtsträger und Europäische Amtsträger - Beamte, Richter, in einem sonstigen öffentlich-rechtlichen Amtsverhältnis Stehende und sonst mit Aufgaben der öffentlichen Verwaltung Betraute.
  • Für den öffentlichen Dienst besonders Verpflichtete - Personen, die ohne Amtsträger zu sein förmlich verpflichtet wurden, etwa Beschäftigte privater Stellen, die Verwaltungsaufgaben wahrnehmen.
  • Personen, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnehmen - Personalratsmitglieder und vergleichbare Funktionsträger; die Vertraulichkeit der Personalvertretungsarbeit ist damit strafbewehrt.
  • Mitglieder parlamentarischer Ausschüsse und Räte - Mitglieder eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, die nicht selbst dem Gesetzgebungsorgan angehören, sowie deren Hilfskräfte.
  • Öffentlich bestellte Sachverständige, die auf die gewissenhafte Erfüllung ihrer Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden sind.
  • Personen in wissenschaftlichen Forschungsvorhaben, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung des Vorhabens auf Grund eines Gesetzes förmlich verpflichtet worden sind.

Für die öffentliche Verwaltung enthält Absatz 2 eine Erweiterung, die in der Praxis oft übersehen wird: Einem Geheimnis stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfasst worden sind. Geschützt ist dort also nicht nur das klassische Geheimnis, sondern der erfasste Datenbestand als solcher - mit einer ausdrücklichen Rückausnahme für die Bekanntgabe an andere Behörden und Stellen für Verwaltungsaufgaben, soweit kein Gesetz das untersagt.

Absatz 3: Gehilfen - und der praktisch wichtigste Satz der ganzen Norm

Satz 1 - berufsmäßig tätige Gehilfen. Es liegt schon kein Offenbaren vor, wenn die in den Absätzen 1 und 2 Genannten Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Das ist die Grundlage dafür, dass eine Praxis oder Kanzlei überhaupt mit Angestellten arbeiten kann: Rechtsanwaltsfachangestellte, medizinische Fachangestellte, Referendare, Auszubildende. Sie sind selbst nicht im Katalog des Absatzes 1 genannt, sondern über diesen Satz einbezogen.

Satz 2 - sonstige mitwirkende Personen. Der Berufsträger darf fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an seiner beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme dieser Tätigkeit erforderlich ist. Dasselbe gilt für die mitwirkenden Personen selbst, wenn sie sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit mitwirken.

Dieser Satz ist die Rechtsgrundlage, auf der ein externer IT- oder KI-Dienstleister überhaupt eingebunden werden darf. Ohne ihn wäre jede Auslagerung an Rechenzentren, Kanzlei-Software-Anbieter oder Modellbetreiber tatbestandsmäßig.

Zwei Einschränkungen stecken schon im Wortlaut. Erstens die Erforderlichkeit: Zulässig ist die Offenbarung nur, soweit sie für die Inanspruchnahme der Leistung nötig ist - das ist eine Grenze für Datenumfang und Zugriffsrechte, kein Freibrief für vollständige Aktenspiegelung. Zweitens die Kettenlogik: Der zweite Halbsatz erlaubt ausdrücklich die Weitergabe an weitere mitwirkende Personen und macht damit deutlich, dass die Norm mehrstufige Dienstleister-Ketten im Blick hat - Anbieter, Betreiber, Rechenzentrum, Modellanbieter. Die Erlaubnis reicht so weit wie die Kette, und die Pflichten aus Absatz 4 reichen genauso weit.

Absatz 4: die Strafbarkeit der mitwirkenden Person und die Verpflichtungspflicht

Absatz 4 ist die Kehrseite der Erlaubnis aus Absatz 3. Er zieht zwei Konsequenzen, und beide sind für die Beauftragung von KI-Werkzeugen zentral.

Satz 1 - die mitwirkende Person wird selbst strafbar. Wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den Genannten tätiger Datenschutzbeauftragter bekannt geworden ist, wird bestraft. Der Dienstleister steht damit nicht außerhalb des Strafrechts, nur weil er keinen Katalogberuf ausübt - er wird über seine Mitwirkung in die Strafbarkeit gezogen.

Satz 2 - der Berufsträger muss verpflichten. Ebenso strafbar macht sich, wer als Person nach Absatz 1 oder 2 nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die anschließend ein Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde. Dieselbe Pflicht trifft die mitwirkende Person selbst, wenn sie sich weiterer Personen bedient. Die Ausnahme steht ausdrücklich im Gesetz: Sie gilt nicht für mitwirkende Personen, die selbst schon zu den in den Absätzen 1 oder 2 Genannten gehören.

