Partner
Alle Beiträge

ComplianceSouveränität

Cloud für Berufsgeheimnisträger: Was § 203 StGB von Kanzleien und IT-Dienstleistern verlangt

Seit 2017 steht im Gesetz, wie Kanzleien, Notariate und Steuerberatungen externe IT-Dienstleister einbinden dürfen. Verboten ist Cloud-Hosting nicht. Es hängt aber an Bedingungen, und die erste davon muss die Kanzlei selbst erfüllen — ein Standard-Hostingvertrag erledigt sie nicht nebenbei.

Zwei Personen an einem weißen Tisch: Ein Mann im dunkelblauen Anzug hält einen Stift in der Hand, gegenüber hält eine Frau ein beschriebenes Vertragsblatt. Gesichter sind nicht im Bild.

§ 203 StGB stellt die Verletzung von Privatgeheimnissen unter Strafe. Wer als Anwältin, Notar, Steuerberaterin oder Wirtschaftsprüfer ein fremdes Geheimnis unbefugt offenbart, dem droht Geldstrafe oder Freiheitsstrafe bis zu einem Jahr — bei Handeln gegen Entgelt oder in der Absicht, sich zu bereichern oder einen anderen zu schädigen, bis zu zwei Jahren.

Was das für die eigene IT bedeutet, war lange offen. Ob ein Rechenzentrumsbetreiber oder ein Systemhaus überhaupt in die Nähe von Mandantendaten kommen durfte, war umstritten. Diese Lücke hat der Gesetzgeber 2017 geschlossen — mit dem Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen, in Kraft seit dem 9. November 2017.

Seitdem steht im Gesetz, unter welchen Bedingungen es geht.

Die drei Stellen, auf die es ankommt

Absatz 3 Satz 1 — das eigene Team

Macht eine Berufsgeheimnisträgerin Geheimnisse den bei ihr berufsmäßig tätigen Gehilfen zugänglich, liegt nach dem Wortlaut schon gar kein Offenbaren vor. Dasselbe gilt für Personen, die sich bei ihr auf den Beruf vorbereiten. Angestellte gehören also zum Betrieb.

Absatz 3 Satz 2 — die externen Dienstleister

Berufsgeheimnisträger dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen Tätigkeit mitwirken, „soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist". Der zweite Halbsatz zieht die Kette weiter: Dasselbe gilt, wenn die mitwirkende Person sich selbst weiterer Personen bedient. Rechenzentrumsbetreiber, Cloud-Anbieter, Systemhaus, Softwarehersteller mit Fernwartungszugang — alle sind mitwirkende Personen. Und deren Unterauftragnehmer ebenso.

Das Wort, an dem alles hängt, ist erforderlich. Wer einem externen Support pauschalen Zugriff auf den gesamten Datenbestand einräumt, weil es die Fehlersuche beschleunigt, hat diese Grenze schon überschritten.

Absatz 4 — wer sich strafbar macht

Der erste Satz trifft die mitwirkende Person selbst: Offenbart sie unbefugt ein Geheimnis, das ihr bei ihrer Tätigkeit bekannt geworden ist, ist sie strafbar wie der Berufsträger. Das gilt auch für einen Datenschutzbeauftragten, der bei einer Kanzlei tätig ist.

Der zweite Satz trifft wieder die Kanzlei, und zwar an einer Stelle, die oft untergeht. Strafbar ist auch, wer nicht dafür Sorge getragen hat, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde — und diese Person dann tatsächlich etwas offenbart. Beides muss zusammenkommen. Die fehlende Verpflichtung allein ist nach dem Wortlaut noch keine Straftat. Sie nimmt dir aber die Verteidigung weg, wenn etwas passiert. Dieselbe Regel gilt eine Ebene tiefer für den Dienstleister gegenüber seinen eigenen Unterauftragnehmern.

Eine Ausnahme steht in beiden Fällen daneben: Ist die mitwirkende Person selbst Berufsgeheimnisträgerin, entfällt die Pflicht zur Verpflichtung. Die Steuerberatung, die du hinzuziehst, muss nicht verpflichtet werden. Dein Hoster schon.

