So schützen wir Ihre Mandantendaten – berufsrechtskonform nach § 203 StGB & § 43e BRAO

Die DAV-Stellungnahme bewertet die Nutzung von Cloud- und KI-Diensten durch Anwält:innen als zulässig, wenn:

• die Offenbarung erforderlich ist (§ 203 Abs. 3 S. 2 StGB),

• der Dienstleister zur Vertraulichkeit verpflichtet ist (§ 43e Abs. 3 BRAO),

• technische Zugriffskontrollen und Verschlüsselung bestehen,

• keine reale Klartexteinsicht durch den Anbieter erfolgt.

Google erfüllt diese Voraussetzungen:

• ISO 27001/27018-Zertifizierung

• AVV nach Art. 28 DSGVO + Vertraulichkeitsverpflichtung

• keine Einsichtnahme in Kundendaten durch menschliche Mitarbeitende

• verschlüsselte Verarbeitung mit optionaler clientseitiger Verschlüsselung

Ergebnis: Die kurze Klartextverarbeitung durch Gemini ist technisch notwendig, aber rechtlich nicht als Offenbarung zu werten, sofern keine Einsichtnahme erfolgt. Eine explizite Verpflichtung nach § 203 StGB ist daher nicht zwingend, sondern nur erforderlich, wenn eine tatsächliche Offenlegung stattfindet. PyleHound gibt sie dennoch stets ab.

PyleHound verwendet die Sprachmodelle Gemini (Google) und Claude (Anthropic), betrieben über Google Cloud innerhalb der EU. Die Integration erfolgt unter Beachtung von Datenschutz und Berufsrecht, insbesondere § 43e BRAO und § 203 StGB.

Aufgrund der technischen Funktionsweise von KI-Systemen wie Gemini müssen eingegebene Daten kurzzeitig im Klartext verarbeitet werden, um die Anfrage überhaupt beantworten zu können. Dies ist vergleichbar mit einer E-Mail: Auch dort ist eine kurzfristige Klartextverarbeitung durch technische Zwischenschritte (SMTP-Server, Zwischenspeicher etc.) erforderlich, ohne dass dies automatisch ein berufsrechtswidriges Offenbaren darstellt.

• Die Verarbeitung erfolgt ohne dauerhafte Speicherung. Anfragen werden beim Modellanbieter lediglich kurzzeitig zwischengespeichert.

• Die Daten werden nicht für Trainingszwecke verwendet.

• Die Kommunikation ist transport- und serverseitig verschlüsselt.

Bewertung: Diese Form der Verarbeitung erfüllt nicht die Voraussetzungen eines „Offenbarens“ i.S.d. § 203 StGB, solange der Dienstleister die Daten nicht zur Kenntnis nimmt und nicht speichern darf (vgl. BT-Drs. 18/11936; DAV-Stellungnahme Nr. 32/2025, S. 6).

§ 43e BRAO erlaubt Rechtsanwält:innen ausdrücklich die Inanspruchnahme externer Dienstleister – auch im Bereich KI –, sofern diese vertraglich zur Verschwiegenheit verpflichtet sind und technische Zugriffskontrollen sowie Verschlüsselung bestehen. PyleHound erfüllt diese Voraussetzungen: Verarbeitung ausschließlich in der EU, Verschlüsselung, keine Klartexteinsicht durch den Anbieter und vertragliche Vertraulichkeitsverpflichtung. Details in der DAV-Stellungnahme Nr. 32/2025 sowie den Leitfäden von BRAK und DAV.

PyleHound verarbeitet Daten vollständig automatisiert, verschlüsselt und ohne Möglichkeit zur Klartexteinsicht, auf Infrastruktur innerhalb der EU. Nach ständiger Rechtsprechung liegt unter diesen Voraussetzungen kein Offenbaren i.S.d. § 203 StGB vor.

Rechtsprechung:

• OLG Köln, Beschluss vom 30.11.1982 – 3 Zs 126/82: Das Gericht stellt klar, dass „anvertrauen“ nur dann vorliegt, wenn jemand bewusst eine Geheimhaltungsverpflichtung eingeht bzw. das Geheimnis bewusst mitgeteilt wurde. Bei anderen, bereits bekannten Fakten erfordert das Gesetz kein Schweigen, soweit der Informant eingewilligt hat.

• OLG Nürnberg, Urteil vom 08.11.1994 – 1 U 1484/94: Diese Entscheidung hebt hervor, dass die Übertragung von Informationen, die nicht klar als Geheimnisse vermittelt wurden oder bereits allgemein bekannt sind, kein Offenbaren i.S.d. § 203 StGB darstellt, insbesondere, wenn kein Geheimhaltungswille besteht.

