Vor zwei Jahren war die Antwort einfach: KI in der Kanzlei? Vergessen Sie's. Heute lautet sie: Kommt drauf an, welche. Drei Berufsrechtsnormen ziehen die Grenzen, und sie sind unterschiedlich streng. Wer sie kennt, kann KI sicher einsetzen — wer sie ignoriert, riskiert Disziplinarverfahren und Mandatsverlust.

Die drei zentralen Normen

Drei Vorschriften definieren, was Sie mit Mandantendaten dürfen — und was nicht:

  • § 2 BORA (Berufsordnung für Rechtsanwälte): Pflicht zur Verschwiegenheit über alles, was dem Anwalt in beruflicher Eigenschaft anvertraut ist. Verstoß = berufsrechtliche Konsequenzen, bei vorsätzlicher Offenbarung sogar Strafrecht (§ 203 StGB).
  • § 57 StBerG (Steuerberatungsgesetz): Analog für Steuerberater — Verschwiegenheit über alles aus der Berufsausübung.
  • § 43 WPO (Wirtschaftsprüferordnung): Analog für Wirtschaftsprüfer — und besonders streng, da Wirtschaftsprüfer regelmäßig mit sensiblen, börsenrelevanten Informationen umgehen.

Alle drei Normen kennen das gleiche Prinzip: Mandantendaten sind fremde Geheimnisse. Sie zu offenbaren — auch fahrlässig, auch an einen Dienstleister, auch in pseudo-anonymisierter Form — ist verboten, soweit nicht eine der eng gefassten Ausnahmen greift.

Was bedeutet das beim KI-Einsatz?

Wenn Sie Mandanteninformationen in einen KI-Service eingeben, übermitteln Sie diese Daten an einen Dritten — den Service-Betreiber. Das ist erst einmal grundsätzlich problematisch. Es gibt zwei Wege, das berufsrechtlich zu legitimieren:

Weg 1: Einwilligung des Mandanten

Sie holen explizit die Einwilligung des Mandanten ein, dass Sie eine KI für seine Sache nutzen dürfen. Funktioniert, ist aber unpraktikabel als Standardlösung — Sie müssten bei jedem Mandat einen separaten Bogen einbauen, und viele Mandanten verstehen die technischen Fragen nicht gut genug, um wirklich informiert einzuwilligen.

Weg 2: Auftragsverarbeitung nach Art. 28 DSGVO

Sie schließen mit dem KI-Anbieter einen Auftragsverarbeitungsvertrag (AVV). Damit handelt der Anbieter als verlängerte Werkbank Ihrer Kanzlei — rechtlich werden die Daten so behandelt, als blieben sie bei Ihnen. Das ist die Standardlösung. Aber: Nicht jeder AVV ist gleich gut, und nicht jeder AVV erfüllt das Berufsrecht.

Wichtig

Ein DSGVO-konformer AVV erfüllt nicht automatisch das Berufsrecht. Berufsrecht setzt zusätzliche Anforderungen: Schweigepflicht des Dienstleisters, Datenstandort, Zweckbindung, keine Trainings-Nutzung.

Was muss im AVV stehen?

Ein für Berufsträger taugliches Auftragsverarbeitungsverhältnis enthält mindestens diese Punkte:

  • Schweigepflicht-Verpflichtung: Alle Mitarbeiter des Dienstleisters sind schriftlich auf Verschwiegenheit verpflichtet.
  • Datenstandort EU/Deutschland: Keine Übermittlung in Drittländer, auch nicht USA. Cloud Act-Risiken sind real.
  • Keine Modell-Trainings: Ihre Daten dürfen unter keinen Umständen zum Training fremder Modelle verwendet werden — auch nicht „pseudonymisiert".
  • Audit-Recht: Sie dürfen den Dienstleister auditieren oder einen Audit-Bericht (z.B. ISO 27001) verlangen.
  • Löschungspflicht: Bei Vertragsende werden Ihre Daten innerhalb definierter Fristen gelöscht.
  • Verschlüsselung: Daten sind in Transit (TLS) und at-rest (AES-256) verschlüsselt.
  • Meldepflicht: Datenpannen werden binnen 72 Stunden gemeldet (Art. 33 DSGVO).

