§ 43e BRAO: Checkliste für den Cloud-Vertrag

Eine Geheimhaltungsvereinbarung nach § 43e BRAO ist der Vertrag, mit dem eine Kanzlei einen externen Dienstleister auf die anwaltliche Verschwiegenheit verpflichtet. Sie muss vier Dinge kumulativ leisten: Textform, Verschwiegenheitsverpflichtung mit Belehrung über die strafrechtlichen Folgen, Beschränkung des Zugangs auf das erforderliche Maß und die Verpflichtung der Subunternehmer. Fehlt einer dieser Punkte, genügt die Vereinbarung der Norm nicht.

Wer die aktuellen KI-Modelle in der eigenen Kanzlei einsetzen will, findet in AWS Bedrock mit EU-Hosting eine tragfähige technische Grundlage. Berufsrechtlich belastbar wird der Einsatz aber erst durch das passende Vertragswerk, und die erste Hürde dabei ist die Geheimhaltungsvereinbarung.

Vier Anforderungen, die zusammen gelten

Zentrale Norm ist § 43e BRAO. Nach Absatz 3 muss der Vertrag mit dem Dienstleister vier Dinge leisten, und zwar kumulativ.

1. Textform. Die Vereinbarung muss in Textform geschlossen werden. Eine mündliche Zusicherung im Vertriebsgespräch genügt nicht, und ein allgemeiner Verweis auf Standardbedingungen ersetzt die Vereinbarung nicht.

2. Verschwiegenheitsverpflichtung mit Belehrung. Der Dienstleister ist zur Verschwiegenheit zu verpflichten, und diese Verpflichtung ist mit einer Belehrung über die strafrechtlichen Folgen einer Verletzung zu verbinden. Der zweite Teil wird in der Praxis am häufigsten übersehen. Eine Verschwiegenheitsklausel ohne Belehrung erfüllt die Norm nicht, auch wenn sie inhaltlich streng formuliert ist.

3. Need-to-Know. Der Zugang zu Mandantendaten ist auf das erforderliche Maß zu beschränken. Das ist die Stelle, an der Vertrag und Technik ineinandergreifen: Die vertragliche Zusage entfaltet erst dann Wirkung, wenn die Zugriffsrechte im System sie abbilden — technisch etwa über die Härtung des AWS-Kontos.

4. Subunternehmer. Der Anbieter muss sicherstellen, dass er seine Subunternehmer ebenfalls in Textform verpflichtet. Bei einem Cloud-Anbieter ist das kein Randthema, sondern die Kette, an deren Ende der eigentliche Betrieb stattfindet.

Wer diese vier Punkte als Prüfliste an einen vorgelegten Vertragsentwurf anlegt, erkennt schnell, ob das Dokument für eine Kanzlei gebaut wurde oder für ein Industrieunternehmen mit anderen Vertraulichkeitsanforderungen. Ob eine konkrete Vereinbarung im Einzelfall genügt, ist eine Frage der jeweiligen Ausgestaltung und lässt sich nicht pauschal beantworten.

Der überraschende Befund

Die Einrichtung begleite ich derzeit für die ersten Kanzleien, und die Geheimhaltungsvereinbarung haben wir gemeinsam genommen. Überraschend war dabei nicht der Inhalt, sondern der Weg: Einen eingespielten Prozess für die nach § 43e BRAO erforderliche Vereinbarung gibt es bei Amazon bislang offensichtlich nicht.

Dabei geht es nicht um eine exotische Sonderanforderung, sondern um die Norm, die für jede deutsche Kanzlei gilt, die einen externen Dienstleister mit Zugang zu Mandantendaten einsetzt. Ein Anbieter dieser Größenordnung hätte für einen häufig nachgefragten Vertragsbaustein einen Standardweg.

Es brauchte einiges Hin und Her, bis die Anforderungen beider Seiten sauber abgebildet waren. Dass es am Ende funktioniert hat, lag an der individuellen Betreuung durch Kundenservice und Rechtsabteilung. Der Abschluss und die erste Einrichtung waren nach der Verhandlung dann vergleichsweise schnell erledigt. Das Ergebnis ist also erreichbar. Es ist nur noch keine Routine.

Was das über den Markt sagt

Für die direkte Nutzung aktueller Frontier-Modelle gibt es für Kanzleien nur wenige Alternativen. Technisch lässt sich der Verarbeitungsort dabei über das Inferenzprofil verriegeln; die Vertragsfrage bleibt davon unberührt. Wenn der zuständige Anbieter für die berufsrechtliche Standardanforderung keinen eingespielten Prozess hat, dann liegt der Schluss nahe, dass diese Anforderung bisher selten gestellt wurde.

Meine Lesart: Deutsche Kanzleien nutzen KI bisher überwiegend punktuell, über bekannte Tools und Wrapper, bei denen die Vertragsfrage entweder vom Zwischenanbieter gelöst oder schlicht nicht gestellt wird. Der Schritt, KI nicht als Werkzeug neben der Kanzleisoftware, sondern als Grundlage der gesamten Arbeit einzusetzen, wird noch selten gegangen. Genau dieser Schritt ist es aber, der die Vertragsfrage unausweichlich macht, denn ein Wrapper verschiebt die Verantwortung nicht, er verdeckt sie nur.

Ich lasse mich hier gern korrigieren, denn diese Deutung stützt sich auf einen einzelnen Befund. Wer denselben Prozess erlebt hat, mit demselben oder mit einem anderen Ergebnis, hat die wertvollere Information.

Für Kanzleien, die vor derselben Frage stehen, ist die praktische Konsequenz jedenfalls klar: Die Vertragsgestaltung gehört an den Anfang des Projekts und nicht ans Ende. Sie dauert länger als die technische Einrichtung, und sie entscheidet darüber, ob die technische Einrichtung überhaupt genutzt werden darf. Was dabei sonst noch zu klären ist, steht in den häufigen Fragen.