Rechtssicherheit beim Einsatz von PyleHound

PyleHound erfüllt die hohen Anforderungen von DSGVO und Berufsrecht – auch bei sensiblen Berufsgeheimnissen.

DSGVO

• Keine Auftragsverarbeitung nach Art. 28 DSGVO, da gegenüber PyleHound keine Weisungsbefugnis besteht
• Hilfsweise ist ein AVV in den Nutzungsbedingungen enthalten.

§ 203 StGB

• Keine Anwendbarkeit von § 203 StGB, da mangels Klartexteinsicht kein Offenbaren i.S.d. § 203 StGB vorliegt.
• Hilfsweise sind die Voraussetzungen von § 43e Abs. 3 BRAO erfüllt.

Cloud- und KI-Nutzung

• Voraussetzungen für die zulässige Nutzung von Cloud- und KI-Diensten (hier Google Gemini) sind durch vertragliche und technische Schutzmaßnahmen erfüllt.

Mandanteninformationen

• Information zur KI-Nutzung gegenüber Mandanten ist abhängig von der individuellen Nutzung von PyleHound abhängig - wird jedoch empfohlen, um das Vertrauen zu stärken.

1. Kein AV-Vertrag nach Art. 28 DSGVO erforderlich

Unsere Position:
Eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO liegt bei der Nutzung von PyleHound nicht vor. Die Kriterien hierfür – insbesondere die Festlegung von Zwecken und wesentlichen Mitteln der Datenverarbeitung durch den Verantwortlichen – sind nicht erfüllt. PyleHound verwendet Large Language Models (LLMs), deren Architektur, Trainingsdaten und Verarbeitungslogik allein durch den Modellanbieter (hier: Google) kontrolliert werden. Zusätzlich hat der Nutzer keinen Einfluss auf die interne Architektur und Verarbeitungslogik von PyleHound.

Folge:
Es besteht keine Weisungsgebundenheit. Eine Einflussnahme auf die Verarbeitung ist faktisch ausgeschlossen. Damit handelt es sich datenschutzrechtlich nicht um eine Auftragsverarbeitung, sondern um eine eigenständige Datenverarbeitung unter gemeinsamer oder alleiniger Verantwortlichkeit von PyleHound.

Unterstützt durch:

• EDSA Guidelines 07/2020, Rn. 30 ff.

• BT-Drs. 20/8294, S. 30

Rechtssicherheit:
Unsere AGB enthalten dennoch vorsorglich eine AV-Vereinbarung, die greift, soweit der Verantwortliche die Zwecke oder Mittel mitbestimmt – etwa durch gezielte Prompts oder Konfiguration von Zusatzfunktionen.

2. Keine Verpflichtung nach § 203 StGB

Unsere Position:
PyleHound verarbeitet Daten vollständig automatisiert, verschlüsselt und ohne Möglichkeit zur Klartexteinsicht. Nach ständiger Rechtsprechung liegt unter diesen Voraussetzungen kein Offenbaren i.S.d. § 203 StGB vor.

Rechtsprechung:

• OLG Köln, Beschluss vom 30.11.1982 – 3 Zs 126/82
  Das Gericht stellt klar, dass „anvertrauen“ nur dann vorliegt, wenn jemand bewusst eine Geheimhaltungs­verpflichtung eingeht bzw. das Geheimnis bewusst mitgeteilt wurde. Bei anderen, bereits bekannten Fakten erfordert das Gesetz kein Schweigen, soweit der Informant eingewilligt hat

• OLG Nürnberg, Urteil vom 08.11.1994 – 1 U 1484/94
  Diese Entscheidung hebt hervor, dass die Übertragung von Informationen, die nicht klar als Geheimnisse vermittelt wurden oder bereits allgemein bekannt sind, kein Offenbaren i.S.d. § 203 StGB darstellt – insbesondere, wenn kein Geheimhaltungswille besteht.

• OLG Dresden, Beschluss vom 11.09.2007 – 2 Ws 163/07

• BT-Drs. 18/11936, S. 30: Automatisierte Verarbeitung ohne Einsicht \= kein strafbares Offenbaren

Zusätzliche Absicherung:
Auf Wunsch stellen wir eine Verschwiegenheitserklärung und Verpflichtung nach § 203 Abs. 4 StGB bereit, die gilt „soweit uns Informationen tatsächlich offengelegt werden“ oder für die Fälle, in denen doch eine Klartexteinsicht technisch möglich oder gewünscht wird (z. B. bei Individualisierung).

