Wo darf das KI-Modell laufen? LLM-Hosting nach § 203 StGB

Die meisten Prüfungen zur KI-Nutzung in Kanzleien und Praxen enden bei der Frage, ob ein Auftragsverarbeitungsvertrag vorliegt. Das ist der falsche Endpunkt. Für Berufsgeheimnisträger entscheidet nicht das Datenschutzrecht, sondern das Strafrecht, und dort lautet die Frage anders: Kann irgendein Mensch beim Anbieter die Eingabe lesen, ohne Teil der Verpflichtungskette zu sein?

Das Wichtigste in Kürze: Ärzte, Anwälte und Steuerberater dürfen KI-Dienste einsetzen, aber nur wenn jeder, der Zugriff auf die Eingaben bekommt, vorher in Textform zur Verschwiegenheit verpflichtet und über die Strafbarkeit belehrt wurde. Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO erfüllt das nicht, er regelt eine andere Ebene. Die Kette bricht in der Praxis selten am Vertrag, sondern am Missbrauchsmonitoring: Große Anbieter speichern Eingaben standardmäßig und legen sie bei Auffälligkeiten einem Menschen vor. Die Abschaltung dieser Prüfung ist möglich, aber an Unternehmensverträge gebunden. Damit entsteht faktisch eine Größenschwelle, die keine Norm vorsieht. Offene Modellgewichte sind der Ausweg, den die Rechtslage seit 2017 vorsieht und den der Markt erst seit kurzem liefert.

Darf ein Berufsgeheimnisträger überhaupt Cloud-KI nutzen?

Ja. Seit der Neuregelung des § 203 StGB, in Kraft seit dem 9. November 2017, ist die Einbindung externer Dienstleister ausdrücklich zulässig. Absatz 3 erlaubt die Offenbarung gegenüber "sonstigen Personen, die an ihrer beruflichen Tätigkeit mitwirken", soweit dies für die Inanspruchnahme der Tätigkeit erforderlich ist. Der Gesetzgeber hatte dabei ausdrücklich Betrieb, Wartung und externe Speicherung von IT-Systemen im Blick, also den Cloud-Fall.

Das Verbot gilt also nicht der Technik, sondern der ungesicherten Weitergabe. Wer heute noch liest, Cloud-KI sei für Kanzleien pauschal untersagt, liest einen Stand von vor 2017.

Der Preis für diese Erlaubnis steht in Absatz 4: Der Berufsgeheimnisträger muss dafür Sorge tragen, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde. Die Verantwortung bleibt bei ihm, nicht beim Anbieter. Bei einem Verstoß trifft die Strafandrohung aus Absatz 1, Freiheitsstrafe bis zu einem Jahr oder Geldstrafe, den Arzt oder den Anwalt.

Warum reicht ein Auftragsverarbeitungsvertrag nicht?

Weil beide Regelwerke unterschiedliche Güter schützen und unterschiedliche Adressaten haben. Der Vertrag nach Artikel 28 DSGVO schützt personenbezogene Daten und richtet sich an den Verantwortlichen im Sinne des Datenschutzrechts. § 203 StGB schützt das anvertraute Geheimnis und richtet sich an eine Person mit einem bestimmten Beruf.

Der Unterschied ist nicht akademisch. Die Bundessteuerberaterkammer weist in ihrem FAQ-Katalog zur KI ausdrücklich darauf hin, dass durch die berufsrechtliche Verschwiegenheit "anders als durch die DSGVO auch Daten von nicht natürlichen Personen geschützt" sind. Die Bilanz einer GmbH enthält kein personenbezogenes Datum und fällt trotzdem unter das Berufsgeheimnis.

Praktisch heißt das: Zwei Dokumente, nicht eines. Der Auftragsverarbeitungsvertrag deckt die datenschutzrechtliche Seite ab, die Verschwiegenheitsvereinbarung die berufsrechtliche. Ein Anbieter, der nur das erste anbietet, hat die Hälfte geliefert.

Was verlangt die Verpflichtungskette konkret?

Die Berufsordnungen sind hier deutlich präziser als das Strafgesetzbuch. § 43e BRAO für Rechtsanwälte und § 62a StBerG für Steuerberater beschreiben denselben Mechanismus mit denselben Elementen.

