Ob ein KI-Tool in der Kanzlei berufsrechtlich eingesetzt werden darf, verraten Siegel wie EU-Hosting, ISO 27001, SOC 2 oder „RDG-konform“ so gut wie nicht. Entscheidend ist, ob die anwaltliche Verschwiegenheit nach § 43e BRAO über die gesamte Kette von Dienstleistern und Sub-Dienstleistern nachweisbar gesichert ist, und genau das muss die Kanzlei vor Vertragsschluss selbst prüfen. Darauf weisen Tim Platner und Sebastian Adams in einer Folge des Podcasts Recht Disruptiv hin, in der sie die Werbeversprechen von Legal-AI-Anbietern auf ihre Belastbarkeit abklopfen. Anlass waren Anbieter, die etwa mit lokalem Hosting werben, tatsächlich aber Anfragen weiterhin an große US-Modelle schicken.

Datenschutz und Berufsrecht sind zwei verschiedene Ebenen

Die wichtigste Unterscheidung vorweg: Konformität mit der Datenschutz-Grundverordnung betrifft jedes Unternehmen, nicht nur Kanzleien und nicht nur den Einsatz von KI. Die berufsrechtliche Zulässigkeit nach der Bundesrechtsanwaltsordnung ist dagegen eine zusätzliche Stufe, die nur Berufsgeheimnisträger trifft. Beide Prüfungen haben ähnliche Anforderungen, müssen aber getrennt behandelt werden. Dabei gilt eine klare Reihenfolge: Werden Daten etwa in den USA ohne gesicherte DSGVO-Standards verarbeitet, ist ein Anbieter schon aus dem Rennen, bevor das Berufsrecht überhaupt eine Rolle spielt. Wer nicht einmal den Datenschutz gewährleisten kann, kann erst recht nicht die anwaltliche Verschwiegenheit nach § 43a Abs. 2 BRAO sicherstellen.

Datenschutzrechtliche Serverfragen lassen sich nach Platners Einschätzung meist lösen, häufig über einen höheren Preis für inländische Server. Berufsrechtskonformität ist dagegen ein ganz anderes Niveau, weil jede Stufe der Dienstleisterkette erfasst sein muss. Anbieter wie die Telekom, die Serverkapazitäten für Berufsgeheimnisträger bereitstellen, sind entsprechend teuer, und Frontier-Modelle auf diesem Schutzniveau sind in Europa bislang kaum zu bekommen.

Was § 43e BRAO bei der Auswahl von Dienstleistern verlangt

§ 43e BRAO regelt, unter welchen Voraussetzungen Anwälte Dienstleistern Zugang zu Mandatsgeheimnissen gewähren dürfen. Dazu gehören ein Vertrag in Textform, die sorgfältige Auswahl und Überwachung des Dienstleisters, besondere Anforderungen bei Dienstleistungen im Ausland und Regeln für Dienstleistungen, die einem einzelnen Mandat dienen. Was „sorgfältig“ konkret bedeutet, lässt das Gesetz offen. Auch die Hinweise von Kammern wie der RAK München enthalten keine abschließende Checkliste. Wie tief solche Prüfungen gehen können, zeigt die Erfahrung mit der Legal-Tech-Lösung DEPLAW, deren KI-Funktionen stark von Versicherern genutzt werden: Ein Kunde verlangte dort ein Audit von rund 600 Seiten.

Kern der Prüfung ist die sogenannte Kettenverschwiegenheit: Sind alle Beteiligten nachweisbar zur Verschwiegenheit verpflichtet? Manche Anbieter liefern solche Nachweise bereitwillig, Infrastrukturanbieter wie die Telekom oder DATEV machen ihre Verpflichtungen transparent. Eine kleine Kanzlei, die bei einem generischen Großanbieter einkauft, wird diese Kette dagegen selten vollständig zu sehen bekommen. Schriftliche Zusicherungen tragen nach Platner zunächst, solange keine gegenteiligen Anhaltspunkte bestehen und das Gesamtkonstrukt plausibel ist. Dass das Thema die Anwaltschaft insgesamt beschäftigt, zeigt auch eine Meldung von Haufe, wonach der Deutsche Anwaltverein eine Orientierungshilfe zum KI-Einsatz in Kanzleien anbietet.

