// Vorlagen und Wissen
ChatGPT in der Kanzlei: Schweigepflicht, DSGVO und was erlaubt ist
ChatGPT und andere Cloud-KI dürfen in der Kanzlei genutzt werden, aber nicht mit jedem Inhalt: Maßgeblich sind § 43a Abs. 2 und § 43e BRAO, § 203 StGB und die DSGVO. Der Entscheidungsbaum als PDF sagt dem Sekretariat in acht Fragen, ob ein Text hinein darf, Stand 09/2026.
Ohne Vertrag nach § 43e BRAO keine Mandatsinformationen in Cloud-KI, auch nicht geschwärzt. Mit Vertrag ist die Nutzung nach Auffassung des DAV zulässig, die BRAK ist strenger. Jedes Ergebnis prüft ein Mensch.
Aufbau:
- Seite 1: Entscheidungsbaum mit 8 Fragen, jede mit Ja und Nein, Ergebnisse Grün, Gelb, Rot.
- Frage 1 und 2: Mandatsinhalt oder andere personenbezogene Daten?
- Frage 3: lokal ohne Zugriff Dritter? Frage 4: Vertrag nach § 43e Abs. 3 BRAO? Frage 5: vollständig abstrakt möglich?
- Frage 6: Dienstleister im Ausland (§ 43e Abs. 4 BRAO), Frage 7 und 8: Einwilligung bei einzelnem Mandat (§ 43e Abs. 5 BRAO).
- Seite 2: drei durchgespielte Fälle einer fiktiven Kanzlei und ein Prüfbogen für eigene Fälle.
Was gilt: sechs Prüfschritte
- Mandatsbezug prüfen: Die Verschwiegenheit erfasst alles, was in Ausübung des Berufs bekannt wird (§ 43a Abs. 2 BRAO). Laut BRAK zählen auch der Name des Mandanten und die Tatsache, dass es ein Mandat gibt.
- Strafrecht kennen: Wer ein fremdes Geheimnis unbefugt offenbart, macht sich nach § 203 Abs. 1 Nr. 3 StGB strafbar. Nach § 203 Abs. 3 StGB dürfen Geheimnisse an mitwirkende Personen gehen, soweit erforderlich; Abs. 4 bestraft auch, wer nicht für deren Verpflichtung zur Geheimhaltung sorgt.
- Dienstleister einbinden: § 43e BRAO verlangt sorgfältige Auswahl, einen Vertrag in Textform mit Verschwiegenheit, Belehrung, Begrenzung der Kenntnisnahme und Regel zu Subunternehmern, bei Auslandsdiensten vergleichbaren Schutz.
- Datenschutz daneben prüfen: Rechtsgrundlage, Auftragsverarbeitungsvertrag nach Art. 28 und Übermittlung in Drittländer nach Art. 44 ff. DSGVO. § 43e Abs. 8 BRAO stellt klar, dass der Datenschutz unberührt bleibt.
- Abstrakt fragen statt schwärzen: Wo kein Vertrag besteht, bleibt nur die Frage ohne jeden Rückschluss auf das Mandat.
- Ergebnis prüfen: Jede Antwort wird vor Verwendung eigenverantwortlich kontrolliert, Fundstellen im Original (§ 43 BRAO; BRAK-Hinweise 12/2024).
Mandatsgeheimnis und Subunternehmerkette
Wer einen Text in einen Cloud-Dienst gibt, eröffnet dem Anbieter den Zugang dazu. Nach den BRAK-Hinweisen kommt es nicht darauf an, ob der Anbieter tatsächlich hineinsieht; es genügt, dass er die Möglichkeit dazu hat. Hinter dem Anbieter stehen meist weitere: Rechenzentren, Modellbetreiber, Support. § 43e Abs. 3 Nr. 3 BRAO verlangt deshalb, im Vertrag festzulegen, ob der Dienstleister weitere Personen heranziehen darf, und diese dann in Textform zur Verschwiegenheit zu verpflichten. Der DAV empfiehlt zusätzlich, das Training mit Mandatsdaten vertraglich auszuschließen, weil es die Schwelle der Erforderlichkeit nicht erreichen dürfte.
BRAK und DAV: zwei Lesarten
| Frage | BRAK-Hinweise 12/2024 | DAV-Stellungnahme 32/2025 |
|---|---|---|
| Mandatsdaten an Sprachmodelle wie ChatGPT | Übermittlung nach damaligem Stand nicht erforderlich, weil eine Nutzung auch ohne diese Daten möglich ist. | Mit einem nach § 43e BRAO ausgewählten und verpflichteten Dienstleister zulässig, auch ohne Einwilligung. |
| Anonymisieren | Wenn möglich anonymisieren; Namen entfernen reicht regelmäßig nicht. | Bei frei verfügbaren Anwendungen Pflicht zur vollständigen Anonymisierung; bei Dienstleistern mit § 43e-Vertrag keine allgemeine Pflicht. |
| Anbieter im Ausland | Anbieter mit Servern in Deutschland oder Europa bevorzugen, Vergleichbarkeit nicht abschließend geklärt. | Für EU-Staaten vergleichbarer Schutz unterstellt; für Drittstaaten Einzelprüfung. |
| Mandanten informieren | Beide: keine allgemeine berufsrechtliche Pflicht. Einwilligung nötig, wenn der Dienst unmittelbar einem einzelnen Mandat dient (§ 43e Abs. 5 BRAO). | |
Beide Papiere haben empfehlenden Charakter. Wer den strengeren Weg der BRAK geht, ist auf der sicheren Seite; wer dem DAV folgt, braucht einen belastbaren Vertrag und sollte ihn prüfen, bevor Daten fließen. Ob ein Anbieter einen Vertrag mit dem Inhalt nach § 43e Abs. 3 BRAO überhaupt anbietet, ist im Einzelfall zu klären.