Drei Punkte aus dieser Tabelle werden regelmäßig übersehen.

Erstens die Belehrung. Es genügt nicht, dass der Dienstleister Verschwiegenheit zusagt. Er muss über die strafrechtlichen Folgen einer Pflichtverletzung belehrt worden sein. Eine Vertraulichkeitsklausel im Standardvertrag erfüllt das nicht.

Zweitens der Zeitpunkt. Die Bundessteuerberaterkammer formuliert es unmissverständlich: Anbieter müssen verpflichtet werden, "bevor sie Kenntnis von diesen Daten erlangen". Eine nachträgliche Vereinbarung heilt nichts.

Drittens die Weitergabe nach unten. Wenn der Anbieter Unterauftragnehmer einsetzt, und das tut praktisch jeder KI-Anbieter, muss er diese seinerseits in Textform verpflichten. Die Kette darf an keiner Stelle reißen.

Wo bricht die Kette in der Praxis?

Nicht dort, wo die meisten suchen. Der Vertrag lässt sich bei den großen Anbietern beschaffen. Microsoft etwa führt eine standardisierte Zusatzvereinbarung, das Professional Secrecy Amendment für Deutschland, das über einen Partner abgeschlossen wird und genau diesen Zweck hat.

Die Kette bricht am Betrieb, und zwar am Missbrauchsmonitoring. Große Modellanbieter speichern Eingaben und Ausgaben standardmäßig für einen begrenzten Zeitraum, um Missbrauch zu erkennen. Bei Azure OpenAI sind es 30 Tage. Schlägt die automatische Erkennung an, kann ein Mitarbeiter des Anbieters den Vorgang einsehen.

Genau das ist die Offenbarung, die § 203 StGB adressiert. Ein Prüfer, der einen Arztbrief liest, ist ein Dritter, der Kenntnis erlangt. Ob er das darf, hängt nicht davon ab, ob es datenschutzrechtlich gerechtfertigt ist, sondern davon, ob er Teil der Verpflichtungskette ist.

Für dieses Problem gibt es eine Lösung, und die hat einen Haken. Das sogenannte Modified Abuse Monitoring nimmt die menschliche Prüfung heraus und lässt die automatische bestehen. Es ist aber kein Schalter in der Verwaltungsoberfläche, sondern ein Antrag, der genehmigt werden muss, und es setzt einen Unternehmensvertrag voraus, eine Enterprise Agreement oder ein Microsoft Customer Agreement.

Damit entsteht eine Schwelle, die keine Norm vorsieht: Eine Praxis mit vier Behandlungszimmern oder eine Kanzlei mit drei Berufsträgern erfüllt die Voraussetzung für die Ausnahme regelmäßig nicht. Das Berufsrecht kennt keine Betriebsgröße. Der Bezugsweg schon.

Hinzu kommt eine Unschärfe, die man kennen sollte: Der öffentlich dokumentierte Umfang der Microsoft-Zusatzvereinbarung betrifft Microsoft 365. Ob sie die KI-Dienste in derselben Weise abdeckt, ist nicht öffentlich bestätigt und gehört vor einer Zusage schriftlich geklärt.

Welche Bezugswege gibt es, und was leisten sie?

Vier Wege stehen offen. Sie unterscheiden sich weniger im Preis als in der Frage, wie weit die Verpflichtungskette reicht.

Der erste Weg ist der, den die Berufskammern ausdrücklich ausschließen. Die Bundessteuerberaterkammer stellt fest, dass Eingaben bei öffentlich zugänglichen Diensten "an den Dienstanbieter übermittelt und dort verarbeitet werden, ohne spezielle Geheimhaltungsvereinbarung", und wertet das ohne ausreichende vertragliche Absicherung als Verstoß gegen die Verschwiegenheitspflicht.

Der vierte Weg ist der rechtlich sauberste, weil er die Frage auflöst statt sie zu beantworten. Wo nichts das Haus verlässt, gibt es keine Offenbarung an einen Dritten und damit keine Kette, die reißen könnte.

