„Darf ich als Anwalt KI nutzen – und muss ich meine Mandanten darüber informieren?“

Diese Frage tippen Anwältinnen und Anwälte derzeit häufiger in Suchmaschinen als fast jede andere zum Thema Kanzlei-Digitalisierung. Kein Wunder: Werkzeuge wie ChatGPT und spezialisierte Legal-KI versprechen enorme Zeitersparnis – gleichzeitig steht die anwaltliche Verschwiegenheit auf dem Spiel, und niemand möchte wegen eines Chatbots ein Berufsrechtsverfahren riskieren.

Die gute Nachricht vorweg: KI in der Kanzlei ist erlaubt. Die etwas kompliziertere Nachricht (wie sollte es bei Anwälten auch anders sein?): Es kommt darauf an, wie Sie sie einsetzen. Dieser Beitrag erklärt die Rechtslage in klarer Sprache – vom Berufsrecht über den Datenschutz bis zur entscheidenden Frage, was passiert, wenn Sie die Daten vorher anonymisieren.

Die kurze Antwort: Keine grundsätzliche Pflicht zur Information des Mandanten

Eine ausdrückliche gesetzliche Pflicht, jeden Mandanten über jeden KI-Einsatz zu informieren, gibt es nicht. Weder die Bundesrechtsanwaltsordnung (BRAO) noch die Berufsordnung (BORA) noch der europäische AI Act schreiben eine solche generelle Aufklärung vor. Auch die Bundesrechtsanwaltskammer geht in ihrem Leitfaden zum KI-Einsatz davon aus, dass keine allgemeine Informationspflicht besteht.

Damit ist es aber nicht getan. Aus dem Datenschutzrecht, dem Berufsrecht und dem Anwaltsvertrag ergeben sich mittelbare Pflichten, deren Umfang stark davon abhängt, welche Daten Sie in welches System eingeben. Genau darum geht es im Folgenden.

Das Berufsrecht: Verschwiegenheit ist die rote Linie

Das Herzstück ist die anwaltliche Verschwiegenheitspflicht aus § 43a Abs. 2 BRAO (und § 2 BORA). Sie ist weit: Geschützt ist alles, was Ihnen im Rahmen des Mandats bekannt wird – sogar schon die Tatsache, dass überhaupt ein Mandat besteht, und der Name des Mandanten.

Wenn Sie Mandatsinformationen in ein cloudbasiertes KI-System eingeben, verlassen diese Daten Ihre Kanzlei und gelangen zu einem Dritten – dem Anbieter des KI-Systems. Das ist grundsätzlich eine Offenbarung. Und eine unbefugte Offenbarung von Privatgeheimnissen ist nach § 203 StGB sogar strafbar.

Deshalb gilt eine einfache Faustregel:

• Öffentliche Standard-Tools (z. B. die kostenlose ChatGPT-Version) sind für echte, identifizierbare Mandantendaten regelmäßig tabu.

• Zulässig ist der Einsatz eines externen Dienstleisters unter den Voraussetzungen des § 43e BRAO: sorgfältige Auswahl des Anbieters und vertragliche Verpflichtung zur Verschwiegenheit.

Und hier die für viele überraschende Klarstellung: Halten Sie § 43e BRAO ein, brauchen Sie keine gesonderte Einwilligung des Mandanten. Eine Einwilligung wird berufsrechtlich erst dann relevant, wenn der KI-Dienst nicht bloß allgemeine Kanzleiinfrastruktur ist, sondern unmittelbar ein konkretes Einzelmandat betrifft.

Der Datenschutz: Hier besteht eine echte Informationspflicht

Sobald personenbezogene Daten in ein KI-System fließen, greift die DSGVO – und die ist beim Thema Transparenz deutlicher als das Berufsrecht.

Konkret bedeutet das:

• Informationspflicht (Art. 13 DSGVO): Sie müssen den Mandanten darüber informieren, wer seine Daten erhält – also auch, dass ein KI-Dienstleister eingeschaltet wird. In der Praxis läuft das in aller Regel über die allgemeine Datenschutzinformation der Kanzlei, nicht über ein Extra-Gespräch in jedem Einzelfall.
• Auftragsverarbeitungsvertrag (Art. 28 DSGVO): Mit dem KI-Anbieter ist ein sogenannter AV-Vertrag zu schließen.
• Kein Training mit Ihren Daten: Achten Sie darauf, dass der Anbieter Ihre Eingaben nicht zum Training seiner Modelle verwendet.
• Drittland-Prüfung (Art. 44 ff. DSGVO): Bei US-Anbietern ist zu prüfen, wohin die Daten fließen; EU-Hosting ist vorzugswürdig.

Im Strafrecht kommt erschwerend hinzu: Daten zu Straftaten und Verurteilungen (Art. 10 DSGVO) und besondere Kategorien wie Gesundheitsdaten (Art. 9 DSGVO) genießen einen besonders strengen Schutz.

Der Anwaltsvertrag: Vertrauen und Haftung

Aus dem Mandatsvertrag folgt eine allgemeine Pflicht, die Interessen des Mandanten zu wahren. Und ganz wichtig: Der KI-Einsatz entlastet Sie haftungsrechtlich nicht. Sie bleiben für Ihre Arbeit voll verantwortlich.

