Im Haus heißt nicht ohne Verträge
Eine KI auf einem eigenen Rechner in Praxis oder Kanzlei hat einen großen Vorteil: Ihre Texte werden dort verarbeitet und nicht an einen KI-Dienst im Internet geschickt. Ein häufiges Missverständnis lautet aber, dass dann keine Verträge mehr nötig seien. Das stimmt nicht, sobald ein Dienstleister das System einrichtet, wartet, Updates einspielt oder Fehler sucht und dabei auf Daten zugreifen könnte.
Die Bundesrechtsanwaltskammer hat das in ihren Hinweisen zum KI-Einsatz deutlich gemacht: Für den Zugang zu Mandatsgeheimnissen kommt es nicht darauf an, ob jemand tatsächlich Kenntnis nimmt. Es genügt, dass er die Möglichkeit dazu hat. Ein Techniker mit Fernzugang hat diese Möglichkeit.
Strafrecht: § 203 StGB
§ 203 StGB schützt Geheimnisse, die Ärzten, Zahnärzten, Psychotherapeuten, Rechtsanwälten, Notaren, Steuerberatern und weiteren Berufen anvertraut wurden. Sie dürfen solche Geheimnisse ihren Gehilfen zugänglich machen und auch „sonstigen Personen“ offenbaren, die an ihrer beruflichen Tätigkeit mitwirken, soweit dies für deren Tätigkeit erforderlich ist (§ 203 Abs. 3 Satz 2 StGB). Gemeint sind etwa IT-Dienstleister.
Dafür gibt es eine Bedingung mit Folgen. Nach § 203 Abs. 4 StGB macht sich der Berufsträger selbst strafbar, wenn er „nicht dafür Sorge getragen hat“, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde, und diese dann ein Geheimnis unbefugt offenbart. Der Dienstleister ist bei unbefugter Offenbarung ebenfalls strafbar. Für Ärzte, Zahnärzte und Psychotherapeuten gibt es keine eigene Dienstleisterregel wie im Anwaltsrecht. Bei ihnen ist § 203 StGB zusammen mit dem jeweiligen Berufsrecht maßgeblich.
Berufsrecht: § 43e BRAO, § 62a StBerG, § 26a BNotO
Für Anwälte, Steuerberater und Notare regelt das Berufsrecht die Zusammenarbeit mit Dienstleistern genauer. Die Regeln sind ähnlich aufgebaut:
- Zugang zu geschützten Tatsachen nur, soweit er für die Dienstleistung erforderlich ist
- sorgfältige Auswahl des Dienstleisters
- ein Vertrag in Textform
- darin die Verpflichtung zur Verschwiegenheit unter Belehrung über die strafrechtlichen Folgen
- die Pflicht, nur so weit Kenntnis zu nehmen, wie es zur Vertragserfüllung nötig ist
- eine Festlegung, ob weitere Personen herangezogen werden dürfen
- bei Dienstleistern im Ausland ein vergleichbarer Geheimnisschutz
Für Anwälte steht das in § 43e BRAO, für Steuerberater in § 62a StBerG, für Notare in § 26a BNotO. Dient eine Dienstleistung unmittelbar einem einzelnen Mandat, kann nach § 43e Abs. 5 BRAO beziehungsweise § 62a Abs. 5 StBerG zusätzlich die Einwilligung des Mandanten nötig sein. Beide Vorschriften stellen außerdem klar, dass das Datenschutzrecht unberührt bleibt.
Datenschutz: Auftragsverarbeitung nach Art. 28 DSGVO
Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag oder ein anderes Rechtsinstrument. Sie dürfen nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Ob schon ein reiner Wartungszugang als Auftragsverarbeitung gilt, hängt vom Einzelfall ab und ist eine Frage für Ihren Datenschutzbeauftragten. Nach unserer Einschätzung ist es sinnvoll, einen solchen Vertrag zu schließen, wenn der Dienstleister bei seiner Arbeit auf personenbezogene Daten zugreifen kann.
Der Vertrag zur Auftragsverarbeitung und die Verschwiegenheitsverpflichtung sind zwei verschiedene Dinge. Der eine regelt den Datenschutz, die andere das Berufsgeheimnis. Für Berufsgeheimnisträger gehören in der Regel beide dazu. Sie können in einem Dokument zusammengefasst werden.
Fernwartung richtig regeln
Der Fernzugang ist der Punkt, an dem aus einer KI im Haus wieder ein Zugang von außen wird. Er lässt sich so gestalten, dass die Möglichkeit der Kenntnisnahme klein bleibt:
- Nur nach Freigabe: Der Dienstleister kann sich nicht jederzeit verbinden. Sie oder Ihr Team geben jeden Zugriff einzeln frei.
- Protokoll: Jeder Zugriff wird mit Zeitpunkt, Person und Zweck festgehalten.
