§203 StGB und Cloud: Berufsgeheimnis im digitalen Zeitalter

Einordnung

Abschnitt 01

Geschützte Berufsgruppen — wer ist betroffen

§203 StGB schützt das Berufsgeheimnis folgender Gruppen: Ärzte (inkl. Zahnärzte, Tierärzte, Psychotherapeuten), Apotheker, Anwälte (inkl. Patentanwälte), Steuerberater (inkl. Wirtschaftsprüfer), Notare, Mitglieder einer Rechtsanwaltskammer im Ausland mit deutscher Tätigkeit. Plus deren berufsmäßig tätige Hilfspersonen (Sekretariat, MFA, Rechtsanwaltsfachangestellte). Seit 2017: explizit auch IT-Dienstleister, die "in den Berufs-Bereich eingebunden" sind. Die Liste der Hilfspersonen ist nicht abschließend — relevant ist die Tätigkeit, nicht die formelle Position.

Abschnitt 02

Die Gesetzes-Änderung 2017

Bis 2017 war die Cloud-Nutzung in geschützten Berufsgruppen rechtlich unklar. Die Gesetzes-Änderung 2017 (§203 Abs. 4 StGB) führte den Begriff der "berufsmäßig tätigen Hilfsperson" ein. Wer als IT-Dienstleister Zugriff auf geheimnis-pflichtige Daten hat, ist Hilfsperson — selbst wenn er nicht Angestellter ist. Die Konsequenz: Cloud-Anbieter wie AWS, Azure, Google sind technisch Hilfspersonen, wenn sie Patient/Mandant-Daten speichern. Sie unterliegen damit der Schweigepflicht. Bei Verletzung ist nicht nur der Cloud-Anbieter strafbar, sondern auch der Arzt/Anwalt, der die Verarbeitung ohne ausreichende Schutz-Maßnahmen veranlasst hat.

Abschnitt 03

Strafrechtliches Risiko: was ist Vorsatz

§203 StGB verlangt Vorsatz oder Fahrlässigkeit. Vorsatz: bewusste Weitergabe an Unbefugte. Bedingter Vorsatz: "billigend in Kauf nehmen", dass Daten in falsche Hände gelangen. Bei Cloud-Nutzung ohne angemessene Schutz-Maßnahmen kann bedingter Vorsatz angenommen werden, wenn der Berufsangehörige sich nicht über die Cloud-Sicherheits-Lage informiert hat. Dies macht die Cloud-Frage zur Risiko-Frage: wer informiert nicht ist, hat höheres Risiko als wer dokumentiert die Cloud-Sicherheit geprüft hat.

Abschnitt 04

Einwilligung des Geheimnis-Trägers

Eine wichtige Ausnahme: die Schweigepflicht kann durch Einwilligung des Geheimnis-Trägers (Patient, Mandant) aufgehoben werden. In der Praxis bedeutet das: Patient unterschreibt bei Aufnahme in der Praxis eine Einwilligung zur Datenverarbeitung. Aber Achtung: die Einwilligung muss konkret sein. "Datenverarbeitung allgemein" reicht NICHT. Erforderlich: konkrete Benennung der Cloud-Anbieter, Daten-Kategorien, Verarbeitungs-Zwecke, Aufbewahrungs-Fristen. Eine reife Einwilligungs-Vereinbarung umfasst typisch 2-3 Seiten und wird vom Patienten unterschrieben (digital oder physisch).

Abschnitt 05

On-Premise vs. Cloud — die juristische Bewertung

Reine On-Premise-Verarbeitung (Server im Praxis/Kanzlei-Gebäude) hat das geringste §203-Risiko, weil keine "Hilfsperson außerhalb der Praxis" existiert. Cloud-Verarbeitung in Deutschland mit deutschem Anbieter: tragbar mit AVV + Einwilligung + technische Schutz-Maßnahmen. Cloud-Verarbeitung in EU mit EU-Anbieter: tragbar wie Deutschland. Cloud-Verarbeitung in US-Cloud (auch DPF-zertifiziert): rechtlich problematisch wegen Schrems-II/III-Unsicherheit + zusätzlicher US-Geheimdienst-Zugriffs-Möglichkeiten. Bei US-Cloud-Nutzung mit Patient/Mandanten-Daten ist das §203-Risiko deutlich erhöht.

