Claude unter §203 StGB nutzen: Leitfaden für Kanzleien 2026

Phillip Pham | 9 Min. Lesezeit | 20.06.2026

TL;DR

Claude §203 StGB-konform zu nutzen ist möglich — aber nicht im Browser und nicht mit der öffentlichen API. Berufsgeheimnisträger brauchen seit der Reform 2017 drei Dinge: Erforderlichkeit, eine Verpflichtung des Anbieters in Textform (§203 Abs. 4) und sorgfältige Auswahl. Pexon Consulting baut den compliant Stack über Amazon Bedrock in der EU-Region, mit AVV und §203-Verpflichtung.

Warum der Art-28-AVV allein nicht reicht

Die kurze Antwort: Weil DSGVO und §203 StGB zwei verschiedene Baustellen sind. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt den Schutz personenbezogener Daten. Die strafbewehrte Verschwiegenheitspflicht eines Anwalts, Steuerberaters oder Arztes regelt er nicht. Wer nur den AVV unterschreibt und glaubt, damit sei Claude für Mandantenakten freigegeben, irrt — und haftet strafrechtlich.

§203 StGB stellt das unbefugte Offenbaren eines fremden Geheimnisses unter Strafe. Geben Sie eine Mandantenakte in ein öffentliches KI-Tool ein, dessen Anbieter die Inhalte auf seinen Servern speichert, ist das ein Offenbaren gegenüber einem Dritten. Anthropic speichert Inputs und Outputs der öffentlichen API standardmäßig bis zu 30 Tage (Stand Juni 2026), ein genereller Opt-out fehlt. Für eine Kanzlei ist das der Klassiker, mit dem ein Berufsrechtsverfahren beginnt.

Unsere klare Position: Die Frage ist nicht ob Sie Claude nutzen dürfen, sondern über welchen Weg. Der Weg entscheidet alles.

Was §203 StGB seit 2017 erlaubt — und was nicht

Bis 2017 war umstritten, ob ein Berufsgeheimnisträger überhaupt einen externen IT- oder Cloud-Dienstleister einschalten durfte. Das „Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter“ hat das am 9. November 2017 geklärt: Externe Dienstleister gelten als „sonstige mitwirkende Personen“ (§203 Abs. 3 S. 2 StGB) — und das schließt Cloud- und KI-Anbieter ausdrücklich ein.

Damit ist die Einschaltung erlaubt, aber an Bedingungen geknüpft. Drei Voraussetzungen müssen zusammenkommen:

1. Erforderlichkeit — die Einschaltung muss für die ordnungsgemäße Berufsausübung nötig sein, und die Offenlegung bleibt auf das Erforderliche begrenzt.
2. Verpflichtung in Textform (§203 Abs. 4) — der Dienstleister muss zur Geheimhaltung verpflichtet und über die Strafbarkeit nach §203 belehrt werden. Versäumt der Berufsgeheimnisträger das, macht er sich strafbar.
3. Sorgfältige Auswahl und Überwachung — der Anbieter muss technisch und organisatorisch geeignet sein, das Geheimnis zu schützen.

Der entscheidende Punkt für die Praxis: Punkt 2 ist eine eigene Vertragsebene, die der AVV nicht ersetzt. Die Bitkom hat dazu 2018 Mustervereinbarungen veröffentlicht; die Bundessteuerberaterkammer hat in ihrer FAQ „KI im steuerberatenden Berufsstand“ (Stand 27. Januar 2026) dieselbe Trennung bestätigt.

Der Fehler, den wir am häufigsten sehen

Eine Kanzlei testet Claude, ist begeistert von der Qualität bei Schriftsätzen, und der erste Associate kippt einen anonymisierten Sachverhalt in das Browser-Fenster. „Anonymisiert“ heißt hier: Name geschwärzt, aber Aktenzeichen, Beträge, Daten und Sachverhalt drin. Das genügt zur Re-Identifikation — und ist damit ein Offenbaren.

Wir raten in dieser Konstellation strikt ab: Kein Berufsgeheimnis in die öffentliche Claude-Oberfläche (claude.ai) oder die direkte Anthropic-API ohne gesonderte Zero-Data-Retention-Vereinbarung. Das ist kein Architektur-Detail, das ist die Grenze zwischen zulässig und strafbar. Wenn Sie Claude evaluieren, ziehen Sie diese Linie vor dem ersten Pilotnutzer, nicht danach.

So betreiben Sie Claude §203 StGB-konform

Der saubere Weg führt über Amazon Bedrock im eigenen AWS-Konto, mit dem EU-Profil, Einstieg über Frankfurt (eu-central-1). Dabei laufen die Anfragen an Claude (z. B. claude-sonnet-4-6 für die meisten Kanzlei-Workflows, claude-opus-4-8 für komplexe Schriftsätze) innerhalb Ihrer AWS-Umgebung. Bedrock leitet die Prompts nicht an Anthropic weiter und speichert die Inhalte nicht, die Verarbeitung bleibt in EU-Regionen. Einzige Ausnahme ist Claude Fable: dort speichert AWS bis zu 30 Tage zur Missbrauchserkennung, deshalb gehört Fable bei Berufsgeheimnissen per Richtlinie gesperrt.

