Ob in Ihrer Kanzlei künstliche Intelligenz eingesetzt wird, ist längst entschieden, und zwar nicht von Ihnen. Entschieden wurde es an dem Abend, an dem die erste Mitarbeiterin einen Vertragsentwurf in ein Chatfenster kopiert hat, weil es um halb acht schneller ging. Offen ist eine andere Frage: ob Sie im Ernstfall belegen können, was dabei aus dem Haus gegangen ist und was nicht.
Alle diese Zahlen stammen aus Nordamerika. Weder die Bundesrechtsanwaltskammer noch eine deutsche Aufsichtsbehörde hat Vergleichbares veröffentlicht, und für die Pflichtenlage hierzulande spielt das auch keine Rolle. Die Verbreitungszahlen reisen. Die Pflichten sind örtlich.
§ 203 StGB fragt nicht, ob es schneller ging
Deutsche Kanzleien lesen das Thema gewöhnlich als Datenschutzfrage. Das ist die zweite Frage. Die erste steht im Strafgesetzbuch: Wer ein fremdes Geheimnis offenbart, das ihm als Rechtsanwalt anvertraut worden ist, wird nach § 203 Abs. 1 StGB mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. Verfolgt wird die Tat nach § 205 StGB nur auf Antrag. Über ein Verfahren entscheidet also der Verletzte, und das ist Ihr Mandant.
Ob das Hochladen einer Akte in ein fremdes Rechenzentrum bereits ein Offenbaren darstellt, wird juristisch bis heute diskutiert. Darauf verlassen möchte sich im Ernstfall niemand, dessen Zulassung daran hängt.
Die Norm verbietet die Mitwirkung Dritter doch gar nicht. Seit der Neuregelung von 2017 erlauben § 203 Abs. 3 StGB und § 43e BRAO ausdrücklich, dass eine Kanzlei Dienstleister an der Berufsausübung mitwirken lässt, IT-Dienstleister eingeschlossen. Die Erlaubnis ist nur an Bedingungen geknüpft: sorgfältige Auswahl des Dienstleisters, ein Vertrag in Textform, die ausdrückliche Verpflichtung der mitwirkenden Person zur Geheimhaltung und eine Beschränkung auf das, was für ihre Tätigkeit erforderlich ist.
Ein privates Konto bei einem Verbraucherdienst erfüllt keine dieser Bedingungen. Es gibt keinen Vertrag in Textform, der diesen Anbieter Ihnen gegenüber zur Geheimhaltung verpflichtet. Es gibt keine Auswahlentscheidung, die Sie dokumentiert hätten. Und es gibt niemanden, der die Offenlegung auf das Erforderliche begrenzt, weil im Eingabefeld eben die vollständige Akte steht.
Haftbar ist die Kanzlei. Strafbar ist der Berufsträger persönlich. Die Berufshaftpflichtversicherung ersetzt Vermögensschäden aus einer Pflichtverletzung; für eine Geldstrafe kommt sie nicht auf. Diese Trennung ist der Grund, warum das Thema zur Kanzleileitung gehört und nicht in die EDV. Was „sicher“ für ein Dokument bedeuten muss, das an ein Modell geht, haben wir an anderer Stelle auseinandergenommen.
Die zweite Frage: Wer ist hier eigentlich Auftragsverarbeiter?
Wer personenbezogene Daten in fremdem Auftrag verarbeiten lässt, braucht nach Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Geschäftskundenverträge großer Anbieter sehen einen vor. Die allgemeinen Nutzungsbedingungen eines kostenlosen Privatkontos tun das nicht, und sie werden auch nicht dadurch zu einem, dass niemand nachfragt. Dazu kommen das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO und, sobald der Dienst außerhalb des Europäischen Wirtschaftsraums verarbeitet, die Übermittlungsvorschriften der Art. 44 ff. DSGVO.
Entscheidend ist aber Art. 5 Abs. 2 DSGVO, die Rechenschaftspflicht. Geschuldet ist nicht die Einhaltung allein, sondern ihr Nachweis. Die Aufsichtsbehörde eines Landes fragt im Prüffall nicht, ob das Ergebnis gut war. Sie fragt nach Rechtsgrundlage, Vertrag, Verzeichnis und Protokoll, und sie fragt in dieser Reihenfolge.
