§ 43e BRAO · Verschwiegenheit
Verschwiegenheit endet nicht bei der Kanzleitür.
Wer als Kanzlei Cloud-Software, KI oder externe IT einsetzt, gibt Mandatsgeheimnisse in fremde Hände. § 43e BRAO regelt, unter welchen Bedingungen das zulässig ist – und stellt vier konkrete Pflichten auf. Dieser Leitfaden erklärt sie und zeigt, woran Sie einen Anbieter erkennen, der sie tatsächlich erfüllt.
Von Tim Platner, Rechtsanwalt & Geschäftsführer · Stand: Juli 2026
gesetzliche Pflichten bei jedem eingebundenen Dienstleister
für Verpflichtung & Belehrung – nicht bloß mündlich
strafbewehrte Schweigepflicht, die durchgereicht werden muss
Die Rechtslage
Ein Paragraf, der Legal-Tech überhaupt erst erlaubt.
Anwältinnen und Anwälte unterliegen einer strafbewehrten Verschwiegenheitspflicht. Ihre Verletzung ist nach § 203 StGB strafbar. Lange war deshalb umstritten, ob eine Kanzlei überhaupt externe IT-Dienstleister einbinden darf, ohne sich strafbar zu machen – denn schon die Möglichkeit der Kenntnisnahme genügt.
Der Gesetzgeber hat das aufgelöst: Zuerst stellte die Reform des § 203 StGB (2017) klar, dass „mitwirkende Personen" – ausdrücklich auch externe IT-Dienstleister – eingebunden werden dürfen, wenn sie zur Verschwiegenheit verpflichtet sind. Mit der großen BRAO-Reform kam 2022 § 43e BRAO hinzu, der die berufsrechtlichen Voraussetzungen für die Kanzlei konkretisiert.
Kurz: Cloud, KI und externe IT sind für Kanzleien erlaubt – aber nur unter den Bedingungen des § 43e BRAO. Diese Bedingungen sind keine Formalie, sondern die Grenze zwischen zulässiger Auslagerung und strafbarem Geheimnisverrat.
Was das für Kanzleien bedeutet
Jedes Tool mit Datenzugriff ist betroffen.
Die Pflichten greifen nicht erst bei „Auslagerung" im klassischen Sinn. Sie greifen, sobald ein externer Dienstleister Mandatsdaten zur Kenntnis nehmen kann – ob als Kanzleisoftware, Diktier- oder OCR-Dienst, Cloud-Speicher oder KI-Assistent. Für die Kanzlei folgt daraus eine unbequeme Wahrheit:
Verantwortung bleibt bei Ihnen
§ 43e verpflichtet die Kanzlei, nicht den Anbieter. Ob der Dienstleister mitzieht, müssen Sie prüfen – und im Zweifel nachweisen.
Die Kette zählt
Ein Anbieter, der selbst US-Cloud oder externe KI-APIs nutzt, reicht Ihr Mandatsgeheimnis weiter. Ohne Subdienstleisterliste sehen Sie das nicht.
Nachweis ist Pflicht
Kammer wie Mandantschaft dürfen erwarten, dass Sie Auswahl, Verpflichtung und Belehrung dokumentiert vorlegen können.
Die vier Pflichten im Detail
Was § 43e BRAO konkret verlangt.
Sorgfältige Auswahl
Der Dienstleister ist sorgfältig auszuwählen. Maßgeblich sind seine fachliche Eignung und – gerade bei IT und KI – sein technisch-organisatorisches Sicherheitsniveau. Die Auswahlentscheidung sollte dokumentiert werden, damit sie gegenüber Kammer und Mandantschaft nachweisbar ist.
Verpflichtung zur Verschwiegenheit in Textform
Der Dienstleister muss ausdrücklich zur Verschwiegenheit verpflichtet werden – und zwar in Textform. Ein Datenschutz-AVV nach Art. 28 DSGVO genügt hierfür nicht automatisch: Er erfüllt das Datenschutzrecht, ersetzt aber nicht die berufsrechtlich eigenständige Verpflichtung.
