Wenn ein Mandant mir seinen Fall schildert, beginnt das Gespräch mit einer stillschweigenden Zusicherung: Was er mir sagt, bleibt bei mir. Das ist keine Floskel, sondern eine Berufspflicht — verankert im anwaltlichen Berufsrecht der BRAO, im Standesrecht, und nicht zuletzt im Strafgesetzbuch, das Geheimnisverrat unter Strafe stellt.
Wenn ich diese Information nun in ein KI-Tool eingebe, stellt sich eine einfache Frage: Gilt diese Zusicherung noch?
Vier Rechtsrahmen, ein Problem
Datenschutz in der Kanzlei ist kein einziges Rechtsgebiet. Es sind mindestens vier, die gleichzeitig gelten.
Die DSGVO regelt den Umgang mit personenbezogenen Daten — wer sie verarbeiten darf, auf welcher Grundlage, und was mit ihnen geschieht. Sie gilt dabei auch dann noch, wenn Daten in die USA übermittelt werden — die DSGVO hört an der US-Grenze nicht auf. Zusätzlich kann aber US-amerikanisches Recht ins Spiel kommen: Werden Daten auf Servern in den USA verarbeitet oder sind sie einem dort ansässigen Anbieter zugänglich, können amerikanische Behörden unter bestimmten Umständen Zugriff verlangen — unabhängig davon, was die DSGVO dazu sagt.
Die BRAO verpflichtet Rechtsanwälte zur Verschwiegenheit über alles, was ihnen in Ausübung des Berufs anvertraut wird (§ 43a Abs. 2 BRAO). Diese Pflicht ist umfassend und gilt gegenüber jedermann — auch gegenüber KI-Anbietern.
Das StGB schließlich stellt Geheimnisverrat durch Berufsgeheimnisträger unter Strafe — § 203 Abs. 1 Nr. 3 StGB nennt Rechtsanwälte ausdrücklich. Wer Mandatsdaten unbefugt weitergibt — auch unabsichtlich, auch durch unachtsame Nutzung eines Tools — bewegt sich in einem Bereich, der weit über eine Datenschutzverletzung hinausgeht.
Seit August 2024 ist ein vierter Rahmen dazugekommen: die europäische KI-Verordnung. Seit dem 2. Februar 2025 gilt unmittelbar Art. 4 KI-VO — die Pflicht, für ausreichende KI-Kompetenz im eigenen Betrieb zu sorgen. Das betrifft jede Kanzlei, die KI-Tools einsetzt, unabhängig davon, ob eigene Software oder schlicht ChatGPT genutzt wird. Ursprünglich sollten ab dem 2. August 2026 zusätzlich strenge Pflichten für sogenannte Hochrisiko-KI-Systeme greifen. Der sogenannte Digital Omnibus — eine Änderungsverordnung, die am 27. Juli 2026 in Kraft trat — hat diese Frist auf Dezember 2027 beziehungsweise August 2028 verschoben und zugleich die Kompetenzpflicht selbst abgeschwächt: Statt eines nachweisbaren Wissensstands genügt inzwischen, dass Maßnahmen zur Förderung von KI-Kompetenz ergriffen werden.
Für die tägliche Kanzleiarbeit zählt vor allem eine Einordnung: Die Hochrisiko-Pflichten der KI-Verordnung treffen KI-Systeme, die im Namen einer Justizbehörde eingesetzt werden — nicht die anwaltliche Nutzung selbst. Ein Anwalt, der KI zur Recherche oder Aktenanalyse nutzt und die eigentliche Entscheidung selbst trifft, unterliegt damit regelmäßig nicht den Hochrisiko-Vorschriften der KI-Verordnung. Das ändert nichts an der Verschwiegenheitspflicht — dafür bleiben § 43a Abs. 2 BRAO und § 203 StGB maßgeblich —, die KI-Verordnung baut an dieser Stelle aber keine zusätzliche Hürde auf.
Die Frage ist also nicht: Darf ich KI nutzen? Die Frage ist: Mit welchen Daten, auf welchen Systemen, und unter welchen Bedingungen?
Wie wir damit umgehen
Wir haben in unserer Kanzlei bewusst auf eigene Server gesetzt und verzichten auf Cloud-Lösungen, die eine Datenübermittlung an externe Dienste erfordern. Das erste Filtern findet dabei im Kopf statt: Bevor irgendetwas ein externes System erreicht, entscheide ich, was es ist und ob es dorthin gehört.
