# Welche Software dürfen Berufsgeheimnisträger nach § 203 StGB nutzen?

> Software für Berufsgeheimnisträger: Was § 203 StGB und § 43e BRAO für Cloud-Dienste verlangen — und wie du deine Tools rechtssicher auswählst.

Quelle: https://www.allapps.cloud/blog/software-berufsgeheimnistraeger-203-stgb
Veröffentlicht: 2026-08-01
Aktualisiert: 2026-08-01
Herausgeber: AllAppsCloud — Wodanio (https://www.wodanio.com)

---

Wenn du als Arzt, Anwältin oder Steuerberater eine neue Software einführst, entscheidest du nicht nur über Komfort und Preis. Du entscheidest darüber, wer technisch Zugriff auf Mandanten- und Patientengeheimnisse bekommt. Die Auswahl von Software für Berufsgeheimnisträger ist deshalb kein reines IT-Thema, sondern eine strafrechtlich relevante Entscheidung. Dieser Artikel erklärt, was § 203 StGB tatsächlich verlangt, welche Rolle das Berufsrecht spielt und woran du einen geeigneten Dienstleister erkennst.

## Was § 203 StGB überhaupt verbietet

§ 203 Absatz 1 StGB stellt es unter Strafe, wenn eine der dort aufgezählten Berufsgruppen ein fremdes Geheimnis unbefugt offenbart, das ihr in dieser Eigenschaft anvertraut wurde. Zu den genannten Gruppen gehören unter anderem Ärzte, Zahnärzte, Apotheker, Rechtsanwälte, Patentanwälte, Notare, Wirtschaftsprüfer und Steuerberater. Der Strafrahmen liegt bei Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Handelt jemand gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht, erhöht Absatz 6 den Rahmen auf bis zu zwei Jahre.

Entscheidend für die Softwareauswahl ist der Begriff „offenbaren". Er setzt keine aktive Weitergabe voraus. Es genügt, einem Dritten die Möglichkeit der Kenntnisnahme zu verschaffen. Genau das passiert, wenn du Patientenakten oder Mandatsunterlagen auf einem Server ablegst, den jemand anderes administriert — der Administrator kann technisch mitlesen.

Lange war das die große Unsicherheit im Umgang mit externer IT. Sie ist inzwischen aufgelöst, aber an Bedingungen geknüpft.

## Die Öffnung für externe Dienstleister: § 203 Absatz 3 StGB

Absatz 3 Satz 2 erlaubt es Berufsgeheimnisträgern ausdrücklich, fremde Geheimnisse gegenüber „sonstigen Personen" zu offenbaren, „die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist". Derselbe Satz erstreckt das ausdrücklich auf weitere Personen, derer sich die mitwirkende Person ihrerseits bedient — also auf Subunternehmer.

Das ist die rechtliche Grundlage dafür, dass du IT-Dienstleister, Rechenzentren und Wartungspersonal überhaupt einsetzen darfst. Zwei Wörter tragen dabei die gesamte Last:

- **„mitwirkend"** — der Dienstleister muss in deine Tätigkeit eingebunden sein, nicht bloß ein anonymer Datenempfänger.
- **„erforderlich"** — der Zugriff darf nicht weiter reichen, als die Dienstleistung es verlangt.

Der Preis dieser Öffnung: Nach Absatz 4 macht sich die mitwirkende Person selbst strafbar, wenn sie ein Geheimnis unbefugt offenbart, das ihr bei ihrer Tätigkeit bekannt geworden ist. Dein IT-Dienstleister steht also mit im Risiko — und das solltest du bei der Auswahl als Qualitätsmerkmal begreifen, nicht als Formalie.

## Das Berufsrecht verschärft: § 43e BRAO als Blaupause

Für Rechtsanwältinnen und Rechtsanwälte konkretisiert § 43e BRAO, wie die Zusammenarbeit auszusehen hat. Die Vorschrift ist auch für andere Berufsgruppen ein brauchbarer Maßstab, weil sie das „erforderlich" aus dem StGB in prüfbare Pflichten übersetzt:

- **Sorgfältige Auswahl** des Dienstleisters (Absatz 2) — und die Pflicht, die Zusammenarbeit unverzüglich zu beenden, wenn die Vorgaben nicht mehr gewährleistet sind.
- **Vertrag in Textform** (Absatz 3), in dem der Dienstleister unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet wird.
- **Kenntnisnahme nur im erforderlichen Umfang** — ausdrücklich vertraglich festzuschreiben.
- **Regelung zu Subunternehmern**: Ob der Dienstleister weitere Personen heranziehen darf, muss festgelegt werden. Darf er es, muss er diese Personen in Textform zur Verschwiegenheit verpflichten.
- **Auslandsklausel** (Absatz 4): Werden Leistungen im Ausland erbracht, ist der Zugang zu Geheimnissen nur zulässig, wenn der dortige Geheimnisschutz dem inländischen vergleichbar ist.

Absatz 8 stellt klar, dass die Vorschriften zum Schutz personenbezogener Daten unberührt bleiben. Berufsrecht und Datenschutzrecht gelten also nebeneinander: Du brauchst zusätzlich einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Der eine ersetzt den anderen nicht.

## Woran du geeignete Software für Berufsgeheimnisträger erkennst

Aus diesen Vorgaben lässt sich eine Prüfliste ableiten, die du an jedes Tool anlegen kannst — von der Dateiablage über die Zeiterfassung bis zum Passwortmanager.