Belehrung über § 203 StGB
Zur Verpflichtung gehört der ausdrückliche Hinweis, dass die eingebundene Person selbst strafrechtlich (§ 203 StGB) zur Verschwiegenheit verpflichtet ist. Erst diese Belehrung zieht die anwaltliche Schweigepflicht lückenlos bis in die eingesetzte Technik durch.
Bindung & Kontrolle der Subdienstleister
Zieht der Dienstleister seinerseits weitere Dienstleister hinzu (Hosting, Subprozessoren, KI-Komponenten), muss sichergestellt sein, dass auch diese verpflichtet werden. Um Auswahl und Kontrolle ausüben zu können, braucht die Kanzlei eine vollständige, aktuelle Subdienstleisterliste.
Bei Dienstleistern außerhalb der EU/des EWR stellt § 43e BRAO zusätzliche Anforderungen – ein weiterer Grund, auf eine europäische Verarbeitungskette zu achten.
So erfüllt DEPLAW § 43e
Die gesamte Kette – dokumentiert bis zum letzten Subdienstleister.
Wir liefern die Bausteine mit, die § 43e BRAO verlangt, statt sie der Kanzlei zu überlassen. Alle Punkte sind Bestandteil des Auftragsverarbeitungsvertrags und auf Anfrage nachweisbar.
- Verpflichtung in Textform
- Alle Personen und Systeme mit Zugang zu Mandats- und Falldaten werden nachweisbar in Textform zur Verschwiegenheit verpflichtet – mit ausdrücklichem Bezug auf § 43e BRAO, dokumentiert und Teil des AVV.
- Dokumentierte Belehrung § 203 StGB
- Die Verpflichteten werden ausdrücklich über die strafbewehrte Schweigepflicht nach § 203 StGB belehrt. Die Belehrung ist dokumentiert und auf Anfrage nachweisbar.
- Vollständige Subdienstleisterliste
- Sie erhalten eine vollständige, aktuelle Liste aller eingesetzten Subdienstleister – mit Zweck, Standort (EU/Deutschland) und Verpflichtungsnachweis. So erfüllen Sie Ihre Auswahl- und Kontrollpflicht ohne Rückfragen.
- Hosting & Entwicklung in Deutschland
- Betrieb auf Servern der Deutschen Telekom (OTC, ISO 27001 / SOC 2 Typ II), Entwicklung zu 100 % in Deutschland. Keine Auslagerung kritischer Komponenten in Drittstaaten – aufwändige Drittland-Prüfungen entfallen.
- Keine Weitergabe an externe KI-Anbieter
- Falldaten werden nicht an externe KI-Dienste (z. B. US-APIs) übermittelt. Die KI-Verarbeitung findet innerhalb der kontrollierten, in Deutschland betriebenen Umgebung statt.
Checkliste zum Mitnehmen
§ 43e-Check für jeden Anbieter.
Sieben Fragen, mit denen Sie jeden Legal-Tech-, Cloud- oder KI-Anbieter prüfen können – nicht nur DEPLAW. Wer alle sieben belegen kann, nimmt Ihnen die § 43e-Dokumentation ab.
- 01Liegt eine Verschwiegenheitsverpflichtung in Textform vor – mit ausdrücklichem Bezug auf § 43e BRAO bzw. § 203 StGB?
- 02Wurden die mitwirkenden Personen über die strafbewehrte Schweigepflicht nach § 203 StGB belehrt?
- 03Gibt es eine vollständige, aktuelle Subdienstleisterliste (Name, Zweck, Standort)?
- 04Sitzen alle Subdienstleister in der EU/im EWR – oder liegen Garantien nach Art. 44 ff. DSGVO vor?
- 05Ist geregelt, dass Subdienstleister ihrerseits zur Verschwiegenheit verpflichtet werden?
- 06Werden Falldaten an externe KI-Dienste übertragen – und wenn ja, auf welcher Grundlage?