Praktisch heißt das: Die Verpflichtung ist eine Organisationspflicht des Berufsträgers, kein Entgegenkommen des Anbieters. Sie muss vor der Einbindung stehen, sie muss die gesamte Kette erfassen, und sie ist ein eigenständiges Dokument neben dem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ein Vertrag, der ausschließlich Datenschutzpflichten regelt, erfüllt Absatz 4 nicht. Wie die Kette Glied für Glied aussieht, beschreibt die 203er-Kette.

Zur Vollständigkeit gehören noch zwei Absätze am Ende der Norm: Die Absätze 1 bis 4 gelten auch, wenn das Geheimnis nach dem Tod des Betroffenen offenbart wird - die Schweigepflicht endet nicht mit dem Tod. Und wer gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht handelt, unterliegt einem erhöhten Strafrahmen.

Wer ist es NICHT - und was dort stattdessen gilt

Diese Abgrenzung muss sein, aber sie ist keine Absage: Ein Unternehmen, das sich fälschlich für geheimnispflichtig hält, trifft falsche Entscheidungen - es kauft eine Eigenschaft, die für seinen Fall keine Rolle spielt, und übersieht die Pflichten, die tatsächlich gelten. Wer hier steht, hat deshalb nicht weniger zu regeln, sondern etwas anderes: DSGVO, Beschäftigtendatenschutz, Geschäftsgeheimnisse, Mitbestimmung. Was das technisch verlangt und wie ein Bezugsweg dafür aussieht, steht auf der Seite KI mit vertraulichen Unternehmensdaten.

Personalabteilungen normaler Unternehmen

HR arbeitet mit Krankmeldungen, Schwerbehindertenausweisen, Abmahnungen und Gehaltsdaten - aber „Personalakte" ist kein Beruf des Katalogs. Es gilt Art. 9 DSGVO für Gesundheitsdaten mit eigener Rechtsgrundlage, § 26 BDSG für den Beschäftigtenkontext, die Mitbestimmung nach BetrVG bei der Einführung technischer Systeme und die arbeitsvertragliche Verschwiegenheit. Das ist kein weicheres Regime, sondern ein anderes. Ist ein Betriebsarzt beteiligt, bringt dieser seine Schweigepflicht nach Absatz 1 Nr. 1 mit - sie färbt aber nicht auf die Personalabteilung ab.

Finanz- und Rechnungswesen im Unternehmen

Die interne Buchhaltung ist nicht Steuerberatung im Sinne der Nr. 3. Beauftragt das Unternehmen einen externen Steuerberater, ist dieser Berufsgeheimnisträger - die eigene Finanzabteilung wird es dadurch nicht. Für sie gelten Geschäftsgeheimnisschutz, handels- und steuerrechtliche Aufbewahrungspflichten und der allgemeine Datenschutz.

IT-Dienstleister aus eigenem Recht

Ein Hoster, ein Software-Anbieter oder ein KI-Betreiber ist kein Berufsgeheimnisträger. Er kommt ausschließlich über Absatz 3 Satz 2 als mitwirkende Person hinein - und trägt dann über Absatz 4 eigene Strafbarkeit und eigene Verpflichtungspflichten gegenüber seinen Subunternehmern. Der Unterschied ist keine Formalie: Die Pflicht, ihn zu verpflichten, liegt beim Berufsträger, nicht beim Dienstleister.

Marketing, Vertrieb und Kundenservice

Kundendaten, Interessentenlisten und CRM-Historien sind datenschutzrechtlich relevant, aber kein Fall des § 203 StGB. Hier tragen DSGVO-Rechtsgrundlagen, Wettbewerbsrecht und Vertraulichkeitsvereinbarungen. Wer in diesem Umfeld einen „§ 203-konform"-Claim eines Anbieters gezeigt bekommt, kauft eine Eigenschaft, die für seinen Anwendungsfall keine Rolle spielt.

Die Faustregel: § 203 StGB fragt nach der Rolle, in der jemand das Geheimnis erfahren hat. Die DSGVO fragt nach der Verarbeitung personenbezogener Daten. Beide können nebeneinander gelten, keines ersetzt das andere - und wer nur unter die DSGVO fällt, hat trotzdem eine vollständige Pflichtenlage.

Sie stehen in diesem Abschnitt und wollen trotzdem KI auf vertrauliche Daten loslassen?

Dann brauchen Sie technisch dasselbe wie eine Kanzlei: eine Umgebung, in der Ihre Eingaben nicht ins Modelltraining fließen, Verarbeitung in der EU, einen Auftragsverarbeitungsvertrag und einen Nachweis darüber, wer wann womit gearbeitet hat. Der Bezugsweg auf dieser Website ist für den strengsten Fall gebaut, den das deutsche Recht kennt - dort ist ein Fehler strafbar. Wer diese Latte nimmt, nimmt die darunter ohnehin. Was das für Personalakten, Buchhaltungsdaten und Verträge heißt, steht auf KI mit vertraulichen Unternehmensdaten.