Konkret arbeiten wir mit zwei getrennten Ansätzen. Für datensensible Aufgaben — Extraktion von Informationen aus Dokumenten, Strukturierung von Sachverhalten, Analyse von Akteninhalten — setzen wir auf lokale Sprachmodelle, die auf unseren eigenen Systemen laufen. Kein Datentransfer, keine externe Verarbeitung. Für Rechercheaufgaben ohne Mandantenbezug — Rechtsfragen, Rechtsprechungsübersichten, allgemeine juristische Einschätzungen — nutzen wir externe Tools, ausschließlich mit anonymisierten oder sachverhaltsfreien Anfragen.
Das klingt aufwendiger als es ist. In der Praxis lautet die Faustformel: Was einen Namen, eine Adresse oder einen konkreten Sachverhalt enthält, verlässt unsere Systeme nicht.
Was KI in der Kanzlei tatsächlich leistet
Ein Missverständnis möchte ich dabei ausräumen: KI wird in unserer Kanzlei nicht eingesetzt, um Fälle zu lösen. Den Fall kenne ich. Den löse ich.
Aber es gibt Aufgaben, die früher Stunden gekostet haben und heute in Minuten erledigt sind. Eine Aktenchronologie mit hundert Seiten Schriftverkehr auf die wesentlichen Ereignisse verdichten — das war früher ein halber Tag Arbeit. Heute formuliere ich die Aufgabe, prüfe das Ergebnis, korrigiere wo nötig. Die eigentliche Denkarbeit bleibt meine. Die Vorarbeit nicht mehr.
Ähnliches gilt für Rechercheaufgaben: nicht „löse mir den Fall", sondern „stelle mir die Rechtsprechung zum Thema X gegenüber" oder „finde öffentlich zugängliche Informationen zur gegnerischen Partei". Das sind Aufgaben, die von KI strukturierter und schneller erledigt werden als von einer klassischen Datenbankrecherche — und die keinen Sachverhaltsbezug erfordern.
Der Zielkonflikt, den niemand gerne benennt
Die leistungsfähigsten KI-Modelle laufen nicht lokal. Sie laufen in der Cloud — auf Servern in den USA, betrieben von amerikanischen Unternehmen, unter amerikanischem Recht.
Wer maximalen Datenschutz will, nutzt lokale Modelle. Die sind gut — aber den Frontier-Modellen in Fähigkeit und Kontextverarbeitung noch unterlegen. Wer die leistungsfähigsten Werkzeuge nutzen will, gibt Daten aus der Hand. Das ist kein Versagen der Technologie. Es ist ein struktureller Zielkonflikt, der heute noch ungelöst ist.
Ein weiterer praktischer Punkt: Multimodale Verarbeitung — also die gleichzeitige Analyse von Bildern, Audiodateien, Videos und umfangreichen Dokumenten — stößt selbst bei aktuellen Modellen an Grenzen, sobald mehrere Informationskanäle kombiniert werden. Große PDFs allein sind heute kein Problem mehr. Aber wer einem Modell gleichzeitig ein stundenlanges Video, eine Audiodatei und hundert Seiten Text übergibt, bekommt ein Ergebnis, das weniger zuverlässig ist als bei isolierter Verarbeitung. Das ist keine Theorie — das ist unsere Praxiserfahrung mit den derzeit verfügbaren Modellen.
DSGVO-konform, EU-Server, AVV — und trotzdem nicht sicher?
Mittlerweile gibt es spezialisierte KI-Angebote für Kanzleien, die genau dieses Datenschutzproblem gelöst haben wollen. Libra von Wolters Kluwer wirbt mit Hosting im Europäischen Wirtschaftsraum, einer ISO-27001-Zertifizierung, einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und der Zusage, Mandantendaten nicht zum Training zu verwenden. AnwaltGPT formuliert es auf seiner eigenen Sicherheitsseite fast wortgleich: „DSGVO-konform, EU-Server, vollständige Transparenz und AVV auf Anfrage." Gemessen an der DSGVO ist das jeweils sauber aufgesetzt.
Nur: Die DSGVO ist an dieser Stelle nicht der einzige Maßstab, der zählt. Der US CLOUD Act von 2018 kann US-Unternehmen verpflichten, Daten auf Anordnung einer US-Behörde herauszugeben — unabhängig davon, wo diese Daten physisch liegen und was ein Vertrag dazu sagt. Entscheidend ist deshalb nicht nur, wo ein Anbieter seine Server betreibt, sondern auch, ob er selbst, seine Konzernmutter oder das im Hintergrund genutzte Sprachmodell einem US-Unternehmen zuzurechnen ist. Diese Kette lässt sich von außen selten vollständig nachvollziehen — und genau das ist das Problem: Wer „EU-Server" liest, geht meist davon aus, dass die Sache damit erledigt ist. Muss sie aber nicht.