Der dritte Weg ist für die meisten der interessanteste, und er ist neu.

Was ändern offene Modellgewichte an der Rechtslage?

Sie ändern nichts an der Norm und viel an ihrer Erfüllbarkeit. Solange die leistungsfähigen Modelle ausschließlich als Dienst des Herstellers verfügbar waren, führte jeder Weg zwangsläufig zu diesem Hersteller. Wer GPT nutzen wollte, musste eine Kette bis OpenAI bauen. Wer Claude nutzen wollte, eine bis Anthropic.

Bei einem Modell mit offenen Gewichten entfällt diese Zwangsläufigkeit. Das Modell kann bei einem Anbieter laufen, mit dem man ohnehin einen Vertrag hat, im Inland, unter deutschem Recht. Der Hersteller der Gewichte ist an dem Vorgang nicht beteiligt und erfährt von den Eingaben nichts.

Der Fall von Ende August 2026 hat das anschaulich gemacht. Das Modell, das unter dem Namen Ox Alpha sechs Tage lang anonym lief, stellte sich als GLM-5.3-Flash heraus und wurde mit der Veröffentlichung unter eine MIT-Lizenz gestellt. Wir haben den Vorgang in einem eigenen Beitrag ausgewertet: Ox Alpha war GLM-5.3-Flash. Für Berufsgeheimnisträger ist daran nicht der Benchmark interessant, sondern die Lizenz. Ein Modell dieser Leistungsklasse darf ohne Rückfrage kommerziell betrieben werden, auch in einem Rechenzentrum in Frankfurt.

Deutsche und europäische Anbieter greifen das auf. Es existieren inzwischen Angebote, die offene Modelle über eine Schnittstelle in inländischen Rechenzentren bereitstellen, mit Zertifizierungen nach ISO 27001 und dem BSI-Kriterienkatalog C5. Ob ein solcher Anbieter für Berufsgeheimnisträger taugt, entscheidet sich aber nicht am Zertifikat, sondern an der Frage aus dem vorigen Abschnitt: Wird eine Verschwiegenheitsvereinbarung mit Belehrung angeboten, und was passiert im Betrieb mit den Eingaben?

Was braucht der Eigenbetrieb an Hardware?

Weniger, als die Diskussion um Rechenzentren vermuten lässt, und mehr, als ein Bürorechner hergibt. Entscheidend ist der Grafikspeicher, weil das gesamte Modell hineinpassen muss.

Als Faustregel für vierfach quantisierte Modelle gilt: benötigter Speicher in Gigabyte etwa Parameterzahl in Milliarden mal 0,6.

Für die typischen Aufgaben in einer Kanzlei oder Praxis, also Zusammenfassungen, Entwürfe, Recherche in eigenen Dokumenten, reichen Modelle der mittleren Klasse in aller Regel aus. Die sehr großen Modelle brauchen Sie dort, wo es auf komplexes Schlussfolgern ankommt, und genau dort ist die Auslagerung an einen verpflichteten Anbieter meist die wirtschaftlichere Antwort.

Die ehrliche Rechnung enthält mehr als die Anschaffung. Ein Server im Haus bedeutet Wartung, Aktualisierungen, Ausfallsicherheit und jemanden, der zuständig ist. Die Bundessteuerberaterkammer bringt den Zielkonflikt auf den Punkt: Ein lokal installiertes System unter Kontrolle der Kanzlei biete unter Umständen mehr Datenschutz, während ein Cloud-Dienst Updates und Wartung abnehme.

Wie prüfen Sie einen Anbieter in zehn Minuten?

Sechs Fragen genügen für die Vorauswahl. Wer eine davon nicht schriftlich beantwortet, scheidet aus.

1. Bieten Sie eine Verschwiegenheitsvereinbarung nach § 203 StGB an, getrennt vom Auftragsverarbeitungsvertrag, mit ausdrücklicher Belehrung über die Strafbarkeit?
2. Wo werden die Eingaben verarbeitet, und wo werden sie gespeichert? Bitte mit Standort, nicht mit Regionsnamen.
3. Werden Eingaben zur Missbrauchserkennung aufbewahrt? Wenn ja, wie lange, und kann ein Mensch sie einsehen?
4. Lässt sich die menschliche Prüfung abschalten, und an welche Vertragsart ist das gebunden?
5. Welche Unterauftragnehmer sind beteiligt, und sind diese in Textform zur Verschwiegenheit verpflichtet?
6. Werden Eingaben zum Training verwendet? Falls ausgeschlossen: an welcher Stelle im Vertrag?

