§43e BRAO KI: Berufsrechtliche Anforderungen für Kanzleien (2026)
Kurzantwort
§43e BRAO erlaubt den Einsatz externer Dienstleister — auch KI-Systeme — bei verschwiegenheitspflichtigen Mandatsinformationen. Kanzleien müssen den Dienstleister in Textform zur Verschwiegenheit verpflichten und über die Strafbarkeit belehren, die Verarbeitung zweckbinden, Unterauftragnehmer regeln, den Einsatz sorgfältig überwachen und bei Dienstleistungen für ein einzelnes Mandat die Einwilligung des Mandanten einholen.
- §43e BRAO greift bei jedem KI-Einsatz, bei dem verschwiegenheitspflichtige Mandatsdaten zu einem externen Dienstleister gelangen — unabhängig vom Anbieter.
- Der Vertrag bedarf der Textform: Verschwiegenheitsverpflichtung mit Belehrung über die Strafbarkeit (§ 203 StGB), Zweckbindung und geregelte Unterauftragnehmer.
- Der Anwalt muss den Dienstleister sorgfältig auswählen und überwachen — die Verantwortung für KI-Ergebnisse und die Haftung bleiben bei ihm.
- Dient die KI-Dienstleistung unmittelbar einem einzelnen Mandat, ist die Einwilligung des Mandanten nach §43e Abs. 5 BRAO erforderlich.
§43e BRAO ist die berufsrechtliche Zentralnorm für den KI-Einsatz in deutschen Kanzleien. Sie erlaubt Rechtsanwältinnen und Rechtsanwälten, Dienstleister — darunter KI-Anbieter wie OpenAI, Anthropic oder Microsoft Azure — mit der Verarbeitung verschwiegenheitspflichtiger Mandatsinformationen zu beauftragen, knüpft das aber an feste Pflichten: ein Dienstleistervertrag in Textform mit Verschwiegenheitsverpflichtung und Belehrung über die Strafbarkeit nach §203 StGB, Zweckbindung, geregelte Unterauftragnehmer, eine laufende Aufsichtspflicht der Kanzlei — und bei Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, die Einwilligung des Mandanten. Verstöße können berufsrechtliche Sanktionen und Haftungsrisiken auslösen.
Was regelt §43e BRAO?
§43e BRAO mit dem amtlichen Titel „Inanspruchnahme von Dienstleistungen” wurde durch das Gesetz zur Modernisierung des Berufsrechts der Rechtsanwälte und Patentanwälte vom 25. Mai 2022 (BGBl. I S. 738) in die Bundesrechtsanwaltsordnung aufgenommen und gilt seit dem 1. Juni 2022. Die Norm schließt eine Lücke des Berufsrechts: Es fehlte eine ausdrückliche Rechtsgrundlage dafür, externe Dienstleister mit Informationen zu betrauen, die der anwaltlichen Verschwiegenheitspflicht nach §43a Abs. 2 BRAO unterliegen.
§43e Abs. 1 BRAO erlaubt dem Rechtsanwalt, Dienstleistern den Zugang zu diesen Tatsachen zu eröffnen — soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Dienstleister ist dabei jede Person oder Stelle, die der Rechtsanwalt im Rahmen seiner Berufsausübung beauftragt. Dazu zählen KI-Systeme, Cloud-Dienste, juristische Analysesoftware und externe Dokumentenplattformen gleichermaßen.
Rechtsstand Oktober 2026: §43e BRAO gilt unverändert in der Fassung von 2022. Die BRAO wurde zuletzt durch ein Gesetz vom 22. Dezember 2025 (BGBl. 2025 I Nr. 349) geändert — die anwaltsgerichtlichen Maßnahmen nach §114 BRAO umfassen heute auch Geldbußen bis zu 50.000 Euro. Ein umfassender Referentenentwurf des BMJ zur BRAO-Reform (September 2025) sieht eine Neuordnung der anwaltlichen Grundpflichten vor, war zum Redaktionsschnitt aber noch nicht verabschiedet. Eine KI-spezifische Ergänzung der Berufsordnung existiert nicht; maßgebliche Orientierung bleiben die BRAK-Hinweise vom Dezember 2024 und die DAV-Stellungnahme 32/25 zum Einsatz von KI in der Anwaltschaft (Juli 2025).
