Kanzlei-IT auslagern: Was erlaubt das Berufsrecht?

Die kurze Antwort: Ja, mit zwei Verträgen und einer sorgfältigen Auswahl

Rechtsanwälte und Steuerberater dürfen ihre IT an einen externen Dienstleister geben – Server, Terminalserver, Datensicherung, E-Mail und Wartung eingeschlossen. Bis 2017 war dieses Outsourcing rechtlich unsicher: Jeder externe Techniker, der Mandantendaten sehen konnte, galt streng genommen als jemand, dem ein Geheimnis „offenbart“ wurde. Das Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen hat das geändert. Seit dem 9. November 2017 gibt es eine ausdrückliche Erlaubnis im Strafrecht und passende Pflichten im Berufsrecht.

Die Erlaubnis gilt aber nicht bedingungslos. Sie müssen vier Dinge erfüllen:

1. Erforderlichkeit: Der Dienstleister bekommt nur so viel Zugang, wie er für seine Aufgabe braucht.
2. Sorgfältige Auswahl: Sie prüfen den Dienstleister vorab und beenden die Zusammenarbeit, wenn er die Vorgaben nicht einhält.
3. Verschwiegenheitsvereinbarung in Textform nach § 43e BRAO bzw. § 62a StBerG, mit Belehrung über die Strafbarkeit nach § 203 StGB.
4. Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, weil der Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet.

Die folgenden Abschnitte erklären die Vorschriften, die Sonderfälle Ausland und Einwilligung und enden mit einer Checkliste, mit der Sie ein Angebot prüfen können.

Was regelt § 203 StGB beim Auslagern der Kanzlei-IT?

§ 203 StGB stellt die Verletzung von Privatgeheimnissen unter Strafe. Rechtsanwälte und Steuerberater sind in Absatz 1 Nr. 3 ausdrücklich genannt. Für das Auslagern sind zwei Absätze wichtig:

• Absatz 3 erlaubt es Berufsgeheimnisträgern, fremde Geheimnisse gegenüber „sonstigen Personen“ zu offenbaren, die an ihrer beruflichen Tätigkeit mitwirken – soweit das für deren Tätigkeit erforderlich ist. IT-Dienstleister, Rechenzentren und Wartungstechniker sind solche mitwirkenden Personen. Dasselbe gilt, wenn der Dienstleister seinerseits weitere Personen einsetzt, etwa einen Rechenzentrumsbetreiber.
• Absatz 4 macht die mitwirkende Person selbst strafbar, wenn sie ein Geheimnis unbefugt weitergibt. Und er erfasst den Berufsträger: Nach Absatz 4 Satz 2 Nr. 1 macht sich strafbar, wer nicht dafür gesorgt hat, dass der Dienstleister zur Geheimhaltung verpflichtet wurde, wenn dieser dann ein Geheimnis offenbart.

Der Strafrahmen liegt jeweils bei bis zu einem Jahr Freiheitsstrafe oder Geldstrafe. Die praktische Folge: Die Verschwiegenheitsverpflichtung des Dienstleisters ist nicht nur eine Formalie im Vertrag, sondern schützt Sie persönlich.

Welche Pflichten stellen § 43e BRAO und § 62a StBerG?

Die beiden Vorschriften sind fast wortgleich aufgebaut – § 43e in der Bundesrechtsanwaltsordnung für Anwälte, § 62a im Steuerberatungsgesetz für Steuerberater. Sie füllen die strafrechtliche Erlaubnis mit konkreten Berufspflichten.

Für Anwälte nennt die BRAK in ihren Hinweisen zu Microsoft 365 (Januar 2023) zusätzlich § 43a Abs. 2 BRAO (allgemeine Verschwiegenheitspflicht) und § 2 BORA als Prüfmaßstab. Am Ergebnis ändert das nichts: Auswahl, Vertrag und Kontrolle liegen beim Berufsträger.

Was heißt „Textform“ konkret?

Textform nach § 126b BGB bedeutet: eine lesbare Erklärung auf einem dauerhaften Datenträger, in der die Person des Erklärenden genannt ist. Eine eigenhändige Unterschrift ist nicht nötig. Ein PDF per E-Mail erfüllt die Form; eine nur auf einer Website abrufbare Fassung ist dagegen unsicher, weil der Anbieter sie ändern kann. Achten Sie darauf, dass Sie die Fassung, die gilt, dauerhaft in Ihren Unterlagen haben – im Streitfall müssen Sie nachweisen können, dass die Verpflichtung bestand.

