Darf eine Kanzlei ein KI-Werkzeug einsetzen?

Zwei Prüfungen, nicht eine

Der häufigste Fehler in Kanzleien ist, die Frage als Datenschutzfrage zu behandeln. Datenschutz ist die eine Prüfung: Rechtsgrundlage, Auftragsverarbeitung, Drittlandübermittlung, Löschung. Das Berufsgeheimnis ist die andere, und sie ist strenger, weil sie strafrechtlich bewehrt ist und nicht auf Abwägung, sondern auf Zugang abstellt.

Ein Anbieter kann jede datenschutzrechtliche Zusage erfüllen, etwa keine Aufbewahrung, kein Training, europäische Region, und die berufsrechtliche Prüfung trotzdem nicht bestehen. Umgekehrt genauso.

Was das Gesetz verlangt

• § 203 Abs. 3 und 4 StGB erlaubt, Geheimnisse sonstigen mitwirkenden Personen zu offenbaren, soweit das für deren Tätigkeit erforderlich ist. Strafbar macht sich, wer nicht dafür sorgt, dass eine solche Person zur Geheimhaltung verpflichtet wurde, und diese das Geheimnis unbefugt offenbart.
• § 43e BRAO regelt die Inanspruchnahme von Dienstleistern: Vertrag in Textform mit Verschwiegenheitsverpflichtung und Belehrung über die strafrechtlichen Folgen (Abs. 3), vergleichbarer Geheimnisschutz bei Leistungen im Ausland (Abs. 4) und Einwilligung des Mandanten, wenn der Dienst unmittelbar einem einzelnen Mandat dient (Abs. 5).
• § 39c PAO für Patentanwälte und § 62a StBerG für Steuerberater sind gleich aufgebaut.
• § 31 PatG regelt die Akteneinsicht. Frei ist sie nach Abs. 2, wenn der Anmelder einverstanden ist und den Erfinder benannt hat, oder wenn achtzehn Monate seit dem Anmelde- oder Prioritätstag verstrichen sind und der Hinweis nach § 32 Abs. 5 veröffentlicht ist. Bis dahin ist der Inhalt einer Anmeldung nicht öffentlich.

Der Satz, auf den es ankommt

Gemeint sind KI-Anbieter: Für den Zugang zu Mandatsgeheimnissen kommt es nicht darauf an, ob sie tatsächlich etwas lesen. Damit fällt die beliebteste Verteidigungslinie weg. „Der Anbieter sieht das gar nicht an“ ist keine Antwort auf die Frage, ob er es könnte. Zusagen wie keine Aufbewahrung, kein Training oder ein Zugriffsprotokoll ändern den Zugang nicht, sie versprechen seinen Nichtgebrauch.

Praktische Folge, die man leicht übersieht: Sobald Fernwartung, Bildschirmfreigabe oder inhaltsbezogene Telemetrie hinzukommt, entsteht die Zugangsmöglichkeit doch, und zwar beim ersten Supportfall. Ein Werkzeug, dessen Hersteller im Fehlerfall „einmal kurz draufschauen“ muss, ist eine mitwirkende Person auf Abruf.

Was Kammer und Berufsverbände sagen

Die BRAK empfiehlt, wo möglich Anbieter mit Servern in Deutschland oder Europa zu wählen, weil nicht geklärt ist, ob der Schutz bei ausländischen Anbietern § 43e Abs. 4 BRAO genügt. Mandatsgeheimnisse an Sprachmodelle wie ChatGPT zu übermitteln, hält sie beim damaligen Stand der Technik, jedenfalls bei frei zugänglichen Modellen, für nicht erforderlich, weil sich die Werkzeuge auch ohne sie nutzen lassen; das bloße Entfernen von Namen und Anschriften reicht nach ihr regelmäßig nicht, wenn sich Mandatsinformationen aus dem Kontext ergeben können.

Nach Leitlinie 4 klären epi-Mitglieder vor dem Einsatz generativer KI die Wünsche des Mandanten; die Erläuterung empfiehlt, Anfrage und Antwort festzuhalten. Leitlinie 8 erlaubt, Einrichtung und Schulung von KI-Werkzeugen, deren Abonnementgebühren und die Prüfung KI-erzeugter Arbeit in einer Höhe abzurechnen, die Schwierigkeit und Umfang angemessen widerspiegelt.

