Dokumenten-KI für Kanzleien: §203, Mandantengeheimnis & Self-Hosting

Die Akten, deren Preisgabe sich eine Kanzlei nicht leisten kann

Das Arbeitsmaterial einer Kanzlei ist fast vollständig vertraulich: Mandantenkorrespondenz, Verträge in Verhandlung, Prozessstrategie, Beweismittel, Vergleichssummen. Genau diese Dokumente sprechen am stärksten für Dokumenten-KI: lang, dicht, voller Fakten, die eine Anwältin schnell finden muss. Und es sind genau die Dokumente, die du nicht beliebig aus der Hand geben darfst.

Eine privilegierte Akte in die Cloud-KI eines Dritten einzugeben ist keine neutrale Produktivitätsentscheidung. Es ist eine Offenbarung. Du schickst die Geheimnisse eines Mandanten an ein Unternehmen, das du nicht kontrollierst, oft in einer fremden Rechtsordnung und häufig zu Bedingungen, die dem Anbieter die Weiterverwendung des Gesendeten erlauben. Für einen deutschen Anwalt ist das nicht nur eine Datenschutzfrage. Es ist eine Frage, die bis ins Strafrecht reicht.

§ 203 StGB: warum das strafrechtlich ist, nicht bloß eine interne Richtlinie

Das deutsche Recht behandelt die anwaltliche Verschwiegenheit als Berufsgeheimnis und schützt sie strafrechtlich. § 203 Abs. 1 StGB stellt es unter Strafe, wenn Angehörige bestimmter Berufe, darunter Rechtsanwälte, ein ihnen in dieser Eigenschaft anvertrautes fremdes Geheimnis unbefugt offenbaren. Die Pflicht trifft den Berufsgeheimnisträger persönlich, und ein Verstoß ist eine Straftat, nicht bloß ein Vertragsbruch oder ein Bußgeld.

Dieser Rahmen verändert, wie ernst die Frage „Wohin geht dieses Dokument?" zu nehmen ist. Leitet ein Werkzeug eine privilegierte Akte an einen Dritten weiter, lautet die erste Frage nicht „Ist das bequem?", sondern „Ist das eine unbefugte Offenbarung?".

Aber Cloud-KI ist nicht automatisch verboten

Hier kommt es auf genaues Lesen an, denn die laute Version der Geschichte, „Cloud-KI ist für Anwälte illegal", ist falsch und führt zu schlechten Entscheidungen.

2017 hat der Gesetzgeber § 203 genau deshalb reformiert, weil Berufsträger auf fremde Hilfe angewiesen sind, auch auf IT- und Cloud-Dienstleister. § 203 Abs. 3 StGB erkennt nun ausdrücklich mitwirkende Personen an (Personen, die an der beruflichen Tätigkeit mitwirken) und erlaubt, ihnen Geheimnisse zu offenbaren, soweit dies erforderlich ist. Die Kehrseite ist eine harte Bedingung: Diese mitwirkenden Personen müssen ihrerseits zur Geheimhaltung verpflichtet werden, mit eigener strafrechtlicher Verantwortung für einen Bruch.

Korrekt formuliert heißt das: Einen externen IT- oder Cloud-Dienstleister einzubinden ist grundsätzlich erlaubt, sofern die Einbindung erforderlich ist und der Dienstleister ordnungsgemäß zur Verschwiegenheit verpflichtet wird. Cloud-KI ist also kein pauschales strafrechtliches Verbot. Sie ist ein Offenbarungs- und Vertragsproblem: Du darfst sie nur rechtmäßig nutzen, wenn du den Anbieter binden, die Erforderlichkeit dokumentieren und darauf vertrauen kannst, dass die Kette tatsächlich hält. Das rechtliche Risiko verschwindet nicht. Es wandert in die Verträge und in deine Fähigkeit, sie gegen einen Vertragspartner durchzusetzen, der womöglich unter einer fremden Rechtsordnung sitzt.

Die Pflichten stapeln sich: DSGVO, CLOUD Act, KI-Verordnung

§ 203 ist die schärfste Kante, aber nicht die einzige. Drei Regime gelten gleichzeitig und verstärken einander, statt sich aufzuheben.

DSGVO. Mandantenakten stecken voller personenbezogener Daten, ihre Verarbeitung ist also regulierte Datenverarbeitung. Ein Cloud-LLM, das diese Akten ins Ausland schickt, löst zusätzlich zur Verschwiegenheitspflicht die Übermittlungsregeln und die Verantwortlicher-Auftragsverarbeiter-Pflichten der DSGVO aus. Die Mechanik steht in DSGVO-konforme KI. Kurz gesagt brauchst du eine Rechtsgrundlage und eine echte Auftragsverarbeitung, und „der Anbieter trainiert auf deinen Daten" zerbricht leise beides.