Genau hier öffnet sich der Abstand, um den es in diesem Text geht: der Abstand zwischen der Regel, die eine Kanzlei aufgestellt hat, und dem Beleg, dass sie befolgt wurde. Das Erste hat fast jede Kanzlei. Das Zweite hat fast keine. Nennen wir diesen Abstand die Nachweislücke, denn benannt lässt er sich schließen, unbenannt nicht.
Das Verbot, das keine Kanzlei durchhält
Der erste Reflex ist die Untersagung. Sie wirkt eben nicht, und zwar aus einem schlichten Grund: Ein Verbot ohne schnelleren erlaubten Weg verschiebt die Nutzung nur auf das Privatgerät, wo sie niemand mehr sieht. Zwischen den 55 %, die gar keine Richtlinie haben, und den 9 %, die eine angewandte haben, liegt die Schubladenrichtlinie: zwei Seiten, einmal unterschrieben, abgelegt, nie wieder aufgeschlagen. Vor einer Aufsichtsbehörde steht sie schlechter da als gar keine, weil sie beweist, dass Ihnen das Risiko bekannt war.
Eine Richtlinie, die etwas wert ist, beantwortet fünf Fragen, und sie passt auf eine Seite:
- Welche Dienste sind erlaubt, namentlich, mit welchem Konto und auf welcher Vertragsgrundlage.
- Welche Angaben darf eine Datei vor dem Hochladen nicht mehr enthalten: Namen, Anschriften, Aktenzeichen, Steuer-Identifikationsnummer, Personalausweisnummer, Kontoverbindungen.
- Wer prüft das, bevor eine Datei das Haus verlässt. Eine Person mit Namen, nicht „das Sekretariat“.
- Wie wird die Erledigung festgehalten, damit sie in sechs Monaten noch belegbar ist.
- Was geschieht bei einem Verstoß, und wer erfährt davon.
Punkt zwei und Punkt drei entscheiden darüber, ob die übrigen drei je zur Anwendung kommen. Verlangt die Richtlinie Handarbeit, wird sie an dem Abend gebrochen, an dem die Frist um Mitternacht abläuft.
Der geschützte Weg muss der schnellste sein
promptShield arbeitet mit Dateien und nicht mit eingetippten Textschnipseln. PDF, Word, Tabellen, Präsentationen und Bilder kommen in die Bibliothek. Werkzeuge, die eine Zeichenkette erwarten, helfen jemandem mit einer Akte wenig, wie wir an Entwicklerwerkzeugen gezeigt haben.
Erkennen läuft in Schichten. Präzise Muster greifen Werte mit fester Form, also IBAN, Steuer-Identifikationsnummer, Personalausweisnummer. Lokale Modelle greifen Entitäten ohne feste Form, also Namen, Firmen, Anschriften. Ihre eigenen Ausdrücke greifen das Vokabular der konkreten Akte, etwa einen Projektnamen oder eine interne Bezeichnung, die kein Modell kennen kann. Ein tieferer Durchgang ist für Randfälle zuschaltbar. Die Texterkennung gescannter Seiten läuft im selben Durchgang mit und nicht als Vorarbeit, die jemand vorher erledigen müsste.
Dann entscheiden Sie pro Fund zwischen zwei Handlungen.
| Entfernen | Kodieren | |
|---|---|---|
| Was passiert | Der Text ist endgültig weg. | Der Wert wird durch einen kurzen Code ersetzt, umkehrbar. |
| Wo liegt das Gegenstück | Nirgends. | Im Code-Register auf Ihrem Rechner. |
| Wann sinnvoll | Für alles, was die Kanzlei verlässt. | Wenn Sie die Antwort des Modells der Akte wieder zuordnen müssen. |
Innerhalb eines Ordners erhält derselbe Wert jedes Mal denselben Code. Über Ordnergrenzen hinweg gerade nicht: jeder Ordner führt seinen eigenen Namensraum, und zwei Mandate bekommen für denselben Namen bewusst verschiedene Codes. Global gilt allein, was Sie in den Einstellungen selbst festsetzen. Das klingt nach einer Kleinigkeit und trennt doch einen lesbaren Vorgang von bloßem Rauschen: Liegen Mietvertrag und Schriftwechsel im selben Ordner, kann das Modell verfolgen, dass die Partei dieselbe ist, ohne ihren Namen zu erfahren. Warum diese Stabilität die eigentliche Arbeitsbedingung ist, steht hier.