Pflichtenkreis: Wann §43e BRAO beim KI-Einsatz greift
Sobald eine Kanzlei Mandatsdaten — Sachverhalte, Schriftsätze, Vertragsentwürfe, Parteiinformationen — an einen externen KI-Dienstleister überträgt, liegt eine Inanspruchnahme von Dienstleistungen im Sinne von §43e Abs. 1 BRAO vor. Maßgebend ist nicht das Anbietermodell oder die Vertragsbezeichnung, sondern allein die Frage: Verlassen vertrauliche Mandatsinformationen die Kanzleisphäre in Richtung eines Dritten?
Die Verknüpfung mit §43a BRAO ist entscheidend: §43a Abs. 2 BRAO verpflichtet zur Wahrung des Mandatsgeheimnisses auch gegenüber Dritten, die im Rahmen des Mandats hinzugezogen werden. §43e BRAO operationalisiert diese Pflicht für die digitale Praxis — vom KI-Schreibassistenten über die juristische Recherche bis zur automatisierten Dokumentenanalyse.
Praktische Konsequenz: Kein KI-Einsatz mit Mandatsdaten ohne §43e-BRAO-konforme Vertragsgrundlage. Die Erlaubnis gilt nur zusammen mit den Pflichten der Absätze 2 bis 5.
Anforderungen nach §43e Abs. 3 BRAO im Überblick
§43e Abs. 3 BRAO definiert die vertraglichen Mindestpflichten, die vor dem KI-Einsatz mit Mandatsdaten erfüllt sein müssen.
Vertrag in Textform mit Strafbelehrung
Der Vertrag mit dem Dienstleister bedarf der Textform (§ 126b BGB) — eine E-Mail oder ein elektronisch signiertes Dokument genügt, keine notarielle oder eigenhändige Schriftform. Inhaltlich muss der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit verpflichtet werden. Praktisch geht es dabei um die Strafvorschrift des §203 StGB, die die unbefugte Offenbarung von Berufsgeheimnissen unter Strafe stellt und über § 203 Abs. 3 StGB auch auf die an der Verschwiegenheitspflicht mitwirkenden Dienstleister anwendbar ist.
Zweckbindung und No-Training-Klausel
Der Dienstleister darf nur insoweit Kenntnis von fremden Geheimnissen erhalten, als dies zur Vertragserfüllung erforderlich ist (§43e Abs. 3 Nr. 2 BRAO). Für KI-Systeme bedeutet das in der Praxis eine ausdrückliche No-Training-Klausel: Mandatsdaten dürfen nicht für Modelltraining, Produktverbesserung oder eigene Analysen des Anbieters genutzt werden. API-Bedingungen großer Anbieter schließen Trainingsdatennutzung häufig standardmäßig aus — diese Vertragsgrundlage muss geprüft, dokumentiert und aktiv überwacht werden. Eine Aussage auf der Anbieter-Website ersetzt keine vertragliche Zusicherung.
Unterauftragnehmer in Textform verpflichten
Der Vertrag muss festlegen, ob der Dienstleister weitere Personen zur Erfüllung heranziehen darf — und für diesen Fall verlangt §43e Abs. 3 Nr. 3 BRAO, dass der Dienstleister diese Personen seinerseits in Textform zur Verschwiegenheit verpflichtet. KI-Anbieter nutzen regelmäßig Cloud-Infrastruktur, Monitoring-Dienste und Sicherheitstools von Drittanbietern. Kanzleien sollten die Unterauftragnehmerliste anfordern und prüfen, ob die Verschwiegenheitskette lückenlos ist.
Lösch- und Exit-Regelungen
Lösch- und Exit-Regelungen werden in §43e Abs. 3 BRAO nicht ausdrücklich genannt — sie folgen aber aus der Verschwiegenheits- und Zweckbindungspflicht in Verbindung mit Art. 28 DSGVO und müssen vertraglich festgelegt sein: sowohl laufend (temporäre Speicherung, Logs, Inference-Zwischenspeicher) als auch bei Vertragsende (datenschutzkonforme Übergabe oder Vernichtung aller gespeicherten Mandatsdaten beim Anbieterwechsel).
Aufsichtspflicht nach §43e Abs. 2 BRAO
§43e Abs. 2 BRAO verpflichtet den Rechtsanwalt zur sorgfältigen Auswahl des Dienstleisters — und zur unverzüglichen Beendigung der Zusammenarbeit, wenn die Einhaltung der Absatz-3-Vorgaben nicht mehr gewährleistet ist. Die Aufsichtspflicht ist damit kein einmaliger Vorgabe-Check bei Vertragsabschluss, sondern eine fortlaufende Überwachungspflicht.