Was ChatGPT-Consumer NICHT erfüllt

OpenAI bietet zwei Produkte an: ChatGPT (Consumer) und ChatGPT Enterprise / API. Der Consumer-Service ist für Berufsträger praktisch unbrauchbar:

  • Eingaben werden standardmäßig zum Training verwendet (Opt-out möglich, aber nicht zuverlässig).
  • Daten liegen auf US-Servern, US-Behörden haben theoretischen Zugriff via Cloud Act.
  • Kein AVV nach deutschem Recht.
  • Keine berufsrechtliche Schweigepflicht-Verpflichtung der Mitarbeiter.

Wer ChatGPT-Consumer mit Mandantendaten benutzt, begeht im Zweifel einen Berufsrechtsverstoß — und stellt sich im Falle eines Datenlecks haftungsrechtlich nackt. Der Enterprise-Tarif sieht besser aus, hat aber weiterhin den Datenstandort-Problem (USA) und ein dünnes deutsches Vertragswerk.

Was ein gutes Setup aussieht

Ein berufsrechtlich sauberes KI-Setup für Kanzleien und Beratungen erfüllt diese Punkte:

  1. Anbieter mit Sitz in Deutschland oder zumindest EU. Bei Cubicle: Sitz in Deutschland, Hosting in deutschen Rechenzentren.
  2. Schriftlicher AVV nach DSGVO Art. 28 mit erweiterten Berufsrechts-Klauseln.
  3. Keine Trainings-Nutzung Ihrer Daten — auch nicht pseudonymisiert, auch nicht aggregiert.
  4. Audit-Log über alle Zugriffe: Sie können nachweisen, wer wann was abgefragt hat.
  5. Mandanten-Isolation: Daten verschiedener Kanzleien liegen in separaten Datenbanken, kein gemeinsamer Vektor-Speicher.
  6. Verschlüsselung at-rest und in-transit.
  7. Klare Lösch-Prozesse bei Vertragsende.

Wenn Sie Mandate haben, bei denen besonders sensible Daten verarbeitet werden (Strafverteidigung, große Steuerprüfungen, Konzern-Mandate), ist zusätzlich eine On-Premise-Lösung empfehlenswert. Dann verlassen Daten nie Ihre eigene Infrastruktur. Bei Cubicle nennt sich das Cubicle Inhouse.

Eine pragmatische Checkliste

Bevor Sie ein KI-Tool produktiv einsetzen, gehen Sie diese fünf Fragen durch:

  1. Habe ich einen schriftlichen AVV vom Anbieter, der § 203 StGB und das Berufsrecht explizit nennt?
  2. Werden meine Daten ausschließlich auf EU-Servern verarbeitet?
  3. Garantiert der Anbieter schriftlich, dass meine Daten nicht für Modell-Training verwendet werden?
  4. Gibt es ein vollständiges Audit-Log, das ich auch nach Vertragsende erhalten kann?
  5. Werden meine Daten bei Vertragsende dokumentiert gelöscht?

Wenn auch nur eine Antwort „Nein" lautet, sollten Sie das Tool nicht einsetzen — oder zumindest nicht mit identifizierbaren Mandantendaten.

Fazit

Berufsrecht und KI schließen sich nicht aus. Sie brauchen aber den richtigen Anbieter, den richtigen Vertrag und ein realistisches Verständnis der technischen Risiken. ChatGPT-Consumer ist tabu. Spezialisierte Berufs-KI-Anbieter mit deutschem Sitz, AVV nach Berufsrecht-Standard und kuratierter Rechts-Wissensbasis lösen das Problem — und ermöglichen Ihnen die produktivste Phase Ihres Berufslebens.

Mehr zu unseren technischen Schutzschichten und unserem AVV-Standard finden Sie auf der Sicherheits-Seite.