Wer Software für Anwaltskanzleien, Arztpraxen oder Steuerberatungen entwickelt, bekommt vom Kunden früher oder später die Frage gestellt, ob das Produkt mit § 203 StGB vereinbar ist. Meist kommt sie in dem Moment, in dem eine KI-Funktion ins Produkt wandert, etwa eine Zusammenfassung von Schriftsätzen, ein Entwurf für ein Mandantenschreiben oder die Auswertung eines Arztbriefs. Die Datenschutzfragen sind dann oft schon geklärt, mit Auftragsverarbeitungsverträgen und Servern in der EU.
§ 203 StGB schützt Berufsgeheimnisse auch beim Softwareanbieter und beim Inferenzanbieter
Das Strafrecht regelt davon getrennt, wer ein anvertrautes Geheimnis zu sehen bekommen darf. Ärztinnen und Ärzte, Rechtsanwälte, Steuerberater, Notare und andere Berufsgeheimnisträger machen sich strafbar, wenn sie ein fremdes Geheimnis unbefugt offenbaren, das ihnen anvertraut oder sonst bekannt geworden ist (§ 203 StGB). Das gilt ausdrücklich auch für Betriebs- und Geschäftsgeheimnisse. Die Schweigepflicht steht neben dem Datenschutzrecht, und eine Auftragsverarbeitungsvereinbarung beantwortet die Frage des Kunden deshalb nur zum Teil.
Für ein Offenbaren genügt schon die Möglichkeit, dass ein Dritter den Inhalt zur Kenntnis nimmt. Ob er ihn tatsächlich liest, spielt keine Rolle. Ein Sprachmodell, das per API angebunden ist, bekommt den vollständigen Prompt zu sehen, also den Schriftsatz oder den Arztbrief selbst.
Seit einer Reform im Jahr 2017 dürfen Berufsgeheimnisträger fremde Geheimnisse an Dienstleister weitergeben, die an ihrer beruflichen Tätigkeit mitwirken, soweit das für deren Leistung erforderlich ist. Das Gesetz nennt sie sonstige mitwirkende Personen. Gemeint ist etwa, wer IT-Systeme betreibt oder wartet, und ebenso, wer in einer mehrstufigen Beauftragung zwischengeschaltet ist und vom Geheimnis Kenntnis erlangen kann.
Damit sind der Softwareanbieter und der Inferenzanbieter, den er per API anbindet, beide mitwirkende Personen, sobald sie Geheimnisse des Kunden verarbeiten. Inferenzanbieter ist das Unternehmen, das ein Sprachmodell auf seinen Servern betreibt und die Anfragen verarbeitet. Bei einem offenen Modell wie DeepSeek ist das etwa ein europäischer Cloud-Anbieter, der das Modell in seinem eigenen Rechenzentrum ausführt. Der Hersteller des Modells ist nur dann mitwirkende Person, wenn er selbst Zugang zu den Anfragen erhält.
Zwischen der Kanzlei und dem Inferenzanbieter stehen damit mehrere Unternehmen, und jedes von ihnen muss zur Verschwiegenheit verpflichtet sein. Die Gesetzesbegründung spricht von einer „lückenlose[n] Vertragskette zwischen dem Berufsgeheimnisträger und der letztlich tätig werdenden Person“. Abbildung 1 zeigt diese Vertragskette für eine Software mit KI-Funktion.
-
Kanzlei / Praxis
§ 203 Abs. 1
Berufsgeheimnisträger
-
Software des Anbieters
Verpflichtet ✓
Mitwirkende Person, Vertrag mit der Kanzlei
-
KI-Gateway
Verpflichtet ✓
Mitwirkende Person, Vertrag mit dem Softwareanbieter
-
Inferenzanbieter
Verpflichtet ✓
Mitwirkende Person, betreibt das Modell
Das Berufsrecht verlangt einen Vertrag mit Verschwiegenheitspflicht
Wie die Verpflichtung zur Verschwiegenheit aussehen muss, regeln Strafrecht und Berufsrecht unterschiedlich streng. Dem Strafrecht genügt jede Verpflichtung zur Geheimhaltung, eine bestimmte Form verlangt es nicht. Die Berufsgesetze der Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Patentanwälte und Notare schreiben dagegen einen Vertrag in Textform vor, für Anwälte etwa in § 43e BRAO.
Der Vertrag verpflichtet den Dienstleister zur Verschwiegenheit und belehrt ihn über die strafrechtlichen Folgen einer Pflichtverletzung. Er beschränkt seine Kenntnis fremder Geheimnisse auf das, was zur Erfüllung des Vertrags erforderlich ist. Und er legt fest, ob der Dienstleister weitere Personen heranziehen darf, die er dann seinerseits in Textform zur Verschwiegenheit verpflichtet.