- 07Lassen sich Auswahl und Kontrolle dokumentiert nachweisen (für Kammer und Mandantschaft)?
Standard-Anbieter vs. DEPLAW
Wo der Unterschied konkret liegt.
„Typischer Anbieter" steht hier für das, was der Markt üblicherweise liefert – ohne einzelne Wettbewerber zu nennen. Der Punkt ist nicht, dass andere nichts tun, sondern dass die § 43e-Kette selten vollständig dokumentiert und bereitgestellt wird.
| Anforderung | Typischer Anbieter | DEPLAW |
|---|---|---|
| Verschwiegenheitsverpflichtung | DSGVO-AVV (Art. 28), oft ohne § 43e-Bezug | AVV + gesonderte Verpflichtung in Textform mit § 43e-Bezug |
| Belehrung § 203 StGB | meist nicht dokumentiert | ausdrücklich und dokumentiert |
| Subdienstleisterliste | auf Nachfrage, teils unvollständig | vollständig, mit Standort & Verpflichtungsnachweis |
| Hosting & Entwicklung | Cloud, teils außerhalb der EU | 100 % Deutschland |
| KI-Verarbeitung | externe KI-APIs (häufig US) | keine Weitergabe an externe KI-Anbieter |
Häufige Fragen
§ 43e BRAO – kurz beantwortet.
Ja. Sobald ein externer Dienstleister Zugang zu Mandatsdaten hat oder Kenntnis davon nehmen kann, greifen die Pflichten aus § 43e BRAO – unabhängig davon, ob das Angebot als „Software" oder als „Dienstleistung" bezeichnet wird. Cloud-Kanzleisoftware, Diktier- und OCR-Dienste sowie KI-Tools fallen regelmäßig darunter.
Nein, nicht allein. Der AVV erfüllt das Datenschutzrecht. § 43e BRAO ist berufsrechtlich eigenständig und verlangt zusätzlich die Verpflichtung zur Verschwiegenheit in Textform sowie die Belehrung über die strafbewehrte Schweigepflicht nach § 203 StGB. Beides sollte ausdrücklich geregelt sein.
In Betracht kommen berufsrechtliche Konsequenzen (von der Rüge bis zu weitergehenden Maßnahmen der Rechtsanwaltskammer) sowie – im Kern – eine mögliche Strafbarkeit nach § 203 StGB wegen Verletzung von Privatgeheimnissen. Hinzu treten datenschutzrechtliche Risiken.
Ja. Um Ihre Auswahl- und Kontrollpflicht nach § 43e Abs. 4 BRAO zu erfüllen, müssen Sie wissen, wer in der Kette auf Daten zugreifen kann. Ein seriöser Anbieter stellt dafür eine vollständige, aktuelle Subdienstleisterliste bereit.
Durch Verpflichtung in Textform mit § 43e-Bezug, dokumentierte Belehrung nach § 203 StGB, eine vollständige Subdienstleisterliste (EU/Deutschland), Hosting und Entwicklung ausschließlich in Deutschland sowie den Verzicht auf die Weitergabe von Falldaten an externe KI-Anbieter.
Nein. Die Pflicht trifft praktisch jede Kanzlei, die externe Technik einsetzt. Selten ist nur, dass Anbieter die Erfüllung vollständig dokumentieren und aktiv bereitstellen – genau hier setzt DEPLAW an.
Tim Platner ist Rechtsanwalt und Mitgründer der Legal Data Technology GmbH. Er begleitet Kanzleien und Versicherer bei der rechtssicheren Einführung von KI-gestützten Rechtsdienstleistungen.
Zum Autorenprofil →Dieser Beitrag dient der allgemeinen Information über die berufsrechtlichen Rahmenbedingungen und ersetzt keine Rechtsberatung im Einzelfall.
§ 43e-Dokumentation, die Sie vorlegen können.
In der Demo zeigen wir Verpflichtung, Belehrung und Subdienstleisterliste – und wie DEPLAW die gesamte Kette in Deutschland hält.
Kostenlose Demo vereinbaren