Datenschutz beim Einsatz von Sprachmodellen

Neben Berufsrecht und Strafrecht steht das Datenschutzrecht mit eigenen Fragen und eigenen Antworten. Die Datenschutz-Grundverordnung schützt nicht das Geheimnis, sondern die personenbezogenen Daten, gleich ob sie geheim sind oder nicht, und sie verlangt für jede Verarbeitung eine Rechtsgrundlage, einen Zweck, eine Information der Betroffenen und ein angemessenes Schutzniveau. Wer eine Akte in ein Sprachmodell lädt, verarbeitet die Daten aller Personen, die in ihr vorkommen, und für diese Verarbeitung gelten die Regeln der Verordnung auch dann, wenn berufsrechtlich alles richtig gelaufen ist.

Die Rechtsgrundlage

Für die Daten des Mandanten trägt Art. 6 Abs. 1 lit. b DSGVO, die Erfüllung des Mandatsvertrags, soweit die Verarbeitung für die Mandatsbearbeitung erforderlich ist, und die Aufsichtsbehörden verstehen die Erforderlichkeit eng. Für Gegner, Zeugen und sonstige Dritte fällt diese Grundlage aus, sie sind nicht Vertragspartner. Die Einwilligung des Mandanten hilft hier nicht weiter, weil niemand in die Verarbeitung fremder Daten einwilligen kann. Der Mandant deckt mit seiner Unterschrift seine eigenen Daten, nicht die des Zeugen, der gegen ihn ausgesagt hat. Es bleibt das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, das der Europäische Datenschutzausschuss in seiner am 17. Dezember 2024 angenommenen Stellungnahme 28/2024 zu KI-Modellen einem Drei-Stufen-Test unterwirft. Das Interesse muss legitim sein, was für die Rechtsverfolgung des Mandanten außer Frage steht. Die Verarbeitung muss erforderlich sein, was die unbequeme Frage aufwirft, ob die Auswertung ohne Sprachmodell nicht ebenso gut möglich wäre. Und die Interessen der Betroffenen dürfen nicht überwiegen, was eine Abwägung verlangt, in die die Art der Daten, die vernünftigen Erwartungen der Betroffenen und die Schutzmaßnahmen eingehen. Der Zeuge in einer Strafakte rechnet damit, dass der Verteidiger seine Aussage liest und mit den Mitteln auswertet, die der Verteidigung zur Verfügung stehen. Er rechnet nicht damit, dass sie in einem Modell landet, das mit ihr trainiert wird. Der Trainingsausschluss ist deshalb datenschutzrechtlich so unverzichtbar wie berufsrechtlich, und die Abwägung fällt bei einem Anbieter, der die Eingaben nach der Verarbeitung löscht, anders aus als bei einem, der sie behält.

Strafakten und die Art. 9 und 10 DSGVO

Strafakten enthalten Daten über Straftaten, und sie enthalten häufig Gesundheitsdaten, Angaben zur sexuellen Orientierung und andere besondere Kategorien nach Art. 9 DSGVO. Für beides gelten neben Art. 6 DSGVO eigene Regeln, und die drei Vorschriften wollen getrennt geprüft sein, keine ersetzt die andere. Art. 10 DSGVO erlaubt die Verarbeitung von Daten über Straftaten und strafrechtliche Verurteilungen außerhalb behördlicher Aufsicht nur, wenn das Unionsrecht oder das Recht des Mitgliedstaats sie zulässt. Wer dafür § 22 BDSG heranzieht, greift daneben. Die Vorschrift betrifft allein die besonderen Kategorien des Art. 9 DSGVO, zu Straftatendaten sagt sie nichts, und eine ausdrückliche Erlaubnis für den Anwalt, der eine Anklageschrift auswertet, sucht man im Bundesdatenschutzgesetz vergebens. Die Verteidigung ist Rechtsverfolgung, und niemand wird dem Verteidiger das Lesen der Anklage verbieten, aber die Begründung ist bei Art. 6 und Art. 10 DSGVO zu suchen und nicht in einer Norm, die etwas anderes regelt. Für die besonderen Kategorien liegt die Sache klarer. Art. 9 Abs. 2 lit. f DSGVO lässt ihre Verarbeitung zu, wenn sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, und diese Ausnahme trägt die Verarbeitung durch den Anwalt. Ob sie auch die Weitergabe an einen Auftragsverarbeiter trägt, der die Daten in einem Modell verarbeitet, entscheidet sich an der Erforderlichkeit, und die Aufsichtsbehörden erwarten bei besonderen Kategorien zusätzliche Schutzmaßnahmen. Der Katalog des § 22 Abs. 2 BDSG, der für die dort geregelten Fälle Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkung und Protokollierung nennt, taugt als Maßstab dafür, was gemeint ist. Wer eine Akte mit den Gesundheitsdaten des Geschädigten hochlädt, muss diese Maßnahmen getroffen haben und belegen können.

