Dienstleister, Cloud und § 43e BRAO

Das gesetzliche Schutzprogramm

§ 43e Abs. 1 BRAO erlaubt es dem Rechtsanwalt, Dienstleistern den Zugang zu verschwiegenheitspflichtigen Tatsachen zu eröffnen, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Die Mandanteneinwilligung ist dafür in der Grundkonstellation nicht Voraussetzung. Der Preis dieser Erlaubnis ist ein Pflichtenprogramm. Der Anwalt muss den Dienstleister sorgfältig auswählen und die Zusammenarbeit beenden, wenn die Vorgaben nicht gewährleistet sind. Der Vertrag bedarf der Textform nach § 126b BGB. Der Dienstleister ist unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit zu verpflichten. Die Kenntnisnahme ist auf das zur Vertragserfüllung Erforderliche zu beschränken. Ob weitere Personen herangezogen werden dürfen, ist festzulegen. Diese Personen sind dann ebenfalls in Textform zu verpflichten.

Der Vertrag lässt sich in Textform abschließen, etwa durch eine lesbare elektronische Erklärung mit Nennung des Erklärenden. Entscheidend bleibt sein Inhalt. Ein allgemeiner Hinweis auf die Vertraulichkeit von Kundendaten ersetzt nicht ohne Weiteres die gesetzlich geforderten Verpflichtungen und die Belehrung über strafrechtliche Folgen. § 43e Abs. 7 BRAO enthält Sonderregeln, insbesondere für bereits gesetzlich zur Verschwiegenheit verpflichtete Dienstleister.

Erforderlichkeit und Sonderfälle

Die Erforderlichkeit bezieht sich auf den Umfang der Offenbarung, nicht darauf, ob die Dienstleistung als solche unverzichtbar ist. Der Anwalt hat einen unternehmerischen Spielraum bei der Frage, ob er eine Software oder einen Speicherdienst einsetzt. Prüfen muss er, ob die tatsächlich zugänglich gemachten Daten auf das erforderliche Maß beschränkt sind. Daraus folgen Datensparsamkeit bei der Eingabe, die Untersagung einer Verwendung von Mandatsdaten zum Training fremder Modelle, die Prüfung von Unterauftragnehmern und die Frage, wo verarbeitet wird und wer die Schlüssel hält.

Dienen die Dienstleistungen unmittelbar einem einzelnen Mandat, darf der Zugang nach § 43e Abs. 5 BRAO nur eröffnet werden, wenn der Mandant eingewilligt hat. Werden Dienstleistungen im Ausland erbracht, darf der Zugang nach Absatz 4 nur eröffnet werden, wenn der dort bestehende Schutz dem inländischen Schutz vergleichbar ist, es sei denn, der Schutz der Geheimnisse gebietet das nicht. Das ist keine Freistellung für jede Verarbeitung in der Europäischen Union und kein pauschales Verbot jeder Cloud außerhalb ihrer Grenzen. Es ist eine Vergleichbarkeitsprüfung.

Die Auswahl- und Vertragspflichten der Absätze 2 und 3 gelten nach Absatz 6 grundsätzlich auch bei einer Einwilligung des Mandanten. Nur ein ausdrücklicher Verzicht erfasst diese Anforderungen. Davon zu unterscheiden ist die Frage, über welche Geheimnisse der Mandant überhaupt verfügen darf. Enthält die Akte geschützte Informationen Dritter, löst seine Zustimmung nicht sämtliche Offenbarungsfragen. Die Vorschriften zum Schutz personenbezogener Daten bleiben nach Absatz 8 ohnehin unberührt.

Verhältnis zu § 203 StGB

Berufsrecht und Strafrecht schützen dasselbe Geheimnis, aber nicht identisch. § 203 StGB erfasst das Offenbaren fremder Geheimnisse. § 203 Abs. 3 StGB gestattet unter eigenen Voraussetzungen die Mitwirkung von Personen, die an der beruflichen oder dienstlichen Tätigkeit mitwirken. Was berufsrechtlich pflichtwidrig ist, ist nicht automatisch strafbar. Strafrechtliche Straflosigkeit ist keine Gewähr für berufsrechtliche Pflichtgemäßheit. Beide Ebenen sind getrennt zu prüfen. Wer nur das Strafrecht im Blick hat, übersieht das Vertrags- und Dokumentationsprogramm des § 43e BRAO.

Bei KI-Diensten muss außerdem geklärt werden, ob Eingaben nur zur Bearbeitung des konkreten Auftrags oder auch für eigene Zwecke des Anbieters verwendet werden. Eine Nutzung zum allgemeinen Modelltraining lässt sich nicht ohne Weiteres mit der Mitwirkung an der anwaltlichen Tätigkeit rechtfertigen. Schnabl arbeitet die Bedeutung der tatsächlichen Datenflüsse und der erforderlichen Vertragsgestaltung für den KI-Einsatz heraus (RDi 2025, 8–15). Eine Produktbezeichnung wie Enterprise oder Legal ersetzt diese Prüfung nicht.

Verbandshinweise können die Prüfung orientieren. Sie ersetzen sie nicht. Sie sind keine Rechtsnormen und geben keine Gewähr für die Auslegung durch Kammern oder Anwaltsgerichte. Die technischen Fragen der Kommunikation behandelt der Beitrag Datenschutz und sichere Kommunikation.