§ 43e BRAO: IT- und KI-Dienstleister einbinden, mit Prüfliste für die Auswahl

Wer Fernwartung, Cloud, Datensicherung oder KI-Dienste nutzt, braucht nach § 43e BRAO einen Vertrag in Textform mit Verschwiegenheitsverpflichtung und Belehrung über die Strafbarkeit. Hier finden Sie eine Prüfliste mit 10 Fragen für die Auswahl; das Word-Muster folgt nach fachlicher Gegenlese. Stand 09/2026.

Das Muster zum Herunterladen folgt, sobald eine Anwaltskanzlei es fachlich gegengelesen hat. Checklisten und Rechenhilfen auf dieser Seite stehen schon bereit.

Arbeitshilfe für Rechtsanwältinnen und Rechtsanwälte, keine Rechtsberatung. Vor Verwendung anwaltlich prüfen und an den Einzelfall anpassen.

Verpflichtung zur Verschwiegenheit für Dienstleister

So binden Sie einen Dienstleister nach § 43e BRAO ein

1. Zugang prüfen: Braucht der Dienstleister für seine Leistung überhaupt Einsicht in Mandatsdaten? Zugang ist nur erlaubt, soweit er für die Dienstleistung erforderlich ist (§ 43e Abs. 1 BRAO). Schon die Möglichkeit der Kenntnisnahme zählt (BRAK-Hinweise zum KI-Einsatz, Stand 12/2024, Nr. 3.2).
2. Sorgfältig auswählen: Gehen Sie die Prüfliste mit dem Anbieter durch und legen Sie sie zur Akte (§ 43e Abs. 2 Satz 1 BRAO).
3. Verpflichtung aufsetzen: Parteien, Hauptvertrag, Art der Leistungen, möglicher Zugang und Ort der Leistung.
4. Pflichtinhalte prüfen: Verschwiegenheit mit Belehrung, Kenntnisnahme nur soweit erforderlich, Regelung zu weiteren Personen (§ 43e Abs. 3 Satz 2 Nr. 1 bis 3 BRAO). Textform genügt.
5. Ausland klären: Wird die Leistung ganz oder teilweise im Ausland erbracht, muss der Geheimnisschutz dort vergleichbar sein (§ 43e Abs. 4 BRAO).
6. Weitere Personen verpflichten lassen: Techniker und Unterauftragnehmer unterschreiben Anlage 2. Die Strafbarkeit ergibt sich aus § 203 Abs. 4 StGB.
7. Ablegen und nachhalten: Vereinbarung, Prüfliste und AV-Vertrag gemeinsam aufbewahren, jährlich prüfen. Ist die Einhaltung nicht gewährleistet, beenden Sie die Zusammenarbeit unverzüglich (§ 43e Abs. 2 Satz 2 BRAO).

Eigene Beschäftigte der Kanzlei sind unabhängig davon nach § 43a Abs. 2 Satz 4 BRAO in Textform zu verpflichten und über die strafrechtlichen Folgen zu belehren. Typische Fehler: nur einen AV-Vertrag abschließen, die Fernwartungsfirma vergessen, KI-Dienste ohne Blick auf Unterauftragnehmer und Serverstandort freigeben.

Häufige Fragen zu § 43e BRAO

Wann gilt ein Softwareanbieter als Dienstleister nach § 43e?

Dienstleister ist nach § 43e Abs. 1 Satz 2 BRAO jede andere Person oder Stelle, die die Kanzlei im Rahmen ihrer Berufsausübung mit Dienstleistungen beauftragt. Entscheidend ist, ob der Anbieter Zugang zu Mandatsgeheimnissen erhält. Nach den BRAK-Hinweisen zum KI-Einsatz (Stand 12/2024) genügt schon die Möglichkeit der Kenntnisnahme. Das trifft auf Cloud-Hosting, Fernwartung und Support mit Bildschirmfreigabe zu. Läuft eine Software nur auf den Rechnern der Kanzlei und hat der Hersteller keinerlei Zugriff, fehlt dieser Zugang. Kommen Einrichtung oder Support in der Kanzlei hinzu, gilt § 43e wieder.

Reicht ein AV-Vertrag nach DSGVO?

Nein. Der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO schützt personenbezogene Daten. § 43e BRAO schützt das Mandatsgeheimnis, auch Tatsachen ohne Personenbezug, und verlangt eigene Inhalte: Verpflichtung zur Verschwiegenheit mit Belehrung über die Strafbarkeit, Beschränkung der Kenntnisnahme und eine Regelung zu weiteren Personen. § 43e Abs. 8 BRAO stellt klar, dass der Datenschutz daneben unberührt bleibt. Beides kann in einem Dokument stehen, wenn alle Pflichtinhalte enthalten sind.

Was gilt bei Anbietern mit Servern in den USA?

Bei Leistungen im Ausland erlaubt § 43e Abs. 4 BRAO den Zugang nur, wenn der dortige Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, der Schutz der Geheimnisse gebietet dies nicht. Die BRAK hält in ihren Hinweisen zum KI-Einsatz (Stand 12/2024) für nicht abschließend geklärt, ob dafür auf das Datenschutzniveau abgestellt werden kann, und empfiehlt, Anbieter mit Serverstandort in Deutschland oder Europa zu bevorzugen. Prüfen Sie nicht nur den Serverstandort, sondern auch, von wo aus Support und Unterauftragnehmer arbeiten.

Muss jede Hilfskraft des Dienstleisters einzeln verpflichtet werden?

Die Kanzlei muss im Vertrag festlegen, ob der Dienstleister weitere Personen heranziehen darf, und ihm dann auferlegen, diese in Textform zur Verschwiegenheit zu verpflichten (§ 43e Abs. 3 Satz 2 Nr. 3 BRAO). Eigene Beschäftigte des Dienstleisters sollten ausdrücklich einbezogen werden, damit keine Lücke bleibt. In der Praxis unterschreibt jede Person mit möglichem Zugang eine eigene Erklärung, zum Beispiel nach Anlage 2. Versäumt der Dienstleister das und offenbart die Person ein Geheimnis, kann er sich selbst strafbar machen (§ 203 Abs. 4 Satz 2 Nr. 2 StGB).

Verwandte Vorlagen

• ChatGPT und Schweigepflicht: was Kanzleien in KI-Chats eingeben dürfen.
• Lokale KI in der Kanzlei: wann Daten das Haus gar nicht erst verlassen.

Quellen

• § 43e BRAO, § 43a BRAO, §§ 203, 204 StGB: gesetze-im-internet.de, abgerufen 23.09.2026.
• Bundesrechtsanwaltskammer: Hinweise zum Einsatz von künstlicher Intelligenz (KI), Stand Dezember 2024, Nr. 3.1 bis 3.3, abgerufen 23.09.2026.

Tobias Verheyden, Verheyden Tech, Hildesheim.
Fachliche Gegenlese: steht noch aus.
Änderungsprotokoll: 23.09.2026 Erstfassung.