← Zurück zum Verzeichnis

Anonymisierung oder Souveränität: Was § 203 wirklich verlangt

Viele KI-Werkzeuge werben mit „rechtssicher durch Anonymisierung". Doch § 203 StGB schützt nicht nur den Namen, sondern die Tatsache und den Inhalt des Mandats, und die verlassen bei Anonymisierung weiter das Haus. Der Unterschied zwischen Verbergen und Behalten.

Immer mehr Werkzeuge versprechen Kanzleien die „rechtssichere" Nutzung von KI, meist mit demselben Mechanismus: Sie anonymisieren die Anfrage, bevor sie an ein KI-Modell weitergereicht wird. Namen raus, Fall unkenntlich, dann ab in die Cloud. Das klingt vernünftig. Aber löst es das Problem, das § 203 StGB Kanzleien tatsächlich stellt? Dieser Beitrag trennt zwei Dinge, die gern verwechselt werden: das Verbergen von Daten und das Behalten von Daten. Für das Berufsgeheimnis ist der Unterschied entscheidend. Ob und wann KI in der Kanzlei überhaupt zulässig ist, klärt der Grundlagenbeitrag Darf ich ChatGPT in der Kanzlei nutzen?.

Was § 203 StGB von einer Kanzlei verlangt

§ 203 StGB stellt die Verletzung von Privatgeheimnissen unter Strafe: Wer als Rechtsanwältin oder Rechtsanwalt ein anvertrautes Geheimnis unbefugt offenbart, macht sich strafbar. Der Gesetzgeber hat 2017 ausdrücklich geregelt, wie mitwirkende Dienstleister einzubinden sind. Sie müssen zur Geheimhaltung verpflichtet werden, und das Offenbaren ihnen gegenüber ist nur im erforderlichen Umfang zulässig.

Der Kern für die KI-Frage steckt im Wort offenbaren. Ein Geheimnis ist nicht erst dann verletzt, wenn ein Klarname fällt. Es ist offenbart, sobald geschützte Informationen einem Dritten zugänglich gemacht werden, der sie zur Kenntnis nehmen könnte. Und genau hier bricht die Anonymisierungs-Logik.

Das Berufsgeheimnis schützt nicht nur den Namen des Mandanten. Es schützt die Tatsache des Mandats und seinen Inhalt.

Dass schon die bloße Tatsache eines Mandats nach außen dringen kann, ist kein theoretisches Risiko: Wie schnell ein geteiltes KI-Gespräch öffentlich wird, zeigt der Fall der öffentlich bei Google auffindbaren KI-Chats.

Warum Anonymisierung das Problem nur verschiebt

Anonymisierung entfernt die offensichtlichen Identifikatoren: Namen, Adressen, Aktenzeichen. Das ist besser als nichts. Aber sie hat drei strukturelle Lücken, die im Kanzleialltag schnell greifen:

Erstens ist Anonymisierung selten vollständig. Ein Sachverhalt kann eine Person eindeutig identifizierbar machen, auch ohne dass ihr Name genannt wird. Die Konstellation, der Ort, der Betrag, die Branche, das Datum. Je spezifischer ein Fall, desto leichter lässt er sich rekonstruieren. Gerade die interessanten Mandate sind die identifizierbaren.

Zweitens bleibt der Inhalt der Anfrage bestehen. Selbst perfekt geschwärzt verlässt der juristische Sachverhalt die Kanzlei und wird auf einem fremden System verarbeitet. Die Tatsache, dass zu einem bestimmten Zeitpunkt eine bestimmte rechtliche Frage bearbeitet wurde, ist selbst Teil des Geheimnisses.

Drittens, und das ist der entscheidende Punkt, verlassen die Daten weiterhin das Haus. Anonymisierte Daten werden bei den meisten dieser Werkzeuge an externe KI-Anbieter weitergegeben, häufig an Anbieter mit Sitz oder Mutterkonzern in den USA. Damit stellt sich die Frage nach dem Drittlandtransfer und dem Zugriff durch ausländische Behörden erneut. Anonymisierung ändert nichts daran, wohin die Daten fließen. Wie real dieser Zugriff ist, hat ein Behördenbrief aus den USA im Juni 2026 gezeigt.

Anonymisierung ist also ein Pflaster über der Wunde, kein Verschluss. Sie senkt das Risiko, sie beseitigt es nicht.

Souveränität: Die Daten verlassen das Haus gar nicht erst

Der grundlegend andere Ansatz heißt Souveränität. Statt die Daten unkenntlich zu machen und trotzdem wegzuschicken, werden sie überhaupt nicht weitergegeben. Das KI-Modell läuft auf Servern in Deutschland, unter der Kontrolle eines Anbieters, der einer deutschen Vertragskette unterliegt. Die Anfrage verlässt diesen geschützten Bereich nie.

Der Unterschied ist kategorisch, nicht graduell:

• Anonymisierung fragt: Wie machen wir die Daten unkenntlich, bevor sie das Haus verlassen?
• Souveränität fragt: Wie sorgen wir dafür, dass sie das Haus gar nicht erst verlassen?