Zwischenstand: Was heißt das für deine IT?

Ein Standard-Hostingvertrag deckt die berufsrechtlichen Pflichten nicht ab. Wir sehen uns mit dir an, was deine heutige Umgebung davon schon erfüllt und wo nachgearbeitet werden muss. Mit Kanzleien genauso wie mit den IT-Dienstleistern, die solche Kunden betreuen.

Umgebung gemeinsam durchgehen

Bevor das erste Byte umzieht

Die Strafvorschrift sagt, was nicht passieren darf. Wie man es richtig macht, steht im Berufsrecht — für Anwältinnen und Anwälte in § 43e BRAO, für die anderen Berufe in den Parallelnormen. Fünf Punkte, in dieser Reihenfolge.

  1. 1

    Den Umfang exakt festlegen

    Welche Daten braucht der Dienstleister zwingend für Betrieb und Wartung — und welche nicht? Das Gesetz erlaubt den Zugang nur, soweit er für die Dienstleistung erforderlich ist. Diese Grenze zieht niemand für dich; sie gehört in die Leistungsbeschreibung, bevor sie in den Vertrag kommt.

  2. 2

    Sorgfältig auswählen und aussteigen können

    § 43e Absatz 2 verlangt eine sorgfältige Auswahl des Dienstleisters. Und mehr: Sind die Vorgaben aus Absatz 3 nicht gewährleistet, ist die Zusammenarbeit unverzüglich zu beenden. Ohne vereinbarte Kündigungsfristen, Exportformate und Mitwirkungspflichten bei der Datenrückgabe bleibt „unverzüglich" ein Wunsch.

  3. 3

    In Textform zur Verschwiegenheit verpflichten

    Der Vertrag bedarf der Textform. Er muss den Dienstleister zur Verschwiegenheit verpflichten und ihn über die strafrechtlichen Folgen einer Verletzung belehren. Diese Belehrungspflicht steht nicht in § 203 StGB. Dort heißt es nur „zur Geheimhaltung verpflichtet", ohne Form und ohne Belehrung; beides kommt aus dem Berufsrecht, aus § 43e Absatz 3 BRAO und den Parallelnormen. Dazu kommt die Pflicht des Dienstleisters, sich nur insoweit Kenntnis zu verschaffen, wie es zur Erfüllung des Vertrags nötig ist.

  4. 4

    Die Kette der Unterauftragnehmer regeln

    Im Vertrag ist festzulegen, ob der Dienstleister weitere Personen heranziehen darf. Darf er es, muss ihm aufgegeben werden, diese ebenfalls in Textform zur Verschwiegenheit zu verpflichten. Gemeint sind nicht nur weitere Cloud-Anbieter: Hardwarewartung, Netzanbindung und Fernzugriffe von Softwareherstellern gehören genauso dazu. Du brauchst zu wissen, wer im Hintergrund mitwirkt.

  5. 5

    Ausland und Einzelmandat prüfen

    Kommt die Leistung aus dem Ausland, ist der Zugang nur zulässig, wenn der Geheimnisschutz dort dem inländischen vergleichbar ist. Diese Prüfung musst du begründen können; Verarbeitung im Inland erspart sie dir. Und dient eine Leistung unmittelbar einem einzelnen Mandat, braucht es die Einwilligung des Mandanten. Für kanzleiweite Infrastruktur sieht das Gesetz sie nicht vor — liegt sie vor, gelten Auswahl- und Vertragspflichten trotzdem weiter, sofern nicht ausdrücklich darauf verzichtet wird.

