Ein verbreitetes Missverständnis: «Ich habe doch einen AVV»
Ein Auftragsverarbeitungsvertrag (AVV, englisch DPA, nach Art. 28 DSGVO) regelt den Datenschutz. Das Berufsgeheimnis ist eine zweite, eigene Baustelle:
| AVV / DPA (DSGVO) | Verschwiegenheitsverpflichtung (z. B. § 203 StGB, § 43e BRAO) | |
|---|---|---|
| Schützt | Personenbezogene Daten | Alles, was dir beruflich anvertraut wurde – auch Firmengeheimnisse ohne Personenbezug |
| Wer haftet | Verantwortlicher und Auftragsverarbeiter (Bussgeld, Schadenersatz) | Du persönlich (in Deutschland strafrechtlich, dazu Berufsrecht) |
| Typischer Inhalt | Weisungen, technische und organisatorische Massnahmen, Subprozessoren, Drittland | Verpflichtung zur Verschwiegenheit, Belehrung über die Strafbarkeit, Zugriff nur soweit erforderlich, Weitergabe der Pflicht an Subunternehmer |
| Bei grossen KI-Anbietern | Meist Standard, online abschliessbar | Selten öffentlich, oft nur auf Anfrage oder über Cloud-Plattformen |
Kurz: AVV ja – aber ohne Verschwiegenheitsverpflichtung ist es in Deutschland nur die halbe Miete.
Wer ist betroffen – und was gilt wo?
Vereinfachte Übersicht. Die Rechtslage ist teils nicht gerichtlich geklärt; Kammern vertreten unterschiedlich strenge Linien.
🇩🇪 Deutschland
- § 203 StGB: Ärztinnen, Anwälte, Notare, Steuerberaterinnen, Wirtschaftsprüfer und weitere Berufe dürfen Dienstleister («mitwirkende Personen») einbinden – soweit erforderlich und nur, wenn sie diese zur Verschwiegenheit verpflichtet haben (§ 203 Abs. 3 und 4).
- § 43e BRAO, § 62a StBerG, § 26a BNotO: Vertrag in Textform, Belehrung über die strafrechtlichen Folgen, Zugriff nur soweit nötig, Subunternehmer verpflichten. Dienstleister im Ausland nur mit vergleichbarem Geheimnisschutz. Für Dienste, die unmittelbar einem einzelnen Mandat dienen, braucht es zusätzlich die Einwilligung der Mandantin (Anwälte und Steuerberater; Notare: Einwilligung für das einzelne Amtsgeschäft).
- Der BRAK-Leitfaden (12/2024) ist streng: Mandatsgeheimnisse an Sprachmodelle zu übermitteln, sei nach damaligem Stand regelmässig nicht erforderlich. In der Fachdiskussion werden auch grosszügigere Linien vertreten. Unsere Empfehlung: Plane konservativ.
🇦🇹 Österreich
- Anwälte (§ 9 RAO) und Notare (§ 37 NO): Die Verschwiegenheit gilt auch für Hilfskräfte – du musst sie verpflichten und kontrollieren. Ob und wie weit externe IT- und KI-Dienstleister darunter fallen, ist im Einzelfall zu beurteilen. Plane vorsichtshalber so, als wären sie erfasst.
- Strafrechtlich (§ 121 StGB) erfasst sind vor allem Gesundheitsberufe und Versicherungen – Anwälte und Notare nicht. Konsequenzen drohen dort über Disziplinar-, Zivil- und Datenschutzrecht.
🇱🇮 Liechtenstein
- § 121 StGB erfasst unter anderem Rechtsanwälte, Notare, Treuhänder, Wirtschaftsprüfer, Patentanwälte und Gesundheitsberufe – Hilfskräfte sind gleichgestellt. Verfolgung auf Verlangen der verletzten Person.
- Dazu Standesrecht (z. B. Art. 15 RAG) und, als EWR-Staat, die DSGVO.
