Dürfen Anwälte ChatGPT überhaupt nutzen?

Ja. Es gibt kein generelles Verbot. Entscheidend ist, welche Daten eingegeben werden: Allgemeine Rechtsfragen, Formulierungshilfen oder anonymisierte Texte sind unproblematisch. Mandatsgeheimnisse dürfen nur unter den Voraussetzungen von § 203 StGB und § 43e BRAO an einen Dienstleister gelangen.

Reicht es, den Namen des Mandanten wegzulassen?

Oft nicht. Neben Namen identifizieren auch Anschriften, Aktenzeichen, Geburtsdaten, IBAN oder Kennzeichen eine Person – und mitunter der Sachverhalt selbst. Eine sorgfältige Pseudonymisierung erfasst alle direkten Kennungen und prüft, ob der Rest Rückschlüsse zulässt.

Was muss ich nach der KI-Verordnung beachten?

Seit dem 2. Februar 2025 müssen Betreiber von KI-Systemen nach Art. 4 KI-Verordnung für ausreichende KI-Kompetenz ihres Personals sorgen. Das gilt auch für Kanzleien, die KI-Werkzeuge einsetzen – unabhängig davon, ob in der Cloud oder lokal.

Gibt es eine Alternative zur Cloud-KI?

Ja: Sprachmodelle lassen sich inzwischen auch vollständig auf eigener Hardware in der Kanzlei betreiben. Dann verlassen die Daten das Haus gar nicht. Eine Pseudonymisierung vor der Eingabe ist der schnellere Einstieg, eine lokale KI die weitergehende Lösung.

ChatGPT in der Kanzlei: § 203 StGB & DSGVO

Das eigentliche Problem: Wohin gehen die Daten?

Wer einen Text in einen Cloud-KI-Dienst eingibt, überträgt ihn an die Server des Anbieters – häufig außerhalb der EU. Für allgemeine Fragen ist das kein Problem. Enthält der Text aber Namen, Anschriften oder Details aus einem Mandat, berührt das gleich mehrere Regelwerke: das Berufsgeheimnis, das anwaltliche Berufsrecht und das Datenschutzrecht.

§ 203 StGB: das Berufsgeheimnis

Rechtsanwältinnen und Rechtsanwälte machen sich nach § 203 Abs. 1 StGB strafbar, wenn sie ein fremdes Geheimnis unbefugt offenbaren, das ihnen in ihrer beruflichen Eigenschaft anvertraut wurde. Seit 2017 erlaubt § 203 Abs. 3 Satz 2 StGB zwar die Offenbarung gegenüber „sonstigen Personen, die an der beruflichen Tätigkeit mitwirken“ – also auch gegenüber externen Dienstleistern –, aber nur, soweit das für deren Tätigkeit erforderlich ist.

Die berufsrechtlichen Voraussetzungen dafür regelt § 43e BRAO: Der Dienstleister ist sorgfältig auszuwählen, der Vertrag bedarf der Textform und muss ihn zur Verschwiegenheit verpflichten. Bei Dienstleistern im Ausland verlangt § 43e Abs. 4 BRAO zusätzlich, dass dort ein mit dem Inland vergleichbarer Schutz der Geheimnisse gewährleistet ist – es sei denn, der Schutz ist nicht geboten.

Kurz: Ein KI-Dienst ist rechtlich ein Dienstleister. Ohne passende vertragliche Grundlage gehören Mandatsgeheimnisse nicht hinein.

DSGVO: Personenbezogene Daten in der Cloud

Unabhängig vom Berufsgeheimnis gilt die Datenschutz-Grundverordnung, sobald personenbezogene Daten verarbeitet werden. Für Kanzleien heißt das vor allem:

Auftragsverarbeitung: Verarbeitet ein Anbieter Daten im Auftrag der Kanzlei, ist ein Vertrag nach Art. 28 DSGVO erforderlich.
Drittlandübermittlung: Gehen Daten in Länder außerhalb der EU, müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein.
Nutzung der Eingaben: Je nach Tarif und Einstellung können Eingaben bei manchen Diensten zur Weiterentwicklung der Modelle verwendet werden. Prüfen Sie die aktuellen Vertrags- und Datenschutzbedingungen genau – Geschäftskunden-Angebote unterscheiden sich hier oft von Privattarifen.
Rechenschaftspflicht: Nach Art. 5 Abs. 2 DSGVO muss die Kanzlei nachweisen können, dass sie die Grundsätze einhält.

KI-Verordnung: Schulungspflicht seit 2025

Seit dem 2. Februar 2025 verlangt Art. 4 der KI-Verordnung (EU) 2024/1689, dass Betreiber von KI-Systemen für ausreichende KI-Kompetenz ihres Personals sorgen. Wer in der Kanzlei mit KI arbeitet, sollte also wissen, wie die Werkzeuge funktionieren, wo ihre Fehlerquellen liegen und welche Daten hineingehören.

Drei Wege, KI in der Kanzlei sicher zu nutzen

1. Keine Mandatsdaten eingeben

Für Recherche-Ideen, Formulierungsvorschläge oder allgemeine Rechtsfragen genügt oft ein abstrakter Text ohne Bezug zum Mandat. Das ist der einfachste Weg – stößt aber an Grenzen, sobald ein konkreter Schriftsatz geprüft oder zusammengefasst werden soll.

2. Vor der Eingabe pseudonymisieren

Werden Namen, Anschriften, Aktenzeichen und andere Kennungen vor der Eingabe durch Platzhalter ersetzt, kann die KI den fachlichen Inhalt bearbeiten, ohne die Beteiligten zu erfahren. Aus „Max Mustermann“ wird „Kläger A“ – die Zusammenhänge bleiben verständlich. Die Antwort der KI lässt sich anschließend wieder mit den echten Namen versehen. Wie das sauber gelingt, beschreibt unser Beitrag PDF anonymisieren.

Wichtig: Pseudonymisierung entfernt direkte Kennungen, nicht den Sachverhalt. Ist ein Fall so ungewöhnlich oder öffentlich bekannt, dass er auch ohne Namen zuzuordnen ist, reicht sie allein nicht aus. Mehr dazu im Beitrag Pseudonymisierung oder Anonymisierung?

3. KI lokal betreiben

Leistungsfähige Sprachmodelle laufen inzwischen auch auf eigener Hardware in der Kanzlei – ohne Internetverbindung und ohne Datenabfluss. Das löst das Übermittlungsproblem grundsätzlich, erfordert aber Investitionen in Hardware und Betreuung. Einen Überblick gibt Lokale KI für Kanzleien bei BlankStudio.

Checkliste für den KI-Einsatz in der Kanzlei

Interne Regel festlegen: Welche Werkzeuge sind erlaubt, welche Daten dürfen hinein?
Bei Cloud-Diensten: Vertrag nach § 43e BRAO und Art. 28 DSGVO prüfen, Serverstandort und Nutzung der Eingaben klären.
Dokumente vor der Eingabe pseudonymisieren – mit einem Werkzeug, das lokal arbeitet.
Ergebnisse der KI immer fachlich prüfen; KI-Antworten können falsch oder erfunden sein.
Mitarbeitende schulen (Art. 4 KI-Verordnung) und die Schulung dokumentieren.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

ChatGPT in der Kanzlei: Was § 203 StGB und DSGVO erlauben