Berufsrecht kommt oben drauf: die Parallelnormen

Für mehrere Gruppen des Absatzes 1 Nr. 3 endet die Prüfung nicht beim Strafrecht. Das jeweilige Berufsrecht enthält eigene Vorschriften zur Einbindung von Dienstleistern - sie verlangen mehr als § 203 StGB und gelten unabhängig davon, ob je ein Strafverfahren droht.

Norm Für wen Was sie zusätzlich verlangt
§ 43e BRAORechtsanwälteSorgfältige Auswahl des Dienstleisters, Verschwiegenheitsverpflichtung in Textform mit Belehrung über die strafrechtlichen Folgen, Weitergabe der Verpflichtung an alle Subunternehmer sowie ein bei Auslandsdienstleistern vergleichbarer Geheimnisschutz.
§ 62a StBerGSteuerberater und SteuerbevollmächtigteDie wortgleiche Konstruktion für die steuerberatende Praxis - Auswahl, Textform-Verpflichtung mit Belehrung, Kettenverpflichtung, Auslandsschranke; dazu der Einwilligungsvorbehalt bei einzelmandatsbezogener Auslagerung.
§ 50a WPOWirtschaftsprüfer und vereidigte BuchprüferDieselbe Struktur für Prüfungs- und Beratungsmandate, wiederum mit Textform, Belehrung, Kettenverpflichtung und dem Einwilligungsvorbehalt bei Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen.
§ 26a BNotONotareDie amtsbezogene Variante neben der Verschwiegenheitspflicht des § 18 BNotO: Auswahl, Verpflichtung unter Belehrung - und die vorherige Einwilligung der Beteiligten, sobald eine Dienstleistung unmittelbar einem einzelnen Amtsgeschäft dient.

Für die Gruppen ohne Kammer - Beratungsstellen, soziale Arbeit, Versicherungs-Sachbearbeitung - gibt es keine solche Parallelnorm. Das macht die Lage nicht einfacher, sondern verlagert die Begründungslast in die eigene Organisation: Arbeitsrecht, Datenschutzrecht und interne Compliance müssen leisten, was dort das Berufsrecht vorgibt.

Sie haben sich eingeordnet - hier geht es weiter

Für die Gruppen, die wir konkret bedienen, gibt es Detailseiten mit der jeweiligen Rechtslage, den Aufgabenfeldern und dem passenden Bezugsweg:

Wer zuerst wissen will, welche Vertrags- und Nachweisglieder überhaupt zusammengehören, beginnt bei der 203er-Kette; den Überblick über alle Berufsgruppen und Produktformen gibt die Einstiegsseite KI für Berufsgeheimnisträger.

Der 203er-Leitfaden für die übrigen Geheimnisträger - zum Mitnehmen

Berufspsychologie, Ehe- und Suchtberatung, Schwangerschaftskonfliktberatung, Soziale Arbeit und der Amtsträger-Katalog des Absatzes 2. Dazu die Vertragskette, die Bezugswege und ein Prüfpfad zum Abhaken - als PDF, kostenlos.

Der 203er-Leitfaden für die übrigen Geheimnisträger herunterladen - Für Beratungsstellen und öffentlichen Bereich - 19 Seiten.

Quellen

§ 203 StGB (Verletzung von Privatgeheimnissen), geltende Fassung: gesetze-im-internet.de/stgb/__203.html

§ 205 StGB (Strafantrag): gesetze-im-internet.de/stgb/__205.html

§ 43e BRAO (Inanspruchnahme von Dienstleistungen): gesetze-im-internet.de/brao/__43e.html

§ 62a StBerG (Inanspruchnahme von Dienstleistungen): gesetze-im-internet.de/stberg/__62a.html

§ 50a WPO (Inanspruchnahme von Dienstleistungen): gesetze-im-internet.de/wipro/__50a.html

§ 26a BNotO (Inanspruchnahme von Dienstleistungen) und § 18 BNotO (Verschwiegenheitspflicht): gesetze-im-internet.de/bnoto/__26a.html

DSGVO, konsolidierte Fassung (Art. 9, 28, 35, 44 ff.): eur-lex.europa.eu (CELEX 32016R0679)

§ 26 BDSG (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses): gesetze-im-internet.de/bdsg_2018/__26.html

Diese Seite gibt den Aufbau des § 203 StGB in eigener Formulierung wieder und ordnet ihn technisch-organisatorisch ein. Sie ist keine Rechtsberatung: Ob eine konkrete Tätigkeit unter den Katalog fällt, ob eine Offenbarung befugt war und welche berufsrechtlichen Pflichten im Einzelfall greifen, beurteilen die Berufsträgerinnen und Berufsträger selbst beziehungsweise ihre rechtlichen Berater. Maßgeblich ist immer der amtliche Gesetzestext in der geltenden Fassung.

