ChatGPT in der Kanzlei: Was DSGVO-konform ist (und was nicht)

Die Frage kommt in fast jeder Kanzlei auf, die KI einführt: „Darf ich das eigentlich eingeben?" Und meistens folgt eine der drei unbefriedigenden Antworten: „Ich glaube schon", „Ich weiß es nicht genau" oder „Wir nutzen es einfach nicht".

Alle drei sind problematisch — die erste aus rechtlichen Gründen, die zweite aus operativen, die dritte, weil sie Ihre Kanzlei dauerhaft hinter Wettbewerb zurückfallen lässt, der die Frage beantwortet hat.

Dieser Leitfaden gibt Ihnen eine praxistaugliche Antwort — ohne Juristendeutsch, ohne blinde Flecken.

Das Kernproblem: ChatGPT ist ein US-Dienst

ChatGPT und die meisten bekannten KI-Assistenten werden von US-Unternehmen betrieben. Sobald Sie Daten eingeben, verlassen diese Daten — je nach Konfiguration — möglicherweise den europäischen Datenschutzraum. Für normale Verbraucher ist das eine persönliche Entscheidung. Für Kanzleien ist es eine Compliance-Frage.

Der Grund: Als Steuerberater oder Rechtsanwalt verarbeiten Sie besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Gesundheitsdaten in Pflegefällen, Vermögensverhältnisse, persönliche Umstände in Familienrecht-Mandaten. Dazu kommt die anwaltliche und steuerliche Schweigepflicht — die nichts davon ausnahm.

Die Ampel: Was darf rein, was nicht?

Eine einfache Faustregel deckt den häufigsten Anwendungsfall ab: Geht personenbezogenes Mandantenmaterial rein, brauchen Sie eine Rechtsgrundlage und einen AV-Vertrag. Ist kein Mandantenbezug vorhanden, ist die Lage deutlich entspannter.

Das eigentliche Risiko: Nicht der Bußgeldbescheid

Die meisten Artikel zu ChatGPT und DSGVO enden bei Bußgeldern. Das ist nicht falsch — aber es greift zu kurz. Das eigentliche Risiko für Kanzleien ist ein anderes:

Mandantenvertrauen

Wenn ein Mandant herausfindet, dass seine Daten in einem US-KI-System gelandet sind — ohne dass er davon wusste und ohne entsprechende Dokumentation in Ihrer Datenschutzerklärung — ist das Vertrauensproblem größer als jede Behördenstrafe. In einem Berufsfeld, das auf Vertraulichkeit aufgebaut ist, ist das ein existenzielles Risiko.

Berufsrechtliche Folgen

Steuerberater und Rechtsanwälte unterliegen Berufsrecht. Eine Verletzung der Schweigepflicht durch unkontrollierten KI-Einsatz kann — unabhängig von der DSGVO — berufsrechtliche Konsequenzen haben.

Das ist kein Einzelfall. Der unkontrollierte Bottom-up-Einsatz ist das eigentliche Datenschutzproblem in Kanzleien — nicht die bewusste Entscheidung für oder gegen KI.

Der sichere Weg: Was funktioniert in der Praxis

Option 1: Lokale KI-Modelle

Modelle wie Llama 3 oder Mistral können lokal auf Ihrer Hardware betrieben werden. Keine Daten verlassen das Netzwerk. Technisch möglich, aber: Einrichtung und Wartung erfordern IT-Kompetenz, die die meisten Kanzleien intern nicht haben können.

Option 2: EU-gehostete KI-Dienste

Anbieter wie Aleph Alpha (Deutschland) oder Microsoft Azure mit EU-Datenhaltung und DSGVO-konformen AV-Verträgen. Kostenpflichtiger, aber rechtlich belastbarer als die Consumer-Varianten.

Option 3: Klare Nutzungsregeln + anonymisierte Workflows

Für viele Kanzleien der realistischste Einstieg: klar definieren, welche Eingaben erlaubt sind (Ampel oben), entsprechend schulen, und für sensible Aufgaben Anonymisierungsschritte vorschalten. Keine perfekte Lösung — aber besser als unkontrollierter Wildwuchs.

• Interne KI-Richtlinie schriftlich fixiert
• Mitarbeiter gezielt geschult (was darf rein, was nicht)
• AV-Vertrag mit genutztem KI-Anbieter abgeschlossen
• Datenschutzerklärung entsprechend aktualisiert
• Verarbeitungsverzeichnis ergänzt
• ChatGPT ohne AV-Vertrag mit echten Mandantendaten genutzt
• KI-Nutzung intern nicht kommuniziert oder nicht gesteuert
• Datentransfer USA ohne geeignete Garantien (SCCs) dokumentiert

Warum viele Kanzleien das alleine nicht lösen

Die Fragen, die sich hier stellen, sind nicht neu — sie ähneln früheren Compliance-Fragen bei Cloud-Diensten, E-Mail-Archivierung, DATEV-Anbindung. Kanzleien haben das gelernt. Aber KI bewegt sich schneller.

Modelle ändern sich. Anbieter passen ihre Nutzungsbedingungen an. Neue Tools kommen auf den Markt mit Versprechen, die datenschutzrechtlich noch nicht geprüft sind. Die Frage „Ist das DSGVO-konform?" lässt sich deshalb nicht einmal beantworten und dann ablegen — sie stellt sich bei jeder neuen Einführung neu.

Das ist einer der Gründe, warum Kanzleien, die KI ernsthaft einsetzen wollen, laufende Begleitung einem einmaligen Beratungsprojekt vorziehen. Nicht weil das günstiger ist — sondern weil die Alternative ein dauerhaftes Risiko ist, das man alleine kaum managen kann.

Häufige Fragen

Darf ich ChatGPT für interne Kommunikation nutzen?

Interne Texte ohne Personenbezug — ja, grundsätzlich. Sobald Sie über Mitarbeiter schreiben, gelten auch intern die Anforderungen des DSGVO. Für reine Formulierungshilfen ohne Bezug auf konkrete Personen ist das Risiko gering.

Was ist mit ChatGPT Enterprise?

Enterprise bietet einen AV-Vertrag und deaktiviert das Training auf Eingaben. Das löst einen Teil des Problems. Serverstandort und Datentransfer-Frage nach Art. 44 DSGVO bleiben — das muss im Einzelfall geprüft werden. Kein Selbstläufer, aber deutlich besser als die Standard-Version.

Brauche ich einen Datenschutzbeauftragten für KI?

Wenn Sie zur DSB-Pflicht verpflichtet sind (gilt für viele Kanzleien ab einer bestimmten Größe), sollte der DSB in die KI-Einführung eingebunden sein. Auch wenn keine Pflicht besteht: externe Beratung bei der ersten Einführung ist sinnvoll.

Was ist, wenn meine Mitarbeiter ChatGPT bereits nutzen?

Das ist häufiger der Fall als Kanzleiinhaber vermuten. Erster Schritt: ehrliche Bestandsaufnahme, keine Sanktionen, sondern gemeinsame Regelung. Dann: Richtlinie, Schulung, klare Ampeln. Das ist keine schlechte Ausgangslage — es zeigt, dass das Team bereit ist, KI zu nutzen.