Für Ärztinnen und Ärzte verlangt die Berufsordnung eine schriftliche Verpflichtung, und alle Berufsgeheimnisträger können stattdessen die Einwilligung ihrer Mandanten oder Patienten einholen.
Auch die Subunternehmer des Softwareanbieters müssen zur Verschwiegenheit verpflichtet sein
Beim Softwareanbieter endet die Weitergabe selten. Seine KI-Funktion läuft bei einem Inferenzanbieter, der wiederum eigene Subunternehmer haben kann. Das Gesetz setzt die Verpflichtung auf jeder Stufe fort. Der Berufsgeheimnisträger sorgt dafür, dass seine mitwirkende Person zur Geheimhaltung verpflichtet wurde. Zieht diese ihrerseits eine weitere mitwirkende Person hinzu, trifft sie dieselbe Pflicht (§ 203 Abs. 4 Satz 2 StGB). Damit verpflichtet der Softwareanbieter seinen Inferenzanbieter und dieser seine eigenen Subunternehmer.
Der Vertrag mit dem Inferenzanbieter gibt die Verschwiegenheitspflicht weiter und schließt das Training aus
Jeder Prompt wird an den Inferenzanbieter geschickt, und der Vertrag mit ihm ist deshalb die erste Maßnahme. Der Softwareanbieter verpflichtet ihn darin zur Verschwiegenheit, so wie es sein eigener Vertrag mit dem Kunden für weitere Personen verlangt.
Darüber hinaus muss ausgeschlossen sein, dass der Anbieter die Daten zum Training verwendet. Der Deutsche Anwaltverein verlangt diese Regel in seiner Stellungnahme 32/2025 ausdrücklich, weil das Training mit Mandatsdaten die Schwelle der Erforderlichkeit nicht erreichen dürfte.
Ein Subprozessor-Verzeichnis zeigt dem Kunden den Stand jeder Verpflichtung
Der Kunde muss seinen Dienstleister sorgfältig auswählen und braucht dafür eine Liste der Subunternehmer, oft Subprozessor-Verzeichnis genannt. Für jeden Eintrag nennt das Verzeichnis Name und Rolle, den Sitz von Gesellschaft und Konzern, die Region der Verarbeitung und den Stand der Verschwiegenheitsverpflichtung. Diese Angaben ergeben sich aus dem, was Datenschutz und Berufsrecht vom Kunden verlangen.
Der Konzern steht im Verzeichnis, weil auch bei Servern in der EU eine Muttergesellschaft im Drittstaat über konzerninterne Weisungsrechte faktisch Zugriff erhalten kann. Sobald sich diese Liste ändert, muss der Softwareanbieter das seinen Kunden vorher mitteilen, damit sie widersprechen können (Art. 28 Abs. 2 DSGVO).
| Anbieter | Sitz | Region | § 203-Verpflichtung |
|---|---|---|---|
| Gateway | Sitz Deutschland | Region Deutschland | § 203 Verpflichtet ✓ |
| Inferenzanbieter A | Sitz Deutschland | Region EU | § 203 Verpflichtet ✓ |
| Inferenzanbieter B | Sitz Niederlande | Region EU | § 203 Fehlt |
| Rechenzentrum | Sitz Deutschland | Region Frankfurt | § 203 Verpflichtet ✓ |
So setzt Noirdoc die Anforderungen um
Noirdoc ist ein Gateway zwischen der Software und den Inferenzanbietern. Die Verschwiegenheit nach § 203 StGB ist bei uns im Vertragswerk verankert, mit unseren Mitarbeitern, unseren eigenen Dienstleistern und den Inferenzanbietern im Katalog. Fehlt die Vereinbarung bei einem Anbieter, filtern wir ihn für Berufsgeheimnisträger heraus. Alle Subunternehmer stehen mit dem Stand ihrer Verpflichtung im Subprozessor-Verzeichnis in Anlage 4 unseres AVV. Gilt eine Organisation als Berufsgeheimnisträger, leitet das Gateway ihre Anfragen nur an verpflichtete Anbieter aus unserem Katalog weiter, auch bei einem Ausfall. Zusätzlich lässt sich jeder API-Schlüssel auf verpflichtete Anbieter und bestimmte Modelle beschränken. Ein Softwareanbieter bedient Kanzleien und Kunden ohne Schweigepflicht damit über getrennte Wege.
Die Inferenz läuft bei Anbietern mit Rechenzentren in Deutschland und der EU. Weder wir noch die Anbieter speichern Prompts und Antworten nach der Beantwortung (Zero Retention), und das Training mit den Daten ist vertraglich ausgeschlossen. Weicht ein Anbieter davon ab, weisen wir das je Modell aus. Für Abrechnung und Nachweis protokollieren wir jede Anfrage mit Zeitstempel, Anbieter, Modell und Region, ohne Prompt und Antwort.