In einem Satz
§ 43a Abs. 2 BRAO verbietet die KI-Nutzung nicht — er verlangt, dass Mandatsdaten nur an Dienstleister gelangen, die vertraglich zur Verschwiegenheit verpflichtet sind, nicht mit Ihren Daten trainieren und diese nachvollziehbar in der EU verarbeiten.
Der Rechtsrahmen, sauber sortiert
Drei Normen greifen ineinander. § 43a Abs. 2 BRAO begründet die anwaltliche Verschwiegenheit, § 2 BORA konkretisiert sie berufsrechtlich, und § 203 StGB stellt die Verletzung von Privatgeheimnissen unter Strafe. Entscheidend ist die Frage: Ist die Eingabe von Mandatsdaten in einen KI-Dienst schon eine Offenbarung? Sie ist es, sobald die Daten einen Dritten erreichen, der nicht abgesichert ist. § 43e BRAO erlaubt aber ausdrücklich die Inanspruchnahme von Dienstleistern — sofern der Dienstleister zur Verschwiegenheit verpflichtet wird und die Verarbeitung im nötigen Rahmen bleibt. Die Frage „darf ein Anwalt ChatGPT nutzen" beantwortet sich damit von selbst: Ein privater Consumer-Account ohne Vertrag und ohne Trainings-Opt-out erfüllt § 43e nicht.
Was BRAK und DAV verlangen
Die Leitplanken von BRAK und DAV zur KI-Nutzung sind im Kern eindeutig, auch wenn sie sich mit der Technik fortentwickeln. Erwartet werden drei Dinge: ein Auftragsverarbeitungsvertrag (AVV) nach der DSGVO, ein vertraglich zugesichertes Trainings-Opt-out für Mandatsdaten und idealerweise ein Hosting innerhalb der EU. Fehlt eines dieser Elemente, ist der Einsatz berufsrechtlich angreifbar — unabhängig davon, wie gut das Werkzeug funktioniert.
Drei Prüffragen — und sieben an den Anbieter
Vor jedem Tool stellen Sie sich drei Fragen: Wer verarbeitet die Daten? Wo und wie lange? Wird mit Mandatsdaten trainiert? Wer diese drei nicht klar beantworten kann, sollte keine Akte anfassen.
An jeden Legal-KI-Anbieter richten Sie sieben Fragen:
- Liegt ein Auftragsverarbeitungsvertrag (AVV) nach der DSGVO vor?
- Sind alle Subprozessoren öffentlich gelistet?
- Wo genau stehen die Server?
- Wie lange werden Eingaben gespeichert?
- Ist der Ausschluss von Training mit Ihren Daten vertraglich zugesichert?
- Welche technischen Schutzmaßnahmen (Verschlüsselung, Zugriffskontrolle) greifen?
- Wie werden Sie über Änderungen der Subprozessoren informiert?
Die Haftung bleibt bei Ihnen
Kein Vertrag nimmt Ihnen die Ausgangskontrolle ab. KI-Systeme erfinden Fundstellen; Gerichte haben wiederholt klargestellt, dass die Prüfung von KI-Ausgaben zur anwaltlichen Sorgfalt gehört (siehe unseren Bericht zum KG Berlin). Jedes Zitat, jede Frist, jeder Aktenbezug gehört gegengeprüft — und die Prüfung dokumentiert. Seit dem 2. August 2026 gelten zudem die Transparenzpflichten aus Art. 50 EU AI Act; Verstöße gegen den AI Act können mit bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden.
Wie SmartLegalPro die Kriterien erfüllt
SmartLegalPro ist auf genau diesen Rahmen gebaut: EU-Hosting, kein Training mit Mandatsdaten und eine öffentliche Subprozessoren-Liste, die Sie jederzeit einsehen können. Premium-Modelle außerhalb der EU (Fable-Add-on) sind standardmäßig gesperrt und lassen sich nur nach ausdrücklichem Kanzlei-Opt-in freischalten, mit EU-Pinning wo möglich. Wie wir Daten verarbeiten, steht offen in der KI-Transparenz. Für den Umgang mit Klarnamen bietet das Anwaltsportal PII-Maskierung und PDF-Redaktion. Details für Kanzleien finden Sie unter /fuer-anwaelte — warum ein Consumer-Chatbot dafür nicht genügt, lesen Sie unter Warum nicht ChatGPT.
Muster-Kanzleirichtlinie in sieben Punkten
- Freigegebene Tools als Whitelist benennen; alles andere ist gesperrt.
- Kein Consumer-Account mit Mandatsdaten — nie.
- Vor Freischaltung AVV und Trainings-Opt-out prüfen und ablegen.
- Personenbezug maskieren, wo es der Anwendungsfall zulässt.
- Ausgangskontrolle und Zitat-Prüfung verbindlich dokumentieren.
- Mandanteninformation regeln; im Zweifel Einwilligung einholen.
- Subprozessoren und Verträge jährlich überprüfen.
Häufige Fragen
Darf ein Anwalt ChatGPT nutzen? Nur mit Auftragsverarbeitungsvertrag und vertraglichem Trainings-Opt-out. Ein privater Account erfüllt § 43e BRAO nicht.
Reicht ein AVV allein? Nein. Ohne Trainings-Opt-out und nachvollziehbaren Serverstandort bleibt der Einsatz angreifbar.
Muss der Mandant zustimmen? Das hängt vom Einzelfall ab. Diese Orientierung ersetzt keine Rechtsberatung — regeln Sie Information und Einwilligung in Ihrer Kanzleirichtlinie.