Warum Zertifikate und EU-Labels wenig aussagen

Zertifizierungen wie ISO 27001, ISO 42001 oder SOC 2 belegen, dass ein Anbieter zu einem bestimmten Zeitpunkt ein bestimmtes Niveau an Prozessen und Qualität erreicht hatte. Für Compliance-Verantwortliche ist das beruhigend, für die Frage nach dem Berufsrecht aber kaum relevant.

Aber nichts davon sagt aus, dass das für Berufsgeheimnisträger geeignet ist.

— Tim Platner, im Podcast Recht Disruptiv

Hinzu kommt, dass häufig nur das Hosting zertifiziert ist, nicht aber die eigentliche KI-Lösung, an die die Daten fließen. Ähnlich trügerisch sind Deutschland- oder EU-Labels. Mal ist nur der Code in Deutschland geschrieben, mal liegt nur die Bedienoberfläche als Zwischenschicht in der EU, während die Anfragen wie über einen Hub an Modelle in den USA weitergeleitet werden. Zwischenlogs und Speicher können wiederum an anderen Orten liegen. Kanzleien müssen deshalb ganz banal klären, wohin die Daten des Mandanten tatsächlich gehen.

Auch EU-Rechenzentren von Azure, AWS oder Google Cloud lösen das Problem nicht automatisch. Einstellungen zur Region können sich ändern, es gibt Überlaufverfahren bei Auslastung, und hinter den Servern steht ein US-Konzern, bei dem ein mittelbarer Zugriff US-amerikanischer Behörden nicht auszuschließen ist. Schon die Datenschutzebene ist angesichts der wiederholt gekippten Regelungen nach den Schrems-Urteilen, zuletzt dem Urteil des EuGH in der Rechtssache C-311/18 (Schrems II), unsicher; für den Berufsgeheimnisschutz reicht ein Hosting in den USA mangels nachweisbarer Kettenverpflichtung nach Platners Einschätzung sicherlich nicht. Besonders fragwürdig ist schließlich das Label „RDG-konform“, mit dem ein Anbieter wirbt, dessen Modell auf dem Niveau eines Volljuristen sein, aber keine Rechtsberatung im Einzelfall leisten soll. Was das Rechtsdienstleistungsgesetz für Legal Techs tatsächlich bedeutet, beleuchtet die Folge Was das neue RDG für Legal Techs ändert – und was nicht.

Einwilligung, Pseudonymisierung und Zero Data Retention

§ 43e Abs. 5 BRAO sieht für Dienstleistungen, die einem einzelnen Mandat dienen, die Einwilligung des Mandanten vor. Der Mandant kann grundsätzlich weitgehend selbst entscheiden, was geschützt werden soll. Die Einwilligung muss aber wirksam, umfassend aufgeklärt und ausdrücklich sein, gerade bei Gesundheitsdaten, Straftaten oder Geschäftsgeheimnissen. Zudem braucht es sowohl eine datenschutzrechtliche als auch eine berufsrechtliche Einwilligung.

Den Blankoscheck für all die kruden LLM-Lösungen, die das komfortabler machen in den AGB, in den Mandatsbedingungen, das wird sicherlich nicht reichen.

— Tim Platner, im Podcast Recht Disruptiv

Einwilligungen können zudem widerrufen werden, und für Daten von Gegnern und Dritten gibt es sie in der Regel gar nicht. Auch Pseudonymisierung hilft nur begrenzt: Wird aus Herrn Müller Herr A., lässt sich die Person über Umstände und Presseberichte oft trotzdem identifizieren. Zulässig bleibt es, rein abstrakte Rechtsfragen ohne Personen- und Mandatsbezug an beliebige Modelle zu stellen. In der Praxis wird es eng, sobald für einen Schriftsatz Sachverhalt eingegeben wird.

