Wen §203 StGB betrifft
§203 Abs. 1 StGB nennt Berufsgeheimnisträger ausdrücklich, darunter Rechtsanwälte, Steuerberater, Wirtschaftsprüfer und Ärzte. Die Norm stellt unter Strafe, wer unbefugt ein fremdes Geheimnis offenbart, das ihm in seiner beruflichen Eigenschaft anvertraut wurde. Die Strafdrohung: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Die Strafbarkeit trifft den Berufsgeheimnisträger persönlich, nicht die Kanzlei als Organisation.
Was sich 2017 geändert hat: §203 Abs. 3 und 4
Seit der Reform von 2017 dürfen Berufsgeheimnisträger externe Dienstleister einbeziehen — IT-Wartung, Rechenzentren, Software-Anbieter —, soweit das für deren Tätigkeit erforderlich ist. Die Bedingung steht in §203 Abs. 4 StGB: Der Berufsgeheimnisträger muss die mitwirkende Person zur Geheimhaltung verpflichten. Unterlässt er das und wird ein Geheimnis offenbart, macht er sich selbst strafbar.
Typische Situationen in der Kanzlei
| Situation | Einordnung | Bedingung |
|---|---|---|
| Abstrakte Fachfrage ohne Mandantenbezug | Unkritisch | Keine identifizierbaren Angaben |
| Mandantensachverhalt im privaten KI-Account | Kritisch | Kein AVV, keine Geheimhaltungsverpflichtung |
| Pseudonymisierter Fall („Mandant A“) | Weiterhin Geheimnis | Zuordnung bleibt möglich |
| Anbieter mit AVV, ohne §203-Verpflichtung | Nicht ausreichend | Verpflichtung nach §203 Abs. 4 StGB fehlt |
| Anbieter mit AVV und §203-Verpflichtung, EU-Datenhaltung | Einsatz möglich | Eigene Prüfung im Einzelfall, interne Regeln |
AVV und §203-Verpflichtung sind zwei verschiedene Dinge
Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt den Datenschutz; die Verpflichtung nach §203 Abs. 4 StGB regelt das strafbewehrte Berufsgeheimnis. Viele KI-Anbieter bieten einen AVV an — eine ausdrückliche §203-Geheimhaltungsvereinbarung ist dagegen selten. Für jeden KI-Dienst, der mit Mandantendaten in Berührung kommt, sind beide Fragen zu klären. Eine praktische Prüfliste für Steuerkanzleien finden Sie in der DATEV-und-AVV-Checkliste.
Kurz gefasst: AVV + §203-Verpflichtung + keine Nutzung der Eingaben zum Training + EU-Datenhaltung — und klare interne Regeln. Ohne diese Bausteine gehören identifizierbare Mandantendaten nicht in ein KI-Tool.
Interne Ordnung: was die Kanzlei selbst tun muss
- Bestandsaufnahme: Wer nutzt heute schon KI-Tools, welche, wofür? Ohne Schuldzuweisung.
- Freigegebenes Werkzeug bereitstellen: Schatten-KI verschwindet nicht durch Verbote, sondern durch ein offizielles Tool, das vertraglich und technisch für Mandantendaten zugelassen ist.
- Schriftliche Regeln und Schulung: Welche Daten dürfen hinein, was ist tabu? Die meisten §203-Risiken entstehen aus Unwissen, nicht aus Vorsatz.
- Ergebnisse prüfen: KI-Ausgaben sind Entwürfe; Verantwortung und Freigabe bleiben bei der Fachkraft.
So setzt ClapNClaw das um
ClapNClaw stellt den AVV nach Art. 28 DSGVO ab Tag 1 bereit. Die §203-Zusatzvereinbarung ist im Compliance-Tarif (59 € pro Nutzer und Monat, 50 € jährlich) ab Tag 1 enthalten. Die Kanzleidaten liegen auf Servern bei Hetzner in Deutschland; die KI-Inferenz (Claude) läuft über AWS Bedrock in Frankfurt (eu-central-1) ohne Datenspeicherung. Für Steuerkanzleien: DATEV-Export als EXTF-Datei in der Beta, Direktverbindung geplant für Q1 2027 (Stand auf der DATEV-Seite): ClapNClaw für Steuerberater, DATEV-Seite, Sicherheit und Compliance.
Häufige Fragen
Dürfen Kanzleien KI mit Mandantendaten nutzen?
Ja, unter Bedingungen: Der Anbieter muss als mitwirkende Person nach §203 Abs. 3 StGB einbezogen und nach Abs. 4 ausdrücklich zur Geheimhaltung verpflichtet werden; zusätzlich braucht es einen AVV nach Art. 28 DSGVO.
Reicht es, Namen zu schwärzen?
Oft nicht. Eine Mandantin mit Branche, Ort und Umsatzgröße ist häufig auch ohne Namen identifizierbar. Pseudonymisierte Daten bleiben Geheimnisse im Sinne des §203 StGB, solange die Zuordnung möglich ist.
Was droht bei einem Verstoß gegen §203 StGB?
Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Hinzu können berufsrechtliche Folgen, zivilrechtliche Haftung gegenüber dem Mandanten und datenschutzrechtliche Bußgelder kommen.
Ersetzt dieser Artikel eine Rechtsberatung?
Nein. Er dient der allgemeinen Information. Die rechtliche Bewertung hängt vom Einzelfall ab; für verbindliche Auskünfte ziehen Sie eine auf IT- und Berufsrecht spezialisierte Rechtsberatung hinzu.
KI für Ihre Kanzlei — mit AVV und §203-Zusatzvereinbarung
Claude in Ihrer eigenen isolierten Umgebung auf Servern in Deutschland. AVV nach Art. 28 DSGVO ab Tag 1; §203-Zusatzvereinbarung im Compliance-Tarif ab Tag 1. 7 Tage kostenlos testen.
Mehr für Steuerberater erfahren →