§ 203 StGB und Digitalisierung: Was Kanzleien dürfen und was sie vermeiden

"Das können wir nicht machen — Mandantengeheimnis." Dieser Satz beendet in vielen Kanzleien jede Diskussion über Digitalisierung. Cloud-Dienste? Unmöglich. KI-Tools? Ausgeschlossen. Automatische Dokumentenverarbeitung? Zu riskant.

Die Bedenken sind nachvollziehbar. Die Schlussfolgerung ist falsch.

Was § 203 StGB tatsächlich regelt

§ 203 StGB schützt das Mandantengeheimnis. Er stellt die unbefugte Offenbarung von Geheimnissen unter Strafe, die einem Anwalt in seiner beruflichen Eigenschaft anvertraut wurden.

Das Wort "unbefugt" ist entscheidend. Die Norm verbietet nicht den Einsatz von Technologie. Sie verbietet die unkontrollierte Weitergabe von Mandantendaten. Das ist ein wesentlicher Unterschied.

2017 wurde § 203 StGB reformiert. Seitdem dürfen Berufsgeheimnisträger — also auch Anwälte — "sonstige mitwirkende Personen" einsetzen, sofern diese zur Verschwiegenheit verpflichtet sind. Diese Regelung umfasst ausdrücklich auch IT-Dienstleister.

Was erlaubt ist

Die aktuelle Rechtslage erlaubt den Einsatz digitaler Werkzeuge, wenn bestimmte Schutzmaßnahmen eingehalten werden:

Auftragsverarbeitung mit IT-Dienstleistern. Ein IT-Dienstleister, der als "sonstige mitwirkende Person" nach § 203 Absatz 3 StGB eingesetzt wird, darf Zugang zu Mandantendaten erhalten — sofern er zur Verschwiegenheit verpflichtet ist und die Kanzlei die Aufsicht behält.

Verschlüsselung. Daten, die verschlüsselt gespeichert und übertragen werden, sind auch bei einem Sicherheitsvorfall geschützt. Wenn der Dienstleister keinen Zugang zum Schlüssel hat, kann er die Daten nicht lesen — und damit kein Geheimnis offenbaren.

Zugriffskontrollen. Rollenbasierte Zugriffsrechte stellen sicher, dass nur autorisierte Personen auf Mandantendaten zugreifen. Ein IT-Administrator, der Server wartet, muss keine Schriftsätze lesen können.

EU-Hosting. Datenverarbeitung innerhalb der EU unterliegt der DSGVO. Server in Frankfurt unterliegen deutschem Recht. Das ist kein geringerer Schutz als ein Aktenregal im Kanzleibüro — in vielen Fällen ist es ein höherer.

Was vermieden werden muss

Die Grenzen liegen nicht bei der Technologie, sondern bei ihrer Konfiguration:

Keine unverschlüsselten Cloud-Dienste. Mandantendaten in einer unverschlüsselten Cloud — etwa ein freigegebener Google-Drive-Ordner — verletzen § 203. Die Daten sind für den Dienstleister lesbar, ohne dass eine Verschwiegenheitsverpflichtung greift.

Keine US-Cloud ohne Schutzmaßnahmen. Dienste, die dem US CLOUD Act unterliegen, können zur Herausgabe von Daten an US-Behörden verpflichtet werden. Ohne zusätzliche Verschlüsselung und vertragliche Garantien ist das mit dem Mandantengeheimnis nicht vereinbar.

Keine unkontrollierten KI-Dienste. Ein KI-Modell, das Mandantendaten als Trainingsdaten verwendet oder an Dritte weitergibt, ist ausgeschlossen. Die Kontrolle darüber, was mit den Daten geschieht, muss bei der Kanzlei bleiben.

Keine Zugriffe ohne Protokollierung. Jeder Zugriff auf Mandantendaten muss nachvollziehbar sein — wer, wann, auf welche Daten. Ohne Protokollierung kann die Kanzlei ihre Aufsichtspflicht nicht erfüllen.

Die verfügbaren Architekturoptionen

Kanzleien stehen nicht vor einer Alles-oder-nichts-Entscheidung. Es gibt abgestufte Optionen:

On-Premise. Server und Software stehen in der Kanzlei. Maximale Kontrolle, höchster Wartungsaufwand. Sinnvoll für Kanzleien mit eigener IT-Abteilung und besonders sensiblen Mandaten.

EU-gehostete Cloud. Server in deutschen oder europäischen Rechenzentren. Verschlüsselt, zugangskontrolliert, DSGVO-konform. Der Dienstleister wird zur Verschwiegenheit verpflichtet. Für die meisten Kanzleien die praktikabelste Variante.

Hybridmodell. Besonders sensible Daten bleiben On-Premise. Standardprozesse laufen in der EU-Cloud. Die Kanzlei entscheidet pro Mandatstyp, welches Schutzniveau angemessen ist.

Was das bedeutet

§ 203 StGB ist kein Verbot der Digitalisierung. Er ist ein Qualitätsstandard. Kanzleien, die diesen Standard ernst nehmen, können digitale Werkzeuge einsetzen — mit den richtigen Schutzmaßnahmen.

Kanzleien, die aus Vorsicht auf jede Digitalisierung verzichten, schützen nicht das Mandantengeheimnis. Sie schützen den Status quo.

Nächster Schritt

Lassen Sie uns in 30 Minuten prüfen, wo Digitalisierung in Ihrer Kanzlei den größten Hebel hat — unverbindlich und kostenfrei.

Gespräch vereinbaren →