§ 203 StGB und Cloud-Dienste: was Berufsgeheimnisträger beachten müssen

Stand: 14. Oktober 2026

Kurz gesagt

Berufsgeheimnisträger dürfen Cloud- und IT-Dienstleistern Zugang zu Mandatsgeheimnissen gewähren, soweit das für die Dienstleistung erforderlich ist (§ 203 Abs. 3 StGB). Sie müssen den Dienstleister aber sorgfältig auswählen, in Textform zur Verschwiegenheit verpflichten und bei Diensten im Ausland ein vergleichbares Schutzniveau sicherstellen (§ 43e BRAO, § 62a StBerG). Die DSGVO gilt daneben weiter.

Was § 203 StGB schützt und wen er betrifft

§ 203 StGB stellt das unbefugte Offenbaren fremder Geheimnisse unter Strafe, die einer Person in einer bestimmten beruflichen Eigenschaft anvertraut oder sonst bekannt geworden sind. Zu den Berufen, die Absatz 1 nennt, gehören nach Nr. 3 Rechtsanwälte, Kammerrechtsbeistände, Patentanwälte, Notare, Verteidiger, Wirtschaftsprüfer, vereidigte Buchprüfer sowie Steuerberater und Steuerbevollmächtigte. Daneben nennt die Vorschrift unter anderem Ärzte, Berufspsychologen und staatlich anerkannte Sozialarbeiter. Die Strafandrohung in Absatz 1 lautet auf Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

Für Kanzleien stellt sich die Frage nicht erst bei der Cloud. Jede Fernwartung des Kanzleirechners, jede ausgelagerte Datensicherung, jeder Schreibdienst und jedes gehostete Postfach eröffnet einem Dritten zumindest die Möglichkeit, Mandatsgeheimnisse zur Kenntnis zu nehmen. Lange war unklar, ob schon das ein Offenbaren ist. Der Gesetzgeber hat diese Frage inzwischen ausdrücklich geregelt.

Mitwirkende Personen: was § 203 Abs. 3 und 4 StGB erlauben und verlangen

Nach § 203 Abs. 3 Satz 2 StGB dürfen Berufsgeheimnisträger fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit dieser Personen erforderlich ist. Mitwirkende Personen in diesem Sinne können auch externe IT-Dienstleister, Rechenzentren oder Anbieter von Kanzleisoftware sein. Dasselbe gilt, wenn sich diese ihrerseits weiterer mitwirkender Personen bedienen.

Die Erlaubnis hat zwei Grenzen. Erstens gilt sie nur, soweit der Zugang erforderlich ist. Ein Dienstleister, der für den Betrieb eines Servers keinen Einblick in Akteninhalte braucht, soll ihn auch nicht haben. Zweitens verlagert § 203 Abs. 4 StGB einen Teil der Verantwortung zurück: Strafbar macht sich auch der Berufsgeheimnisträger, der nicht dafür Sorge getragen hat, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde, wenn diese dann unbefugt ein Geheimnis offenbart (Absatz 4 Satz 2 Nr. 1). Die mitwirkende Person selbst ist nach Absatz 4 Satz 1 ebenfalls strafbar, wenn sie ein ihr so bekannt gewordenes Geheimnis unbefugt offenbart.

Für Steuerberater, Wirtschaftsprüfer und andere in § 203 Abs. 1 genannte Berufe gilt die strafrechtliche Regel gleichermaßen, denn sie knüpft nicht an einen bestimmten Beruf an, sondern an alle in Absatz 1 und 2 genannten Personen. Unterschiede ergeben sich erst im jeweiligen Berufsrecht, das die Zusammenarbeit mit Dienstleistern näher ausgestaltet. Wer in einer gemischten Kanzlei arbeitet, sollte deshalb die Anforderungen jedes beteiligten Berufsrechts prüfen und im Zweifel die strengere Anforderung zugrunde legen.

Praktisch heißt das: Die schriftliche Verpflichtung des Dienstleisters ist kein Formular für die Akte, sondern die Voraussetzung dafür, dass die Kanzlei selbst nicht haftet.

Berufsrecht: § 43e BRAO für Anwälte, § 62a StBerG für Steuerberater

Das Berufsrecht konkretisiert, wie die Zusammenarbeit mit Dienstleistern aussehen muss. Für Rechtsanwälte regelt das § 43e BRAO, für Steuerberater und Steuerbevollmächtigte § 62a StBerG mit weitgehend parallelem Aufbau. Die Kernpunkte:

Erforderlichkeit: Der Zugang zu geschützten Tatsachen darf nur eröffnet werden, soweit er für die Inanspruchnahme der Dienstleistung erforderlich ist (§ 43e Abs. 1 BRAO, § 62a Abs. 1 StBerG).
Sorgfältige Auswahl: Der Dienstleister ist sorgfältig auszuwählen. Kann die Einhaltung der Vertragspflichten nicht gewährleistet werden, ist die Zusammenarbeit unverzüglich zu beenden (Abs. 2).
Vertrag in Textform: Der Vertrag muss den Dienstleister unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichten, ihn auf die Kenntnisnahme beschränken, die der Auftrag erfordert, und regeln, ob er weitere Personen einbeziehen darf, die er dann ebenfalls in Textform verpflichten muss (Abs. 3).
Ausland: Bei Dienstleistungen, die im Ausland erbracht werden, ist der Zugang nur erlaubt, wenn der dortige Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, der Schutz der Geheimnisse gebietet das nicht (Abs. 4).