Der CLOUD Act. Viele Kanzleien versuchen, das mit EU-Datenresidenz zu lösen: „unser Anbieter speichert alles in Frankfurt". Das adressiert die Geografie, nicht die Rechtshoheit. Nach dem US CLOUD Act kann ein US-Anbieter gezwungen werden, Daten in seiner Kontrolle herauszugeben, egal wo sie liegen; eine Frankfurter Region mit US-Mutterkonzern bleibt also unter US-Recht erreichbar. Residenz ist nicht dasselbe wie Datenhoheit; die Einzelheiten stehen in Der CLOUD Act erklärt. Für einen Anwalt ist genau diese verbleibende Erreichbarkeit kaum mit einer bindenden Verschwiegenheitspflicht in Einklang zu bringen.

Die KI-Verordnung. Der umgekehrte Weg (Self-Hosting) stellt dich ebenfalls nicht außerhalb der Regeln. Betreibt eine Kanzlei ein Modell, um ihre eigenen Mandate zu bearbeiten, handelt sie als Betreiber (deployer), und die Betreiberpflichten (KI-Kompetenz, Transparenz, soweit einschlägig, und die Hochrisiko-Pflichten, falls deine Nutzung je in diese Stufe fällt) bleiben bestehen. Wie Die KI-Verordnung und Self-Hosting zeigt, verschlankt Self-Hosting die anbieterseitige Geschichte; eine Befreiung verschafft es dir nicht.

Warum lokal oder BYOK die sauberste Antwort ist

Legt man die drei Regime übereinander, ist ein Ansatz strukturell einfacher als alle anderen: die Akte gar nicht erst an einen Dritten offenbaren.

Läuft das Modell auf der eigenen Hardware der Kanzlei (On-Device-KI) oder gegen deinen eigenen Anbieter-Schlüssel (BYOK), verlässt das privilegierte Dokument nie deine Kontrolle. Es gibt keine mitwirkende Person, die nach § 203 zu binden wäre, weil keine außenstehende Partei in der Schleife ist. Es gibt keine Drittlandübermittlung zu rechtfertigen und keinen US-Anbieter, den eine fremde Anordnung erreichen könnte. Die schwierigsten Teile der Prüfung werden weniger beantwortet, als dass sie sich gar nicht erst stellen.

Zwei ehrliche Einschränkungen, denn Übertreibung ist hier ein eigenes Risiko:

• Self-Hosting ist keine Befreiung. Du bleibst der DSGVO-Verantwortliche, du schuldest deinen Mandanten weiterhin die volle berufliche Verschwiegenheit, und deine Betreiberpflichten aus der KI-Verordnung gelten weiter. Lokale Inferenz beseitigt die Offenbarung an einen Dritten (die mit Abstand riskanteste Zutat), nicht aber den Rest deiner Pflichten.
• Du musst es trotzdem ordentlich betreiben. Zugriffskontrolle, Aufbewahrung und Sicherheit des lokalen Systems liegen nun bei dir statt bei einem Anbieter. Das ist eine stärkere Position, keine kostenlose.

Wo pdf2okf ins Bild kommt

pdf2okf ist für genau diese Bedingung gebaut. Es verwandelt ein PDF in OKF-kompatible Markdown-Konzeptdateien samt den extrahierten Abbildungen, verpackt als portablen OKFZ-Workspace. Ein Agent liest diese einfachen Dateien dann direkt (er durchsucht den Text per grep, ohne Vektordatenbank dazwischen), sodass Antworten deterministisch und belegt sind: Der Code zählt die genauen Zahlen, und das Modell gibt sie wieder, statt zu raten.

Entscheidend: All das läuft auf deiner eigenen Hardware oder gegen deinen eigenen Schlüssel. Keine Seite einer privilegierten Akte wird an einen Dritten hochgeladen, also gibt es keine externe Offenbarung, die nach § 203 zu rechtfertigen wäre, keine Übermittlung, die nach der DSGVO abzusichern wäre, und keinen fremden Auftragsverarbeiter, um den man sich nach dem CLOUD Act sorgen müsste. (Zur Klarstellung: OKF, das Open Knowledge Format, ist Googles offener Standard; pdf2okf ist damit kompatibel, hat ihn aber nicht erfunden.)

Das lässt Compliance nicht verschwinden; das kann nichts. Es beseitigt das Eine, was sich eine Kanzlei wirklich nicht leisten kann (die Geheimnisse eines Mandanten an den Computer eines anderen zu schicken), und lässt dir eine Verschwiegenheits-Geschichte, die in einem Satz steht: Die Akte ist nie gegangen.