DSGVO & Datensicherheit

KI in der Kanzlei, und die Mandantendaten bleiben unter Ihrer Kontrolle.

Verschwiegenheitspflicht und Datenschutz stehen bei uns am Anfang jeder Planung. Auf dieser Seite erklären wir, wie wir das technisch umsetzen.

In Kürze

Mandantendaten bleiben On-Premise auf Servern in Ihrer Kanzlei. Vektordatenbank, Dokumentenspeicher und Workflows laufen unter Kontrolle der Kanzlei.
Ein Sprachmodell bekommt nur den Ausschnitt, den es für die jeweilige Aufgabe braucht, gekürzt und so weit wie möglich pseudonymisiert. Das Modell legen wir je Projekt mit Ihnen fest. Auf Wunsch kommen nur Modelle mit EU-Verarbeitung oder lokal betriebene Modelle zum Einsatz. Zurück kommt nur der Antworttext.
Ein Auftragsverarbeitungsvertrag (AVV) und dokumentierte technisch-organisatorische Maßnahmen (TOMs) sind von Anfang an dabei, auch ohne Nachfrage.
Die Architektur ist entlang von DSGVO und § 9 RAO (anwaltliche Verschwiegenheitspflicht) konzipiert. Die rechtliche Bewertung für die eigene Kanzlei nimmt die Kanzlei selbst vor.

Die berechtigte Sorge

„Einfach in ChatGPT kopieren“ geht nicht.

Wer Mandantendaten in ein öffentliches KI-Tool eingibt, gibt sie in der Regel an einen Anbieter außerhalb der EU weiter. Damit sind die anwaltliche Verschwiegenheitspflicht (§ 9 RAO) und die DSGVO berührt. Das Risiko ist real, und es ist ein Grund, warum Kanzleien bei KI zurückhaltend sind. Solange die Architektur nicht stimmt, ist diese Zurückhaltung auch berechtigt.

Unser Architekturprinzip

Drei Grundsätze, damit die Daten bei Ihnen bleiben.

Datenhaltung On-Premise

Vektordatenbank, Dokumentenspeicher und Workflows laufen On-Premise auf Servern in Ihrer Kanzlei. Die Kontrolle darüber liegt bei Ihnen.

Datensparsame Anbindung

Wir binden KI-Modelle gezielt ein. Das Modell bekommt nur, was die Aufgabe erfordert, gekürzt und so weit wie möglich pseudonymisiert. Welches Modell das ist, legen wir je Projekt mit Ihnen fest. Wenn Sie möchten, beschränken wir uns auf Modelle mit EU-Verarbeitung oder lokal betriebene Modelle.

AVV & TOMs

Auftragsverarbeitungsverträge und technisch-organisatorische Maßnahmen liegen schriftlich vor, sodass Sie alles nachlesen können.

Der Datenfluss

Was in der Kanzlei bleibt und was hinausgeht.

Das Schema zeigt, welche Daten auf Ihrem Server in der Kanzlei bleiben und was in reduzierter Form an ein Sprachmodell geht. Zurück kommt nur der Antworttext.

Datenfluss — schematische Darstellung Datenfluss

Zur Orientierung

Worauf Sie bei KI-Anbietern achten können.

Der Anbieter kann Ihnen sagen, wo Ihre Daten liegen, und es ist die EU.

Sie bekommen einen Auftragsverarbeitungsvertrag, ohne danach fragen zu müssen.

Der Datenfluss ist beschrieben. Sie sehen, was an welches Modell geht und was nicht.

On-Premise-Betrieb ist möglich. Sie sind nicht an eine fremde Cloud gebunden.

Der Anbieter erklärt Ihnen die Architektur und verspricht keine pauschalen Garantien.

Grenzen

Ein „100 % garantiert“ bekommen Sie von uns nicht. Wir legen Ihnen eine nachvollziehbare Architektur vor, dazu dokumentierte Datenflüsse, Auftragsverarbeitungsverträge und technisch-organisatorische Maßnahmen. Damit können Sie selbst beurteilen, ob das Ihren Anforderungen genügt.

Hinweis

Das ist keine Rechtsberatung. Wir beschreiben die Umsetzung aus technischer Sicht. Die datenschutz- und berufsrechtliche Bewertung für Ihre Kanzlei nehmen Sie selbst oder Ihre Datenschutzbeauftragten vor.

Häufige Fragen

Fragen zu DSGVO & Sicherheit

Ist ChatGPT für Anwälte DSGVO-konform?

Die öffentliche Standardnutzung ist für Mandantendaten in der Regel problematisch. Die Daten gehen an einen Anbieter außerhalb der EU, und die Verschwiegenheitspflicht ist berührt. Es kommt darauf an, wie das System aufgebaut ist und auf welcher Vertragsgrundlage es läuft. Hier setzen wir mit On-Premise-Betrieb und einer datensparsamen Anbindung an.

Was bedeutet On-Premise konkret?

Ihre Wissensbasis, Ihre Dokumente und die Workflows laufen auf einem Server in Ihrer Kanzlei und nicht in der Cloud eines KI-Anbieters. Die Hoheit über die Daten behalten Sie.

Wo stehen die Server?

In Ihrer Kanzlei, auf Ihrer eigenen Infrastruktur. Wie das im Detail aussieht, legen wir gemeinsam fest und schreiben es in den Auftragsverarbeitungsvertrag.

Bekommen wir einen AVV?

Ja. Einen Auftragsverarbeitungsvertrag mit Beschreibung der technisch-organisatorischen Maßnahmen bekommen Sie von Anfang an. Danach fragen müssen Sie nicht.

Zum Weiterlesen

Passende Ratgeber

Alle Ratgeber ansehen