# Claude über Bedrock mit EU-Profil aufrufen (Einstieg eu-central-1)
import boto3, json

client = boto3.client("bedrock-runtime", region_name="eu-central-1")

resp = client.invoke_model(
    modelId="eu.anthropic.claude-sonnet-4-6",  # EU-Inferenzprofil
    body=json.dumps({
        "anthropic_version": "bedrock-2023-05-31",
        "max_tokens": 2000,
        "messages": [{"role": "user", "content": "Fasse den Schriftsatz zusammen."}],
    }),
)
# Inhalte verlassen die EU-Region nicht, kein Anthropic-seitiges Logging

Über die reine Region hinaus gehören zwei Dinge in jede Kanzlei-Installation:

Guardrails und Zugriffskontrolle. Amazon Bedrock Guardrails filtern, was rein- und rausgeht; IAM-Rollen begrenzen, wer welche Modelle aufrufen darf; CloudTrail protokolliert jeden Zugriff revisionssicher. Das ist Ihr Nachweis für „sorgfältige Auswahl und Überwachung“.

Die doppelte Vertragsebene. AWS schließen Sie als Auftragsverarbeiter (Art. 28 DSGVO) UND als mitwirkende Person nach §203 Abs. 4 — Letzteres in Textform, mit Belehrung über die Strafbarkeit. Erst beide Verträge zusammen tragen. Das ist exakt der Aufbau, den wir in unserem KI-Governance-Framework für regulierte Mandanten standardisiert haben, und den wir im Detail im Bedrock-DSGVO-Setup für Claude beschrieben haben.

Bedrock, Vertex oder Anthropic direkt?

Claude gibt es über drei Wege, und nicht jeder taugt für §203. Amazon Bedrock und Google Vertex AI erlauben beide eine EU-Region und das Inhouse-Deployment im eigenen Konto — beide sind grundsätzlich §203-fähig, wenn die Verpflichtung steht. Die direkte Anthropic-API ist nur dann eine Option, wenn Sie eine vertragliche Zero-Data-Retention-Vereinbarung haben; ohne die ist sie für Berufsgeheimnisse tabu.

Unsere Empfehlung für deutsche Kanzleien und Steuerberatungen: Bedrock EU, weil die meisten bereits AWS-Verträge und ein Sicherheitskonzept haben und die §203-Verpflichtung sich an den bestehenden AVV andocken lässt. Wer schon tief in der Google-Cloud steckt, fährt mit Vertex genauso sauber. Eine ausführlichere Gegenüberstellung der Plattformen haben wir separat im Vergleich Bedrock vs. Vertex vs. Foundry aufbereitet. Wer diesen Compliance-Nachweis als Festpreis-Paket sucht, statt ihn intern aufzubauen: Claude für Berufsgeheimnisträger bündelt AVV, §203-Verpflichtung und das Bedrock-EU-Setup in einem Angebot.

Kosten und Zeitrahmen

Transparent: Der größte Posten ist nicht die Technik, sondern die Verträge und das Berechtigungskonzept. Ein §203-konformer Claude-Rollout über Bedrock EU ist kein Großprojekt — es ist ein abgegrenzter Schnitt, den wir als 6-Wochen-Pilot fahren.

Budgetrahmen für den Piloten: 40.000 bis 80.000 Euro, je nach Zahl der Workflows und der Tiefe der bestehenden AWS-Landschaft. Der laufende Bedrock-Verbrauch (pro Token) ist bei Kanzlei-Volumina meist dreistellig pro Monat — die Compliance-Arbeit dominiert die Erstkosten, nicht der Modellbetrieb.

Häufig gestellte Fragen

Darf ich Claude im Browser für anonymisierte Mandantenfälle nutzen?

Nein, wenn die Anonymisierung nicht vollständig ist. Aktenzeichen, Beträge und Sachverhalt genügen oft zur Re-Identifikation — dann liegt ein Offenbaren vor. Für Berufsgeheimnisse gilt: nicht im Browser, sondern über eine §203-konforme Architektur wie Bedrock EU.

Reicht der DSGVO-AVV mit AWS für §203 StGB?

Nein. Der Art-28-AVV schützt personenbezogene Daten, deckt aber die strafbewehrte Verschwiegenheitspflicht nach §203 nicht ab. Sie brauchen zusätzlich eine Verpflichtung des Dienstleisters in Textform nach §203 Abs. 4, inklusive Belehrung über die Strafbarkeit.

Was kostet ein §203-konformer Claude-Rollout?

Ein 6-Wochen-Pilot über Amazon Bedrock EU liegt bei 40.000 bis 80.000 Euro, abhängig von Zahl der Workflows und der bestehenden AWS-Basis. Der größte Aufwand steckt in Verträgen und Berechtigungskonzept, nicht im Modellbetrieb.

Bedrock oder Vertex — was ist für Kanzleien besser?

Beide sind §203-fähig mit EU-Region. Für deutsche Kanzleien empfehlen wir meist Bedrock, weil bestehende AWS-Verträge und Sicherheitskonzepte die §203-Verpflichtung erleichtern. Bei vorhandener Google-Cloud-Landschaft ist Vertex genauso sauber.

Wer haftet, wenn der KI-Anbieter ein Geheimnis offenbart?

Nach §203 Abs. 4 macht sich die mitwirkende Person (der Anbieter bzw. dessen Mitarbeitende) strafbar, wenn sie ein offenbartes Geheimnis unbefugt weitergibt. Der Berufsgeheimnisträger haftet seinerseits, wenn er den Anbieter nicht ordnungsgemäß verpflichtet oder nicht sorgfältig ausgewählt hat.

Nächster Schritt

Bevor der erste Pilotnutzer loslegt, klären wir an Ihren echten Workflows, welcher Weg §203 trägt und wo die Verträge ansetzen — keine Grundsatzpräsentation, sondern Ihr konkreter Fall.

Verwandte Themen

Die technische Seite der Frage, wer Prompts wie lange speichert, ist in Zero Data Retention für Claude je Plattform aufgeschlüsselt, einschließlich der Modelle, für die es keine Aufbewahrungsfreiheit gibt. Welche Plattform dafür überhaupt in Frage kommt, zeigt unsere Hosting-Übersicht.