Lokale KI für Berufsgeheimnisträger (§203 StGB)

Timo Wevelsiep•Aktualisiert: 23.07.2026

Hinweis zum Inhalt: Versionen, Befehle und Preise können sich ändern. Bitte prüfen Sie kritische Schritte vor dem produktiven Einsatz eigenständig. Dieser Leitfaden ersetzt keine individuelle Beratung.

KI in Kanzlei oder Praxis DSGVO- und schweigepflichtkonform aufsetzen lassen? WZ-IT baut und betreibt lokale KI-Systeme, bei denen Mandanten- und Patientendaten das Haus nicht verlassen - aus einer Hand, DSGVO-konform. Managed KI ansehen

Für die meisten Unternehmen ist KI-Datenschutz eine Abwägung. Für Berufsgeheimnisträger ist er eine strafbewehrte Pflicht: Wo Anwaltsgeheimnis, ärztliche Schweigepflicht oder Steuergeheimnis gelten, ist der Umgang mit KI keine Kür. Dieser Artikel erklärt, warum Cloud-KI hier ausscheidet, wie lokale KI das Problem löst und was ein sauberes Setup ausmacht. Stand Juli 2026.

Inhaltsverzeichnis

Was Berufsgeheimnisträger besonders macht
Warum Cloud-KI hier ausscheidet
Lokale KI als Compliance-Lösung
Branchen im Überblick
Was ein sauberes Setup ausmacht

Was Berufsgeheimnisträger besonders macht

Bestimmte Berufe unterliegen nach §203 StGB einer strafbewehrten Schweigepflicht, die über die allgemeinen Datenschutzpflichten hinausgeht. Dazu zählen unter anderem Rechtsanwälte, Ärzte und Zahnärzte, Apotheker, Psychotherapeuten, Steuerberater, Wirtschaftsprüfer und Notare - sowie ihre berufsmäßig tätigen Gehilfen.

Für sie ist die unbefugte Offenbarung geschützter Informationen nicht nur ein Datenschutzverstoß, sondern eine Straftat. Das verändert die Ausgangslage beim KI-Einsatz grundlegend: Nicht „ist das datenschutzrechtlich vertretbar", sondern „ist ausgeschlossen, dass geschützte Informationen an Unbefugte gelangen" ist der Maßstab.

Warum Cloud-KI hier ausscheidet

Cloud-KI verarbeitet Eingaben auf den Servern eines externen Anbieters, häufig in einem Drittland. Für Berufsgeheimnisträger ist das doppelt problematisch: Es kann eine unbefugte Offenbarung im Sinne von §203 StGB darstellen und zugleich einen DSGVO-Verstoß, weil geschützte Daten ohne tragfähige Grundlage übermittelt werden.

Ein verbreiteter Trugschluss ist, ein Rechenzentrum in Deutschland löse das. Entscheidend ist aber nicht der Standort, sondern die Kontrolle: Ein US-Anbieter unterliegt US-Recht, auch mit Server in Frankfurt (siehe KI-Souveränität). Wo das Mandats-, Patienten- oder Steuergeheimnis schützt, ist Cloud-KI deshalb in der Regel keine Option.

Lokale KI als Compliance-Lösung

Die Lösung ist strukturell einfach: Die Daten verlassen das Haus nicht. Ein offenes Sprachmodell läuft auf eigener oder kontrollierter Infrastruktur, Anfragen und Dokumente werden lokal verarbeitet, und nichts geht an einen externen KI-Anbieter (siehe Was ist lokale KI?).

Damit bleibt die Schweigepflicht gewahrt - Patientendaten verlassen die Praxis nie, Mandatsunterlagen die Kanzlei nie. Der Wechsel weg von Cloud-KI lässt sich zudem im Verarbeitungsverzeichnis sauber begründen und dokumentieren. Für Wissenssysteme kommt eine Anforderung hinzu: Berechtigungen müssen technisch erzwungen werden, damit ein Mitarbeiter über die KI nur sieht, was er auch sonst sehen darf - der Weg dazu steht in RAG mit echten Berechtigungen.

