KI und Schweigepflicht: Was Berufsgeheimnisträger beachten müssen

KI und Schweigepflicht ist für Ärztinnen, Rechtsanwälte, Steuerberaterinnen, Psychotherapeuten und andere Berufsgeheimnisträger ein besonders heikles Thema. Wer Mandanten- oder Patientendaten in einen KI-Dienst eingibt, offenbart möglicherweise ein fremdes Geheimnis. Das kann nicht nur datenschutzrechtliche, sondern auch strafrechtliche Folgen haben. Dieser Überblick ersetzt keine Rechtsberatung und keine Beratung durch Ihre Kammer.

Was § 203 StGB regelt

§ 203 Strafgesetzbuch stellt es unter Strafe, wenn bestimmte Berufsgruppen ein fremdes Geheimnis unbefugt offenbaren, das ihnen in ihrer beruflichen Rolle anvertraut wurde. Dazu gehören unter anderem Ärzte, Apotheker, Angehörige anderer Heilberufe, Berufspsychologen, Rechtsanwälte, Notare, Steuerberater, Wirtschaftsprüfer und bestimmte Beratungsstellen.

Seit einer Reform im Jahr 2017 dürfen Berufsgeheimnisträger Geheimnisse an sonstige Personen weitergeben, die an ihrer Tätigkeit mitwirken, etwa IT-Dienstleister, soweit das für deren Tätigkeit erforderlich ist. Voraussetzung ist, dass diese Dienstleister zur Geheimhaltung verpflichtet werden. Wer das versäumt, kann sich selbst strafbar machen, wenn der Dienstleister das Geheimnis unbefugt offenbart.

Berufsrechtliche Vorgaben

Für einzelne Berufe gibt es ergänzende Regeln, etwa § 43e der Bundesrechtsanwaltsordnung für Rechtsanwälte und § 62a des Steuerberatungsgesetzes für Steuerberater. Sie verlangen unter anderem eine sorgfältige Auswahl des Dienstleisters, einen Vertrag in Textform mit Verschwiegenheitsverpflichtung und besondere Prüfung, wenn der Dienstleister im Ausland sitzt. Mehrere Kammern haben Hinweise zum KI-Einsatz veröffentlicht; lesen Sie die Empfehlungen Ihrer Kammer.

Was das für KI-Dienste bedeutet

• Kostenlose Verbraucherkonten sind für Mandanten- und Patientendaten ungeeignet: Es fehlt meist ein Vertrag, der Verschwiegenheit und Auftragsverarbeitung regelt.
• Business- und Enterprise-Tarife können infrage kommen, wenn der Vertrag die berufsrechtlichen Anforderungen erfüllt. Prüfen Sie, ob der Anbieter eine Verschwiegenheitsverpflichtung eingeht.
• Spezialisierte Branchenlösungen sind oft auf diese Anforderungen ausgerichtet; trotzdem bleibt die Prüfung Ihre Pflicht.
• Lokal betriebene Modelle vermeiden die Weitergabe an Dritte vollständig, siehe KI lokal ausführen.

Der sicherste Weg: Daten entfernen

Auch die Datenschutzpflichten bleiben bestehen: Patientendaten sind Gesundheitsdaten und damit besonders geschützt (Art. 9 DSGVO), und für die Weitergabe an einen KI-Dienst braucht es zusätzlich einen Vertrag zur Auftragsverarbeitung. Schweigepflicht und Datenschutz sind zwei getrennte Prüfungen, die beide bestanden sein müssen.

Viele Aufgaben lassen sich ohne Geheimnisse erledigen. Ein Schriftsatz lässt sich sprachlich überarbeiten, wenn Namen, Aktenzeichen und Adressen durch Platzhalter ersetzt sind. Eine medizinische Fachfrage kann allgemein gestellt werden, ohne Patientendaten. Aber Vorsicht: Auch ohne Namen kann eine Person durch die Kombination von Alter, Ort, Beruf und seltener Diagnose erkennbar bleiben. Der Anonymisierer ersetzt typische Kennungen automatisch; seltene Einzelheiten müssen Sie selbst entfernen.

Überarbeite den folgenden Text sprachlich. Ändere keine Inhalte.
Platzhalter wie [Mandant], [Gegner] und [Datum] bleiben unverändert.

Checkliste für die Praxis

1. Festlegen, welche Daten niemals in externe KI-Dienste dürfen.
2. Nur Dienste mit Vertrag zur Auftragsverarbeitung und Verschwiegenheitsverpflichtung nutzen.
3. Datenstandort und mögliche Übermittlung ins Ausland prüfen (siehe Datenübermittlung in die USA).
4. Beschäftigte schulen und die Regeln schriftlich festhalten.
5. Bei Unsicherheit die eigene Kammer oder den Datenschutzbeauftragten fragen.

Branchenspezifische Hinweise finden Sie in den Ratgebern KI in der Kanzlei und KI in der Arztpraxis.