### 1. Wer betreibt den Dienst tatsächlich?

Frag nicht nur nach dem Anbieter, sondern nach der Betreiberkette. Viele Anbieter mieten Kapazität bei Hyperscalern. Jede Ebene dieser Kette ist ein potenzieller Mitwisser und muss vertraglich eingebunden sein. Kurze, nachvollziehbare Ketten sind leichter zu prüfen — und leichter zu verantworten.

### 2. Wo liegen die Daten, und welchem Recht unterliegt der Betreiber?

Der Serverstandort allein genügt nicht. Maßgeblich ist auch, ob der Betreiber einer ausländischen Rechtsordnung untersteht, die Herausgabepflichten begründen kann. Die Auslandsklausel des § 43e Absatz 4 BRAO zielt genau darauf. Ein Anbieter, der ausschließlich deutschem Recht unterliegt und in Deutschland betreibt, macht dir die Prüfung deutlich einfacher.

### 3. Bekommst du die nötigen Verträge?

Ein Anbieter, der weder einen AV-Vertrag nach Art. 28 DSGVO noch eine Verschwiegenheitsverpflichtung mit Belehrung über die Strafbarkeit bereitstellt, ist für Berufsgeheimnisträger schlicht ungeeignet. Das ist kein Verhandlungsspielraum, sondern gesetzliche Voraussetzung.

### 4. Ist der Zugriff technisch begrenzt?

„Erforderlich" heißt: kein pauschaler Vollzugriff des Betreibers. Frag nach Mandantentrennung, Verschlüsselung, Rollen- und Rechtekonzept und danach, wie administrative Zugriffe protokolliert werden.

### 5. Open Source statt Blackbox

Bei quelloffener Software wie Nextcloud, Kimai, Vaultwarden oder Matomo kannst du nachvollziehen, was das Programm mit Daten tut, und bist nicht auf Zusicherungen eines Herstellers angewiesen. Zusätzlich behältst du die Exit-Option: Du kannst dieselbe Software woanders weiterbetreiben, wenn die Zusammenarbeit endet.

## Das eigentliche Problem: Betrieb, nicht Lizenz

Die Software selbst ist selten das Hindernis. Nextcloud statt Dropbox, Vaultwarden statt eines US-Passwortmanagers, Matomo statt Google Analytics — die Alternativen existieren und sind ausgereift. Das Problem beginnt beim Betrieb. Wer selbst hostet, muss Updates zeitnah einspielen, Backups testen, Verfügbarkeit überwachen und im Störungsfall reagieren. In einer Kanzlei oder Praxis ohne eigene IT-Abteilung bleibt das im Alltag regelmäßig liegen. Ein ungepatchter Server ist aber kein Datenschutzgewinn gegenüber der US-Cloud — er ist ein anderes Risiko.

Der Ausweg ist Managed Hosting bei einem Dienstleister, der die Rolle der mitwirkenden Person bewusst annimmt. Genau dafür ist [AllAppsCloud](https://www.allapps.cloud/) gebaut: Open-Source-Anwendungen wie [Nextcloud](https://www.allapps.cloud/nextcloud-hosting), [Vaultwarden](https://www.allapps.cloud/vaultwarden-hosting) oder [Paperless-ngx](https://www.allapps.cloud/paperless-ngx-hosting) laufen im eigenen deutschen Rechenzentrum der Wodanio GmbH — ohne Hyperscaler in der Kette, ohne Drittstaatentransfer. Backups, Updates und Monitoring übernimmt der Betreiber, du administrierst nur noch deine Anwendung. Die ISO-27001-Zertifizierung des Rechenzentrums läuft derzeit.

AllAppsCloud befindet sich aktuell in der Early-Access-Phase. Wenn du für deine Kanzlei oder Praxis eine konkrete Konstellation prüfen willst, lohnt sich der Blick in den [Katalog der verfügbaren Anwendungen](https://www.allapps.cloud/hosting) und die Anmeldung auf der Warteliste.

## Häufige Fragen

### Darf ich als Arzt oder Anwältin überhaupt eine Cloud nutzen?

Ja. § 203 Absatz 3 Satz 2 StGB erlaubt es ausdrücklich, mitwirkenden Personen Geheimnisse zugänglich zu machen, soweit das für die Inanspruchnahme ihrer Leistung erforderlich ist. Die Zulässigkeit hängt nicht an der Technik, sondern an der Ausgestaltung: sorgfältige Auswahl, vertragliche Verschwiegenheitsverpflichtung mit Belehrung, Beschränkung auf das Erforderliche und eine Regelung zu Subunternehmern.

### Reicht ein Auftragsverarbeitungsvertrag nach der DSGVO aus?

Nein. Der AV-Vertrag deckt das Datenschutzrecht ab. § 43e Absatz 8 BRAO stellt klar, dass Datenschutzvorschriften neben dem Berufsrecht gelten. Du brauchst beides: den AV-Vertrag nach Art. 28 DSGVO und die berufs- und strafrechtlich geforderte Verschwiegenheitsverpflichtung des Dienstleisters samt Belehrung über die Strafbarkeit.

### Was passiert, wenn mein Dienstleister ein Geheimnis offenbart?

Nach § 203 Absatz 4 StGB macht sich die mitwirkende Person selbst strafbar, wenn sie ein bei ihrer Tätigkeit bekannt gewordenes Geheimnis unbefugt offenbart. Das entlastet dich aber nicht automatisch: Deine eigenen Pflichten zur sorgfältigen Auswahl und Vertragsgestaltung bestehen unabhängig davon — und § 43e Absatz 2 BRAO verpflichtet dich, die Zusammenarbeit unverzüglich zu beenden, wenn die Einhaltung der Vorgaben nicht mehr gewährleistet ist.

---

*Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall.*