KI in der Kanzleisoftware: Verschwiegenheit, Datenschutz und die richtigen Fragen

Wer Mandatsdaten an einen externen Dienst übergibt, offenbart sie einem Dritten. § 203 StGB stellt die unbefugte Offenbarung fremder Geheimnisse unter Strafe. Zulässig ist die Einbindung von Dienstleistern nur unter Voraussetzungen, die § 43e BRAO näher regelt:

• Die Offenbarung muss für die Inanspruchnahme der Dienstleistung erforderlich sein (§ 43e Abs. 1 BRAO).
• Der Dienstleister ist sorgfältig auszuwählen (§ 43e Abs. 2 BRAO).
• Der Vertrag mit dem Dienstleister bedarf der Textform; darin ist er unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit zu verpflichten (§ 43e Abs. 3 BRAO).
• Wird die Dienstleistung im Ausland erbracht, ist sie nur zulässig, wenn der dortige Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist (§ 43e Abs. 4 BRAO).

Bei KI-Diensten großer Anbieter kommt die Frage hinzu, ob Eingaben gespeichert oder zum Training verwendet werden.

Personenbezogene Daten in Schriftsätzen, Diktaten und E-Mails fallen unter die DSGVO. Verarbeitet ein KI-Anbieter sie im Auftrag der Kanzlei, ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Werden Daten in ein Land außerhalb der EU übermittelt, gelten zusätzlich die Regeln für Drittlandübermittlungen (Art. 44 ff. DSGVO).

Am einfachsten wird die Prüfung, wenn die Daten die eigene Infrastruktur des Kanzleisoftware-Anbieters in Deutschland gar nicht erst verlassen.

Art. 4 der KI-Verordnung (EU) 2024/1689 gilt seit dem 2. Februar 2025. In der Fassung der Digital-Omnibus-Verordnung zur KI (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, verpflichtet er Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Kompetenzniveau müssen sie nicht garantieren (Stand: 22.10.2026). Für die Kanzlei heißt das praktisch: Wer KI-Funktionen nutzt, sollte wissen, was sie können, wo ihre Grenzen liegen und wie Ergebnisse zu prüfen sind.

Unabhängig davon bleibt die Verantwortung für jeden Schriftsatz beim Berufsträger. KI-Ergebnisse sind Entwürfe und Vorschläge, keine geprüften Aussagen.

• Wo läuft das KI-Modell: auf eigenen Servern des Anbieters, bei einem Unterauftragnehmer oder bei einem großen KI-Anbieter?
• In welchem Land werden die Daten verarbeitet?
• Werden Eingaben gespeichert, protokolliert oder zum Training verwendet?
• Ist der Anbieter nach § 43e BRAO zur Verschwiegenheit verpflichtet, und gibt es einen Auftragsverarbeitungsvertrag?
• Lassen sich KI-Funktionen für die ganze Kanzlei abschalten?
• Ist erkennbar, welche Inhalte von einer KI vorgeschlagen wurden?

JuristData von Web4Data betreibt seine KI-Funktionen auf Servern von Web4Data in Deutschland. Die Spracherkennung für das Diktat läuft dort ebenso wie die übrigen KI-gestützten Funktionen mit lokal betriebenen Modellen.

Für Berufsgeheimnisträger, also Rechtsanwaltskanzleien und Notariate, ist die Weitergabe von Inhalten an externe KI-Anbieter im System gesperrt. Die Sperre greift unabhängig von Einstellungen und Zusatzmodulen und auch dann, wenn eine Prüfung fehlschlägt.

Gehostet wird in Deutschland, je Kanzlei mit eigener, logisch getrennter Datenbank.

In eigener Sache: Für Rechtsanwaltskanzleien, die JuristData von Anfang an mitgestalten möchten, gibt es den JuristData-Pilot 2027.

Weiterlesen: DSGVO-Kanzleisoftware mit Hosting in Deutschland · Verschwiegenheit & Ethical Wall in der Kanzleisoftware · Kanzleisoftware für kleine Kanzleien und Einzelanwälte