KI in der Kanzlei: rechtssicher möglich, wenn Sie drei Ebenen getrennt lösen

Eine KI kann einen Steuerbescheid gegen die eingereichte Erklärung prüfen, einen Vertrag zusammenfassen oder aus einer dicken Akte einen ersten Entwurf machen. Richtig nützlich wird sie aber erst, wenn sie den konkreten Fall kennt. Und genau dann beginnt das rechtliche Problem: Wer eine Akte hochlädt, gibt einem externen Anbieter zumindest die Möglichkeit, Mandantengeheimnisse zur Kenntnis zu nehmen. Strafrechtlich kann schon diese Zugriffsmöglichkeit ein „Offenbaren“ sein; ob beim Anbieter je ein Mensch die Akte liest, spielt keine Rolle. Die Gesetzesbegründung zu § 203 StGB stellt das ausdrücklich klar.

Beim IT-Systemhaus vor Ort ist so etwas schnell gelöst: Verschwiegenheitsvereinbarung vorlegen, unterschreiben lassen, abheften. Ein weltweit tätiger KI-Anbieter unterschreibt Ihre deutsche Zusatzvereinbarung dagegen nicht. Es gibt seinen Standardvertrag, und Sie können ihn annehmen oder den Dienst schlicht nicht nutzen.

Aus dieser Lage werden zwei entgegengesetzte, gleich falsche Schlüsse gezogen. Die einen sagen: Dann ist KI mit Mandantendaten eben unmöglich. Die anderen schließen einen Auftragsverarbeitungsvertrag und halten damit alles für erledigt. Die einen verschenken die nützlichsten Anwendungsfälle, die anderen übersehen einen Teil ihrer Pflichten. Und dazwischen wird mit der Angst Geld verdient: Wer Ihnen erzählt, das Thema sei rechtlich nicht beherrschbar, will Ihnen dafür meist etwas verkaufen.

Meine Antwort vorweg: Der Einsatz ist rechtssicher machbar, aber nicht mit einem einzelnen Wunderdokument. Strafrecht, Datenschutz und Berufsrecht stellen drei verschiedene Fragen, und jede verlangt ihre eigene Antwort. Wer die drei Ebenen trennt, findet auch mit den Standardverträgen der großen Anbieter einen belastbaren Weg.

Drei Rechtsgebiete, drei Fragen

Diese Ebenen laufen nebeneinander her. Ein Auftragsverarbeitungsvertrag löst nicht das Berufsrecht, und ein berufsrechtlicher Formmangel ist nicht automatisch eine Straftat. Wer das vermischt, produziert entweder Panik oder Scheinsicherheit; beides sehe ich in Diskussionen unter Kollegen regelmäßig.

Ebene 1: Das Strafrecht verbietet das Auslagern nicht

Steuerberater, Wirtschaftsprüfer und Rechtsanwälte sind Berufsgeheimnisträger im Sinne des § 203 StGB. Geschützt ist dabei mehr, als der Datenschutz vermuten lässt: nicht nur Namen und andere personenbezogene Daten, sondern auch Betriebs- und Geschäftsgeheimnisse: eine Kalkulation, die Margen, eine geplante Umstrukturierung.

Seit der Reform von 2017 erlaubt § 203 Abs. 3 StGB ausdrücklich, sonstige Personen in die berufliche Tätigkeit einzubeziehen. Dazu gehören Cloud- und IT-Dienstleister und grundsätzlich auch KI-Anbieter. Sie dürfen die Geheimnisse erhalten, die für ihre Mitwirkung erforderlich sind. Genau dafür wurde die Vorschrift geschaffen: damit Berufsgeheimnisträger externe Spezialisten und moderne IT nutzen können, ohne sich allein durch den notwendigen Zugriff des Dienstleisters strafbar zu machen. Die Gesetzesbegründung nennt externe IT-Spezialisten als typischen Fall.

Auf dem Wort „erforderlich“ liegt allerdings Gewicht. Dass eine Software bequem ist, reicht nicht; der Zugriff auf die konkrete Information muss für die beauftragte Aufgabe benötigt werden. Soll die KI einen Steuerbescheid mit der Erklärung vergleichen, muss sie beide Dokumente sehen. Soll sie nur eine neutrale E-Mail formulieren, hat die vollständige Steuerakte im Chatfenster nichts verloren.