🇨🇭 Schweiz
- Art. 321 StGB: Anwälte, Notare, Ärzte, Revisoren und weitere Berufe sowie ihre Hilfspersonen – ein Cloud- oder KI-Dienstleister kann Hilfsperson sein. Gefragt sind sorgfältige Auswahl, vertragliche Geheimhaltung und Kontrolle.
- Datenschutz: nDSG (Auftragsbearbeitung Art. 9, Bekanntgabe ins Ausland Art. 16).
Für alle: Gehen Personendaten in die USA, brauchst du eine Transfergrundlage nach DSGVO bzw. nDSG (z. B. Data Privacy Framework oder Standardvertragsklauseln). Das ist Datenschutz – das Berufsgeheimnis kommt zusätzlich.
Selbstcheck – 6 Fragen, 3 Minuten
Der Check läuft nur in deinem Browser. Es wird nichts gespeichert und nichts übertragen.
Die drei Ergebnisse
- 🟢 Passt. Du nutzt KI nur ohne Geheimnisse, oder alle sechs Häkchen sind gesetzt und ZDR ist bestätigt. Tipp: Lege die Unterlagen in einen Ordner «KI-Compliance» und prüfe ihn einmal pro Jahr – Anbieter ändern ihre Bedingungen laufend.
- 🟡 Handlungsbedarf. Du nutzt einen Business- oder API-Zugang, aber es fehlt mindestens ein Dokument (meist die Verschwiegenheitsverpflichtung oder die Subunternehmer-Kette), oder ZDR ist unklar. Das ist meist lösbar: richtigen Bezugsweg wählen, Zusatzvereinbarung anfragen, Einstellungen dokumentieren.
- 🔴 Stopp & sprich mit uns. Geheimnisse landen in einer Consumer-App, bei einem Anbieter ohne AVV oder in einem Drittland ohne Schutz (z. B. bei gehosteten Diensten mit Speicherung in China). Hör damit bis zur Klärung auf und hol dir Unterstützung – zur Aufarbeitung zuerst bei deiner Kammer bzw. deiner Rechtsberatung.
So wird ausgewertet
- Frage 1 «Kein Berufsgeheimnisträger»: Datenschutz reicht meist – AVV und Drittland-Transfer prüfen. Mehr dazu: Welche Daten gehören nie in den Chat?.
- Frage 2 «Nur Allgemeines»: 🟢 Passt. Regle trotzdem Accountdaten, Metadaten und versehentliche Uploads.
- Frage 3 «Consumer-Version oder privater Account»: 🔴. Bei Selbst-Hosting geht es direkt mit Frage 6 weiter.
- Frage 4 «Nein, oder ich weiss es nicht»: 🟡 Sprich mit uns. Standard ist meist eine Speicherung von bis zu 30 Tagen zur Missbrauchsprüfung.
- Frage 5 «Teilweise oder von Hand»: höchstens 🟡. «Nein»: Der Vertrag (Frage 6) ist dann Pflicht.
- Frage 6: Fehlt der AVV, ist das Ergebnis 🔴. Fehlt ein anderes Häkchen, ist es 🟡. 🟢 gibt es mit allen sechs Häkchen und bestätigtem ZDR (bzw. bei Selbst-Hosting).
Lass uns deine Antworten gemeinsam durchgehen: Erstgespräch vereinbaren.
Welcher Anbieter bietet was?
Stand: 3. November 2026. Momentaufnahme aus öffentlichen Unterlagen der Anbieter. Bedingungen ändern sich oft – prüf vor Vertragsschluss den aktuellen Stand.