Frage drei und vier sind die, an denen sich die Angebote trennen. Sie werden in Verkaufsgesprächen selten von selbst beantwortet, weil sie den Unterschied zwischen einem Datenschutzversprechen und einer berufsrechtlichen Zusage markieren.

Frage zwei verdient eine Warnung. Angaben wie "EU-Datenregion" oder "europäisches Hosting" sind Produktbezeichnungen, keine Standortzusagen. Fragen Sie nach dem Land und nach dem Betreiber der Anlage.

Was gilt für Ärzte, Anwälte und Steuerberater jeweils?

Der strafrechtliche Kern ist identisch, die berufsrechtliche Verpackung unterscheidet sich.

Für Ärzte gilt § 203 StGB unmittelbar, ergänzt um § 9 der Musterberufsordnung und die jeweilige Landesberufsordnung. Eine eigene Norm mit dem Detailgrad des § 43e BRAO fehlt, was in der Praxis bedeutet, dass die Anforderungen aus dem Strafrecht und dem Datenschutzrecht zusammengelesen werden müssen. Wie das für einen Telefonassistenten aussieht, haben wir gesondert beschrieben: KI-Telefonassistent in der Arztpraxis.

Für Rechtsanwälte konkretisiert § 43e BRAO die Vertragspflichten und nennt sie einzeln. Wer diese Liste erfüllt, erfüllt zugleich die Anforderungen des § 203 StGB.

Für Steuerberater übernimmt § 62a StBerG dieselbe Funktion, mit zwei Besonderheiten. Absatz 4 verlangt bei Leistungserbringung im Ausland ein dem Inland vergleichbares Schutzniveau. Und Absatz 5 verlangt eine Einwilligung des Mandanten, wenn die Dienstleistung einem konkreten Einzelmandat dient und nicht allgemeines Arbeitsmittel der Kanzlei ist. Die Bundessteuerberaterkammer räumt selbst ein, dass die Abgrenzung bei KI "nicht zweifelsfrei zu beantworten" ist, und empfiehlt im Zweifel die Einwilligung. Die berufsrechtliche Seite für Kanzleien haben wir hier vertieft: KI in der Steuerkanzlei.

Ein Hinweis zur Aktualität: Der FAQ-Katalog der Bundessteuerberaterkammer trägt den Stand 27. Januar 2026, die Antworten beruhen nach eigener Angabe auf dem Rechtsstand Juli 2025. Für die hier behandelten Normen ändert das nichts, sie gelten unverändert. Bei Detailfragen lohnt der Blick auf das Datum.

Häufige Fragen

Darf ich ChatGPT als Anwalt oder Arzt nutzen? Für allgemeine Aufgaben ohne Bezug zu Mandanten oder Patienten ja. Sobald Angaben eingegeben werden, die Rückschlüsse auf einen konkreten Fall zulassen, nein, solange keine Verschwiegenheitsvereinbarung mit dem Anbieter besteht. Die Bundessteuerberaterkammer wertet die Nutzung öffentlich zugänglicher Dienste mit Mandatsdaten ohne vertragliche Absicherung als Verstoß gegen die Verschwiegenheitspflicht.

Reicht ein Auftragsverarbeitungsvertrag für § 203 StGB? Nein. Er regelt den Datenschutz nach Artikel 28 DSGVO, nicht das Berufsgeheimnis. Nötig ist eine zusätzliche Verpflichtung zur Verschwiegenheit in Textform, verbunden mit einer Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung. Beide Dokumente stehen nebeneinander.