3. Nutzung von Google Gemini: Zulässigkeit nach Berufsrecht

PyleHound verwendet das LLM Gemini von Google. Die Integration erfolgt unter Beachtung von Datenschutz und Berufsrecht, insbesondere § 43e BRAO und § 203 StGB.

Warum sieht das LLM überhaupt Klartext?

Aufgrund der technischen Funktionsweise von KI-Systemen wie Gemini müssen eingegebene Daten kurzzeitig im Klartext verarbeitet werden, um die Anfrage überhaupt beantworten zu können. Dies ist vergleichbar mit einer E-Mail: Auch dort ist eine kurzfristige Klartextverarbeitung durch technische Zwischenschritte (SMTP-Server, Zwischenspeicher etc.) erforderlich, ohne dass dies automatisch ein berufsrechtswidriges Offenbaren darstellt.

• Die Verarbeitung erfolgt flüchtig, ohne dauerhafte Speicherung.

• Die Daten werden nicht für Trainingszwecke verwendet.

• Google löscht die Anfragen unmittelbar nach der Verarbeitung, sofern keine zusätzliche Speicherung aktiviert wird.

• Die Kommunikation ist transport- und serverseitig verschlüsselt.

Bewertung: Diese Form der Verarbeitung erfüllt nicht die Voraussetzungen eines "Offenbarens" i.S.d. § 203 StGB, solange der Dienstleister die Daten nicht zur Kenntnis nimmt und nicht speichern darf (vgl. BT-Drs. 18/11936; DAV-Stellungnahme Nr. 32/2025, S. 6).

Zulässigkeit laut DAV-Stellungnahme Nr. 32/2025

Die DAV-Stellungnahme bewertet die Nutzung von Cloud- und KI-Diensten durch Anwält:innen als zulässig, wenn:

• die Offenbarung erforderlich ist (§ 203 Abs. 3 S. 2 StGB),

• der Dienstleister zur Vertraulichkeit verpflichtet ist (§ 43e Abs. 3 BRAO),

• technische Zugriffskontrollen und Verschlüsselung bestehen,

• keine reale Klartexteinsicht durch den Anbieter erfolgt.

Google erfüllt diese Voraussetzungen:

• ISO 27001/27018-Zertifizierung

• AVV nach Art. 28 DSGVO + Vertraulichkeitsverpflichtung

• keine Einsichtnahme in Kundendaten durch menschliche Mitarbeitende

• verschlüsselte Verarbeitung mit optionaler clientseitiger Verschlüsselung

Ergebnis:
Die kurze Klartextverarbeitung durch Gemini ist technisch notwendig, aber rechtlich nicht als Offenbarung zu werten, sofern keine Einsichtnahme erfolgt. Eine explizite Verpflichtung nach § 203 StGB ist daher nicht zwingend, sondern nur erforderlich, wenn eine tatsächliche Offenlegung stattfindet.

4. Informationspflicht gegenüber Mandant:innen

Muss der Mandant informiert werden?

Ja, in bestimmten Fällen. Die DAV-Stellungnahme 32/2025 sieht eine Informationspflicht vor, wenn: Daten in Klartext verarbeitet werden und der Anbieter möglicherweise Einsicht nehmen kann, oder eine Entscheidung wesentlicher Mandatsaspekte durch KI unterstützt oder vorbereitet wird (z. B. bei Schriftsatz-Entwürfen).

Keine Informationspflicht, wenn: die Verarbeitung verschlüsselt und ohne Einsicht erfolgt, es sich lediglich um eine technische Hilfstätigkeit handelt (Recherchen, Formulierungshilfe, Dokumentenklassifikation).

Empfehlung:
Transparenz schafft Vertrauen. Eine kurze Information im Mandatsvertrag, etwa:
„Zur Optimierung unserer Dienstleistung nutzen wir datenschutzkonforme KI-Systeme. Eine Offenlegung von Geheimnissen findet nicht statt.“
… kann sinnvoll sein – ist aber nicht zwingend erforderlich bei rein technischer, verschlüsselter Nutzung.