| Anbieter / Weg | ZDR | AVV/DPA | EU-Hosting | Training mit deinen Daten | § 203-Zusatz | Hinweis |
|---|---|---|---|---|---|---|
| Anthropic (Claude API direkt) | Auf Anfrage, nicht für alle Funktionen | Bitte beim Anbieter bestätigen lassen | Nein (global/US) | Nein (kommerziell) | Nicht öffentlich dokumentiert, bitte beim Anbieter anfragen | EU-Region über AWS oder Google Cloud |
| OpenAI (API / Enterprise) | Nach Freigabe | Ja | Ja (EU-Datenresidenz, mit Bedingungen) | Nein (Business-Standard) | Nicht öffentlich dokumentiert, bitte beim Anbieter anfragen | Alternative: Azure |
| xAI (Grok API) | Ja, im Team aktivierbar | Ja – setzt ZDR für Personendaten voraus | Nicht öffentlich dokumentiert | Nein (ohne Erlaubnis) | Nicht öffentlich dokumentiert, bitte beim Anbieter anfragen | Transfer in die USA |
| Cursor (Coding) | Ja, über den Privacy Mode | Bitte beim Anbieter anfragen | Nicht öffentlich dokumentiert | Nein (Privacy Mode) | Nicht öffentlich gefunden | Für Code, nicht für Akten |
| DeepSeek (gehostet) | Nein | Nicht gefunden | Nein – Speicherung in China | Ja (Opt-out) | Nein | Für Berufsgeheimnisse ungeeignet |
| Mistral (API) | Auf Antrag, nur zustandslose Endpunkte | Ja (online) | Ja (Standard EU) | Opt-out möglich; Standard beim Anbieter bestätigen | Nicht öffentlich dokumentiert, bitte beim Anbieter anfragen | Modelle auch selbst hostbar |
| Google Cloud (Vertex AI) | Erreichbar mit Konfiguration | Ja | Ja (regionaler Endpunkt) | Nein | Ja – Professional Secrecy Addendum (Deutschland), auf Anfrage beim Anbieter | Websuche (Grounding), Caching und Logging prüfen |
| Selbst gehostet (z. B. Hetzner und Open-Weight-Modell) | Du steuerst es | Ja (mit dem Hoster) | Ja | Nein | Mit dem Hoster klären | Betrieb liegt bei dir |
Merke: «Kein Training» heisst nicht «keine Speicherung». Und «EU-Hosting» heisst nicht «Berufsgeheimnis geregelt».
Gut zu wissen: Manche Anbieter bieten eine § 203-Zusatzvereinbarung nur auf Anfrage an – und teils nur für juristische Personen, nicht für Einzelunternehmer. Wenn du allein oder als Einzelunternehmen arbeitest, klär das vor dem Vertragsabschluss.
Und was ist mit dem «Harness»?
Ein Harness ist die Software-Schicht um ein Modell: Agent, Werkzeuge, Dateizugriff. Beispiel: Die Open-Source-App «DeepSeek Harness» schickt im Standardmodus Sitzungsdaten an DeepSeek-Server in China. Mit einem eigenen Modell-Endpunkt speichert sie Ein- und Ausgaben laut Datenschutzhinweis nicht serverseitig. Konto- und Telemetriedaten solltest du vor dem Einsatz in der Kanzlei trotzdem prüfen.
Für den Schutz zählt also immer: Wohin gehen die Daten am Ende? Wie du KI-Agents in deiner Organisation absicherst – Inventar, Rechte, Freigaben, Protokoll –, zeigen wir im Security Harness.
Option 1 – Selbst hosten (z. B. bei Hetzner)
Wenn du keinen US-Anbieter einbinden willst, kannst du ein offenes Modell (z. B. von Mistral, Meta, Qwen oder DeepSeek – als Download, nicht als Cloud-Dienst) auf einem eigenen GPU-Server betreiben. Der Modellhersteller sieht dann nichts; dein Dienstleister ist der Hoster.
Beispiel-Server bei Hetzner (Listenpreise auf hetzner.com, Stand: 3. November 2026, exkl. MwSt.):
| Server | GPU-Speicher | Standort | Pro Monat | Einrichtung | Grob geeignet für* |
|---|---|---|---|---|---|
| GEX45 | 24 GB | Helsinki (FI) | € 214 | € 209 | Kleinere Modelle, Einzelperson oder kleines Team |
| GEX63 | 96 GB | Helsinki (FI) | € 999 | € 999 | Modelle der 70-Milliarden-Klasse (quantisiert) |
| GEX131 | 96 GB, mehr Arbeitsspeicher | Helsinki (FI) / Falkenstein (DE) | ab € 1'499 | € 1'499 | Wie GEX63, mehr Reserven |
| GEX430 | 4 × 96 GB | Helsinki (FI) | € 3'599 | € 3'599 | Grosse offene Modelle, mehrere Teams |
* Faustregel, keine Leistungszusage. Vor dem Entscheid mit eigenen Dokumenten testen. Laufzeit und weitere Konditionen findest du im Hetzner-Angebot.