Für den KI-Einsatz bedeutet das konkret:
- Auswahl dokumentieren: Kriterien wie AVV-Angebot, Trainingsverzicht, Datenstandort und Unterauftragnehmerkette vor der Beauftragung prüfen und die Prüfung dokumentieren
- Vertragliche Zusicherungen überwachen: Änderungen der Anbieter-Bedingungen, neue Unterauftragnehmer und Modellaktualisierungen beobachten
- Arbeitsergebnisse kontrollieren: KI-generierte Entwürfe, Zitate und Fundstellen sind vor der Verwendung auf Richtigkeit zu prüfen — die fachliche Verantwortung bleibt beim verantwortlichen Anwalt
- Eskalation vorbereiten: Bei Anzeichen, dass der Anbieter Vorgaben nicht einhält, greift die Beendigungspflicht nach §43e Abs. 2 Satz 2 BRAO
Die Aufsichtspflicht harmoniert mit der Pflicht zu aktuellen Kenntnissen im Berufsrecht nach §43f BRAO und der KI-Kompetenzverpflichtung nach Art. 4 EU AI Act (geltend seit 2. Februar 2025): Wer KI einsetzt, muss die Grenzen der eingesetzten Systeme kennen und Nutzende entsprechend schulen.
Mandanteneinwilligung nach §43e Abs. 5 BRAO — wann nötig?
§43e Abs. 5 BRAO regelt den wichtigsten Anwendungsfall für KI: Dient die Dienstleistung unmittelbar einem einzelnen Mandat, darf der Rechtsanwalt dem Dienstleister den Zugang zu fremden Geheimnissen nur eröffnen, wenn der Mandant darin eingewilligt hat. KI-Nutzung für ein konkretes Mandat mit echten Mandatsdaten fällt unter diese Regel — die Einwilligung ist also der Regelfall, nicht die Ausnahme.
Praktische Wege, ohne Einwilligung konform zu bleiben:
- Anonymisierung oder Pseudonymisierung: Erhält der KI-Dienstleister keinen Zugang zu fremden Geheimnissen (keine identifizierbaren Mandatsinformationen), greift §43e Abs. 5 BRAO nicht — etwa bei Prüfung einer anonymisierten Vertragsfassung
- Freigegebene Kanzlei-Workflows: Recherche und Entwurf auf Basis von Gesetzestexten, Urteilen und eigenen Vorlagen ohne Mandatsbezug
Zu beachten ist außerdem:
- §43e Abs. 4 BRAO: Bei Diensten, die im Ausland erbracht werden, darf der Zugang zu fremden Geheimnissen nur eröffnet werden, wenn der Schutz dort dem Inlandsschutz vergleichbar ist — bei US-amerikanischen KI-Anbietern eine eigenständige Prüfungsfrage
- §43e Abs. 6 BRAO: Die Auswahl- und Vertragspflichten nach Abs. 2 und 3 gelten auch bei eingewilligten Mandaten weiter; der Mandant kann nur ausdrücklich auf ihre Einhaltung verzichten
- Die BRAK-Hinweise vom Dezember 2024 und die DAV-Stellungnahme 32/25 empfehlen, die Einwilligung klar zu dokumentieren und Mandanten transparent über den KI-Einsatz zu informieren
§43e BRAO und DSGVO — wie verhält sich das?
§43e BRAO und Art. 28 DSGVO schützen unterschiedliche Rechtsgüter und gelten kumulativ. Ein AVV allein erfüllt die Anforderungen des §43e BRAO nicht.