Der Bundesverband Deutscher Patentanwälte mahnt am 23. Februar 2026 zur Vorsicht, wenn Daten an extern gehostete KI-Systeme gehen: Werden sie öffentlich, stehen sie der Anmeldung neuheitsschädlich entgegen, und eine Anonymisierung genügt nicht, weil der technische Kern der Erfindung das Geheimnis ist. Er rät zu einer Berufsgeheimnisträgervereinbarung mit dem Anbieter, zu einer Vereinbarung ohne Datenaufbewahrung und zum Ausschluss des Trainings; wem das nicht reicht, dem bleiben lokale Modelle. Biwak betreibt kein lokales Modell; die Werkzeuge laufen auf Ihrem Rechner, das Modell rechnet beim Anbieter.

Was der DAV anders gewichtet als die BRAK

Der Deutsche Anwaltverein hält den Einsatz von KI- und Cloud-Diensten in seiner Initiativ-Stellungnahme Nr. 32/2025 vom Juli 2025 unter Vorgaben für berufsrechtlich zulässig. Beim Zugang stimmt er der BRAK im Ausgangspunkt zu: Auch die Möglichkeit der Kenntnisnahme ist ein Zugang. Er zieht daraus aber einen anderen Schluss. Dass Daten beim Anbieter zur Verarbeitung vorübergehend entschlüsselt oder bei Wartung unter strengen organisatorischen Vorgaben eingesehen werden, sei „erforderlich“ im Sinne von § 43e Abs. 1 BRAO und § 203 Abs. 3 StGB und damit erlaubt. Eine Pflicht zu Verschlüsselung, die dem Anbieter jeden Zugriff unmöglich macht, lehnt er ab, wenn sie den Dienst praktisch unbrauchbar machen würde. Die Kenntnisnahme muss die Kanzlei trotzdem mit zumutbaren Maßnahmen auf das Erforderliche beschränken. Eine Einwilligung des Mandanten nach § 43e Abs. 5 BRAO braucht es nach dem DAV nur, wenn ein Werkzeug unmittelbar einem einzelnen Mandat dient, nicht für ein allgemein in der Kanzlei eingesetztes.

Beide Papiere sind Einschätzungen von Kammer und Verband, keine Gesetze und keine Rechtsprechung. Wer der vorsichtigeren Linie der BRAK folgt, gibt Mandatsgeheimnisse nicht in ein Sprachmodell; wer der Linie des DAV folgt, kann es, wenn die folgenden Punkte erfüllt sind.

Was das Patentamt selbst sagt

Mit der Mitteilung Nr. 1/26 vom 2. März 2026 erlaubt das DPMA seinen Prüfungsstellen, bei der Recherche auch externe elektronische Recherchequellen zu nutzen, gegebenenfalls mit KI-Anwendungen, soweit im Amt zulässig. Die Mitteilung selbst rät Anmeldern, die das damit verbundene Restrisiko vermeiden möchten, zu erwägen, Recherche- oder Prüfungsantrag erst nach der Offenlegung zu stellen.

Für nicht offengelegte Anmeldungen setzt das Amt derzeit nur interne KI-Anwendungen ein. Auf die Frage, ob es empfiehlt, bis zur Offenlegung zu warten, antworten die FAQ: „Nein, keineswegs.“ Der Hinweis auf den späteren Antrag gilt nur höchst vorsorglich für Anmelder, denen das Restrisiko wegen besonderer Umstände des Einzelfalls nicht vertretbar erscheint. Eine Einsatzfreigabe für ein bestimmtes Kanzleiwerkzeug folgt daraus nicht.

Was bei Biwak übermittelt wird und was noch offen ist

Biwak arbeitet als Desktop-App mit Dateien in einem Arbeitsordner auf Ihrem Rechner. Für jeden Modellauftrag gehen Ihre Frage, der benötigte Gesprächskontext und verwendete Dateiinhalte an die Biwak-Gegenstelle bei Supabase in Frankfurt am Main und von dort an Microsoft Azure. Vertragspartner ist die Microsoft Ireland Operations Limited in Dublin; gerechnet wird in der EU-Datenzone von Azure, die laut Microsoft auch EFTA-Staaten wie Norwegen und die Schweiz umfassen kann, und gespeicherte Daten bleiben in Deutschland. Nur wenn Azure einen Auftrag ablehnt, etwa weil das Kontingent erschöpft ist, geht derselbe Auftrag an die PREM SA in Lugano, Schweiz. Prem rechnet nicht selbst, sondern leitet an seine Rechenpartner Nebius und TensorX in der EU und im Vereinigten Königreich weiter. Der Zugang zu Prem läuft über das Netz von Cloudflare. Die ganze Kette steht in Abschnitt 14 der Datenschutzerklärung.