Bei der zweiten Frage stellt sich das Rekonstruktions-Problem nicht, weil nichts rekonstruiert werden kann, was nie übertragen wurde. Es stellt sich keine Drittland-Frage, weil kein Drittland beteiligt ist. Und die Verpflichtung des Dienstleisters nach § 203 lässt sich sauber abbilden, weil es einen einzigen, greifbaren Verantwortlichen mit deutschem Sitz gibt statt einer Kette anonymisierter Weitergaben.

Der sicherste Weg, ein Geheimnis nicht zu offenbaren, ist, es gar nicht erst zu übertragen.

Was das konkret für die Auswahl eines KI-Werkzeugs bedeutet

Wer ein KI-Werkzeug für die Kanzlei prüft, sollte die Marketing-Formel „rechtssicher durch Anonymisierung" nicht für bare Münze nehmen, sondern nachfragen. Drei Fragen trennen das Pflaster von der Lösung:

1. Wohin fließen die Daten, auch die anonymisierten? Bleibt die Verarbeitung auf Servern in Deutschland, oder werden Anfragen an externe KI-Anbieter weitergereicht? Wenn ja, an welche, und mit welchem Unternehmenssitz?

2. Gibt es einen Auftragsverarbeitungsvertrag und eine Verpflichtungserklärung nach § 203? Und zwar mit dem Anbieter, der tatsächlich verarbeitet, nicht nur mit dem Zwischenhändler, der anonymisiert.

3. Wer könnte theoretisch mitlesen? Ein US-Anbieter unterliegt möglicherweise dem Zugriff ausländischer Behörden, unabhängig davon, wo der Server steht. Ein Anbieter ohne ausländischen Mutterkonzern, der ausschließlich in Deutschland betreibt, schließt diese Möglichkeit strukturell aus.

Die Antworten auf diese drei Fragen zeigen schnell, ob ein Werkzeug das Berufsgeheimnis wirklich schützt oder nur die Optik verbessert. Wer den rechtlichen Rahmen von Anfang an mitdenkt, muss KI auch nicht aus Sorge vor der KI-Verordnung meiden. Er muss nur das richtige Werkzeug wählen.

Ist Anonymisierung ausreichend für § 203-Konformität?

Anonymisierung reduziert das Risiko, beseitigt es aber nicht: Sie ist selten vollständig, der juristische Inhalt bleibt bestehen, und die Daten werden weiterhin an externe, oft ausländische, Anbieter übertragen. § 203 StGB schützt nicht nur den Namen, sondern auch die Tatsache und den Inhalt des Mandats. Für streng vertrauliche Mandate ist Anonymisierung allein daher keine tragfähige Grundlage.

Was bedeutet „souveräne KI" für Kanzleien?

Souveräne KI bezeichnet KI-Systeme, deren Modelle vollständig auf kontrollierten Servern, idealerweise in Deutschland, betrieben werden, sodass Mandantendaten den geschützten Bereich nicht verlassen. Im Gegensatz zur Anonymisierung werden die Daten nicht unkenntlich gemacht und weitergeschickt, sondern gar nicht erst übertragen. Das macht den Drittlandtransfer gegenstandslos und die Vertragskette nach § 203 überschaubar.

Darf ich ChatGPT mit anonymisierten Mandantendaten nutzen?

Auch mit Anonymisierung bleiben die Verarbeitung über US-Server und die Frage der lückenlosen Schwärzung problematisch. Für mandantenbezogene Inhalte ist ein System, bei dem die Daten Deutschland nicht verlassen und eine vollständige Vertragskette besteht, die tragfähigere Wahl.

Reicht ein deutscher Serverstandort allein aus?

Der Serverstandort ist notwendig, aber nicht hinreichend: Unterliegt der Anbieter einem ausländischen Mutterkonzern, kann ein Zugriff durch ausländische Behörden auch bei einem Server in Deutschland nicht ausgeschlossen werden. Entscheidend ist die Kombination aus Standort, Eigentümerstruktur und lückenloser Vertragskette.

Fazit: Verbergen ist nicht Behalten

Anonymisierung und Souveränität lösen nicht dasselbe Problem. Anonymisierung versucht, Daten sicher wegzuschicken. Souveränität sorgt dafür, dass sie bleiben. Für das Berufsgeheimnis nach § 203 StGB ist die zweite Frage die richtige, denn ein Geheimnis, das das Haus nie verlässt, kann auch nicht offenbart werden.

PRIKI ist der souveräne KI-Assistent für Kanzleien und Berufsgeheimnisträger: betrieben auf eigener Hardware in Deutschland, ohne ausländischen Mutterkonzern, mit vollständiger Vertragskette nach § 203 StGB und DSGVO. Ihre Mandantendaten werden nicht anonymisiert und weitergeschickt. Sie verlassen Ihren geschützten Bereich gar nicht erst. Machen Sie die Probe: Der Selbsttest zeigt in zwei Minuten, was ein US-Werkzeug über ein einzelnes Mandantengespräch preisgäbe.