§ 43e BRAO enthält zusätzlich zwei Regeln, die Anwälte oft übersehen. Dient eine Dienstleistung unmittelbar einem einzelnen Mandat, ist der Zugang nur mit Einwilligung des Mandanten zulässig (Abs. 5). Und nach Abs. 8 bleiben die Vorschriften zum Schutz personenbezogener Daten unberührt.

Datenschutz läuft parallel und ist nicht dasselbe

Wer die straf- und berufsrechtlichen Anforderungen erfüllt, hat damit noch nicht die DSGVO erfüllt. Ein Cloud- oder Softwareanbieter, der personenbezogene Daten im Auftrag der Kanzlei verarbeitet, ist Auftragsverarbeiter, und es braucht einen Vertrag nach Art. 28 DSGVO. Die technischen Maßnahmen müssen nach Art. 32 DSGVO dem Risiko angemessen sein, und Übermittlungen in Drittländer sind nach Art. 44 DSGVO nur unter den Bedingungen des Kapitels V zulässig.

Die Datenschutzkonferenz hat das Verhältnis in ihrer Orientierungshilfe zur E-Mail deutlich formuliert: Dass eine Offenbarung straf- oder berufsrechtlich nicht verboten ist, bedeutet nicht automatisch, dass sie datenschutzrechtlich zulässig ist oder kein hohes Risiko besteht. Das Vorliegen eines Berufsgeheimnisses könne vielmehr ein Indiz für ein hohes Risiko sein. Für die Kanzlei heißt das: Bei der Auswahl eines Cloud-Dienstes sind zwei Prüfungen nötig, die sich überschneiden, aber nicht decken.

Prüfliste für die Auswahl eines Dienstleisters

Die folgenden Fragen fassen die Anforderungen aus § 203 StGB, § 43e BRAO beziehungsweise § 62a StBerG und der DSGVO zusammen. Lassen Sie sich die Antworten schriftlich geben und legen Sie sie zur Dokumentation der sorgfältigen Auswahl ab.

Frage	Bezug
Verpflichtet der Vertrag in Textform zur Verschwiegenheit, mit Belehrung über die strafrechtlichen Folgen?	§ 43e Abs. 3 Nr. 1 BRAO, § 203 Abs. 4 StGB
Ist der Zugang auf das beschränkt, was der Auftrag erfordert? Sieht der Anbieter Akteninhalte überhaupt im Klartext?	§ 43e Abs. 1 und 3 Nr. 2 BRAO
Welche Unterauftragnehmer gibt es, und sind sie ebenfalls in Textform verpflichtet?	§ 43e Abs. 3 Nr. 3 BRAO, Art. 28 Abs. 2 DSGVO
Wo werden die Daten verarbeitet, auch bei Unterauftragnehmern?	§ 43e Abs. 4 BRAO, Art. 44 DSGVO
Liegt ein Vertrag zur Auftragsverarbeitung vor?	Art. 28 Abs. 3 DSGVO
Sind Daten verschlüsselt, und ist jeder Zugriff protokolliert?	Art. 32 DSGVO
Werden Mandatsdaten für eigene Zwecke des Anbieters genutzt, etwa zum Trainieren von Modellen?	§ 43e Abs. 3 Nr. 2 BRAO, Art. 28 Abs. 3 lit. a DSGVO

Die Prüfliste ersetzt keine Prüfung im Einzelfall, insbesondere nicht, wenn eine Dienstleistung nur einem einzelnen Mandat dient und deshalb die Einwilligung des Mandanten nötig ist.

Wie kanzleifox diese Anforderungen berücksichtigt

kanzleifox ist ein Mandantenportal von hubfox für Kanzleien. Jede Kanzlei erhält eine eigene Datenbank und einen eigenen Schlüssel, Dokumente werden mit AES-256-GCM verschlüsselt abgelegt, und sensible Dokumente lassen sich zusätzlich im Browser Ende-zu-Ende verschlüsseln, sodass der Server sie nicht im Klartext sieht. Jede Aktion wird in einer Hash-Kette protokolliert, für die Kanzlei ist die Zwei-Faktor-Anmeldung Pflicht. Der Betrieb erfolgt in Deutschland, und der Vertrag zur Auftragsverarbeitung wird im Portal abgeschlossen. Er enthält eine eigene Klausel zur Verschwiegenheit nach § 203 StGB, nach der die beim Anbieter befassten Personen verpflichtet und belehrt sind.

Fragen beantworten wir unter kontakt@hubfox.de. Einen Überblick über das Produkt gibt die Startseite.

Häufige Fragen

Dürfen Anwälte Mandatsdaten in einer Cloud speichern?

Ja, soweit es für die Dienstleistung erforderlich ist und der Anbieter nach § 43e BRAO sorgfältig ausgewählt und in Textform zur Verschwiegenheit verpflichtet wurde. Daneben müssen die Anforderungen der DSGVO erfüllt sein, insbesondere ein Vertrag nach Art. 28 DSGVO.

Was gilt bei Cloud-Diensten mit Servern im Ausland?

Nach § 43e Abs. 4 BRAO und § 62a Abs. 4 StBerG ist der Zugang dann nur erlaubt, wenn der Schutz der Geheimnisse im Ausland dem Schutz im Inland vergleichbar ist, es sei denn, der Schutz der Geheimnisse gebietet das nicht. Für Drittländer außerhalb der EU gelten zusätzlich die Art. 44 ff. DSGVO.

Macht sich die Kanzlei strafbar, wenn ein Dienstleister Geheimnisse ausplaudert?

Nach § 203 Abs. 4 Satz 2 Nr. 1 StGB ist strafbar, wer nicht dafür Sorge getragen hat, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde, wenn diese dann unbefugt offenbart. Die Verpflichtung in Textform schützt deshalb auch die Kanzlei selbst.

Quellen

Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.