KI in der Kanzlei: Datenschutz, Verschwiegenheit, Serverstandort

Sicherheit und Transparenz: wo Ihre Daten liegen, wer sie verarbeitet und was vertraglich gilt. Alle Angaben dieser Seite sind unter Hosting und Datenverarbeitung einzeln belegt.

Ansicht

2 Unterauftragnehmer Hetzner für das Hosting in Deutschland und ein KI-Anbieter. Sonst niemand.

Ihre Dokumente und Akten

Bleibt in Deutschland

Eigene Server in Deutschland, gehostet bei Hetzner

(Fast) alles auf eigenen Servern

Bis auf eine LLM-Verbindung (siehe unten) laufen alle Funktionen von SentaLaw auf eigenen Servern in Deutschland, gespeichert und verarbeitet wird ausschließlich dort. Dadurch sind keine weiteren Subunternehmer beteiligt, lediglich der deutsche Server-Anbieter Hetzner und ein LLM-Anbieter.

MandantenportalE-SignaturVideotelefonieRechtsspezifische WorkflowsDokumentenverarbeitungvieles mehr

Nur zur Verarbeitung, ohne Speicherung

LLM

KI-Verarbeitung in Europa

KI mit strengem Vertrag

Zero Data Retention: Ihre Eingaben werden nach der Verarbeitung nicht gespeichert.

Kein Training: Ihre Daten fließen in kein Modell ein.

§ 203 StGB: Der Anbieter bestätigt ausdrücklich die Kenntnisnahme der Konsequenzen.

4 bis 6 Unterauftragnehmer Typisch, wenn Hosting, E-Signatur, Videotelefonie, Texterkennung und KI jeweils zugekauft werden.

Ihre Dokumente und Akten

Verschlüsselt übertragen

Server in Europa unter der Kontrolle eines US-Unternehmens

Der Serverstandort entscheidet nicht

Der US Cloud Act knüpft an die Kontrolle über die Daten an, nicht an den Ort der Festplatte. Untersteht der Anbieter oder sein Hoster amerikanischem Recht, kann eine US-Behörde die Herausgabe verlangen, auch wenn der Server in Frankfurt steht. Ein Rechenzentrum in Europa allein ändert daran nichts.

US-Hyperscaler als HosterUS-KonzernmutterSupport-Zugriff aus Drittstaaten

Je Funktion ein weiterer Empfänger

LLM ALLM BE-Sign…

Mehrere Unterauftragnehmer, jeder mit eigenem Vertrag

Jede Funktion holt einen Dritten dazu

Mehr als ein KI-Anbieter, weil je nach Aufgabe unterschiedliche Modelle eingekauft werden. Jeder davon sieht Mandatsinhalte.

E-Signatur, Videotelefonie und Texterkennung als jeweils eigener Dienst, mit eigener Vertragslage, eigenem Serverstandort und eigenem Sicherheitsniveau.

Für § 43e Abs. 3 BRAO muss jeder einzelne dieser Empfänger in Textform zur Verschwiegenheit verpflichtet und auf die Strafbarkeit hingewiesen worden sein. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO genügt dafür nicht.

Die zweite Ansicht beschreibt eine verbreitete Bauform, keinen bestimmten Anbieter. Welche Unterauftragnehmer eingesetzt werden, muss nach Art. 28 Abs. 2 DSGVO jeder offenlegen. Fragen Sie danach, auch bei uns.

Drei Fragen an jeden Anbieter

Sie müssen uns nichts glauben. Diese drei Fragen lassen sich jedem Anbieter stellen, und die Antworten lassen sich nachprüfen.

