Hosting für Kanzleien, Praxen und Steuerberater: §203 StGB sicher erfüllen
Wer als Anwalt, Arzt oder Steuerberater arbeitet, unterliegt der Schweigepflicht. Sobald für Website, E-Mail oder Software ein externer Dienstleister ins Spiel kommt, stellt sich eine Frage, die über den normalen Datenschutz hinausgeht: Ist dieses Hosting §203-konform? Denn für Berufsgeheimnisträger gelten strengere Regeln als für die meisten Unternehmen. Dieser Beitrag erklärt, worauf es ankommt. Ein Hinweis vorab: Das hier ist eine Orientierung, keine Rechtsberatung. Im Zweifel klären Sie die Details mit Ihrer Kammer oder einem Fachanwalt.
DSGVO reicht nicht: Was §203 StGB zusätzlich verlangt
Die meisten kennen die Auftragsverarbeitungsvereinbarung (AVV) nach Artikel 28 DSGVO. Sie regelt, wie ein Dienstleister mit personenbezogenen Daten umgeht, und ist das Standardinstrument für Cloud-Dienste. Für Kanzleien, Praxen und Steuerberater reicht sie allein aber nicht. Der Grund ist §203 StGB. Diese Vorschrift schützt nicht nur Daten, sondern das anvertraute Geheimnis selbst, also Mandanten- und Patientengeheimnisse. Ihre unbefugte Weitergabe ist strafbar. Bezieht ein Berufsgeheimnisträger einen IT-Dienstleister ein, der theoretisch Zugriff auf solche Informationen haben könnte, greift deshalb eine zusätzliche Ebene über die DSGVO hinaus.
Wer zählt zu den Berufsgeheimnisträgern nach §203 StGB?
Der Kreis ist größer, als viele denken. §203 StGB nennt unter anderem: Ärzte, Zahnärzte, Apotheker und Angehörige anderer Heilberufe, Psychologen, Rechtsanwälte, Notare, Patentanwälte, Steuerberater, Wirtschaftsprüfer und vereidigte Buchprüfer, außerdem Ehe-, Familien- und Suchtberater sowie Mitarbeiter von Sozialversicherungsträgern. Wichtig: Die Pflicht erstreckt sich auch auf die "mitwirkenden Personen" – also Angestellte, Azubis und eben externe IT-Dienstleister, die Zugriff auf geschützte Informationen haben könnten. Genau deshalb muss der Hoster einer Kanzlei oder Praxis förmlich zur Verschwiegenheit verpflichtet werden.
Was droht bei einem Verstoß gegen §203?
Die unbefugte Offenbarung eines fremden Geheimnisses kann mit Geldstrafe oder Freiheitsstrafe bis zu einem Jahr geahndet werden, bei Handeln gegen Entgelt oder in Bereicherungsabsicht bis zu zwei Jahren. Dazu kommen berufsrechtliche Konsequenzen durch die Kammern und zivilrechtliche Haftung gegenüber Mandanten oder Patienten. Seit der Reform von 2017 gilt aber auch: Die Einschaltung externer Dienstleister ist ausdrücklich erlaubt, wenn die drei oben genannten Voraussetzungen erfüllt sind – sorgfältige Auswahl, Verpflichtung in Textform, Erforderlichkeit. Ein Hoster, der diese Verpflichtung standardmäßig anbietet, nimmt Ihnen das Compliance-Risiko an der entscheidenden Stelle ab.
Welche Anforderungen ein Hoster erfüllen muss
Aus §203 ergeben sich drei Kernpunkte. Erstens muss die Einbindung des Dienstleisters für die ordnungsgemäße Berufsausübung erforderlich sein. Zweitens muss der Dienstleister in Textform zur Geheimhaltung verpflichtet und über die strafrechtlichen Folgen einer Verletzung belehrt werden. Drittens müssen Sie ihn sorgfältig auswählen und überwachen. Praktisch heißt das: Neben der AVV braucht es eine berufsrechtliche Verschwiegenheitsverpflichtung mit Belehrung. Dazu kommt der Ort der Datenverarbeitung. Vertrauliche Daten dürfen nicht ohne Weiteres auf Server außerhalb der EU gelangen. US-Cloud-Dienste sind damit für solche Daten in der Regel ausgeschlossen, solange keine besonderen Garantien greifen. Technisch müssen Verschlüsselung der Kommunikation sowie Zugriffs- und Authentifizierungsschutz selbstverständlich sein.
Worauf Sie bei der Anbieterwahl achten sollten
Ein paar Punkte zeigen schnell, ob ein Hoster für Berufsgeheimnisträger geeignet ist. Stehen die Server ausschließlich in deutschen, ISO-zertifizierten Rechenzentren, ist die EU-Frage von vornherein geklärt. Ist der Anbieter bereit, eine Verschwiegenheitsverpflichtung nach §203 zu unterzeichnen, nicht nur eine Standard-AVV, passt die rechtliche Basis. Und erreichen Sie im Problemfall einen festen Ansprechpartner, statt einer anonymen Hotline, lässt sich die geforderte Überwachung des Dienstleisters überhaupt erst leben. Vorsicht ist bei billigen Paketen mit Servern irgendwo in der Welt geboten. Was für einen Blog reicht, erfüllt für eine Kanzlei oder Praxis die Anforderungen meist nicht.
Hosting für Ihre Branche
webhostone betreibt Server seit 1998 ausschließlich in deutschen Rechenzentren und kennt die Anforderungen von Berufsgeheimnisträgern. Für die jeweiligen Berufsgruppen gibt es passende Lösungen mit den nötigen vertraglichen und technischen Voraussetzungen: für Anwälte und Notare, für Arztpraxen und Mediziner sowie für Steuerberater. Wer zusätzlich über KI im Kanzlei- oder Praxisalltag nachdenkt, sollte denselben Maßstab anlegen: Auch hier dürfen vertrauliche Daten das geschützte Umfeld nicht verlassen.
Zwei Pflichten lassen sich direkt mitlösen: Geschäftliche E-Mails mit steuerlich relevantem Inhalt müssen nach den GoBD aufbewahrt werden – eine GoBD-konforme E-Mail-Archivierung erledigt das automatisch und revisionssicher, gehostet in Deutschland. Und für die Datensicherung von Kanzlei- oder Praxisservern bietet sich ein Backup-Speicher im deutschen Rechenzentrum an, der Mandanten- und Patientendaten gar nicht erst ins Ausland gelangen lässt.
Ein KI-Hosting aus Deutschland hält die Verarbeitung im deutschen Rechenzentrum. Welche Variante zu Ihrer Kanzlei oder Praxis passt, klären wir am besten im direkten Gespräch.