Die Geheimhaltungsverpflichtung ist formfrei

Der Berufsträger muss dafür sorgen, dass die mitwirkenden Personen zur Geheimhaltung verpflichtet sind (§ 203 Abs. 4 Satz 2 Nr. 1 StGB). Was viele überrascht: Das Strafrecht schreibt dafür keine Form vor: keine eigenhändige Unterschrift, keine Textform, keine Belehrung über die Strafandrohung. Die Gesetzesbegründung sagt ausdrücklich, dass die strengeren berufsrechtlichen Anforderungen hier nicht maßgeblich sind. Die Bindung kann auch über eine vertragliche Kette laufen, vom Anbieter zu seinen Mitarbeitern und Unterauftragnehmern.

Formfrei heißt aber nicht verzichtbar. Die Verpflichtung muss tatsächlich bestehen, bevor Geheimnisse zugänglich werden, und sie sollte dokumentiert sein, denn eine mündliche Absprache lässt sich im Ernstfall nicht belegen.

Eine allgemeine Vertraulichkeitsklausel kann genügen

Daraus folgt der für die Praxis wichtigste Punkt dieser Ebene: Die Verpflichtung muss nicht in einer deutschen Sondervereinbarung stehen. Eine allgemeine Vertraulichkeitsklausel in den kommerziellen Vertragsbedingungen des Anbieters kann für § 203 StGB genügen, wenn sie weit genug reicht. Sie muss sämtliche vertraulichen Eingaben erfassen und nicht nur personenbezogene Daten, ihre Nutzung auf die Vertragserfüllung beschränken und Mitarbeiter wie Unterauftragnehmer in die Vertraulichkeit einbinden.

Der Unterschied ist kein Wortklauben: Eine Klausel, die nur „personenbezogene Daten“ schützt, ist für das Mandantengeheimnis zu schmal. Warum genau das im GmbH-Mandat über die Strafbarkeit entscheiden kann, zeige ich weiter unten an einem Beispiel.

Dass große Anbieter durchaus breiter formulieren, zeigen ihre aktuellen Vertragswerke: Das OpenAI Services Agreement behandelt den gesamten Customer Content als vertrauliche Information und bindet eingeschaltete Personen über eine Vertraulichkeitskette ein; Vergleichbares steht in den Commercial Terms von Anthropic. Das ist keine Freigabe für jedes Produkt und jeden Account. Die pauschale Behauptung aber, große KI-Anbieter verpflichteten sich überhaupt nicht zur Verschwiegenheit, hält der Vertragslektüre nicht stand.

Ebene 2: Der AV-Vertrag erledigt den Datenschutz, mehr nicht

Sobald die KI personenbezogene Daten im Auftrag der Kanzlei verarbeitet, greift regelmäßig Art. 28 DSGVO. Arbeitet der Anbieter nur auf Weisung, bleibt die Kanzlei Verantwortlicher, der Anbieter wird Auftragsverarbeiter, und es braucht einen Auftragsverarbeitungsvertrag, meist AVV oder DPA genannt. Verfolgt der Anbieter mit den Daten eigene Zwecke, muss die Rollenverteilung neu beurteilt werden.

Auch hier ist der Markt weiter, als es die Diskussion oft ist. Große KI-Dienste bieten solche Verträge längst an; der OpenAI-DPA und der Anthropic-DPA verpflichten die zur Verarbeitung befugten Personen zur Vertraulichkeit und regeln Unterauftragsverhältnisse. Die Behauptung, mit großen Anbietern lasse sich grundsätzlich kein AVV schließen, ist überholt. Worauf es ankommt, ist der konkrete Tarif: Ein privater Gratis-Account unterliegt nicht denselben Bedingungen wie ein Business-, Enterprise- oder API-Vertrag.

Für die Praxis heißt das auch: Weil die Verpflichtung nach § 203 Abs. 4 StGB formfrei ist (siehe oben), erfüllen die Standard-AVV der großen Anbieter mit ihren Vertraulichkeitspflichten für Personal und Unterauftragnehmer im Regelfall zugleich die Anforderungen an diese strafrechtliche Vereinbarung. Ein gesondertes Verpflichtungsdokument müssen Sie dem Anbieter also nicht abringen: Der Vertrag, den Sie für den Datenschutz ohnehin schließen, leistet diese Arbeit mit.

Der AVV ist trotzdem nur ein Teil der Prüfung. Offen bleiben unter anderem die Rechtsgrundlage der Verarbeitung, die Frage, ob der Anbieter Eingaben für eigene Zwecke oder zum Training nutzt und ob sich das ausschließen lässt, die eingesetzten Unterauftragnehmer, der Verarbeitungsort samt Drittlandtransfers sowie Löschfristen und Sicherheitsmaßnahmen.