• OLG Dresden, Beschluss vom 11.09.2007 – 2 Ws 163/07

• BT-Drs. 18/11936, S. 30: Automatisierte Verarbeitung ohne Einsicht = kein strafbares Offenbaren

Zusätzliche Absicherung: PyleHound verpflichtet sich stets zur Verschwiegenheit nach § 203 Abs. 4 StGB. Die Verpflichtung gilt, soweit uns Informationen tatsächlich offengelegt werden, und für die Fälle, in denen doch eine Klartexteinsicht technisch möglich oder gewünscht wird (z. B. bei Individualisierung). Hilfsweise sind die Voraussetzungen des § 43e Abs. 3 BRAO erfüllt.

Mehr zur rechtlichen Einordnung in der DAV-Stellungnahme.

Ihre Dokumente werden ausschließlich auf Ihrem eigenen Gerät gespeichert, nicht auf unseren Servern. Für die Analyse werden Inhalte verschlüsselt an Verarbeitungsdienste innerhalb der EU übermittelt und ausschließlich dort verarbeitet. Der Modellanbieter speichert Anfragen dabei lediglich kurzzeitig zwischen, um Antworten zu beschleunigen. Eine dauerhafte Speicherung findet nicht statt. PyleHound ist DSGVO-konform, wahrt die anwaltliche Verschwiegenheit nach § 203 StGB und verwendet Ihre Daten zu keinem Zeitpunkt für das Training von KI-Modellen.

Bei der Einführung von KI in der Kanzlei sind insbesondere drei Compliance-Ebenen zu beachten:

• Datenschutz nach der DSGVO,

• anwaltliche Verschwiegenheit (§ 203 StGB)

• sowie die Vorgaben des EU AI Act.

Kanzleien müssen sicherstellen, dass Mandantendaten nicht unzulässig verarbeitet oder offengelegt werden, KI-Ergebnisse fachlich überprüft werden (Human Oversight) und Mitarbeitende über ausreichende KI-Kompetenz verfügen. Zudem ist die Auswahl und technische Ausgestaltung der eingesetzten KI-Systeme haftungsrelevant.

Eine vertiefte Darstellung mit Checklisten zur Selbsteinschätzung und konkreten Handlungsempfehlungen finden Sie in unserem KI-Compliance-Leitfaden 2026.

Hier den KI-Compliance-Leitfaden 2026 kostenlos herunterladen.

Die DAV-Stellungnahme 32/2025 sieht eine Informationspflicht vor, wenn:

• Daten in Klartext verarbeitet werden und der Anbieter möglicherweise Einsicht nehmen kann,

• oder eine Entscheidung wesentlicher Mandatsaspekte durch KI unterstützt oder vorbereitet wird (z. B. bei Schriftsatz-Entwürfen).

Keine Informationspflicht besteht, wenn:

• die Verarbeitung verschlüsselt und ohne Einsicht erfolgt,

• es sich lediglich um eine technische Hilfstätigkeit handelt (Recherchen, Formulierungshilfe, Dokumentenklassifikation).

Empfehlung: Transparenz schafft Vertrauen. Eine kurze Information im Mandatsvertrag, etwa „Zur Optimierung unserer Dienstleistung nutzen wir datenschutzkonforme KI-Systeme. Eine Offenlegung von Geheimnissen findet nicht statt.“, kann sinnvoll sein. Sie ist aber nicht zwingend erforderlich bei rein technischer, verschlüsselter Nutzung.

Eine Auftragsverarbeitung nach Art. 28 DSGVO setzt voraus, dass die Kanzlei Zwecke und wesentliche Mittel der Verarbeitung vorgibt und dem Dienstleister gegenüber weisungsbefugt ist. Bei PyleHound ist das nicht der Fall: Architektur und Verarbeitungslogik des eingesetzten Sprachmodells liegen allein beim Modellanbieter, eine Weisungsbindung besteht nicht (EDSA-Leitlinien 07/2020, Rn. 30 ff.; BT-Drs. 20/8294, S. 30). Vorsorglich enthalten unsere Nutzungsbedingungen dennoch eine AV-Vereinbarung, die greift, sobald Sie Zwecke oder Mittel mitbestimmen.

Für Kanzleien ist neben der DSGVO jedoch vor allem die anwaltliche Verschwiegenheit nach BRAO und § 203 StGB maßgeblich – PyleHound ist darauf ausgelegt, auch diese zu wahren.

Mehr hierzu und was Sie sonst noch beachten müssen in unserem Blogartikel.