Deshalb gehören Mandatsgeheimnisse heute nicht ohne eigene Prüfung in Biwak. Ohne sie auskommen etwa Vorlagen und Mustertexte, Auswertungen ohne Mandatsbezug und die interne Organisation der Kanzlei.

Die Verarbeitungskette prüfen

Eine installierte App ist ein Teil der Kette, nicht ihre Prüfung. Maßgeblich ist, welche Inhalte wohin gehen und wer dort zugreifen könnte.

Wie Sie es in Ihrem Haus prüfen

• Welche Daten werden übermittelt? Bei Biwak sind es je Modellauftrag die Frage, der benötigte Gesprächskontext und verwendete Dateiinhalte.
• Kann das Werkzeug ohne Netz arbeiten? Trennen Sie die Verbindung und geben Sie einen echten Auftrag. Was danach noch geht, geht wirklich lokal. In der Desktop-App von Biwak brauchen Modellaufträge eine Verbindung; lokal bleiben Dateien, Gespräche und Sicherungspunkte.
• Wer kann im Fehlerfall zusehen? Fragen Sie nach Fernwartung, Bildschirmfreigabe und inhaltsbezogener Telemetrie. Biwak meldet von sich aus nichts; ein Fehlerbericht entsteht nur, wenn Sie ihn senden, und enthält dann die Mitschrift der geöffneten Unterhaltung. Dasselbe gilt für die Meldung einer Antwort; auch sie nimmt die Mitschrift der Unterhaltung mit. Die Einrichtung am Bildschirm im Tarif Seilschaft ist eine Bildschirmfreigabe.
• Welche Vereinbarungen decken den Einsatz ab? Datenschutz und Berufsgeheimnis stellen unterschiedliche Anforderungen. Prüfen Sie, ob die einschlägigen Pflichten vollständig und in der erforderlichen Form vereinbart sind; eine bestimmte Zahl getrennter Vertragsdokumente verlangt das Gesetz nicht.
• Wo liegt das Protokoll? Beim Anbieter oder bei Ihnen. Nur das Zweite können Sie im Streitfall vorlegen, ohne jemanden fragen zu müssen. Bei Biwak liegt das Werkzeugprotokoll auf Ihrem Rechner, Verbrauchsdaten liegen im Biwak-Konto.

Änderungen an diesem Artikel

• 4. Oktober 2026: Verarbeitungskette bei Biwak auf den neuen Stand gebracht: Modellaufträge rechnen zuerst bei Microsoft Azure in der EU-Datenzone, Prem AI nur noch ersatzweise; offene Punkte um die Missbrauchserkennung bei Microsoft ergänzt.
• 24. September 2026: Abschnitt zur Stellungnahme des DAV Nr. 32/2025 ergänzt, mit Gegenüberstellung zur BRAK und einer Prüfliste; alle Aussagen am Wortlaut der Stellungnahme, des BRAK-Leitfadens und des § 43e BRAO abgeglichen.
• 23. September 2026: Abschnitt zur Verarbeitungskette bei Biwak ergänzt; Verbandsaussagen mit Fundstellen belegt; eine Aussage über „Black-Box-Tools“, deren Fundstelle sich nicht bestätigen ließ, gestrichen; § 62a StBerG ergänzt. Bei der Nachprüfung am selben Tag: die Aussage aus epi Information 2/2026 gestrichen, weil die Fundstelle nicht abrufbar war; BRAK-Aussage zu frei zugänglichen Modellen und § 31 PatG an den Wortlaut angeglichen.
• 10. September 2026: Textform aus dem Berufsrecht von § 203 StGB getrennt, Akteneinsicht nach § 31 PatG richtiggestellt, Einordnung der DPMA-Mitteilung anhand der FAQ korrigiert und die frühere Aussage zurückgenommen, es seien zwingend zwei getrennte Vertragsdokumente nötig.

Häufige Fragen