Und eine Grenze bleibt bestehen: Der AVV schützt personenbezogene Daten. Für das vollständige Mandantengeheimnis braucht es die breitere Vertraulichkeitsklausel aus der ersten Ebene.

Ebene 3: Die eigentliche Hürde steht im Berufsrecht

Das Berufsrecht verlangt mehr als das Strafrecht. Für Steuerberater steht die zentrale Regel in § 62a StBerG; für Rechtsanwälte gilt § 43e BRAO, für Wirtschaftsprüfer § 50a WPO entsprechend.

§ 62a Abs. 2 und 3 StBerG verlangt grundsätzlich, dass die Kanzlei den Dienstleister sorgfältig auswählt und mit ihm einen Vertrag in Textform schließt, der es in sich hat: Verschwiegenheitsverpflichtung unter Belehrung über die strafrechtlichen Folgen, Begrenzung des Zugriffs auf das Erforderliche, Regeln für weitere Auftragnehmer, die ihrerseits in Textform zu verpflichten sind. Der Gesetzgeber hat 2017 das Strafrecht praxistauglicher gemacht und im Berufsrecht bewusst eine zusätzliche Sicherung eingezogen.

Daraus ergeben sich zwei Wege. Mit einem örtlichen Systemhaus lässt sich der volle §-62a-Vertrag verhandeln; dort ist er der einfachste Weg. Mit einem weltweit tätigen KI-Anbieter regelmäßig nicht: Eine einzelne kleine oder mittlere Kanzlei bekommt keinen individuellen deutschen Vertrag mit Strafrechtsbelehrung. An dieser Stelle endet die Prüfung vieler Berater mit dem Satz: „Dann geht es eben nicht.“ Dabei steht der Ausweg im selben Paragrafen.

Einwilligung und Verzicht sind zwei verschiedene Erklärungen

Nach § 62a Abs. 6 StBerG kann der Mandant ausdrücklich darauf verzichten, dass die Kanzlei die Anforderungen der Absätze 2 und 3 einhält. Damit entfällt genau die Hürde, die der nicht verhandelbare Standardvertrag erzeugt.

Dieser Verzicht ist nicht dasselbe wie die Einwilligung, und die Unterscheidung trägt die ganze Gestaltung:

• Mit der Einwilligung stimmt der Mandant zu, dass die Kanzlei den beschriebenen KI-Dienst einsetzt und ihm im erforderlichen Umfang Geheimnisse zugänglich macht. Bei Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, verlangt § 62a Abs. 5 StBerG diese Einwilligung ausdrücklich.
• Mit dem Verzicht nach § 62a Abs. 6 StBerG erklärt der Mandant zusätzlich, dass die Kanzlei die besonderen Vertragsanforderungen aus den Absätzen 2 und 3 nicht einhalten muss.

Auf Deutsch: Die Einwilligung sagt „Ihr dürft KI einsetzen und ihr dafür das Nötige aus meiner Akte zugänglich machen.“ Der Verzicht sagt zusätzlich „Und ihr müsst dafür keinen deutschen Spezialvertrag mit dem Anbieter vorweisen.“ Die Einwilligung öffnet die Tür, der Verzicht räumt die Formvorschriften aus dem Weg. Deshalb braucht es beide.

Für den Verzicht gelten dabei klare Spielregeln. Er muss ausdrücklich erklärt werden. Ein stillschweigendes Hinnehmen genügt nicht, und ein versteckter Satz in den Allgemeinen Auftragsbedingungen trägt ebenfalls nicht.

Eine bestimmte Form schreibt das Gesetz nicht vor, aus Beweisgründen gehört der Verzicht aber als eigener, klar erkennbarer Absatz in die Mandatsvereinbarung. Er muss auch nicht für jeden Dienstleister einzeln erklärt werden; eine generelle Erklärung genügt, wenn der Mandant versteht, welche Art von Diensten eingesetzt wird, wofür, mit welchen Datenkategorien und ob im Ausland verarbeitet wird. Transparenz schafft eine gepflegte Liste der typischerweise genutzten Dienstleister, die bei wesentlichen Änderungen aktualisiert wird.

Und der Mandant behält das letzte Wort: Er kann den Verzicht jederzeit widerrufen. Mit dem Widerruf leben die berufsrechtlichen Pflichten wieder auf; die Kanzlei braucht also eine Antwort auf diesen Fall, bevor er eintritt.