Das ist mehr als Theorie. Es gibt inzwischen Fälle, in denen Schriftsätze frei erfundene Gerichtsentscheidungen enthielten, weil eine KP „halluziniert“ hatte – mit erheblichem Ansehensverlust für den betroffenen Anwalt. Jede von der KI gelieferte Fundstelle, jedes Zitat und jede Rechtsauskunft müssen Sie selbst überprüfen, bevor sie in einen Schriftsatz gelangen.

Der entscheidende Hebel: Anonymisierung vor dem Upload

Jetzt zum praktisch wichtigsten Punkt. Was passiert, wenn Sie die Daten vor der Eingabe anonymisieren?

Dann ändert sich die Bewertung grundlegend – aber nur bei echter Anonymisierung. Dabei kommt es auf einen sauberen Unterschied an:

• Echte Anonymisierung heißt: Ein Personenbezug lässt sich gar nicht oder nur mit unverhältnismäßigem Aufwand wiederherstellen. Solche Daten fallen aus dem Anwendungsbereich der DSGVO heraus (Erwägungsgrund 26). Für diesen Verarbeitungsvorgang entfallen dann die datenschutzrechtlichen Informations- und AV-Pflichten. Und weil kein geschütztes Geheimnis mehr offenbart wird, entschärfen sich auch § 43a BRAO und § 203 StGB.
• Pseudonymisierung genügt hingegen nicht. Wenn Sie nur den Namen durch ein Kürzel ersetzen, die Zuordnung über eine Liste aber wiederherstellbar bleibt, sind die Daten weiterhin personenbezogen – mit allen Pflichten.

Vorsicht ist bei der Wirksamkeit geboten: Es reicht nicht, nur den Namen zu schwärzen. Gerade markante Sachverhalte können eine Person auch ohne Namen identifizierbar machen – etwa durch eine ungewöhnliche Tatkonstellation, seltene Berufsbezeichnungen oder Ortsangaben. Der Maßstab ist streng; im Zweifel müssen auch solche individualisierenden Details entfernt oder verfremdet werden.

Der Kerngedanke:

Wer konsequent vor dem Upload anonymisiert – idealerweise mit einer spezialisierten Lösung, die diesen Schritt zuverlässig und wiederholbar erledigt -, nimmt dem gesamten Problem die Schärfe. Aus einer heiklen Übermittlung von Berufsgeheimnissen wird die harmlose Verarbeitung anonymer Texte.

Die drei Kernaussagen

1. Eine allgemeine Pflicht, Mandanten über jeden KI-Einsatz zu informieren, gibt es nicht – wohl aber datenschutzrechtliche Transparenzpflichten. Berufsrechtlich genügt regelmäßig die Einhaltung des § 43e BRAO; datenschutzrechtlich ist der KI-Dienstleister als Empfänger offenzulegen, üblicherweise über die Datenschutzinformation der Kanzlei.
2. Öffentliche Standard-KI und echte Mandantendaten passen nicht zusammen. Ohne AV-Vertrag, Trainingsausschluss, EU-Hosting und berufsrechtliche Verschwiegenheitsbindung ist die Eingabe von Namen, Aktenzeichen oder konkreten Sachverhalten hochriskant – bis hin zur Strafbarkeit nach § 203 StGB.
3.  Wirksame Anonymisierung ist der sicherste Weg. Echte Anonymisierung nimmt die Daten aus der DSGVO heraus und entschärft die berufsrechtliche Verschwiegenheitsproblematik. Bloße Pseudonymisierung reicht dafür nicht.

Handlungsempfehlung

Setzen Sie KI in Ihrer Kanzlei bewusst und dokumentiert ein – nicht nebenbei. Konkret:

1. Regeln Sie den KI-Einsatz transparent in Ihrer Mandatsvereinbarung und in einer internen Kanzlei-Richtlinie. Das schafft Vertrauen, deckt die Datenschutzpflichten ab und gibt Ihnen eine belastbare Grundlage, falls ein Mandant den KI-Einsatz ablehnt.
2. Trennen Sie strikt zwischen allgemeiner Nutzung (Recherche, Formulierungshilfe ohne Mandantenbezug) und der Verarbeitung echter Mandantendaten.
3. Anonymisieren Sie konsequent, bevor Daten das Haus verlassen – und verlassen Sie sich dabei nicht auf manuelles Schwärzen, sondern auf ein zuverlässiges, wiederholbares Verfahren.

So nutzen Sie die Vorteile der KI, ohne Ihre wichtigste berufliche Ressource aufs Spiel zu setzen: das Vertrauen Ihrer Mandanten.

______

Dieser Beitrag gibt den Stand der berufs- und datenschutzrechtlichen Diskussion wieder und ersetzt keine Rechtsberatung im Einzelfall. Da sich Rechtsprechung und Aufsichtspraxis zum KI-Einsatz dynamisch entwickeln, empfiehlt sich eine regelmäßige Überprüfung der eigenen Kanzleipraxis.