Was ist Missbrauchsmonitoring, und warum ist es ein Problem? Anbieter speichern Eingaben zeitweise, um Missbrauch zu erkennen, bei Azure OpenAI 30 Tage. Schlägt die automatische Erkennung an, kann ein Mitarbeiter des Anbieters den Inhalt einsehen. Für Berufsgeheimnisträger ist das eine Offenbarung an einen Dritten, die nur zulässig ist, wenn dieser Dritte Teil der Verpflichtungskette ist.

Kann ich die menschliche Prüfung abschalten? Bei Azure OpenAI über das Modified Abuse Monitoring, das die menschliche Prüfung entfernt und die automatische beibehält. Es erfordert einen genehmigten Antrag und setzt einen Unternehmensvertrag voraus, eine Enterprise Agreement oder ein Microsoft Customer Agreement. Kleine Einheiten erfüllen diese Voraussetzung häufig nicht.

Muss ich das Modell selbst betreiben? Nein. Der Eigenbetrieb ist der rechtlich einfachste Weg, weil keine Offenbarung nach außen stattfindet, aber nicht der einzige zulässige. Ein Anbieter im Inland, der eine Verschwiegenheitsvereinbarung mit Belehrung anbietet und keine menschliche Einsicht in die Eingaben zulässt, erfüllt die Anforderungen ebenfalls.

Was ändern offene Modellgewichte für Kanzleien und Praxen? Sie entkoppeln das Modell vom Hersteller. Ein Modell unter offener Lizenz darf bei einem inländischen Anbieter oder im eigenen Haus betrieben werden, ohne dass der Hersteller der Gewichte an dem Vorgang beteiligt ist. Damit wird die Verpflichtungskette kurz genug, um sie tatsächlich zu schließen.

Wer haftet, wenn der Anbieter einen Fehler macht? Strafrechtlich der Berufsgeheimnisträger. § 203 Absatz 4 StGB verpflichtet ihn, dafür Sorge zu tragen, dass die mitwirkende Person verpflichtet wurde. Versäumt er das, trifft ihn die Strafandrohung aus Absatz 1 unabhängig davon, wie sich der Anbieter verhalten hat.

Fazit

Die Frage nach dem zulässigen KI-Einsatz in Kanzleien und Praxen wird meist auf der falschen Ebene geführt. Datenschutzrechtliche Prüfungen sind notwendig, aber sie beantworten nicht, ob ein Mensch beim Anbieter das Mandat lesen darf. Diese Frage stellt das Strafrecht, und sie hat eine klare Antwort: nur wenn dieser Mensch vorher verpflichtet und belehrt wurde.

Wer das ernst nimmt, landet bei einer überschaubaren Prüfung. Zwei Dokumente statt einem, eine belastbare Auskunft zum Umgang mit den Eingaben im Betrieb, und eine Kette, die bis zum letzten Unterauftragnehmer geschlossen ist.

Die praktische Nachricht ist trotzdem eine gute. Bis vor kurzem führte der Weg zu einem leistungsfähigen Modell zwangsläufig zu einem sehr großen Anbieter, mit dem eine kleine Praxis keinen individuellen Vertrag verhandelt. Mit offenen Modellgewichten hat sich das geändert. Die Norm von 2017 hat einen Weg beschrieben, den der Markt erst 2026 gangbar macht.

Ein Hinweis zum Schluss: Dieser Beitrag ordnet die Rechtslage ein und ersetzt keine Rechtsberatung im Einzelfall. Für die konkrete Vertragsgestaltung gehört ein Berufsrechtler an den Tisch.

Quellen

• § 203 StGB, Verletzung von Privatgeheimnissen, in der seit dem 9. November 2017 geltenden Fassung, insbesondere Absatz 3 und Absatz 4
• § 43e BRAO, Inanspruchnahme von Dienstleistungen, Bundesrechtsanwaltsordnung
• § 62a StBerG, Inanspruchnahme von Dienstleistungen, Steuerberatungsgesetz, insbesondere Absätze 2 bis 5
• Bundessteuerberaterkammer, FAQ: KI im steuerberatenden Berufsstand, Stand 27. Januar 2026, Antworten auf Rechtsstand Juli 2025
• Microsoft, Dokumentation zu Abuse Monitoring und Modified Abuse Monitoring für Azure OpenAI sowie zum Professional Secrecy Amendment für Deutschland