Vor dem Versand steht ein Riegel. Eine geschützte Datei lässt sich nicht herunterladen, bevor ein Mensch die Funde im Überprüfen-Dialog bestätigt hat. Wer vorher auf Herunterladen drückt, erhält eine Erklärung und daneben den Weg in genau diesen Dialog. Stumm verweigert wird hier nichts.
Die Rückrichtung heißt Dekodieren und nimmt eine Datei oder eingefügten Text; die echten Werte stellt sie lokal aus dem Code-Register wieder her. Das Register liegt auf dem Rechner des Nutzers und ist bewusst unverschlüsselt: Wer es öffnen kann, hat auf demselben Dateisystem ohnehin die unverschlüsselten Originalakten liegen. Eine Verschlüsselung an dieser Stelle würde nichts schützen und nur Vertrauen behaupten. Für den Weg über die Zwischenablage gibt es den Zwischenablage-Schutz.
Erkennen, Texterkennung und Schwärzung laufen auf dem Rechner, auf dem die Datei schon liegt. Zu unseren Servern gelangen die Lizenzprüfung und Tätigkeitszahlen: Zählwerte und Zeitstempel, niemals Dokumentinhalte.
Die Nachweislücke schließen
Bis hierhin ist der geschützte Weg schneller als der ungeschützte. Damit ist die eine Hälfte des Problems erledigt. Die andere Hälfte ist der Beleg.
Das Prüfprotokoll hält fest, was wann geschehen ist. Der Konformitätsmonitor listet jeden Platz mit den ausgegebenen Dokumenten, den verarbeiteten Seiten, den erkannten, kodierten und entfernten Werten und dem Zeitpunkt der letzten Aktivität; er zählt die Plätze, die der Richtlinie entsprechen, gegen die Plätze mit einer Regellücke, gemessen an einem Schwellenwert, den der Kanzleiinhaber selbst festlegt; und er gibt einen Konformitätsbericht aus. Das ist genau das Dokument, das Art. 5 Abs. 2 DSGVO verlangt und das eine Kanzlei bisher von Hand zusammengetragen hätte.
Die Lizenzverwaltung im Browser weist eine Lizenz einer E-Mail-Adresse zu, versieht sie mit Merkmalen nach Team, Mandatstyp oder Kostenstelle, und mit dem Entzug einer Lizenz wird das betroffene Gerät deaktiviert. Zwei persönliche Geräteplätze gehören in einem bezahlten Tarif dazu, damit nicht doppelt zahlt, wer einen Arbeitsplatzrechner und ein Notebook benutzt. In der Testphase ist es einer.
Und dann die Asymmetrie, die hier bewusst eingebaut ist: Prüfprotokoll und Konformitätsmonitor gehören dem Kontoinhaber, und nur ihm. Anmelden kann sich jeder Lizenznehmer, die Auswertung über die Plätze der Kolleginnen und Kollegen bekommt er aber nicht zu sehen. Die Mitarbeiter bekommen eine Anwendung, die Dokumente schützt. Keine Konsole, mit der sie sich gegenseitig beobachten. Daran hängt mehr, als es zunächst scheint: Die höchste deutsche Geldbuße nach der DSGVO, rund 35,3 Mio. €, verhängte die Hamburger Aufsichtsbehörde 2020 gegen H&M, und es ging dort um die Ausforschung eigener Beschäftigter.
Eine Einschränkung gehört dazu, und sie ist wichtiger als alles Vorstehende. Der Konformitätsmonitor zeigt ausschließlich Tätigkeit, die durch promptShield gelaufen ist. Ob jemand ein sensibles Dokument außerhalb des Programms bearbeitet hat, kann er nicht sehen. Ein offline freigeschaltetes Gerät wird genau deshalb markiert, weil sich seine Tätigkeit nicht überprüfen lässt. Ein Nachweis, der mehr behauptet, als er trägt, hält der ersten Rückfrage einer Aufsichtsbehörde nicht stand, und deshalb steht diese Grenze hier und nicht im Kleingedruckten.