Warum reicht ein Auftragsverarbeitungsvertrag allein nicht?

Viele Dienstleister schicken einen AVV und halten die Sache damit für erledigt. Für Berufsgeheimnisträger ist das zu wenig, weil Datenschutz und Berufsgeheimnis zwei verschiedene Schutzgüter sind.

Beide Dokumente ergänzen sich. Die TOM-Anlage des AVV beschreibt, wie der Dienstleister die Daten technisch schützt, und ist damit eine gute Grundlage für die sorgfältige Auswahl nach Absatz 2. Beide Verpflichtungen dürfen in einem Vertragswerk stehen; getrennte Dokumente machen aber leichter nachweisbar, dass jede Pflicht erfüllt ist.

Ausland, Unterauftragnehmer und Fernwartung

Standort der Daten

Nach § 43e Abs. 4 BRAO und § 62a Abs. 4 StBerG dürfen Sie einem Dienstleister im Ausland nur dann Zugang zu Geheimnissen geben, wenn der Geheimnisschutz dort mit dem in Deutschland vergleichbar ist. Das Gesetz sagt nicht, welche Staaten das erfüllen; die Prüfung liegt bei Ihnen. Eine Ausnahme lässt es nur zu, wenn der Schutz der Geheimnisse den Vergleich nicht gebietet. Am wenigsten Prüfaufwand entsteht, wenn Produktivsystem und Sicherungen in Deutschland liegen. Fragen Sie deshalb nicht nur nach dem Rechenzentrum, sondern nach allen Orten, an denen Kopien Ihrer Daten entstehen: Sicherung, Zweitkopie, Notfall-Standort, Ticketsystem.

Weitere Beteiligte

Kaum ein IT-Dienstleister arbeitet allein. Rechenzentrumsbetreiber, Sicherungsspeicher oder die Fernwartung des Softwareherstellers sind weitere mitwirkende Personen. Der Vertrag muss regeln, ob der Dienstleister sie hinzuziehen darf, und er muss sie seinerseits in Textform zur Verschwiegenheit verpflichten. Lassen Sie sich die Liste der Unterauftragnehmer geben – nach Art. 28 DSGVO steht sie ohnehin im AVV.

Microsoft 365 und Fachsoftware-Hersteller

Auch Cloud-Dienste wie Microsoft 365 sind Dienstleister im Sinne des Berufsrechts. Microsoft schließt seine Verträge zu eigenen Bedingungen; die BRAK hat dazu Hinweise veröffentlicht, die Sie neben diesem Ratgeber lesen sollten. Gleiches gilt für Hersteller von Fachsoftware, wenn deren Support per Fernwartung auf Ihre Daten zugreift. Für jeden dieser Beteiligten brauchen Sie eine Verpflichtung – entweder direkt oder über Ihren Hauptdienstleister.

Wann brauchen Sie die Einwilligung Ihrer Mandanten?

§ 43e Abs. 5 BRAO und § 62a Abs. 5 StBerG verlangen die Einwilligung des Mandanten nur, wenn eine Dienstleistung unmittelbar einem einzelnen Mandat dient. Beispiele sind ein externer Übersetzer für eine bestimmte Akte oder ein Schreibbüro, das nur die Diktate eines Verfahrens bearbeitet.

Der Betrieb Ihrer Server, des Terminalservers oder der Datensicherung dient dagegen der gesamten Kanzlei. Nach verbreiteter Auffassung in der Fachliteratur ist dafür keine Einwilligung einzelner Mandanten nötig. Wichtig: Selbst wenn eine Einwilligung vorliegt, gelten Auswahlpflicht und Textform-Vertrag nach Absatz 6 weiter, es sei denn, der Mandant verzichtet ausdrücklich darauf.

Checkliste: 10 Punkte, an denen Sie ein seriöses Angebot erkennen

Mit dieser Liste können Sie das Angebot jedes IT-Dienstleisters prüfen – auch unseres. Halten Sie die Antworten schriftlich fest; das ist zugleich Ihre Dokumentation der sorgfältigen Auswahl.