Branchen im Überblick

Die Anforderungen ähneln sich, die Details unterscheiden sich je Beruf - vom Standesrecht bis zu sektorspezifischen Vorgaben. Für die einzelnen Branchen haben wir den KI-Einsatz konkret aufbereitet:

Im Gesundheitswesen regelt zusätzlich die Telematikinfrastruktur den Umgang mit Patientendaten, im Finanzsektor verlangen BaFin und EBA eine genaue Kontrolle über Auslagerungen - Gründe mehr, KI unter eigener Hoheit zu betreiben.

Was ein sauberes Setup ausmacht

Ein belastbares KI-Setup für Berufsgeheimnisträger besteht aus wenigen, klaren Bausteinen:

Lokales Modell auf kontrollierter Hardware - GPU-Server, Proxmox oder Bare Metal, nichts in der fremden Cloud.
Oberfläche mit Rechteverwaltung - Benutzer, Rollen und Gruppen, angebunden an das eigene Verzeichnis.
Technisch erzwungene Berechtigungen bei Wissenssystemen - nicht dem Modell per Prompt überlassen.
Protokollierung für die Nachweisführung, etwa über eine Observability-Schicht.
Dokumentation im Verarbeitungsverzeichnis.

Betrieb und Wartung dieses Stacks lassen sich als Managed Service auslagern, ohne die Datenhoheit abzugeben - genau das ist der Unterschied zwischen „KI verboten, zu riskant" und „KI im Rahmen der Schweigepflicht nutzbar gemacht".

Lieber betreiben lassen?

Sie möchten Lokale & Souveräne KI nicht selbst betreiben? WZ-IT übernimmt Einrichtung, Betrieb und Wartung - DSGVO-konform aus Deutschland.

Ai Server →

Häufig gestellte Fragen

Antworten auf die wichtigsten Fragen

Ja, aber nicht jede. Rechtsanwälte, Ärzte, Steuerberater, Psychotherapeuten und weitere Berufe nach §203 StGB unterliegen einer strengen Schweigepflicht. KI ist erlaubt, solange die geschützten Informationen nicht unbefugt offenbart werden. Genau das ist bei Cloud-KI das Problem - bei lokaler KI, die die Daten nicht aus dem Haus gibt, lässt sich der Einsatz dagegen sauber gestalten.

Weil die geschützten Daten an einen externen Anbieter übermittelt werden - häufig in ein Drittland. Für Berufsgeheimnisträger kann das eine unbefugte Offenbarung im Sinne von §203 StGB und zugleich einen DSGVO-Verstoß bedeuten. Wo Mandats-, Patienten- oder Steuergeheimnisse betroffen sind, ist Cloud-KI deshalb in der Regel keine Option.

Indem die Daten das Haus nicht verlassen. Ein offenes Sprachmodell läuft auf eigener oder kontrollierter Infrastruktur, Anfragen und Dokumente werden lokal verarbeitet, nichts geht an einen KI-Anbieter. Damit bleibt die Schweigepflicht gewahrt, und der Einsatz lässt sich im Verarbeitungsverzeichnis sauber dokumentieren.

Unter anderem Rechtsanwälte, Ärzte und Zahnärzte, Apotheker, Psychotherapeuten, Steuerberater, Wirtschaftsprüfer und Notare sowie deren berufsmäßig tätige Gehilfen. Für sie gilt eine strafbewehrte Schweigepflicht, die über die allgemeinen Datenschutzpflichten hinausgeht - und die den Einsatz von KI besonders sorgfältig zu gestalten verlangt.

Nicht automatisch. Entscheidend ist nicht der Serverstandort allein, sondern wer die Kontrolle über Anbieter und Infrastruktur hat. Ein US-Anbieter mit Rechenzentrum in Deutschland unterliegt weiter US-Recht. Souveränität - und damit die belastbare Grundlage für Schweigepflicht-Compliance - entsteht erst, wenn Anbieter und Infrastruktur unter eigener oder europäischer Kontrolle stehen.

Ein lokales Sprachmodell auf kontrollierter Hardware, eine Oberfläche mit Benutzer- und Rechteverwaltung, bei Wissenssystemen ein Retrieval-Service, der Berechtigungen technisch erzwingt, sowie eine Protokollierung für die Nachweisführung. Dazu die Dokumentation im Verarbeitungsverzeichnis. Betrieb und Wartung lassen sich als Managed Service auslagern, ohne die Datenhoheit abzugeben.