Gut: EU-Standort, kein Training, freie Modellwahl, planbare Kosten.
Ehrlich: Du (oder wir) betreibst den Server – Updates, Zugriffsschutz, Backups, Logs. Offene Modelle sind bei manchen Aufgaben schwächer als die grossen Cloud-Modelle. Und auch mit dem Hoster brauchst du einen AVV und eine Verschwiegenheitsregelung.
Wie eine eigene KI-Arbeitsumgebung für dein Team aussehen kann: Own Your Intelligence.
Option 2 – Anonymisieren, bevor es rausgeht
Namen, Adressen, IBAN und Aktenzeichen automatisch durch Platzhalter ersetzen – erst dann an das Modell. Mögliche Bausteine:
- Presidio (Open Source, ursprünglich von Microsoft, heute unter github.com/data-privacy-stack/presidio): erkennt und ersetzt Personendaten. Für Deutsch braucht es deutsche Sprachmodelle für die Namenserkennung und eigene Erkennungsregeln, z. B. für AHV-Nummern oder Aktenzeichen.
- Google Sensitive Data Protection: De-Identifikation per API für deine laufenden Prompts. Mit Discovery für Vertex AI lassen sich zudem Trainings- und Tuning-Daten in Google Cloud auf sensible Inhalte scannen. Achtung: Discovery prüft nur gespeicherte Datensätze, nicht deine Prompts.
Die Grenze: Anonymisierung ersetzt Namen, nicht den Sachverhalt. «Die Zahnarztpraxis im Dorf mit dem laufenden Steuerverfahren» bleibt erkennbar. Pseudonymisierte Daten gelten weiter als Personendaten (DSGVO). Anonymisierung senkt das Risiko – sie ersetzt den Vertrag nur, wenn wirklich niemand mehr identifizierbar ist. Was grundsätzlich nicht in einen KI-Chat gehört, liest du in Welche Daten gehören nie in den Chat?.
Wie digihub dir hilft
Die digihub.li Genossenschaft begleitet dich in vier Schritten:
- Bestandsaufnahme: Welche Tools nutzt dein Team wirklich – auch die, von denen du nichts weisst?
- Bezugsweg wählen: Anbieter-API, EU-Cloud-Plattform oder selbst gehostet – passend zu Datenart, Budget und Land.
- Unterlagen-Check: AVV, Verschwiegenheitsverpflichtung, Subunternehmer, Drittland, Einwilligung – was fehlt und was du anfragen musst. Die rechtliche Freigabe machst du mit deiner Kammer oder deiner Rechtsberatung; wir bereiten sie vor.
- Technik: ZDR richtig einstellen, Anonymisierung vorschalten, Agents absichern (Security Harness), auf Wunsch Modelle lokal mit Ollama (Lokale KI auf eigener Hardware).
Brauchst du eine § 203-Vereinbarung? Wir helfen.
Brauchst du keine? Bist du sicher? Lass uns prüfen, ob du deine Hausaufgaben gemacht hast. Persönlich und unverbindlich, vor Ort in Schaan oder online.
Quellen
- Deutschland: § 203 StGB, § 43e BRAO, BRAK-Leitfaden zum KI-Einsatz (PDF)
- Liechtenstein: Strafgesetzbuch, Rechtsanwaltsgesetz
- Schweiz: Strafgesetzbuch (Art. 321), Datenschutzgesetz
- Anbieter: Anthropic, OpenAI, xAI, Cursor, DeepSeek, Mistral, Google Vertex AI