Wie wenig ein „EU-Server" in der Praxis wert ist, sobald ein US-Konzern im Spiel ist, hat Microsoft selbst vorgeführt: Am 10. Juni 2025 musste Anton Carniaux, Chefjustiziar von Microsoft Frankreich, vor dem französischen Senat unter Eid einräumen, dass er nicht garantieren kann, dass Daten europäischer Bürger aus einem europäischen Rechenzentrum niemals an US-Behörden übermittelt werden — trotz „EU Data Boundary", trotz Verschlüsselung, trotz vertraglicher Zusagen. Seine Antwort auf die Nachfrage, ob er das garantieren könne: „Non, je ne peux pas le garantir." Das belegt nicht, dass Microsoft in jedem Fall Daten herausgibt. Es belegt, dass niemand das Gegenteil versprechen kann, solange ein US-Unternehmen beteiligt ist — und genau darum geht es bei der Frage nach echtem Datenschutz. Ein Auftragsverarbeitungsvertrag regelt, wer im Schadensfall haftet. Er verhindert nicht, dass der Zugriff überhaupt stattfindet.
Deshalb halten wir es hier bewusst strenger, als die DSGVO es verlangen würde. Rechtlich ließe sich sicher vertreten, ein DSGVO-konformes, EU-gehostetes KI-Angebot mit AVV auch für Mandatsdaten zu nutzen — die Rechtslage gibt das her. Wir tun es trotzdem nicht, solange die Verarbeitung nicht vollständig auf Systemen läuft, auf die kein ausländisches Recht durchgreifen kann. Das ist freiwillig, über das gesetzlich Geforderte hinaus. Aber bei einem Berufsgeheimnis, das strafbewehrt ist, verlassen wir uns nicht auf eine Vertragsklausel, die im Ernstfall gegen ein fremdes Gesetz nicht standhält.
Was das für Sie als Mandant bedeutet
Wenn ich selbst Mandant wäre, würde ich genau das fragen: Welche Daten werden wie verarbeitet? Welche Tools werden eingesetzt? Wo liegen die Server? Was passiert mit meinen Informationen? Jede Kanzlei, die KI einsetzt, sollte darauf eine Antwort haben.
Seit dem 2. August 2026 ist ein Teil dieser Transparenz nicht mehr nur guter Stil, sondern gesetzliche Pflicht: Wer als Nutzer unmittelbar mit einem KI-System interagiert — etwa einem Chat-Assistenten auf einer Kanzleiwebsite —, muss laut Art. 50 KI-VO erkennen können, dass er es mit einer Maschine zu tun hat.
Wenn eine Kanzlei auf diese Fragen keine Antwort hat — oder die Frage überraschend findet — ist das eine Information.
Artikel 5 der Serie: LegalTech in der Praxis
Artikel 7 der Serie: KI vor Gericht: Unterschrift bleibt Unterschrift – was passiert, wenn KI-erzeugte Dokumente vor Gericht landen, und was Gerichte dazu sagen.
Alle Artikel der Serie: KI und Rechtsanwälte
Andreas Schatz, Rechtsanwalt
PS: Auch dieser Artikel ist mit Unterstützung von KI entstanden — auf einem System, das wir kontrollieren.
Hinweis zu den Fundstellen: Die Angaben zur KI-Verordnung wurden gegen aktuelle Quellen geprüft: Anwendungsbeginn Art. 4 KI-VO seit 2. Februar 2025, Abgrenzung der Hochrisiko-Kategorie in Anhang III (nur KI-Systeme im Namen einer Justizbehörde) und Art. 50 KI-VO (Transparenzpflicht, unverändert seit 2. August 2026); Änderungen durch den Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) gegen mehrere unabhängige Fachquellen verifiziert (u. a. activeMind.legal, anwaltspraxis-magazin.de). Die Werbeaussagen zu Libra stammen aus den Pressemitteilungen von Wolters Kluwer, die Aussage zu AnwaltGPT wörtlich von dessen eigener Seite anwaltgpt.de/sicherheit. Der US CLOUD Act (Division V des Consolidated Appropriations Act 2018, kodifiziert in 18 U.S.C. § 2713) wurde im Originaltext bei justice.gov geprüft, ebenso § 203 Abs. 1 Nr. 3 StGB und § 43a Abs. 2 BRAO bei gesetze-im-internet.de. Die Senatsaussage von Anton Carniaux (Microsoft Frankreich, 10. Juni 2025) ist durch mehrere unabhängige Berichte belegt.