Häufige Fragen zum Täterkreis

Bin ich Berufsgeheimnisträger, wenn ich in einer Personalabteilung mit Krankmeldungen arbeite?

Nein - allein aus der Arbeit mit Gesundheitsdaten folgt keine Stellung nach § 203 StGB. Der Katalog des Absatzes 1 knüpft an den Beruf an, nicht an die Datenart: Wer keinen der dort genannten Berufe ausübt, fällt nicht darunter, auch wenn er täglich sensible Daten sieht. Für Personalabteilungen normaler Unternehmen gelten stattdessen Art. 9 DSGVO für Gesundheitsdaten, § 26 BDSG für den Beschäftigtenkontext, die Mitbestimmung nach BetrVG und arbeitsvertragliche Verschwiegenheitsklauseln. Anders liegt es, wenn ein Betriebsarzt oder ein Werksarzt beteiligt ist: Der ist Angehöriger eines Heilberufs nach Absatz 1 Nr. 1 und bringt die Schweigepflicht mit - sie erstreckt sich aber nicht auf die Personalabteilung um ihn herum.

Fallen IT-Dienstleister unter § 203 StGB?

Nicht aus eigenem Recht - ein Rechenzentrums- oder KI-Betreiber ist kein Beruf des Katalogs. Er wird über § 203 Abs. 3 Satz 2 StGB als sonstige mitwirkende Person eingebunden und über Absatz 4 in die Strafbarkeit gezogen: Offenbart er ein Geheimnis, das ihm bei seiner Tätigkeit bekannt geworden ist, macht er sich selbst strafbar. Und der Berufsträger, der ihn beauftragt, muss dafür Sorge tragen, dass er zur Geheimhaltung verpflichtet wurde. Genau diese Verpflichtung ist das Dokument, das ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nicht ersetzt.

Warum steht die private Krankenversicherung im selben Paragrafen wie Ärzte und Anwälte?

Weil Absatz 1 Nr. 7 die Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung sowie privatärztlicher, steuerberaterlicher und anwaltlicher Verrechnungsstellen ausdrücklich nennt. Der Gesetzgeber hat gesehen, dass dort dieselben Gesundheits- und Mandatsgeheimnisse landen wie beim Behandler selbst. Der Unterschied ist nicht die Strafnorm, sondern das Drumherum: Es gibt keine Kammer und kein Berufsrecht, das die Auslegung vorgibt. In älterer Literatur wird dieselbe Gruppe noch als Nr. 6 zitiert - die Neufassung von 2017 hat den Katalog neu nummeriert.

Zählen angestellte Mitarbeitende einer Kanzlei oder Praxis selbst als Geheimnisträger?

Sie sind nicht selbst im Katalog des Absatzes 1 genannt, stehen aber nicht schutzlos daneben. § 203 Abs. 3 Satz 1 StGB stellt klar, dass es kein Offenbaren ist, wenn der Berufsträger Geheimnisse den bei ihm berufsmäßig tätigen Gehilfen oder den zur Berufsvorbereitung tätigen Personen zugänglich macht - Rechtsanwaltsfachangestellte, medizinische Fachangestellte, Referendare, Auszubildende. Offenbart eine solche Person das Geheimnis nach außen, greift Absatz 4 Satz 1 mit eigener Strafbarkeit.

Reicht es, wenn ein KI-Anbieter EU-Hosting und ein ISO-27001-Zertifikat vorlegt?

Für die Datenschutzebene ist das ein Baustein, für § 203 StGB ist es keine Antwort. Die Norm fragt nicht nach Serverstandort oder Zertifikat, sondern danach, wer Kenntnis nehmen kann und ob die mitwirkenden Personen entlang der gesamten Kette zur Geheimhaltung verpflichtet wurden. Die Prüffrage lautet deshalb: Gibt es eine eigenständige Verschwiegenheitsverpflichtung nach § 203 Abs. 4 StGB als abschließbares Dokument, und reicht sie bis zum Modellbetreiber und dessen Subunternehmern?

Sie wissen jetzt, ob Sie darunter fallen. Was folgt daraus für Ihre Werkzeuge?

Wir ordnen Ihre Konstellation ein - welcher Bezugsweg zu Ihrer Berufsgruppe passt, welche Vertragsglieder dazugehören und wo die Kette bei Standard-Angeboten reißt. Technisch-organisatorische Einordnung, keine Rechtsberatung.

Gespräch vereinbaren