| Merkmal | §43e BRAO | Art. 28 DSGVO (AVV) |
|---|---|---|
| Rechtsgrundlage | Berufsrecht (BRAO) | Datenschutz-Grundverordnung |
| Schutzgut | Anwaltliche Verschwiegenheit, §203 StGB | Personenbezogene Daten |
| Strafrechtliche Belehrung | Pflicht (Abs. 3 Nr. 1) | Nicht vorgesehen |
| Zweckbindung | Pflicht (Abs. 3 Nr. 2) | Pflicht (Art. 28 Abs. 3 lit. b) |
| Unterauftragnehmer | Pflicht, Textform (Abs. 3 Nr. 3) | Pflicht (Art. 28 Abs. 4) |
| Vertragserfordernis | Textform (§ 126b BGB) | Schriftform (Art. 28 Abs. 9) |
| Mandanteneinwilligung | Erforderlich bei einzelmandatsbezogenen Diensten (Abs. 5) | Nicht vorgesehen |
Kanzleien brauchen beide Vertragswerke: den AVV für den datenschutzrechtlichen Rahmen und eine ergänzende §43e-BRAO-konforme Vereinbarung für die berufsrechtlichen Pflichten. Die DAV-Stellungnahme 32/25 (Juli 2025) hat hervorgehoben, dass das anwaltliche Berufsrecht über den DSGVO-Standard hinausgeht — wer nur einen AVV vorweisen kann, hat §43e BRAO nicht erfüllt.
Haftung und Sanktionen bei Verstößen gegen §43e BRAO
Wer §43e BRAO verletzt, riskiert drei Ebenen von Konsequenzen:
- Berufsrechtlich: Die Rechtsanwaltskammer kann Pflichtverletzungen über die Rüge des Kammervorstands (§ 74 BRAO) ahnden. Bei schwereren Verstößen entscheiden die Anwaltsgerichte: Anwaltsgerichtliche Maßnahmen nach §114 BRAO sind Warnung, Verweis, eine Geldbuße bis zu 50.000 Euro, ein auf bestimmte Rechtsgebiete begrenztes Tätigkeitsverbot für ein bis fünf Jahre oder die Ausschließung aus der Rechtsanwaltschaft.
- Zivilrechtlich: Fehlerhafte oder pflichtwidrig in KI-Systeme überführte Mandatsarbeit begründet Haftungsansprüche der Mandanten aus dem Anwaltsvertrag (§ 280 Abs. 1 BGB). Die Berufshaftpflichtversicherung (§ 51 BRAO) muss den Einschluss von KI-Risiken in der Police prüfen — Deckungslücken entstehen, wenn der Einsatz gegen berufsrechtliche Pflichten verstößt.
- Strafrechtlich: Die Offenbarung von Berufsgeheimnissen durch den Dienstleister kann den Straftatbestand des §203 StGB erfüllen — deshalb ist die Belehrung nach §43e Abs. 3 Nr. 1 BRAO verpflichtend.
Abgrenzung: KI-Tools, KI-APIs und berufsrechtliche Pflichten
Diese Seite behandelt die berufsrechtlichen Pflichten des §43e BRAO — Pflichtenkreis, Aufsicht und Haftung. Zwei benachbarte Themen sind bewusst ausgespart und werden auf eigenen Seiten vertieft:
- Anbieter- und Tools-Auswahl: Welches KI-Tool für welche Aufgabe geeignet ist und wie die BRAO-Tauglichkeit einzelner Anbieter zu bewerten ist, behandelt der Leitfaden KI-Tools für Anwaltskanzleien: BRAO- und DSGVO-Anforderungen.
- Technische Integration: Wie KI-APIs (Claude, OpenAI, Gemini) in die Kanzlei-Infrastruktur eingebunden werden und wie die Vertraulichkeitsarchitektur nach §43a BRAO aufgebaut wird, behandelt der Guide AI APIs für Anwälte: §43a BRAO, Verschwiegenheit und DSGVO.
Checkliste §43e BRAO-Compliance für KI-Tools
Vor dem produktiven Einsatz einer KI mit Mandatsdaten sollte jede Kanzlei folgende Punkte sichergestellt haben:
- §43e-BRAO-Vertrag in Textform — Verschwiegenheitsverpflichtung mit ausdrücklicher Belehrung über die strafrechtlichen Folgen (§203 StGB)
- No-Training-Klausel ausdrücklich vereinbart — Mandatsdaten werden nicht für Modelltraining oder Produktverbesserung genutzt
- Zweckbindung dokumentiert — Kenntnisnahme nur zur Vertragserfüllung erforderlich (Abs. 3 Nr. 2)
- Unterauftragnehmer bekannt, gelistet und ihrerseits in Textform verpflichtet (Abs. 3 Nr. 3)
- Lösch- und Exit-Regelungen vertraglich vereinbart und technisch umgesetzt
- AVV nach Art. 28 DSGVO abgeschlossen — ergänzend zu §43e BRAO, nicht ersetzend
- Mandanteneinwilligung nach §43e Abs. 5 BRAO eingeholt oder Anonymisierung dokumentiert — bei einzelnen Mandaten der Regelfall
- Auslandsbezug geprüft — vergleichbarer Geheimnisschutz nach Abs. 4 bestätigt
- Interne KI-Nutzungsrichtlinie vorhanden — freigegebene Tools, verbotene Datenkategorien, Freigabeverfahren
- Aufsicht dokumentiert — Auswahlentscheidung, laufende Überwachung und Ergebnisprüfung nach Abs. 2 nachweisbar
Weiterführende Informationen
- KI-APIs für Kanzleien in Deutschland — Übersicht freigegebener Anbieter und Bewertungsrahmen
- Berufshaftpflicht und KI-Risiken — Versicherungsschutz bei KI-bedingten Pflichtverletzungen
FAQ
Was schreibt §43e Abs. 3 BRAO vor?