Pseudonymisierung und ihre Grenzen

Die Leitlinie 01/2025 des Europäischen Datenschutzausschusses zur Pseudonymisierung liegt in der Fassung vom 16. Januar 2025 als Konsultationsentwurf vor, eine endgültige Leitlinie ist das noch nicht. Die Linie ist aber erkennbar. Die Pseudonymisierung gilt als risikomindernde Maßnahme, der Personenbezug bleibt bestehen, weil pseudonymisierte Daten mit Zusatzwissen wieder zugeordnet werden können. Für den Anwalt heißt das, dass der Austausch von Namen gegen Kürzel die Verarbeitung nicht aus der Verordnung herausführt. Er wirkt aber in der Abwägung nach Art. 6 Abs. 1 lit. f DSGVO und bei den Schutzmaßnahmen für besondere Kategorien zu seinen Gunsten. Die Anonymisierung, die den Personenbezug beseitigt, gelingt bei Strafakten selten, weil der Sachverhalt selbst identifiziert und weil moderne Modelle Personen aus dem Kontext häufig wiedererkennen. Der Zeuge mit geschwärztem Namen bleibt erkennbar, wenn seine Funktion, sein Wohnort und sein Verhältnis zum Beschuldigten im Text stehen. Die Kanzlei sollte deshalb nicht behaupten, sie verarbeite anonymisierte Daten, sondern pseudonymisierte, und sie sollte die Pseudonymisierung so weit treiben, wie die Aufgabe es zulässt. Werkzeuge, die Akten vor der Eingabe automatisch pseudonymisieren und die Zuordnung in der Kanzlei behalten, gibt es, und sie sind praxistauglich.

Drittstaatentransfer

Bei amerikanischen Anbietern bleibt der Drittstaatentransfer nach den Art. 44 ff. DSGVO ein Risiko. Der Angemessenheitsbeschluss der Kommission zum Data Privacy Framework von 2023 erlaubt die Übermittlung an zertifizierte amerikanische Unternehmen, und die großen Anbieter sind zertifiziert. Aber der Beschluss ist gerichtlich angegriffen, und sein Vorgänger, das Privacy Shield, hat 2020 vor dem Gerichtshof nicht bestanden. Fällt der Beschluss, bleiben die Standardvertragsklauseln mit einem Transfer-Impact-Assessment, und der CLOUD Act erfasst amerikanische Konzerne unabhängig vom Serverstandort, die europäische Tochter mit Rechenzentrum in Frankfurt schließt den Zugriff amerikanischer Behörden also nicht aus. Für Mandatsdaten ist das ein Risiko, das in die Abwägung nach Art. 6 Abs. 1 lit. f DSGVO und in die Prüfung nach § 43e Abs. 4 BRAO gehört. Anbieter mit Sitz und Infrastruktur in der Union vermeiden es, und ihre Zahl wächst. Wer einen amerikanischen Anbieter wählt, dokumentiert den Transfer, prüft die Zertifizierung und hat die Standardvertragsklauseln als Rückfalllösung vereinbart.

Datenschutz-Folgenabschätzung und Auftragsverarbeitung

Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen mit sich bringt, und die Aufsichtsbehörden führen den Einsatz neuer Technologien zur Verarbeitung besonderer Kategorien in ihren Listen der Verarbeitungen, für die eine Folgenabschätzung Pflicht ist. Die Verarbeitung von Strafakten in einem Sprachmodell erfüllt diese Voraussetzungen. Wer das systematisch tut, sollte die Folgenabschätzung anfertigen, die Verarbeitung beschreiben, die Risiken bewerten und die Maßnahmen benennen. Sie ist kein Genehmigungsverfahren, sondern eine Dokumentation, die die Kanzlei selbst erstellt und der Aufsicht auf Verlangen vorlegt, und sie lässt sich mit der Dokumentation nach § 43e BRAO verbinden. Der Anbieter ist Auftragsverarbeiter nach Art. 28 DSGVO. Mit ihm ist der Auftragsverarbeitungsvertrag zu schließen, und er darf die Daten nur nach Weisung der Kanzlei verarbeiten. Das macht den Trainingsausschluss zwingend, denn Training wäre eine Verarbeitung zu eigenen Zwecken des Anbieters, die ihn zum Verantwortlichen machte und die Rollenverteilung des Vertrags sprengte.