Häufige Fragen
Darf ich Mandantendaten in ChatGPT eingeben?
In ein Verbraucherkonto nicht. Es fehlt der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, es fehlt die Verpflichtung zur Geheimhaltung nach § 203 Abs. 3 StGB und § 43e BRAO, und bei einer Verarbeitung außerhalb des Europäischen Wirtschaftsraums fehlt die Grundlage für die Übermittlung. Ein Geschäftskundenvertrag mit Auftragsverarbeitungsvertrag verändert die datenschutzrechtliche Lage; die berufsrechtliche Prüfung müssen Sie trotzdem vornehmen und dokumentieren. Geben Sie dagegen ein Dokument ein, in dem kein Geheimnis mehr steht, stellt sich keine dieser Fragen.
Braucht eine Kanzlei mit sieben Leuten eine KI-Richtlinie?
Die Pflicht hängt nicht an der Kopfzahl. Art. 5 Abs. 2 DSGVO gilt für die Kanzlei mit sieben Köpfen wie für die mit siebenhundert, und § 203 StGB richtet sich ohnehin an die einzelne Person. Kleine Einheiten trifft es zwar härter, weil niemand da ist, dessen Aufgabe das Lesen von Anbieterdokumentation wäre, dafür genügt bei ihnen eine Seite, die die fünf Fragen oben beantwortet. Zwanzig Seiten aus einer Vorlage genügen nicht, weil sie niemand befolgt.
Ist ein Auftragsverarbeitungsvertrag mit dem KI-Anbieter nötig?
Immer dann, wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Wird das Dokument vorher so bearbeitet, dass es keinen Personenbezug mehr trägt, verarbeitet der Anbieter auch keine personenbezogenen Daten, und die Pflicht entfällt mit ihrem Gegenstand. Das ist der Grund, warum Anonymisieren vor dem Hochladen die vertraglich einfachste Lösung bleibt: Die Frage stellt sich gar nicht. Für den Teil, auf den es hier ankommt, entsteht bei promptShield ebenfalls kein Gegenstand, weil Erkennen und Schwärzen auf Ihrem Rechner laufen und zu uns nur Zählwerte und Zeitstempel gehen.
Verlassen die Dokumente die Kanzlei?
Nein. Erkennen, Texterkennung, Kodieren und Entfernen laufen auf dem Gerät, auf dem die Datei schon liegt. Das Code-Register bleibt ebenfalls dort. Zu uns gelangen die Lizenzprüfung und Tätigkeitszahlen, also Zählwerte und Zeitstempel. Dokumentinhalte erreichen uns zu keinem Zeitpunkt. Was anschließend mit einem anonymisierten Dokument geschieht, entscheiden Sie, und dafür ist es anonymisiert.
Welcher Tarif passt zu einer Kanzlei mit zehn Personen?
Basic ist die Anwendung ohne Verwaltungsebene und passt dort, wo ein einzelner Berufsträger für sich arbeitet. Ab mehreren Plätzen ist Pro der richtige Tarif, denn Lizenzverwaltung, Prüfprotokoll und Konformitätsmonitor gehören dorthin. Bei zehn Personen rechnet sich das an genau der Stelle, an der aus dem Vorhandensein einer Richtlinie ihr Nachweis werden muss.
Die Verbreitung ist entschieden, die Steuerung nicht. Dazwischen sammelt sich das Haftungsrisiko, und zwar still, weil ein fehlender Nachweis erst dann auffällt, wenn jemand nach ihm fragt. Zu diesem Zeitpunkt lässt er sich nicht mehr herstellen. Legen Sie diese Woche die eine Seite fest, machen Sie den geschützten Weg zum schnellsten, und lassen Sie das Protokoll die Arbeit tun, die sonst niemand macht.
Dieser Text ordnet die Rechtslage ein und ersetzt keine Beratung im Einzelfall.