Bei Zero Data Retention leitet der Anbieter Daten nur durch, ohne sie abzulegen. Das ist ein Pluspunkt, doch Training mit Mandatsdaten bleibt ausgeschlossen, weil es eigenen Interessen des Modellanbieters dient und nicht der Mandatsbearbeitung. Kritisch sind Missbrauchs-Logs: Typischerweise werden sie nach Platners Angaben rund 30 Tage gespeichert, bei Auffälligkeiten teils bis zu sieben Jahre und gegebenenfalls zum Training genutzt. Das betrifft DSGVO und Berufsrecht gleichermaßen, denn über einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO muss sichergestellt sein, dass der Dienstleister Daten nur weisungsgebunden verarbeitet.

Copilot, Offenlegung und die Prüfung vor dem Kauf

Microsoft Copilot ist für viele Kanzleien naheliegend, weil Office 365 und Exchange ohnehin im Haus sind, mit dem Risiko, dass das Tool Zugriff auf sämtliche E-Mails hat. Microsoft bietet einen standardisierten Auftragsverarbeitungsvertrag, Zusatzvereinbarungen für Berufsgeheimnisträger gibt es über Partner. Begründete Zweifel an Microsofts Zusicherungen sieht Platner nicht, die Überwachungspflicht bleibt aber, auch mit Blick auf künftige, oft sehr umfangreiche AGB-Änderungen.

Eine allgemeine Pflicht, Mandanten über den KI-Einsatz zu informieren, besteht nach Platners Einschätzung nicht; es gelten die üblichen Datenschutzhinweise einschließlich etwaiger Unterauftragnehmer. Anders ist es, wenn der Einsatz auf eine Einwilligung gestützt wird. Manche Kanzleien nutzen den Hinweis ohnehin als Marketing.

Vor dem Kauf eines KI-Tools sollten Kanzleien deshalb zuerst die berufsrechtlichen Verpflichtungen und eine plausible Nachweiskette prüfen, dann Auftragsverarbeitungsvertrag, Unterauftragnehmer, Serverstandorte, Datenflüsse und Logs, bei Multi-LLM-Lösungen für jedes Modell. Ebenso geregelt sein muss, was mit den Daten bei einem Anbieterwechsel geschieht. Die Mandanteneinwilligung taugt allenfalls als Notnagel. Wer Akten digital führt, etwa in einer Onlineakte, sollte sie so behandeln wie die physische Handakte, die niemand auf dem Flur liegen ließe, nur weil jemand verspricht, nicht hineinzuschauen. Im Zweifel droht sonst ein Straftatbestand, nämlich die Verletzung von Privatgeheimnissen nach § 203 StGB. Wie Sebastian Adams die Entwicklung solcher Software aus Technikperspektive sieht, erläutert er in der Folge Wie entwickelt man eigentlich Legal Tech Software mit Juristen?.

Checkliste: Datenschutzrechtliche Anforderungen an KI-Anbieter

Die datenschutzrechtliche Prüfung ist die erste Hürde. Fällt ein Anbieter schon hier durch, erübrigt sich die berufsrechtliche Prüfung. Die folgende Tabelle stellt gegenüber, was der Anbieter nachweisbar erfüllen muss und was die Kanzlei dazu konkret prüfen sollte.