Was der Verzicht nicht heilt

Der Verzicht betrifft nach seinem Wortlaut nur § 62a Abs. 2 und 3 StBerG. Die strafrechtliche Geheimhaltungsbindung und die DSGVO-Prüfung ersetzt er nicht; die ersten beiden Ebenen bleiben, wie sie sind.

Der frühere Aufreger „Verarbeitung in den USA“ hat dagegen viel von seinem Schrecken verloren. OpenAI und Anthropic sind unter dem EU-US Data Privacy Framework zertifiziert. Für zertifizierte US-Anbieter bescheinigt der Angemessenheitsbeschluss der EU-Kommission ein Schutzniveau, das dem europäischen entspricht (Art. 45 DSGVO). Damit ist der Drittlandtransfer datenschutzrechtlich abgedeckt, und auch die berufsrechtliche Anforderung eines vergleichbaren Geheimnisschutzes im Ausland (§ 62a Abs. 4 StBerG) lässt sich mit Zertifizierung und den beschriebenen Vertraulichkeitsklauseln gut begründen. Wer die Frage gar nicht erst aufkommen lassen will, wählt EU-Hosting, bei Langdock etwa Standard.

Auch der gern zitierte US CLOUD Act ändert an dieser Bewertung für DSGVO-Zwecke nichts. Er gewährt US-Behörden keinen Selbstbedienungszugriff auf europäische Daten, sondern verpflichtet US-Anbieter nur auf Grundlage förmlicher US-Rechtsverfahren zur Herausgabe, bei Inhaltsdaten regelmäßig erst nach richterlicher Anordnung. Vor allem aber: Die EU-Kommission kannte die amerikanischen Zugriffsgesetze, als sie den Angemessenheitsbeschluss erlassen hat. Das Data Privacy Framework wurde gerade als Antwort auf diese Befugnisse verhandelt und hat seine erste gerichtliche Überprüfung vor dem Gericht der EU 2025 überstanden. Für die Rechtmäßigkeit des KI-Einsatzes in der Kanzlei ist der CLOUD Act damit kein Hindernis: ein Restrisiko-Thema für besonders sensible Einzelfälle, kein DSGVO-Blocker.

Und eine Grenze kann keine Klausel beseitigen: Der Mandant kann nur über seine eigenen Geheimnisse verfügen. Stehen in der Akte Beschäftigtendaten, Angaben über Angehörige oder Geheimnisse eines Geschäftspartners, muss die Kanzlei prüfen, welche Befugnis für diese Daten besteht. Datenminimierung, Pseudonymisierung und klare Zugriffsgrenzen bleiben deshalb sinnvoll, auch wenn der eigene Mandant eingewilligt und verzichtet hat.

Welcher Weg zu welchem Dienstleister passt

Die Schutzlücke im GmbH-Mandat

Bleibt der Punkt, an dem auch Kanzleien mit auf dem Papier perfektem AVV-Setup ein Restrisiko tragen. Er zeigt, warum die breite Vertraulichkeitsklausel aus der ersten Ebene keine Kür ist.

Die beiden Schutzsysteme meinen nämlich unterschiedliche Dinge. Die DSGVO schützt natürliche Personen und nur deren personenbezogene Daten. § 203 StGB schützt den Mandanten, ausdrücklich auch die juristische Person, und sämtliche seiner Geheimnisse: interne Kennzahlen, Kalkulationen, Bezugsquellen, Beteiligungsverhältnisse, geplante Fusionen, Kundenlisten, Strategien. Ein typisches GmbH-Mandat enthält fast immer beides nebeneinander, in derselben Buchhaltung.

Tückisch ist die Lücke auch deshalb, weil kein Datenschutz-Radar sie erfasst: Für reine Geschäftsgeheimnisse gibt es keine DSGVO-Meldepflicht, keine Bußgelder und keinen datenschutzrechtlichen Schadensersatz. § 203 StGB gilt trotzdem in vollem Umfang.

Als Faustregel gilt: Je mehr Geschäftsgeheimnisse ein Mandat trägt, desto wichtiger wird die breite Klausel. Das betrifft produzierende Betriebe und Familienunternehmen ebenso wie projektkalkulierende Branchen, anstehende Verkäufe und Umwandlungen oder steuerliche Gestaltungsberatung mit vertraulichen Strukturüberlegungen.

Bleibt die naheliegende Frage: Schließt der Mandantenverzicht nach § 62a Abs. 6 StBerG diese Lücke nicht ohnehin? Nein. Der Verzicht wirkt nur im Berufsrecht. Die strafrechtliche Pflicht, für die Geheimhaltung durch den Dienstleister zu sorgen, bleibt bestehen.