Abschnitt 06

Praktische Setup-Empfehlung für Arztpraxen

Eine §203-konforme Arztpraxis-IT-Setup-Empfehlung: PVS (Praxis-Verwaltungs-System) auf On-Premise-Server. Diktat-Transkription mit lokalem Whisper. KI-Receptionist mit lokalem Open-Source-LLM auf Hetzner-Frankfurt-Dedicated. ICD-Codierung lokal. Backup auf Hetzner Storage-Box mit Customer-eigener Verschlüsselung. KEINE direkte API-Nutzung von US-KI-Anbietern für patient-bezogene Verarbeitungs-Schritte. Bei diesem Setup ist das §203-Risiko minimal. Praxen mit dieser Architektur können ihren Patient-Einwilligungs-Text knapp und konkret formulieren, was die Patienten-Akzeptanz erhöht.

Abschnitt 07

Anwaltskanzlei-Setup

Für Anwaltskanzleien gelten die Empfehlungen aus dem BRAO-Whitepaper: lokales LLM für Mandanten-Bearbeitung, Aktenzeichen-Suche tragbar mit Anwalts-Research-KI, Diktat lokal. Zusätzlich für §203: dokumentierte Mandanten-Einwilligung mit Benennung der eingesetzten Cloud-Anbieter. Bei strafrechtlicher Vertretung ist die Setup-Anforderung verschärft: keine Cloud-Nutzung mit potenziell strafrechtlich relevanten Daten ohne extreme Schutz-Maßnahmen. Hier ist On-Premise-Setup praktisch alternativlos.

Abschnitt 08

Steuerberater-Setup

Für Steuerberater ist die Cloud-Frage technisch oft komfortabler, weil DATEV als zentrales Tool ohnehin sein eigenes Hosting hat (auf Wunsch in eigener DATEV-Cloud). Zusätzliche KI-Tools für Mail-Triage (Steuer-Triage Pro) und Buchhaltung-Auto (Buchhaltung-Auto) sollten auf Hetzner-Frankfurt-Dedicated oder On-Premise laufen. Mandanten-Klartext-Daten dürfen nicht zu US-KI-Anbietern, auch nicht pseudonymisiert (Steuer-Daten sind oft unmittelbar Re-Identifizierbar durch Beträge und Daten). Pseudonymisierung in Steuer-Kontexten ist deutlich schwieriger als in Anwalts-Kontexten.

Abschnitt 09

Versicherungs-Aspekte

Berufshaftpflicht-Versicherungen für geschützte Berufsgruppen (Arzt, Anwalt, Steuerberater) fragen ab 2025 systematisch nach Cloud-Nutzung. Versicherer haben in einigen Fällen Deckungsausschlüsse für Datenschutz-Vorfälle aufgrund von US-Cloud-Nutzung erklärt. Bei dokumentiert Cloud-konformem Setup (EU oder On-Premise) gibt es Prämien-Rabatte von typisch 10-18%. Bei Vertrags-Verhandlungen sollte die Cloud-Architektur als Anlage zum Versicherungsantrag beigelegt werden.

Abschnitt 10

Was DripBack als Partner liefert

DripBack bietet für die geschützten Berufsgruppen ein spezialisiertes Setup-Paket: On-Premise-Hardware mit RTX 5080 oder Custom-Konfiguration, lokales Open-Source-Modell + Whisper-Setup, AVV mit erweiterten TOMs für Berufsgeheimnis-Schutz, Mandanten-Einwilligungs-Templates, Backup-Strategie mit Customer-Hoheit, jährliches Compliance-Audit. Setup-Paket-Preise: Arztpraxis 12.000-18.000 €, Anwaltskanzlei 16.000-28.000 €, Steuerberater 14.000-22.000 €. Monatliches Hosting (bei Hetzner-Variante) 320-580 €. Mock-Audit für §203-Konformität durch externe Berufsrechts-Experten als Add-on verfügbar.