Alternativen
- Geschäftsversionen von Cloud-Diensten mit Vertrag nach § 43e BRAO und Auftragsverarbeitungsvertrag, Ausschluss des Trainings und Serverstandort in der EU.
- Lokal laufende Modelle auf eigener Hardware: keine Übermittlung, dafür eigene Pflege und Grenzen bei der Modellgröße. Siehe Lokale KI für Kanzleien.
- Ohne KI: Für Fristen, Zustellungen und Einzelfallbewertungen ohnehin der Normalfall.
Viele Aufgaben, für die Texte heute in einen Chat kopiert werden, sind Sortieren, Zuordnen und Zusammenfassen. Das geht auch auf Rechnern in der Kanzlei. Wie viel Zeit allein der Posteingang kostet, zeigt der Posteingang-Zeitrechner. Was lokal an Hardware nötig ist, rechnet die Seite Lokale KI für Kanzleien.
Häufige Fragen zu ChatGPT in der Kanzlei
Ist ChatGPT DSGVO-konform?
Das lässt sich nicht pauschal sagen, es hängt von Version, Vertrag und Einsatz ab. Für die Kanzlei zählen zwei getrennte Prüfungen: Datenschutz nach DSGVO mit Rechtsgrundlage, Auftragsverarbeitungsvertrag nach Art. 28 und bei Übermittlung in die USA Art. 44 ff., und die Verschwiegenheit nach § 43a BRAO und § 203 StGB. Die zweite ist strenger, weil sie alle Mandatsinformationen erfasst, nicht nur personenbezogene Daten. Die BRAK wies im Dezember 2024 darauf hin, dass OpenAI damals nicht in der Liste des EU-US Data Privacy Framework stand. Prüfen Sie den aktuellen Stand selbst.
Darf ich Schriftsätze mit ChatGPT schreiben?
Als Formulierungshilfe ja, mit zwei Bedingungen. Erstens dürfen ohne Vertrag nach § 43e BRAO keine Mandatsinformationen hinein, die frei verfügbaren Versionen brauchen also eine vollständig abstrakte Eingabe. Zweitens bleibt die eigenverantwortliche Prüfung: Die BRAK verlangt eine Endkontrolle durch die Anwältin oder den Anwalt, der DAV verlangt, Belegstellen vollständig zu prüfen, auch ohne konkreten Verdacht auf Halluzinationen. Ein Schriftsatz, der ungeprüft aus dem Chat ans Gericht geht, verletzt die Pflicht zur gewissenhaften Berufsausübung nach § 43 BRAO.
Was ist mit anonymisierten Daten?
Echte Anonymisierung hilft, ist aber schwerer als gedacht. Die BRAK schreibt, dass es regelmäßig nicht reicht, Namen und Anschriften zu entfernen, wenn sich das Mandat aus dem Zusammenhang ergibt. Ein seltener Sachverhalt, ein Ort, ein Datum und eine Branche genügen oft, um Beteiligte zu erkennen. Für frei verfügbare Werkzeuge verlangt auch der DAV eine vollständige vorherige Anonymisierung. Praktisch heißt das: Stellen Sie die Rechtsfrage abstrakt, statt ein Dokument zu schwärzen und hochzuladen. Im Zweifel gilt der Inhalt als nicht anonym.
Gibt es eine Alternative ohne Cloud?
Ja. Sprachmodelle lassen sich lokal auf einem Rechner in der Kanzlei betreiben. Dann verlassen die Daten das Haus nicht, und solange kein Hersteller oder Dienstleister Zugriff hat, stellt sich die Frage nach § 43e BRAO nicht. Der Preis dafür: eigene Hardware, Pflege und in der Regel kleinere Modelle als bei den großen Cloud-Diensten. Für Sortieren, Zusammenfassen und Entwürfe reicht das oft, für schwierige Recherche weniger. Was an Hardware nötig ist und was sie über drei Jahre kostet, zeigt der Rechner auf der Seite zu lokaler KI.
Verwandte Vorlagen und Seiten
Quellen
- BRAK: Hinweise zum Einsatz von künstlicher Intelligenz, Stand 12/2024, Nr. 2.1, 3, 3.1, 3.2, 3.3, 4; abgerufen 23.09.2026
- DAV: Initiativ-Stellungnahme 32/2025, Abschnitte II, IV.2 c), e), f), g); abgerufen 23.09.2026
- § 43a BRAO, § 43e BRAO, § 43 BRAO, § 203 StGB, abgerufen 23.09.2026
- DSGVO, Art. 6, 28, 44 ff.
- DSK: Orientierungshilfe Künstliche Intelligenz und Datenschutz, Mai 2024 (von der BRAK zitiert)
Tobias Verheyden, Verheyden Tech, Hildesheim. Stand 09/2026
Fachliche Gegenlese: steht noch aus.
Muster und Informationen für Rechtsanwältinnen und Rechtsanwälte, Prüfung im Einzelfall bleibt beim Anwender.
Änderungsprotokoll
- 23.09.2026: Erstfassung