Geschlossen wird die Lücke auf zwei Wegen, die sich kombinieren lassen: durch die informierte Einwilligung des Mandanten, wenn sie ausdrücklich auch Geschäftsgeheimnisse erfasst (in die Offenbarung seiner eigenen Geheimnisse kann er einwilligen), und durch die breite Vertraulichkeitsklausel des Anbieters, die die Geheimhaltung vertraglich absichert. Genau deshalb stehen in der Bausteine-Tabelle unten beide nebeneinander, nicht eines statt des anderen.

Die Kombination, die trägt

Einen fertigen „§-62a-Baustein“ liefert kein internationaler Anbieter. Was trägt, ist das Zusammenspiel aus Anbieterunterlagen, Mandatsgestaltung und internen Regeln:

Jeder Baustein deckt nur seine Ebene. Fehlt die breite Vertraulichkeitsklausel, heilt der Mandantenverzicht das Strafrecht nicht; fehlt der AVV, hilft die beste Verschwiegenheitsklausel nichts gegen die DSGVO; fehlt der Verzicht, bleibt die berufsrechtliche Lücke offen. Genau diese Trennung fehlt in vielen Diskussionen, und mit ihr steht und fällt die ganze Konstruktion.

Vom Papier in den Kanzleialltag

Keine Kanzlei braucht eine Hundert-Seiten-Analyse, bevor sie den ersten sinnvollen Anwendungsfall ausprobiert. Sie braucht aber auch niemanden, der ein Tool auswählt, einen Haken bei „DSGVO“ setzt und verschwindet.

Der Ausgangspunkt ist der Arbeitsablauf, nicht die Frage, ob ein bestimmtes Tool „rechtssicher“ ist; die lässt sich pauschal ohnehin nicht beantworten. Also: Welche Aufgabe soll die KI übernehmen, welche Daten braucht sie dafür, und wer kann darauf zugreifen? Erst dann lässt sich sagen, welche Gestaltung die Kanzlei wirklich braucht. Genau so gehe ich in der Beratung und Begleitung vor, und danach stehen vier Entscheidungen an:

1. Das passende Vertragsmodell wählen. Consumer-Account und kommerzielle Kanzleinutzung gehören nicht in einen Topf; es zählen die Bedingungen, die tatsächlich gelten.
2. Die drei Ebenen dokumentiert prüfen. Vertraulichkeit, Auftragsverarbeitung und Berufsrecht bekommen je einen eigenen Prüfpunkt. Ein Dokument darf mehrere Funktionen erfüllen, aber keine Funktion wird nur vermutet.
3. Das Mandatsverhältnis sauber gestalten. Einwilligung und Verzicht verständlich formulieren, begrenzen und dokumentieren.
4. Das Team arbeitsfähig machen. Klare Regeln, welches Tool für welchen Fall gilt, welche Daten hinein dürfen, wie Ergebnisse geprüft werden und wann ein Vorgang beim Menschen bleibt.

Das Ziel ist dabei nicht, die Kanzlei dauerhaft an ein Tool oder einen Berater zu binden. Wer die Logik der drei Ebenen einmal verstanden hat, kann den nächsten Dienst selbst einordnen, ohne für jede neue Frage einen Berater zu brauchen.

Fazit: Das Problem ist das unsaubere Setup

Die pauschale Aussage, KI dürfe wegen § 203 StGB, DSGVO oder Berufsrecht nicht mit Mandantendaten arbeiten, ist falsch. Genauso falsch wäre es, ohne Prüfung vertrauliche Akten in irgendeinen Chatbot zu laden.

Der praxistaugliche Weg bei großen Anbietern führt nicht über einen individuell ausgehandelten deutschen Vertrag, sondern über eine Kombination: die kommerziellen Vertraulichkeitsbedingungen des Anbieters, ein AVV im richtigen Tarif, eine informierte Mandanteneinwilligung mit ausdrücklichem Verzicht auf § 62a Abs. 2 und 3 StBerG, dazu Datenminimierung und verbindliche Regeln für das Team. Ob diese Kombination im Einzelfall trägt, muss für den konkreten Dienst und Anwendungsfall geprüft werden; eine höchstrichterliche Entscheidung zu generativer KI gibt es noch nicht.

Die Richtung aber ist eindeutig: KI ist in der Kanzlei rechtssicher einsetzbar. Lassen Sie sich weder einreden, das Thema sei kein Problem, noch, es sei unlösbar. Wer hinschaut, die drei Ebenen trennt und jede davon für sich regelt, hat das Thema im Griff.