IT-Dienstleister und Schweigepflicht: Was Kanzleien und Praxen vereinbaren müssen

Rechtsanwälte, Ärztinnen und Ärzte und andere Berufsgeheimnisträger unterliegen der Schweigepflicht. Sobald ein IT-Dienstleister Zugriff auf Systeme hat, auf denen Mandats- oder Patientendaten liegen, kann er Geheimnisse zur Kenntnis nehmen. Das ist erlaubt, wenn bestimmte Voraussetzungen erfüllt sind. Dieser Beitrag zeigt, welche das sind und worauf Sie im Gespräch mit Ihrem IT-Dienstleister achten können.

Warum das Thema die IT betrifft

Ein IT-Dienstleister muss für seine Arbeit oft sehr weit in Ihre Systeme sehen: Er richtet Server ein, spielt Updates auf, löst Störungen per Fernwartung und kontrolliert die Datensicherung. Dabei kann er Dokumente, E-Mails oder Datenbanken öffnen, in denen vertrauliche Informationen stehen. Das Strafgesetzbuch erlaubt Berufsgeheimnisträgern, Geheimnisse an mitwirkende Personen weiterzugeben, soweit das für ihre Tätigkeit erforderlich ist (§ 203 Absatz 3 StGB). Für Rechtsanwälte regelt § 43e BRAO genauer, wie das geschehen muss.

Was § 43e BRAO von Rechtsanwälten verlangt

§ 43e der Bundesrechtsanwaltsordnung (BRAO) regelt, wann Rechtsanwälte Dienstleistern den Zugang zu Geheimnissen eröffnen dürfen, ohne dass der Mandant einwilligen muss. Im Kern gilt:

• Der Zugang darf nur so weit eröffnet werden, wie es für die Dienstleistung erforderlich ist.
• Der Dienstleister muss sorgfältig ausgewählt werden. Ist nicht gewährleistet, dass er die Vorgaben einhält, muss die Zusammenarbeit unverzüglich enden.
• Der Vertrag bedarf der Textform. Eine E-Mail genügt.
• Im Vertrag wird der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit verpflichtet.
• Er verpflichtet sich außerdem, nur so viel Kenntnis von Geheimnissen zu nehmen, wie die Vertragserfüllung erfordert.
• Im Vertrag steht, ob der Dienstleister weitere Personen heranziehen darf. Wenn ja, muss er sie ebenfalls in Textform zur Verschwiegenheit verpflichten.
• Wird die Dienstleistung im Ausland erbracht, muss dort ein vergleichbarer Schutz der Geheimnisse bestehen.

Dient eine Dienstleistung unmittelbar einem einzelnen Mandat, darf der Rechtsanwalt den Zugang nur eröffnen, wenn der Mandant eingewilligt hat. Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt.

Gilt das nur für Rechtsanwälte?

Nein. Für Steuerberater enthält § 62a des Steuerberatungsgesetzes (StBerG) und für Wirtschaftsprüfer § 50a der Wirtschaftsprüferordnung (WPO) vergleichbare Regeln. Auch für Ärztinnen und Ärzte gilt die Schweigepflicht nach § 203 StGB. Wer Dienstleister an der Arbeit beteiligt, die Einblick in Patientendaten bekommen können, sollte sie zur Geheimhaltung verpflichten. Die KBV stellt dafür eine Muster-Verschwiegenheitserklärung für Externe bereit.

Was passiert bei einem Verstoß?

Nach Einschätzung der Rechtsanwaltskammern gilt: Wer die Vorgaben des § 43e BRAO einhält, handelt im Sinne des § 203 StGB erlaubt. Ein Verstoß gegen § 43e BRAO ist zunächst ein Verstoß gegen das Berufsrecht und führt nicht automatisch zur Strafbarkeit. Rechtssicher ist es trotzdem nur, wenn die Verpflichtung vollständig und schriftlich vorliegt.

Fernwartung, Cloud und Sicherungen: Auch das zählt

Zugang zu Geheimnissen entsteht nicht nur, wenn ein Techniker vor Ort ist. Auch Fernwartung, ein gehostetes E-Mail-Postfach, ein Cloud-Speicher oder ein Dienst, der Ihre Datensicherung verwaltet, kann Zugriff auf vertrauliche Inhalte bedeuten. Fragen Sie deshalb nicht nur, wer Ihren Server betreut, sondern auch, wo Ihre Daten liegen und wer sie sehen kann. Bei Dienstleistungen im Ausland verlangt § 43e BRAO einen vergleichbaren Schutz der Geheimnisse. Nach der Gesetzesbegründung kann für die anderen Mitgliedstaaten der Europäischen Union in der Regel von einem solchen Schutz ausgegangen werden.

Was in einer Verschwiegenheitsverpflichtung stehen sollte

• Wer sich verpflichtet, und für welche Dienstleistung.
• Der Hinweis auf die strafrechtlichen Folgen einer Pflichtverletzung.
• Die Beschränkung auf das, was für die Arbeit erforderlich ist.
• Die Regelung zu weiteren Personen und Unterauftragnehmern.
• Dass die Pflicht auch nach dem Ende der Zusammenarbeit weiter gilt.
• Die Textform, zum Beispiel per unterschriebenem Dokument oder per E-Mail.

Bewahren Sie den Vertrag, die Verpflichtungserklärungen und eine Übersicht über eingesetzte Unterauftragnehmer gut auf. So können Sie später belegen, dass Sie die Dienstleister sorgfältig ausgewählt und verpflichtet haben.

Ersetzt der Auftragsverarbeitungsvertrag die Verpflichtung?

Nein. Der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO regelt den Datenschutz. Die Verpflichtung zur Verschwiegenheit folgt aus dem Berufsrecht und dem Strafrecht. Beides sind eigene Regelungen, und in der Praxis braucht man oft beide.

Worauf Sie im Gespräch mit Ihrem Dienstleister achten können

• Gibt es eine Verpflichtung zur Verschwiegenheit in Textform, mit Belehrung über die Folgen?
• Ist geregelt, ob und wie weitere Personen oder Unterauftragnehmer eingesetzt werden?
• Greift der Dienstleister nur auf das zu, was er für seine Arbeit braucht?
• Wo werden Daten verarbeitet, und wo stehen Server oder Sicherungen?
• Gibt es einen Vertrag zur Auftragsverarbeitung?
• Ist festgehalten, wer beim Dienstleister Zugang hat und wie Zugänge beendet werden?

Bei uns ist die Verpflichtung zur Verschwiegenheit selbstverständlich. Welche Anforderungen Ihr Berufsrecht im Einzelnen stellt, klären Sie bitte mit Ihrer Kammer oder Ihrer Rechtsberatung. Mehr zu unserer Arbeit für Kanzleien finden Sie unter IT-Betreuung für Kanzleien, für Praxen unter IT-Betreuung für Arztpraxen. Dieser Beitrag ist keine Rechtsberatung.

Stand: November 2026.