§43e Abs. 3 BRAO verlangt einen Vertrag in Textform, in dem der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit verpflichtet wird. Ergänzend ist festzulegen, dass der Dienstleister nur insoweit Kenntnis von fremden Geheimnissen erhält, als dies zur Vertragserfüllung erforderlich ist, und ob er weitere Personen heranziehen darf — diese sind dann ebenfalls in Textform zur Verschwiegenheit zu verpflichten.
Braucht man für den KI-API-Einsatz eine Mandanteneinwilligung nach §43e BRAO?
Ja, wenn die KI-Dienstleistung unmittelbar einem einzelnen Mandat dient und der Anbieter Zugang zu fremden Geheimnissen erhält (§ 43e Abs. 5 BRAO). Ohne Zugang zu identifizierbaren Mandatsgeheimnissen — etwa nach konsequenter Anonymisierung — ist keine Einwilligung erforderlich. Die Pflichten nach Abs. 2 und 3 gelten unabhängig von der Einwilligung; der Mandant kann nur ausdrücklich auf ihre Einhaltung verzichten.
Was passiert bei einem Verstoß gegen §43e BRAO?
Berufsrechtlich drohen zunächst eine Rüge der Rechtsanwaltskammer (§ 74 BRAO) und anwaltsgerichtliche Maßnahmen nach § 114 BRAO: Warnung, Verweis, Geldbuße bis zu 50.000 Euro, ein auf bestimmte Rechtsgebiete begrenztes Tätigkeitsverbot oder die Ausschließung aus der Rechtsanwaltschaft. Daneben drohen zivilrechtliche Haftungsansprüche der betroffenen Mandanten; die Offenbarung von Berufsgeheimnissen kann zudem den Straftatbestand des §203 StGB erfüllen.
Reicht ein AVV nach DSGVO für den KI-API-Einsatz in Kanzleien aus?
Nein. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt den datenschutzrechtlichen Rahmen — er enthält aber weder eine Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung noch die berufsrechtliche Verschwiegenheitsverpflichtung im Sinne des §43e BRAO. Beide Regelwerke sind nebeneinander anzuwenden. Ein nur-DSGVO-konfigurierter Dienstleistervertrag erfüllt die berufsrechtlichen Anforderungen nicht.
Wer haftet bei Fehlern von KI-gestützten Arbeitsergebnissen?
Voll der Anwalt: Die Aufsichtspflicht nach §43e Abs. 2 BRAO verlagert die Verantwortung nicht auf das KI-System oder den Anbieter. Fehlerhafte KI-Ergebnisse begründen Haftungsrisiken aus dem Anwaltsvertrag, die über die Berufshaftpflichtversicherung abzusichern sind. Gegenüber dem Dienstleister bestehen vertragliche Regressansprüche.
Nächster Schritt
Compound Law berät Kanzleien und Rechtsabteilungen bei der §43e-BRAO-konformen Konfiguration von KI-Systemen — von der Vertragsgestaltung mit KI-Anbietern über die berufsrechtliche Strukturierung des Betriebskonzepts bis zur DSGVO-Compliance. Wenn Ihre Kanzlei einen KI-Rollout plant oder einen bestehenden Einsatz berufsrechtlich absichern möchte, ist eine strukturierte Prüfung der richtige Ausgangspunkt.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Ihre konkrete Situation empfehlen wir die Beratung durch einen Rechtsanwalt.