Wie viele Unterauftragnehmer sind es, namentlich?Die vollständige Liste steht Ihnen nach Art. 28 Abs. 2 DSGVO zu. Unsere sind zwei: Hetzner für das Hosting in Deutschland und ein KI-Anbieter mit Verarbeitung in Europa.
Welchem Recht untersteht das Unternehmen hinter dem Server?Nicht wo der Server steht, sondern wer über ihn bestimmt. Unsere Server betreibt Hetzner in Deutschland, hinter SentaLaw steht die SentaNova Development GmbH mit Sitz in Deutschland.
Liegt eine Verpflichtung nach § 43e Abs. 3 BRAO vor?In Textform und mit ausdrücklichem Hinweis auf die Strafbarkeit nach § 203 StGB. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ersetzt diese Verpflichtung nicht.

Transparenz ist die Grundlage

Als Kanzlei tragen Sie Verantwortung für das, was Mandanten Ihnen anvertrauen. Deshalb sorgen wir für höchste Datensicherheit und legen vollständig offen, wo Ihre Daten verschlüsselt liegen und wer sie verarbeitet: eigene Server in Deutschland, ein deutscher Hosting-Anbieter, ein LLM-Anbieter mit Verarbeitung in Europa und strengster Zero-Data-Retention-Vereinbarung. Keine weitere Kette von Subunternehmern, keine versteckten Dienste.

Die Zusammenarbeit mit dem LLM-Anbieter ist vertraglich eng gefasst: Ihre Eingaben werden lediglich für die Formulierung der Antwort verarbeitet, danach nicht gespeichert und niemals für das Training von Modellen verwendet. Der Anbieter bestätigt ausdrücklich die Kenntnisnahme der Konsequenzen (Freiheitsstrafe / Geldstrafe) des § 203 StGB.

SentaLaw ist DSGVO-konform aufgebaut, mit Auftragsverarbeitungsvertrag, und für den Einsatz unter den Vorgaben der BRAO ausgelegt.

Warum Pseudonymisierung nicht die Antwort ist

Ein verbreiteter Weg lautet: Namen vor dem Versand aus dem Dokument entfernen, dann sei die Weitergabe an eine externe KI unbedenklich. Dieser Weg trägt nicht weit genug, aus drei Gründen.

Die Erkennung läuft automatisiert und ist damit nie 100% zuverlässig.Ein Programm sucht nach dem Personenbezug. Ein übersehener Name in einer Anlage, ein Briefkopf in einem eingescannten Schreiben, eine Kontonummer in einer Tabelle: es genügt eine Stelle, und die Mandantendaten sind draußen. Wer sich darauf verlässt, verlässt sich auf eine Trefferquote, nicht auf eine Zusage.

Auch ohne Namen bleibt der Fall bestimmbar.Ein gekündigtes Betriebsratsmitglied eines Automobilzulieferers mit Zugang am 3. März ist für jeden, der die Branche kennt, eindeutig zuzuordnen, obwohl kein Name im Text steht. Genau darauf zielt Erwägungsgrund 26 DSGVO mit den Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden.

Das Mandat selbst ist bereits das Geheimnis.§ 203 StGB schützt nicht nur den Namen, sondern die Tatsache und den Gegenstand der Beauftragung. Ein geschwärzter Schriftsatz verrät weiterhin, dass in dieser Sache anwaltlich beraten wird, und worum es dabei geht.

Was stattdessen trägt

Keine Speicherung.Ein Zero Data Retention Agreement, das die Verarbeitung auf den Moment der Antwort begrenzt: kein Vorhalten, kein Training, keine menschliche Durchsicht.

Anerkannte Strafbarkeit.Eine Verpflichtung des KI-Anbieters in Textform nach § 43e Abs. 3 BRAO, in der er den Hinweis auf die Strafbarkeit einer Verletzung der Verschwiegenheit nach § 203 StGB ausdrücklich zur Kenntnis nimmt.

Pseudonymisierung ist damit nicht wertlos. Sie ist die richtige Notmaßnahme dort, wo keine dieser beiden Zusagen vorliegt, etwa bei einem frei zugänglichen Chatbot. Sie ist nur kein Ersatz für den Vertrag. Weil beide Zusagen bei uns vorliegen, muss Ihr Dokument vor der Verarbeitung nicht geschärzt werden, und die Antwort kennt den vollständigen Fall.