Prüfpunkt Was der Anbieter erfüllen muss Was die Kanzlei prüfen sollte Erledigt
Auftragsverarbeitung Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Verarbeitung der Mandatsdaten ausschließlich auf Weisung der Kanzlei, nicht für eigene Zwecke Liegt ein Vertrag vor, der Weisungsgebundenheit und Zweckbindung ausdrücklich regelt? ☐
Unterauftragnehmer Alle Sub-Dienstleister einschließlich der dahinterliegenden Sprachmodelle sind benannt Ist die Liste vollständig, bei Multi-LLM-Lösungen für jedes einzelne Modell? ☐
Datenflüsse und Serverstandorte Transparente Angabe, wo Bedienoberfläche, eigentliche Verarbeitung, Zwischenlogs und Speicher liegen Wohin gehen die Mandatsdaten tatsächlich? Können Überlaufverfahren oder geänderte Regionseinstellungen sie an andere Orte leiten? ☐
Drittlandtransfer Tragfähige Grundlage nach Art. 44 ff. DSGVO, wenn Daten die EU verlassen Steht hinter dem Anbieter ein US-Konzern, und wie hoch ist das Risiko eines mittelbaren Behördenzugriffs? ☐
Training und Logs Kein Training mit Mandatsdaten; Missbrauchs-Logs und ihre Aufbewahrungsdauer vertraglich festgelegt, idealerweise Zero Data Retention Wie lange werden Logs gespeichert, und können sie bei Auffälligkeiten länger aufbewahrt oder zum Training genutzt werden? ☐
Technische und organisatorische Maßnahmen Maßnahmen nach Art. 32 DSGVO, etwa belegt durch ISO 27001 oder SOC 2 Erfasst das Zertifikat die eigentliche KI-Lösung oder nur das Hosting? ☐
Anbieterwechsel Rückgabe und Löschung der Daten vertraglich geregelt Was geschieht mit den Daten, wenn die Kanzlei den Anbieter wechselt? ☐
Einwilligung Nur als Ausnahme; Anforderungen von Art. 7 DSGVO und bei besonderen Kategorien wie Gesundheitsdaten zusätzlich Art. 9 DSGVO Ist die Einwilligung wirklich nötig, und genügt sie diesen Anforderungen? ☐

Checkliste: Berufsrechtliche Anforderungen nach § 43e BRAO

Erst wenn der Datenschutz steht, geht es um die zusätzliche Stufe für Berufsgeheimnisträger. Maßstab ist § 43e BRAO, der die Kanzlei verpflichtet, die folgenden Punkte beim Anbieter sicherzustellen.

Prüfpunkt Was der Anbieter erfüllen muss Was die Kanzlei prüfen sollte Erledigt
Vertrag in Textform Verpflichtung zur Verschwiegenheit und Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung Liegt ein Vertrag in Textform vor, der beides enthält? ☐
Zugriff nur im erforderlichen Umfang Verpflichtung, sich nur insoweit Kenntnis von Mandatsgeheimnissen zu verschaffen, wie es für die Leistung erforderlich ist Ist diese Beschränkung vertraglich festgehalten? ☐
Kettenverschwiegenheit Auch alle Sub-Dienstleister sind in Textform zur Verschwiegenheit verpflichtet, bis zum Modellbetreiber Lässt sich die Kette lückenlos nachweisen, oder bleibt sie bei generischen Großanbietern im Dunkeln? ☐
Leistungserbringung im Ausland Der dortige Geheimnisschutz ist dem Schutz im Inland vergleichbar Wo wird die Leistung erbracht? Ein Hosting in den USA genügt nach Platners Einschätzung mangels nachweisbarer Kettenverpflichtung nicht. ☐
Auswahl und Überwachung Schriftliche Zusicherungen und ein plausibles Gesamtkonstrukt Wurde vor Vertragsschluss sorgfältig geprüft, und werden AGB-Änderungen, Regionseinstellungen und neue Unterauftragnehmer laufend beobachtet? ☐
Keine Nutzung für eigene Interessen Kein Training mit Mandatsdaten, weil es dem Modellanbieter und nicht der Mandatsbearbeitung dient Ist das Training vertraglich ausgeschlossen? ☐
Einwilligung im Einzelmandat Nur als Notnagel; ausdrücklich, umfassend aufgeklärt und im konkreten Mandat erteilt (§ 43e Abs. 5 BRAO) Wird nicht auf AGB-Klauseln gesetzt? Ist berücksichtigt, dass die Einwilligung widerruflich ist und keine Daten von Gegnern und Dritten erfasst? ☐

Wer beide Checklisten abarbeitet, erkennt schnell, welche Werbeversprechen belastbar sind und welche nicht. Das gilt für generische Großanbieter ebenso wie für spezialisierte Lösungen, etwa die KI-Funktionen von DEPLAW oder eine digitale Onlineakte. Labels wie „RDG-konform“ ersetzen diese Prüfung nicht; was das Rechtsdienstleistungsgesetz tatsächlich regelt, erklärt die Folge Was das neue RDG für Legal Techs ändert – und was nicht.