Zum Inhalt springen 
Für Berufsgeheimnisträger in Kanzleien und Steuerberatungen. Lesezeit etwa 3 Minuten.
Mandantendaten in KI-Diensten: was § 203 StGB dazu sagt
Für Berufsgeheimnisträger ist die Frage nach KI keine reine Datenschutzfrage. Sie berührt das Strafrecht, das Berufsrecht und die DSGVO gleichzeitig – und alle drei Ebenen müssen stimmen.
§ 203 StGB im Klartext
§ 203 StGB stellt es unter Strafe, wenn bestimmte Berufsgruppen ein fremdes Geheimnis unbefugt offenbaren, das ihnen in dieser Eigenschaft anvertraut wurde. Rechtsanwältinnen und Rechtsanwälte, Steuerberaterinnen und Steuerberater sowie Wirtschaftsprüfer gehören ausdrücklich dazu. Der Strafrahmen reicht bis zu einem Jahr Freiheitsstrafe oder Geldstrafe.
Zwei Begriffe entscheiden über die Anwendung. „Offenbaren" heißt, das Geheimnis einem anderen zugänglich zu machen – dafür genügt es, dass jemand davon Kenntnis nehmen könnte. Und „Dritter" ist jeder außerhalb der Kanzlei, der nicht als berufsmäßig mitwirkende Person eingebunden ist. Ein frei zugänglicher KI-Dienst ist unter diesem Blickwinkel ein Dritter.
Nach verbreiteter Auffassung genügt bedingter Vorsatz – also das billigende Inkaufnehmen. Wer ahnt, dass die Eingaben beim Anbieter landen könnten, und es trotzdem tut, kann sich nicht darauf berufen, es nicht gewollt zu haben.
Die berufsrechtliche Ebene
Der Gesetzgeber hat den Einsatz externer Dienstleister nicht verboten, sondern an Bedingungen geknüpft: für Steuerberater in § 62a StBerG, für Rechtsanwälte in § 43e BRAO. Die Anforderungen laufen im Kern auf dasselbe hinaus.
- Sorgfältige Auswahl des Dienstleisters – nachvollziehbar, nicht nach Bauchgefühl.
- Verpflichtung zur Verschwiegenheit in Textform, einschließlich Belehrung über die strafrechtlichen Folgen einer Verletzung.
- Begrenzung auf das Erforderliche – der Dienstleister bekommt nur, was er zur Aufgabe braucht.
- Besondere Anforderungen bei Verarbeitung im Ausland, etwa ein vergleichbarer Geheimnisschutz oder die Einwilligung der Mandantschaft.
Der praktische Knackpunkt: Ein frei zugänglicher Consumer-Dienst wird Ihnen weder eine Verschwiegenheitsverpflichtung in Textform unterschreiben noch eine Belehrung entgegennehmen.
Und dann ist da noch die DSGVO
Unabhängig vom Strafrecht braucht die Verarbeitung personenbezogener Mandantendaten durch einen externen Anbieter einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Bei kostenlosen oder privaten Tarifen fehlt der regelmäßig, und viele davon nutzen Eingaben ausdrücklich zur Verbesserung ihrer Modelle. Diese Ebene gilt auch dann, wenn im Einzelfall kein Vorsatz vorliegt – Datenschutzrecht fragt nicht nach Absicht.
Drei gangbare Wege
Damit es fair bleibt: Der lokale Betrieb ist nicht der einzige Weg. Es gibt drei, und welcher passt, hängt von Größe, Budget und Risikobereitschaft ab.
1. Vertraglich abgesicherter Unternehmenszugang
Ein Anbieter mit Geschäftskundenvertrag, der einen Auftragsverarbeitungsvertrag abschließt, eine Verschwiegenheitsverpflichtung in Textform unterzeichnet, in der EU verarbeitet und vertraglich zusichert, Eingaben nicht zum Training zu verwenden. Das ist praktikabel und vergleichsweise schnell eingerichtet. Sie bleiben allerdings davon abhängig, dass der Anbieter seine Zusagen einhält und seine Bedingungen nicht ändert.
2. Betrieb in der eigenen Kanzlei
Das Modell läuft auf einem Rechner in Ihren Räumen. Es gibt keinen Dritten, also auch nichts, was offenbart werden könnte. Höherer Aufwand und eine Anschaffung, dafür volle Kontrolle und ein Nachweis, den Sie selbst führen können.
3. Gar nicht
Auch das ist eine legitime Entscheidung. Sie sollte nur bewusst getroffen und kommuniziert werden – sonst wird sie faktisch von einzelnen Mitarbeitenden getroffen, auf deren privaten Geräten.
Was Sie diese Woche tun sollten
Unabhängig davon, welchen Weg Sie später wählen:
- Eine klare Regelung erlassen, welche Werkzeuge genutzt werden dürfen und welche Inhalte niemals eingegeben werden.
- Das Team ansprechen. Erfahrungsgemäß wird längst etwas genutzt; wichtig ist, das ohne Schuldzuweisung zu klären.
- Eine Alternative bereitstellen, sonst gewinnt die Bequemlichkeit.
- Die Entscheidung dokumentieren – Sie brauchen sie gegenüber Kammer, Mandantschaft und Versicherung.
Fazit
Nicht der Einsatz von KI ist das Problem, sondern der unkontrollierte Weg dorthin. Wer Mandantendaten in ein frei zugängliches Werkzeug gibt, bewegt sich in einem Bereich, in dem Strafrecht, Berufsrecht und Datenschutz gleichzeitig betroffen sind. Wer den Weg bewusst wählt – vertraglich abgesichert oder im eigenen Haus – kann die Vorteile nutzen, ohne dieses Risiko einzugehen.
KI, die die Kanzlei nicht verlässt
Wir richten KI-Server in Kanzleiräumen ein, die ohne Verbindung nach außen arbeiten – inklusive Schulung und einer Dokumentation der Abschottung für Ihre Unterlagen.
Dieser Beitrag gibt einen allgemeinen Überblick und stellt ausdrücklich keine Rechtsberatung dar. Die Bewertung im Einzelfall – insbesondere zu § 203 StGB, § 62a StBerG und § 43e BRAO – obliegt Ihnen beziehungsweise Ihrer Kammer.
