§ 203 StGB

Geschützt ist das Geheimnis, das dem Berufsgeheimnisträger in dieser Eigenschaft anvertraut oder sonst bekannt geworden ist. Der Kreis ist weiter, als viele annehmen.

Erfasst sind nicht nur Sachverhalt, Strategie und Unterlagen, sondern bereits die Tatsache, dass jemand überhaupt Mandant ist. Auch die Rufnummer eines Anrufers, der sich mit einem strafrechtlichen Anliegen meldet, ist geschützt.

Die Pflicht wirkt zeitlich unbegrenzt, auch nach Mandatsende und über den Tod hinaus. Sie trifft die Anwältin oder den Anwalt persönlich, unabhängig davon, wer den Fehler technisch verursacht hat.

Ohne eine Öffnung für Mitwirkende wäre moderne Kanzleiarbeit nicht möglich. § 203 Abs. 3 StGB erlaubt deshalb die Einbeziehung von Personen, die an der beruflichen Tätigkeit mitwirken, wenn der Zugang zum Geheimnis für die Mitwirkung erforderlich ist.

Daraus folgen für die Kanzlei zwei Pflichten. Erstens die sorgfältige Auswahl des Dienstleisters. Zweitens die Verpflichtung zur Verschwiegenheit, die dokumentiert sein sollte, und die Belehrung über die Strafbarkeit einer Verletzung.

Das gilt für die Reinigungskraft mit Zugang zu Akten ebenso wie für den IT-Dienstleister, den Cloud-Anbieter oder den Telefonservice. Wer diese Schritte auslässt, trägt das Risiko selbst.

Beim klassischen externen Telefonsekretariat hören Menschen die Gesprächsinhalte. Entsprechend gehört zum Standard: schriftliche Verschwiegenheitsverpflichtung jedes eingesetzten Mitarbeitenden, dokumentierte Belehrung, klare Regelung für Subunternehmer und Zeitarbeitskräfte, nachvollziehbare Zugriffsprotokolle.

Bei einer KI-Lösung verschiebt sich der Schwerpunkt. Die einzelne Unterschrift eines Callcenter-Mitarbeiters entfällt, dafür rückt die technische Architektur in den Vordergrund.

• Verschlüsselung im Ruhezustand und während der Übertragung
• Getrennte Schlüssel pro Kanzlei statt eines gemeinsamen Systemschlüssels
• Hosting innerhalb der EU, besser innerhalb Deutschlands
• Enger, protokollierter Kreis von Zugriffsberechtigten beim Anbieter
• Vertragliche Zusicherung, dass Mandantengespräche nicht in Modelltraining fließen

Bei LexDial liegen die Daten in Deutschland, verschlüsselt mit AES-256-GCM und einem eigenen Schlüssel je Kanzlei.

Drei Regelwerke greifen ineinander und werden regelmäßig verwechselt.

§ 43a BRAO ist berufsrechtlich. Verstöße führen zu Maßnahmen der Rechtsanwaltskammer, im Extremfall bis zum Berufsverbot.

§ 203 StGB ist strafrechtlich. Hier drohen Geld- oder Freiheitsstrafe.

Die DSGVO ist datenschutzrechtlich und sanktioniert über Bußgelder und Betroffenenrechte.

Ein Dienstleister kann also DSGVO-konform arbeiten und trotzdem berufsrechtlich untauglich sein, etwa wenn die Verschwiegenheitsverpflichtung fehlt. Umgekehrt ersetzt eine unterschriebene Verschwiegenheitserklärung keinen Auftragsverarbeitungsvertrag. Kanzleien brauchen beides.

Vor der Beauftragung eines Dienstleisters mit Zugang zu Mandantendaten lässt sich das Berufsrecht auf eine kurze Prüfliste bringen.

• Liegt eine schriftliche Verschwiegenheitsverpflichtung vor, samt Belehrung über die Strafbarkeit?
• Ist die Auswahl des Dienstleisters dokumentiert, etwa durch eine Prüfnotiz?
• Sind Subunternehmer benannt und ebenfalls verpflichtet?
• Wo werden die Daten gespeichert, und wer beim Anbieter kann darauf zugreifen?
• Gibt es eine vertragliche Zusage, dass Inhalte nicht in Modelltraining fließen?

Die Prüfung kostet einmalig etwa eine Stunde. Sie ist der Unterschied zwischen einer dokumentierten Sorgfaltsentscheidung und einem Vorwurf, der sich im Ernstfall nicht mehr entkräften lässt.