Rechtliche Klarheit für Berufsgeheimnisträger

§203 StGB Vergleich: Welche KI dürfen Sie nutzen?

Die meisten KI-Tools sind für Berufsgeheimnisträger rechtlich nicht nutzbar. Hier sehen Sie warum.

§203 StGB DSGVO Art. 28 Cloud Act EU AI Act

Direktvergleich

KI-Anbieter im §203-Check

Ein ehrlicher Vergleich der gängigsten KI-Plattformen für Anwälte, Ärzte und Steuerberater.

Kriterium	Velo Automation	ChatGPT / Copilot	Harvey AI	Luminance
§203 StGB konform	✓ Ja	✗ Nein	✗ Nein	✗ Nein
DSGVO Art. 28 AVV	✓ Ja	⚠ Eingeschränkt	⚠ Unklar	⚠ Eingeschränkt
Deutsche Server	✓ Ja	✗ US-Cloud	✗ US-Cloud	✗ UK/US
Kein Datenabfluss	✓ Garantiert	✗ Training möglich	✗ Unklar	✗ Unklar
Für Kanzleien optimiert	✓ Ja	✗ Generisch	✓ Ja	✓ Ja
Preis / Monat	ab 89 €	ab 20 €	Enterprise	Enterprise

Stand: April 2026. Angaben basieren auf öffentlich verfügbaren Informationen der Anbieter sowie eigener rechtlicher Einschätzung. Keine Rechtsberatung.

Rechtliche Einordnung

Das §203-Problem erklärt

§203 des Strafgesetzbuches schützt Informationen, die bestimmte Berufsgruppen im Rahmen ihrer Tätigkeit erhalten. Anwälte, Ärzte, Steuerberater, Notare, Wirtschaftsprüfer und weitere Berufsgeheimnisträger sind gesetzlich verpflichtet, diese Informationen streng vertraulich zu behandeln. Wer gegen diese Pflicht verstößt, macht sich strafbar – mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

Seit der Reform des §203 StGB im Jahr 2017 gilt: Die Weitergabe von Geheimnissen an Dienstleister ist erlaubt – aber nur, wenn diese als „sonstige mitwirkende Personen“ einzustufen sind und vertraglich entsprechend eingebunden werden. Das klingt einfach, ist es aber nicht. Denn viele KI-Anbieter erfüllen die Voraussetzungen für diese Einbindung strukturell nicht.

Warum US-Cloud-Dienste strukturell ungeeignet sind

ChatGPT (OpenAI), Microsoft Copilot und vergleichbare US-Dienste verarbeiten Daten auf Servern in den USA – und unterliegen damit dem US CLOUD Act (Clarifying Lawful Overseas Use of Data Act). Dieser ermöglicht US-Behörden unter bestimmten Umständen den Zugriff auf Daten, auch wenn diese in Europa gespeichert sind.

Damit ist eine der zentralen Voraussetzungen für eine rechtssichere Einbindung als Dienstleister nach §203 StGB nicht erfüllt: die exklusive Kontrolle des Berufsgeheimnisträgers über die Daten. Wer Mandantenakten, Patientendaten oder Steuerdaten in solche Systeme eingibt, riskiert seine Zulassung.

Was „DSGVO-konform“ allein nicht ausreicht

Ein häufiger Irrtum: Viele Kanzleien glauben, ein DSGVO-konformer Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO sei ausreichend. Er ist es nicht – zumindest nicht allein. Die Anforderungen des §203 StGB sind höher als die der DSGVO. Während die DSGVO Datenschutz aus Perspektive des Betroffenen regelt, schützt §203 das Vertrauensverhältnis zwischen Berufsgeheimnisträger und Klient.

Harvey AI und Luminance bieten zum Teil Unternehmensverträge mit DSGVO-Elementen an – aber die servermäßige Verarbeitung außerhalb Deutschlands und fehlende §203-spezifische Vertragsklauseln machen eine rechtssichere Nutzung für deutsche Berufsgeheimnisträger faktisch unmöglich.

Was eine rechtssichere KI-Lösung braucht

Eine KI-Lösung, die für Berufsgeheimnisträger in Deutschland rechtssicher nutzbar ist, benötigt mindestens vier Voraussetzungen: erstens Datenverarbeitung ausschließlich auf deutschen Servern mit nachgewiesenem Standort; zweitens einen Auftragsverarbeitungsvertrag, der explizit auf die Anforderungen des §203 StGB eingeht; drittens vollständigen Ausschluss einer Nutzung der verarbeiteten Daten zum Training von KI-Modellen; und viertens keine Möglichkeit eines Drittstaatenzugriffs auf die Daten.

Velo Automation erfüllt alle vier Voraussetzungen. Die Infrastruktur läuft auf deutschen Servern, die Verträge sind §203-konform gestaltet, und es findet kein Datentraining statt. Das ist kein Marketing-Versprechen, sondern technisch und vertraglich abgesicherte Realität.

Drohen bei Verstößen tatsächlich Strafen?

Ja. §203 StGB ist kein Ordnungswidrigkeitentatbestand, sondern ein Straftatbestand. Neben möglichen strafrechtlichen Konsequenzen drohen berufsrechtliche Sanktionen bis hin zum Zulassungsentzug. Auch Schadensersatzklagen von betroffenen Mandanten oder Patienten sind denkbar.

Gilt das auch für anonymisierte Daten?

Nur dann, wenn die Anonymisierung vollständig und rückverfolgungssicher ist. In der Praxis ist das selten der Fall. Schon ein Aktenzeichen, ein Datum und eine Sachbeschreibung können zurück auf eine bestimmte Person verweisen. §203 schützt das Geheimnis – nicht nur personenbezogene Daten im DSGVO-Sinn.

Was ist mit ChatGPT Team oder Enterprise?

OpenAI bietet Team- und Enterprise-Tarifen an, bei denen Daten nicht für das Training verwendet werden. Das adressiert einen Teil des Problems – aber nicht alle. Die Serverstandorte bleiben außerhalb Deutschlands, der CLOUD Act bleibt anwendbar, und eine §203-spezifische Vertragsgestaltung bietet OpenAI nicht an.

Kostenlose Bedarfsanalyse

In 20 Minuten analysieren wir gemeinsam, welche Ihrer aktuellen Workflows gegen §203 StGB verstoßen könnten – und zeigen eine rechtssichere Alternative.

Keine Verkaufsveranstaltung. Kein Technikvortrag. Ein ehrliches Gespräch.

Kostenlose Bedarfsanalyse starten →

Kostenlos & unverbindlich. Keine automatische Weiterverpflichtung.