§ 203 StGB und externe Dienstleister

Zuletzt aktualisiert: 4. August 2026

Lange galt als ungeklärt, ob eine Kanzlei überhaupt einen externen IT-Dienstleister einsetzen darf, ohne sich strafbar zu machen. Seit der Reform von 2017 ist das geklärt. Geklärt heißt aber nicht bedingungslos.

Was sich 2017 geändert hat

Bis dahin war die Offenbarung eines Geheimnisses gegenüber einem Dritten grundsätzlich strafbar, und ob ein Rechenzentrumsbetreiber oder ein Softwareanbieter ein solcher Dritter ist, war umstritten. Praktisch bedeutete das, dass jede Kanzlei mit externer IT in einer Grauzone arbeitete.

Mit dem Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung wurde § 203 StGB um den Begriff der mitwirkenden Personen ergänzt. Seither ist die Offenbarung an Personen, die an der beruflichen Tätigkeit mitwirken, zulässig, soweit sie für deren Tätigkeit erforderlich ist. Dazu zählen ausdrücklich auch IT-Dienstleister.

Die Bedingungen, die daran hängen

Die Erlaubnis ist an Pflichten geknüpft, und die liegen bei der Kanzlei, nicht beim Dienstleister.

Sorgfältige Auswahl

Sie müssen den Dienstleister sorgfältig auswählen. Das ist keine Formalie: es bedeutet, dass Sie sich ansehen müssen, wo verarbeitet wird, wer Zugriff hat, welche Unterauftragnehmer beteiligt sind und welche technischen Maßnahmen bestehen. Ein Anbieter, der diese Fragen nicht öffentlich beantwortet, macht Ihnen die Erfüllung dieser Pflicht unmöglich.

Verpflichtung zur Geheimhaltung

Die mitwirkende Person muss zur Geheimhaltung verpflichtet werden, und zwar in Textform. Diese Verpflichtung gilt dann auch strafrechtlich: wer als mitwirkende Person ein Geheimnis offenbart, macht sich nach § 203 Abs. 4 StGB selbst strafbar. Prüfen Sie, ob Ihr Anbieter diese Verpflichtung anbietet und ob sie auch für dessen Unterauftragnehmer weitergereicht wird.

Beschränkung auf das Erforderliche

Offenbart werden darf nur, was der Dienstleister für seine Tätigkeit braucht. Ein Anbieter, der zur Erbringung seiner Leistung gar keinen Zugriff auf Inhalte benötigt, sollte auch keinen haben.

Warum Verschlüsselung die Bewertung verändert

Der entscheidende Punkt: eine Offenbarung setzt voraus, dass der andere das Geheimnis zur Kenntnis nehmen kann. Wenn ein Anbieter ausschließlich Chiffrate speichert und den Schlüssel nicht besitzt, findet insoweit keine Kenntnisnahme statt.

Das ist kein Freibrief, und die Verpflichtung zur Geheimhaltung sowie die sorgfältige Auswahl bleiben in jedem Fall erforderlich. Aber es verändert die Risikolage erheblich, denn es macht den Unterschied zwischen einem Anbieter, der Ihre Mandantenunterlagen lesen könnte und verspricht, es nicht zu tun, und einem, der es technisch nicht kann. Ein Versprechen kann gebrochen werden, von innen oder durch einen Angreifer. Ein fehlender Schlüssel nicht.

Achten Sie dabei auf die Formulierung. Verschlüsselung im Ruhezustand, oft als Encryption at Rest bezeichnet, bedeutet in der Regel, dass der Anbieter die Daten verschlüsselt speichert und den Schlüssel selbst verwaltet. Das schützt gegen den Diebstahl einer Festplatte und gegen gar nichts sonst. Die Frage, die Sie stellen müssen, lautet nicht verschlüsseln Sie?, sondern wer hat den Schlüssel?

Checkliste für die Auswahl

• Bietet der Anbieter eine Verpflichtung zur Geheimhaltung nach § 203 Abs. 4 StGB an, und gilt sie auch für Unterauftragnehmer?
• Liegt eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO vor, und ist sie ohne Nachfrage einsehbar?
• Sind alle Unterauftragnehmer namentlich genannt, mit Ort der Verarbeitung?
• Wo stehen die Server konkret, und verlassen die Daten die EU zu irgendeinem Zeitpunkt, auch für Wartung oder Support?
• Kann der Anbieter Inhalte entschlüsseln? Wenn ja, wer intern darf das, und wird es protokolliert?
• Gibt es ein Protokoll darüber, wer wann auf welche Unterlagen zugegriffen hat, und können Sie es einsehen?
• Werden Daten nach einer festgelegten Frist gelöscht, und setzt das ein Vorgang durch oder ist es eine Absichtserklärung?
• Was geschieht mit den Daten, wenn der Vertrag endet oder der Anbieter seinen Betrieb einstellt?

Dokumentation

Halten Sie die Auswahlentscheidung fest. Ein kurzer Vermerk, welche Anbieter Sie geprüft haben, welche Kriterien Sie angelegt haben und warum Sie sich entschieden haben, genügt. Im Ernstfall ist die Frage nicht, ob Ihre Wahl im Nachhinein optimal war, sondern ob Sie sie sorgfältig getroffen haben. Das lässt sich nur mit einer Dokumentation zeigen.

Dieser Text ist eine fachliche Einordnung und keine Rechtsberatung. Für die Bewertung Ihres konkreten Falls ist Ihre Kammer oder ein Berufsrechtler die richtige Adresse.