Welche Norm für welchen Beruf

BerufNorm für die Einbindung von DienstleisternForm der Verpflichtung
Rechtsanwältinnen und Rechtsanwälte§ 43e BRAOTextform, mit Belehrung über die strafrechtlichen Folgen
Notarinnen und Notare§ 26a BNotOTextform, mit Belehrung. Für Beschäftigte gilt daneben die förmliche Verpflichtung nach § 26 BNotO
Steuerberater und Steuerbevollmächtigte§ 62a StBerGTextform, mit Belehrung. § 62 StBerG regelt die Verpflichtung der beschäftigten Personen
Wirtschaftsprüfer und vereidigte Buchprüfer§ 50a WPOTextform, mit Belehrung. § 50 WPO regelt die Verpflichtung der beschäftigten Personen

Dieser Beitrag ordnet die Rechtslage ein und ersetzt keine Rechtsberatung. Wie weit die Pflichten in deinem Fall reichen, hängt an deinem Berufsrecht, an deiner Kammer und an dem, was du auslagern willst. Die Prüfung im Einzelfall bleibt bei der Kanzlei oder der Steuerberatung, also bei der Berufsträgerin oder dem Berufsträger, die dafür einstehen.

Der Auftragsverarbeitungsvertrag ist nicht die Verpflichtung

Die häufigste Verwechslung: Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor, also ist die Sache erledigt.

Ist sie nicht. § 43e Absatz 8 BRAO sagt es ausdrücklich — die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt. Das sind zwei Pflichten aus zwei verschiedenen Rechtskreisen. Die eine kommt aus dem Datenschutzrecht und schützt personenbezogene Daten. Die andere kommt aus dem Strafrecht und dem Berufsrecht und schützt das Berufsgeheimnis — auch dort, wo gar kein Personenbezug besteht.

Eine Bilanz, eine geplante Umstrukturierung, der Kaufpreis einer Übernahme, das Betriebsgeheimnis einer GmbH: alles von § 203 erfasst, nichts davon personenbezogen im Sinne der DSGVO. Wer nur den Datenschutz betrachtet, hat diese Fälle gar nicht im Blick.

Beide Papiere können in einem Vertragswerk stehen, es bleiben trotzdem zwei. Die Belehrung über die strafrechtlichen Folgen, die § 43e verlangt, steht in keinem Standard-Auftragsverarbeitungsvertrag.

Drei Sätze, die man immer wieder hört

„Wenn alles verschlüsselt ist, greift § 203 nicht."

Verschlüsselung ist sinnvoll, und sie verringert den Schaden, wenn etwas schiefgeht. Die Rechtsfrage löst sie nicht. Ob allein die Möglichkeit, Kenntnis zu nehmen, schon ein Offenbaren ist, ist nicht abschließend geklärt — dazu gibt es Stellungnahmen in beide Richtungen, aber keine Entscheidung, auf die man sich stützen könnte. Davon unabhängig kommt es im Berufsrecht darauf an, dass du dem Dienstleister Zugang eröffnest. Ob er ihn nutzt, spielt dort keine Rolle. Wer den Hypervisor oder das Speichersystem betreibt, hat Zugang. Dass er ihn nicht nutzt, ist eine Zusage.

„Der Anbieter ist zertifiziert, damit ist § 203 erfüllt."

Eine Zertifizierung belegt, dass ein Managementsystem für Informationssicherheit geprüft wurde. Sie sagt nichts darüber, ob der Dienstleister zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen belehrt wurde. Die zweite Frage beantwortet nur der Vertrag. Ein Zertifikat hilft bei der sorgfältigen Auswahl nach § 43e Absatz 2. Absatz 3 ersetzt es nicht.

„Hosting im Ausland ist verboten."

Das steht so nicht im Gesetz. § 43e Absatz 4 BRAO verlangt, dass der Geheimnisschutz im Ausland dem inländischen vergleichbar ist. Diese Prüfung musst du begründen können, und sie ist aufwendig: Du musst beurteilen, welches Recht am Ort der Verarbeitung gilt und welchen Zugriff es Behörden eröffnet. Viele Kanzleien verarbeiten deshalb im Inland, weil der Nachweis dann kürzer ausfällt.

Was das für die Technik heißt

Aus den Pflichten oben lassen sich Anforderungen an die Technik ableiten. Vorgeschrieben ist keine davon. Manche Pflicht lässt sich ohne die passende Technik aber gar nicht erfüllen.

