Kurz gesagt
Berufsgeheimnisträger dürfen IT-Dienstleister einsetzen, die dabei Geheimnisse sehen könnten, wenn das für die Dienstleistung erforderlich ist. Seit 2017 erlaubt § 203 Abs. 3 StGB das ausdrücklich. Im Gegenzug muss der Dienstleister zur Verschwiegenheit verpflichtet werden. Für Anwälte verlangt § 43e BRAO, für Steuerberater § 62a StBerG einen Vertrag in Textform mit Verschwiegenheitsverpflichtung, Belehrung über die Strafbarkeit und einer Regelung zu Unterauftragnehmern.
Das Problem, das 2017 gelöst wurde
Früher war unklar, ob eine Kanzlei überhaupt einen externen IT-Dienstleister an ihre Server lassen durfte. Theoretisch hätte jeder Administrator mit Zugriff auf die Akten eine unbefugte Offenbarung bedeuten können. Seit der Reform von 2017 stellt § 203 Abs. 3 StGB klar: Berufsgeheimnisträger dürfen Geheimnisse gegenüber Personen offenbaren, die an ihrer Tätigkeit mitwirken, soweit das für deren Mitwirkung erforderlich ist. IT-Dienstleister gehören dazu.
Im Gegenzug sind die mitwirkenden Personen nach § 203 Abs. 4 StGB selbst strafbar, wenn sie Geheimnisse unbefugt offenbaren. Und der Berufsgeheimnisträger muss dafür sorgen, dass sie zur Geheimhaltung verpflichtet werden.
Wer betroffen ist
- Ärztinnen, Zahnärzte, Psychotherapeuten und andere Heilberufe mit staatlich geregelter Ausbildung.
- Rechtsanwälte, Notare, Steuerberater, Wirtschaftsprüfer und verwandte Berufe.
- Berufspsychologen, Ehe-, Familien- und Jugendberater, Sozialarbeiter und einige weitere Gruppen.
Was das Berufsrecht zusätzlich verlangt
Für Anwälte konkretisiert § 43e BRAO die Anforderungen, für Steuerberater § 62a StBerG. Beide sind ähnlich aufgebaut:
- Sorgfältige Auswahl: Der Dienstleister muss sorgfältig ausgewählt werden, und die Zusammenarbeit ist zu beenden, wenn er die Vorgaben nicht einhält.
- Textform: Der Vertrag muss mindestens in Textform geschlossen werden, eine E-Mail mit dem Vertragstext reicht also formal, ein unterschriebenes PDF ist üblich.
- Verschwiegenheit mit Belehrung: Der Dienstleister wird zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt.
- Nur nötige Kenntnis: Er darf sich nur so weit Kenntnis von Geheimnissen verschaffen, wie es für den Auftrag erforderlich ist.
- Unterauftragnehmer: Der Vertrag regelt, ob der Dienstleister weitere Personen einschalten darf, und wenn ja, dass auch diese verpflichtet werden.
Und der AV-Vertrag?
Die Verschwiegenheitsverpflichtung ersetzt keinen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, sie kommt dazu. In der Praxis stehen beide in einem Dokument. Was in den AV-Vertrag gehört, steht in AV-Vertrag: Wann Sie einen brauchen.
Worauf Sie bei der Auswahl achten sollten
- Der Dienstleister bietet die Verschwiegenheitsverpflichtung von sich aus an und muss nicht erst überzeugt werden.
- Er sagt klar, wo die Daten liegen, in welchem Land und bei welchem Rechenzentrumsbetreiber.
- Er nennt seine Unterauftragnehmer, etwa Rechenzentren, und verpflichtet sie ebenfalls.
- Er beschreibt seine Schutzmaßnahmen konkret, nicht nur mit „höchsten Sicherheitsstandards“.
- Er sagt auch, was er nicht leistet.
Für unsere Dienste Shield Mail und Shield Docs enthält der AV-Vertrag die Verschwiegenheitsverpflichtung nach § 203 StGB und dem jeweiligen Berufsrecht, samt Belehrung und Regelung der Unterauftragnehmer. Die Mails liegen in Nürnberg, die Ablage in einem Rechenzentrum in Frankreich, die Sicherungen in Nürnberg. Mehr für Anwaltskanzleien und Steuerberatung. Diese Übersicht ist keine Rechtsberatung, die Prüfung im Einzelfall liegt bei Ihnen als Berufsträger.
Häufige Fragen
- Gilt das auch für den Kopierer-Service oder den Aktenvernichter?
- Ja, grundsätzlich für alle Dienstleister, die bei ihrer Arbeit Geheimnisse zur Kenntnis nehmen könnten. Auch Reinigungsfirmen oder Aktenvernichtung gehören dazu.
- Reicht eine Verschwiegenheitserklärung per E-Mail?
- Das Berufsrecht verlangt Textform, also eine lesbare Erklärung auf einem dauerhaften Datenträger. Eine E-Mail erfüllt das formal. Üblich ist ein unterschriebenes PDF zusammen mit dem AV-Vertrag.
- Was ist, wenn mein Dienstleister keine Verschwiegenheitsverpflichtung unterschreibt?
- Dann dürfen Sie ihm nach § 43e BRAO beziehungsweise § 62a StBerG keinen Zugang zu Mandantengeheimnissen gewähren. Suchen Sie einen anderen Anbieter.