Ratgeber · Anwälte

Dürfen Anwälte ChatGPT und andere KI mit Mandantendokumenten nutzen?

Gonzalo Sabater, Rechtsanwalt · 28. Oktober 2026 · 7 Minuten

Generative KI ist in vielen Kanzleien schon Arbeitsalltag: Sie fasst Klagen zusammen, vergleicht Vertragsfassungen und schlägt die Gliederung eines Schriftsatzes vor. Die Frage, die sich jeder sorgfältige Anwalt stellt: Darf ich das mit echten Mandantendokumenten? Kurz gesagt: mit Vorsicht, und indem man so wenig Mandanteninformation wie möglich preisgibt.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung im Einzelfall. Jede Kanzlei muss ihre Pflichten, ihre Verträge mit KI-Anbietern und die Hinweise ihrer Kammer selbst prüfen.

Zwei Pflichten zugleich

1. Die Verschwiegenheitspflicht

Der Rechtsanwalt ist zur Verschwiegenheit verpflichtet (§ 43a Abs. 2 BRAO, § 2 BORA); die unbefugte Offenbarung fremder Geheimnisse ist nach § 203 StGB strafbar. Wer externe Dienstleister einbindet, etwa IT- oder Cloud-Anbieter, muss die Voraussetzungen des § 43e BRAO beachten: sorgfältige Auswahl, Verpflichtung des Dienstleisters zur Verschwiegenheit in Textform und Offenlegung nur, soweit es für die Leistung erforderlich ist.

2. Die DSGVO

Eine Akte enthält personenbezogene Daten von Mandanten, Gegnern, Zeugen oder Beschäftigten. Sie in einen KI-Dienst einzugeben, ist eine Verarbeitung, für die der Grundsatz der Datenminimierung gilt (Art. 5 Abs. 1 lit. c DSGVO). Der Anbieter ist meist Auftragsverarbeiter (Art. 28), und es kann zu Übermittlungen außerhalb der EU kommen.

Was das Risiko wirklich senkt: die Daten nicht senden

Um eine Klage zusammenzufassen oder Klauseln zu prüfen, braucht die KI fast nie die Namen der Parteien, ihre Steuer-ID, Anschrift oder IBAN. Wer sie vor dem Senden ersetzt, gibt viel weniger preis.

• Anonymisieren heißt, Daten so zu entfernen, dass die Person nicht mehr identifizierbar ist. Wirklich anonyme Daten fallen nicht unter die DSGVO (Erwägungsgrund 26).
• Pseudonymisieren heißt, Daten durch Platzhalter (z. B. [PERSON_1]) zu ersetzen und die Zuordnung getrennt aufzubewahren (Art. 4 Nr. 5). Pseudonymisierte Daten bleiben für den, der die Zuordnung hat, personenbezogen, das Risiko ist aber deutlich geringer, und die DSGVO nennt sie ausdrücklich als Schutzmaßnahme (Art. 25 und 32).

Eine vernünftige Arbeitsweise

1. Fragen Sie, was die KI wirklich braucht: fast immer den juristischen Inhalt, nicht die Identität der Beteiligten.
2. Ersetzen Sie identifizierende Angaben: Namen, Steuer-IDs, Anschriften, Telefonnummern, E-Mails, Konten, Aktenzeichen.
3. Achten Sie auf indirekte Merkmale: eine seltene Funktion, ein Datum und ein kleiner Ort können jemanden identifizieren.
4. Prüfen Sie das Ergebnis, bevor Sie es senden.
5. Nutzen Sie das richtige Konto und prüfen Sie, ob der Anbieter mit Ihren Eingaben trainiert und die Anforderungen des § 43e BRAO erfüllt.
6. Halten Sie es fest: eine kurze interne KI-Richtlinie sorgt dafür, dass alle gleich arbeiten.

Wo Maskwise hilft

Maskwise ist eine Mac-App, die die Schritte 2 und 4 übernimmt, ohne dass das Dokument Ihren Computer verlässt: Sie findet über 40 Datenarten (Namen, Steuer-IDs mit Prüfziffer, IBAN, Anschriften, Aktenzeichen …), ersetzt sie in Word, Excel, PowerPoint oder Text durch einheitliche Platzhalter unter Beibehaltung der Formatierung und prüft die Kopie. Antwortet die KI, setzt Maskwise die echten Daten wieder ein.