1. Verschwiegenheitsvereinbarung nach § 43e BRAO bzw. § 62a StBerG in Textform, mit Belehrung über § 203 StGB – als eigenes Dokument, nicht nur als Satz in den AGB.
2. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit vollständiger TOM-Anlage.
3. Liste aller Unterauftragnehmer mit Rolle und Standort, und die Zusage, dass auch sie zur Verschwiegenheit verpflichtet sind.
4. Datenstandort für Produktivsystem, Sicherungen und Zweitkopie – namentlich, nicht nur „in der EU“.
5. Verpflichtung der Mitarbeitenden: Alle Personen mit Zugriff sind schriftlich verpflichtet und belehrt; der Zugriff ist auf das Erforderliche beschränkt und wird protokolliert.
6. Getrennte Umgebung je Kanzlei und Zugang nur über einen verschlüsselten Weg mit Zwei-Faktor-Anmeldung.
7. Datensicherung: Häufigkeit, Aufbewahrung, Verschlüsselung, zweiter Speicherort und regelmäßige Wiederherstellungstests.
8. Leistungsbeschreibung mit klaren Grenzen: Supportzeiten, Reaktionszeiten, Wartungsfenster und was ausdrücklich nicht enthalten ist (etwa die Lizenz der Fachsoftware).
9. Ausstieg: vollständiger Datenexport in gängigen Formaten, Unterstützung beim Wechsel, Löschung mit schriftlicher Bestätigung.
10. Offene Preise mit Laufzeit, Kündigungsfristen und Einrichtungskosten – netto, mit Bezugsgröße.

Ein Angebot, das bei Punkt 1 bis 4 ausweicht, ist für eine Kanzlei nicht geeignet, unabhängig vom Preis.

Wie KLBX Cloud diese Anforderungen umsetzt

Wir betreiben die IT unserer eigenen Kanzleigruppe – Buchmeister, eine Steuerkanzlei-Gruppe mit rund 50 Mitarbeitenden – selbst und unterliegen dabei denselben Fragen, die dieser Ratgeber beschreibt. Für Kanzleikunden gilt deshalb:

• Zwei Verträge in Textform gehören zu jedem Kanzlei-Paket ohne Aufpreis: AVV nach Art. 28 DSGVO mit TOM und Verschwiegenheitsvereinbarung nach § 203 StGB, § 43e BRAO und § 62a StBerG. Beide Muster und die Liste der Unterauftragnehmer erhalten Sie vor Vertragsschluss zur Prüfung; eine Übersicht steht bei den Vertragsunterlagen.
• Standort: Ihre Umgebung läuft im Rechenzentrum der Hetzner Online GmbH in Falkenstein (Vogtland, Sachsen), zertifiziert nach ISO/IEC 27001; Ihre Daten liegen ausschließlich in Deutschland, auch die Sicherungen. Das Zertifikat ist das des Rechenzentrumsbetreibers, nicht unser eigenes.
• Technik: eigene virtuelle Server je Kanzlei, Zugang nur über VPN oder RD-Gateway mit Zwei-Faktor-Anmeldung, tägliche Sicherung, die schon vor der Übertragung mit AES-256 verschlüsselt wird. Die Einzelheiten stehen auf der Seite Sicherheit und Rechenzentrum.
• Preise: offen auf der Preisseite, zum Beispiel 329 € netto im Monat für 5 Arbeitsplätze im Paket Kanzlei Start bei 12 Monaten Laufzeit (Stand Oktober 2026).

Was wir nicht tun: Wir werben nicht mit Siegeln wie „kammergeprüft“ oder „§ 62a-konform“ – solche Prüfungen gibt es nicht. Die Bewertung, ob ein Dienstleister zu Ihrer Kanzlei passt, bleibt nach dem Gesetz bei Ihnen. Wir liefern Ihnen dafür die Unterlagen und beantworten Ihre Fragen schriftlich.

Weiterführend: Welche Kosten bei einem gehosteten Terminalserver entstehen, zeigt der Ratgeber Was kostet ein Terminalserver für eine Kanzlei?. Wie ein Wechsel ohne Fristenrisiko abläuft, erklärt Umzug des Kanzleiservers. Einen Überblick über das Angebot für Anwälte und Steuerberater finden Sie unter Kanzlei-Hosting.