  • Zugriff muss begrenzbar und sichtbar sein. „Nur soweit erforderlich" lässt sich nur belegen, wenn es Rollen gibt, administrative Zugriffe protokolliert werden und jemand die Protokolle auch ansieht. Ein geteiltes Administratorkonto macht die Erforderlichkeitsgrenze unprüfbar.
  • Getrennt statt geteilt. Auf dedizierter Hardware ist leichter zu beschreiben, wer physisch und logisch an die Daten kommt. Bei geteilten Ressourcen wird die Antwort länger, und länger heißt im Zweifel schwerer zu belegen.
  • Backups und Protokolle zählen mit. Sie enthalten dieselben Geheimnisse wie das Produktivsystem. Wo sie liegen, wie lange sie bleiben und wer sie wiederherstellen darf, gehört in dieselbe Betrachtung. Unveränderliche Sicherungen an einem zweiten Standort lassen sich nach dem Schreiben nicht mehr verändern; sie bleiben also auch lesbar, wenn das Produktivsystem verschlüsselt wurde.
  • Daten sollten das Rechenzentrum nicht verlassen müssen. Liegen Programme und Akten auf dem Server und zeigt das Endgerät nur das Bild, ist auf dem verlorenen Notebook kein Mandantendatensatz. Das verlangt kein Gesetz, aber es macht aus dem Verlust eines Geräts ein Hardwareproblem.
  • Die Kette muss benannt sein. Fragst du nicht nach Unterauftragnehmern, kannst du die Festlegung aus § 43e Absatz 3 nicht treffen. Also frage: Wer kommt an die Systeme, wer an die Sicherungen, wer an die Netztechnik?
  • Ausstieg gehört in den Vertrag. § 43e Absatz 2 verlangt die unverzügliche Beendigung der Zusammenarbeit, wenn die Vorgaben nicht gewährleistet sind. Ohne vereinbarte Fristen, Exportformate und Mitwirkungspflichten ist „unverzüglich" ein Wunsch. Dieselben Punkte haben wir im Beitrag zur Beschaffung digitaler Souveränität als Kriterien aufgeschrieben; hier sind sie berufsrechtliche Voraussetzung.

Was wir dazu beitragen können

In dieser Konstellation sind wir die mitwirkende Person: für Kanzleien, Notariate und Steuerberatungen genauso wie für die IT-Dienstleister, die solche Kunden betreuen. Deshalb zuerst das, was belegt ist:

  • Dedizierte Umgebung. Die Private Cloud läuft auf Servern, die nur dir oder deinem Kunden gehören. Rechenleistung und Speicher teilst du mit niemandem. Einrichtung, Updates, Monitoring und Sicherung übernehmen wir, Details zu den Ausbaustufen stehen bei der Dedicated Private Cloud.
  • Standort und Rechtsraum. Vier Rechenzentren an drei Standorten in Deutschland — Hannover, Wolfsburg und Frankfurt am Main. kyberio GmbH sitzt in Hannover, ist inhabergeführt, hat keine ausländische Muttergesellschaft und unterliegt deutschem Recht, nicht dem CLOUD Act.
  • Geprüfte Informationssicherheit. ISO 27001 auf Basis BSI IT-Grundschutz, Zertifikat BSI-IGZ-0777-2026, Geltungsbereich Rechenzentren und Cloud Services, gültig bis zum 17. September 2029. Zertifikat und Zertifizierungsreport gibt es als PDF zum Herunterladen.
  • Wer bei uns Zugriff hat. Eigenes Personal nach Rollen, protokolliert. Zutritt zu den Rechenzentren nur nach Anmeldung und in Begleitung, mit Zwei-Faktor-Authentifizierung. Das steht ausführlich in unserem Sicherheitskonzept.
  • Sicherungen, die bleiben, was sie waren. Unveränderliche Backups lassen sich nach dem Schreiben nicht mehr ändern oder löschen, auf Wunsch zusätzlich in ein zweites Rechenzentrum — BaaS und DRaaS.
  • Arbeitsplätze und Dateiablage. Beim virtuellen Arbeitsplatz liegen Programme und Daten im Rechenzentrum, das Endgerät zeigt nur das Bild. Und eine eigene Nextcloud-Instanz hält Dateiablage, Kalender und Freigaben für den Mandantenaustausch auf einer Maschine, die dir zugeordnet ist.
  • Auftragsverarbeitung. Unsere Vereinbarung über Auftragsverarbeitung nach Art. 28 DSGVO liegt als Dokument vor.