- So wenig wie möglich: Updates und Fehlersuche sollten möglichst ohne Blick in Ihre Inhalte auskommen.
- Kein Drittland: Das Werkzeug für den Fernzugriff sollte keine Daten über Server außerhalb der EU leiten.
- Alternative vor Ort: Wer gar keinen Fernzugang möchte, vereinbart Termine vor Ort.
Wichtig: Ein gut geregelter Fernzugang senkt das Risiko, ersetzt aber die Verträge nicht.
Was die KI für Ihre Praxis oder Kanzlei übernehmen kann
Im kostenlosen Erstgespräch schauen wir uns Ihren Alltag an und sagen offen, was die KI im eigenen Haus übernehmen kann und was nicht. 30 Minuten, vor Ort oder per Video.
Erstgespräch vereinbarenCheckliste für Ihren Vertrag
- Ist der Dienstleister schriftlich oder in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen belehrt?
- Ist festgelegt, dass er nur so weit Kenntnis nimmt, wie es nötig ist?
- Ist geregelt, ob er Unterauftragnehmer einsetzen darf?
- Gibt es einen Vertrag zur Auftragsverarbeitung mit den Angaben nach Art. 28 DSGVO?
- Ist beschrieben, wie Fernzugriffe freigegeben und protokolliert werden?
- Ist geregelt, was mit Gerät und Daten bei Vertragsende passiert?
Dieser Text ist eine sachliche Einordnung und keine Rechtsberatung. Ob Ihre Verträge ausreichen, beurteilen Sie mit Ihrem Datenschutzbeauftragten oder einer Anwältin für IT- und Berufsrecht.
Wie wir das handhaben
Wir betreuen KI, die auf einem eigenen Rechner in Ihrer Praxis oder Kanzlei läuft. Bevor wir Zugang erhalten, unterschreiben wir eine Verschwiegenheitsverpflichtung nach den Vorgaben Ihres Berufsrechts und, wo nötig, einen Vertrag zur Auftragsverarbeitung. Aus der Ferne greifen wir nur nach Ihrer Freigabe zu, und jeder Zugriff wird protokolliert. Was Ihr Haus nicht verlässt, kann unterwegs niemand abfangen. Im Erstgespräch zeigen wir Ihnen, wie das im Einzelnen aussieht. Hintergründe finden Sie im Beitrag Datenschutz und Schweigepflicht bei KI.
Was die KI für Ihre Praxis oder Kanzlei übernehmen kann
Im kostenlosen Erstgespräch schauen wir uns Ihren Alltag an und sagen offen, was die KI im eigenen Haus übernehmen kann und was nicht. 30 Minuten, vor Ort oder per Video.
Erstgespräch vereinbarenHäufige Fragen
Brauche ich einen AV-Vertrag, wenn die KI bei mir im Haus läuft?
Wenn ein externer Dienstleister bei Wartung oder Fehlersuche auf personenbezogene Daten zugreifen kann, ist ein Vertrag zur Auftragsverarbeitung in der Regel sinnvoll. Läuft das System ohne jeden externen Zugriff, stellt sich die Frage anders.
Reicht ein AV-Vertrag für Berufsgeheimnisträger aus?
Meist nicht. Zusätzlich braucht es eine Verschwiegenheitsverpflichtung nach § 203 Abs. 4 StGB und dem jeweiligen Berufsrecht, etwa § 43e BRAO oder § 62a StBerG.
Was passiert, wenn ich den Dienstleister nicht zur Verschwiegenheit verpflichte?
Offenbart der Dienstleister dann ein Geheimnis unbefugt, kann sich nach § 203 Abs. 4 StGB auch der Berufsträger strafbar machen, weil er nicht für die Verpflichtung gesorgt hat.
Gilt das auch für Ärzte und Zahnärzte?
Ja. Für sie gibt es keine eigene Dienstleisterregel wie für Anwälte, maßgeblich sind § 203 Abs. 3 und 4 StGB und das ärztliche Berufsrecht.
Muss ich jeden Fernzugriff selbst freigeben?
Das ist keine gesetzliche Vorgabe, aber eine sinnvolle Gestaltung. Sie senkt die Möglichkeit der Kenntnisnahme und macht nachvollziehbar, wer wann worauf zugegriffen hat.
Weiterlesen
Quellen
- § 203 StGB, Verletzung von Privatgeheimnissen
- § 43e BRAO, Inanspruchnahme von Dienstleistungen
- § 62a StBerG, Inanspruchnahme von Dienstleistungen
- § 26a BNotO, Inanspruchnahme von Dienstleistungen
- Art. 28 DSGVO, Auftragsverarbeiter
- BRAK: Hinweise zum Einsatz von künstlicher Intelligenz, Stand 12/2024
Stand: 2026-10-05. Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Die Bewertung Ihres konkreten Einsatzes liegt bei Ihnen und Ihrem Datenschutzbeauftragten.