Betroffenenrechte

Die Betroffenen haben ein Auskunftsrecht nach Art. 15 DSGVO, das § 29 BDSG beschränkt, soweit die Auskunft Informationen offenbaren würde, die geheim zu halten sind, und sie haben Rechte auf Löschung und Widerspruch. Der Zeuge, der erfährt, dass seine Aussage in einem Modell verarbeitet wurde, kann Auskunft verlangen, und die Kanzlei teilt ihm mit, dass sie seine Daten verarbeitet hat, ohne den Inhalt des Mandats preiszugeben. Er kann nach Art. 21 DSGVO widersprechen, und die Kanzlei hält ihm entgegen, dass zwingende schutzwürdige Gründe überwiegen oder dass die Verarbeitung der Verteidigung von Rechtsansprüchen dient, was die Verordnung als Grund ausdrücklich nennt. Die Löschung der Eingaben beim Anbieter ist nach der Verarbeitung zu veranlassen, und der Vertrag muss sie vorsehen. Gelöscht wird dort, nicht in der Handakte, für die die berufsrechtlichen Aufbewahrungsregeln gelten. Die Information der Betroffenen nach Art. 14 DSGVO ist bei Daten aus Strafakten nach Art. 14 Abs. 5 DSGVO entbehrlich, soweit sie die Rechtsverfolgung beeinträchtigen würde oder die Daten dem Berufsgeheimnis unterliegen, und was an Informationspflicht bleibt, erfüllt die Kanzlei durch allgemeine Datenschutzhinweise auf ihrer Website.

Was die Aufsichtsbehörden sagen

Die Datenschutzkonferenz hat am 6. Mai 2024 eine Orientierungshilfe zu KI und Datenschutz veröffentlicht, die Anbieterauswahl, Rechtsgrundlage, Betroffenenrechte und Schutzmaßnahmen behandelt und für Kanzleien als Prüfraster taugt, ohne Rechtsnorm zu sein. Der Hamburgische Datenschutzbeauftragte vertritt in seinen Thesen zu Sprachmodellen, dass ein trainiertes Modell selbst keine personenbezogenen Daten speichert, weil die Gewichte keine Angaben über bestimmte Personen enthalten, dass aber Ein- und Ausgaben personenbezogen sein können. Für die Kanzlei heißt das, dass ihre Verarbeitung an den Eingaben ansetzt, nicht am Modell. Ein Trainingsprivileg folgt daraus nicht. Die Thesen sagen nichts darüber, ob das Training mit fremden Daten erlaubt war, und sie nehmen dem Anwalt keine Verantwortung für das ab, was er eingibt. Der Europäische Datenschutzausschuss hat in der Stellungnahme 28/2024 die drei Stufen des berechtigten Interesses, legitimes Interesse, Erforderlichkeit und Abwägung, für KI-Modelle konkretisiert und die Frage, ob ein mit rechtswidrig erlangten Daten trainiertes Modell selbst rechtswidrig ist, den Aufsichtsbehörden für den Einzelfall überlassen. Bußgelder gegen Kanzleien wegen des Einsatzes von Sprachmodellen sind bisher nicht bekannt, die Aufsichtsbehörden haben sich auf die Anbieter konzentriert. Das ist kein Freibrief, und das Berufsgeheimnis ist auch keiner. § 29 Abs. 3 BDSG nimmt der Aufsicht nur die Untersuchungsbefugnisse, deren Ausübung das Geheimnis verletzen würde, den Zugriff auf die Daten und den Zutritt zu den Räumen, ihre übrigen Befugnisse behält sie auch gegenüber einer Kanzlei. Das Datenschutzrecht verbietet den Einsatz nicht, es stellt Anforderungen, und die lassen sich erfüllen, wenn man sie kennt.