Die Verpflichtung zur Verschwiegenheit und die Festlegung zu Unterauftragnehmern regeln wir im Vertrag.

Lass uns deine Umgebung durchgehen

Du modernisierst eine Kanzlei oder Steuerberatung, oder du suchst als IT-Dienstleister eine Plattform für solche Mandanten. Erzähl uns, was heute wo läuft und was du auslagern willst. Wir gehen die Punkte von oben mit dir durch: Zugriffe, Sicherungen, Unterauftragnehmer, Ausstieg.

Beratungsgespräch vereinbaren

Häufige Fragen

Darf eine Kanzlei ihre Daten überhaupt extern hosten?

Ja. § 203 Absatz 3 Satz 2 StGB erlaubt es ausdrücklich, Geheimnisse gegenüber mitwirkenden Personen zu offenbaren, soweit das für deren Tätigkeit erforderlich ist. Dazu kommen die Pflichten aus dem Berufsrecht: sorgfältige Auswahl, Verpflichtung zur Verschwiegenheit in der vorgeschriebenen Form, Belehrung über die strafrechtlichen Folgen und eine Festlegung zu Unterauftragnehmern.

Reicht der Standard-Auftragsverarbeitungsvertrag eines Hosters?

Nein. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erfüllt das Datenschutzrecht. § 43e Absatz 8 BRAO stellt klar, dass die Datenschutzvorschriften neben der berufsrechtlichen Pflicht gelten und sie nicht ersetzen. Die Belehrung über die strafrechtlichen Folgen steht in keinem Standard-Auftragsverarbeitungsvertrag. Und das Berufsgeheimnis reicht weiter als der Datenschutz: Eine Bilanz oder das Betriebsgeheimnis einer GmbH fällt unter § 203, ist aber nicht personenbezogen.

Müssen Mandanten dem Cloud-Hosting zustimmen?

Nur wenn die Dienstleistung unmittelbar einem einzelnen Mandat dient — dann verlangt § 43e Absatz 5 BRAO die Einwilligung des Mandanten. Für Infrastruktur, die die ganze Kanzlei nutzt, sieht die Norm sie nicht vor. Liegt eine Einwilligung vor, entfallen Auswahl- und Vertragspflichten trotzdem nicht, sofern der Mandant nicht ausdrücklich darauf verzichtet.

Was gilt für das externe Systemhaus, das die Kanzlei betreut?

Dasselbe. Es ist mitwirkende Person nach § 203 Absatz 3 Satz 2 StGB und muss zur Geheimhaltung verpflichtet werden. Und es trägt diese Pflicht weiter: Zieht es selbst Dienstleister hinzu (Rechenzentrum, Cloud-Anbieter, Hardwarewartung), muss es auch die verpflichten, § 203 Absatz 4 Satz 2 Nummer 2 StGB. Eine Ausnahme gilt nur, wenn die mitwirkende Person selbst Berufsgeheimnisträgerin ist.

Gilt für Steuerberater dasselbe wie für Anwälte?

Der Aufbau ist derselbe. § 62a StBerG regelt die Inanspruchnahme von Dienstleistungen nahezu wortgleich zu § 43e BRAO: Zugang nur, soweit erforderlich, sorgfältige Auswahl, Vertrag in Textform mit Verpflichtung zur Verschwiegenheit und Belehrung über die strafrechtlichen Folgen, Festlegung zu Unterauftragnehmern. Die Verschwiegenheitspflicht selbst steht in § 57 Absatz 1 StBerG, die Verpflichtung der beschäftigten Personen in § 62 StBerG. Für Wirtschaftsprüfer und vereidigte Buchprüfer gilt § 50a WPO mit demselben Aufbau, für Notarinnen und Notare § 26a BNotO. Ob die Pflichten in deinem Fall eingehalten sind, klärt deine Rechtsberatung.

Quellen