10. September 2026 · 21 Min. Lesezeit · Verschwiegenheit

Anwaltsgeheimnis und KI: Ist ein Gespräch mit ChatGPT noch vertraulich?

Innerhalb von sieben Tagen im Februar 2026 kamen zwei US-Bundesgerichte zu entgegengesetzten Ergebnissen bei der Frage, ob die Gegenseite herausverlangen kann, was eine Partei in einen Chatbot getippt hat. Eine Woche später veröffentlichte das Upper Tribunal in London die Warnung, dass Mandantenschreiben in einem öffentlichen KI-Werkzeug im öffentlichen Raum landen. Im Juni verfasste ein Ermittlungsrichter in Rotterdam die erste niederländische Begründung zu dieser Frage und gab ChatGPT-Verläufe an die Staatsanwaltschaft frei. Keine dieser Entscheidungen ändert das Recht der Verschwiegenheit. Alle zeigen, was geschieht, wenn eine für Menschen geschriebene Regel auf Software trifft, die speichert, was man ihr anvertraut.

Drei Fragen, die als eine gestellt werden

„Ist mein KI-Chat vertraulich?“ lautet die Suchanfrage. Dahinter verbergen sich drei rechtlich verschiedene Fragen, und eine Kanzlei, die sie in einem Atemzug beantwortet, beantwortet mindestens eine davon falsch.

1. Ist die Antwort des Chatbots geschützter Rechtsrat? Nein, in keiner der hier behandelten Rechtsordnungen. Das Berufsgeheimnis besteht, weil das Gesetz die Konsultation eines Angehörigen eines reglementierten Berufs schützt, der zur Verschwiegenheit verpflichtet ist und bei Verstößen berufsrechtlich belangt werden kann. Software erfüllt keine dieser Voraussetzungen, so gut die Antwort auch sein mag.
2. Hebt die Eingabe geschützter Informationen in ein KI-Werkzeug den Schutz auf, den sie bereits hatten? Das ist die Frage, die die Entscheidungen des Jahres 2026 tatsächlich entschieden haben, und die Antwort hängt an der Vertraulichkeit. Wurde die Information einer Stelle außerhalb des geschützten Kreises mitgeteilt, ist der Schutz gefährdet. Steht das Werkzeug innerhalb des Kreises, nicht.
3. Verletzt ein Rechtsanwalt seine Verschwiegenheitspflicht durch die Einschaltung eines KI-Anbieters? Das ist eine Frage nach dem eigenen Verhalten des Anwalts nach BRAO, BORA und, in Deutschland, nach § 203 StGB. Sie wird durch Vorschriften über Dienstleister beantwortet, die lange vor generativer KI bestanden und präziser sind, als die meisten Kanzleien annehmen.

Die erste Antwort ist einfach. Die zweite und die dritte machen die Arbeit aus, und sie werden in Deutschland, den Niederlanden, Frankreich und im Common Law von unterschiedlichen Regeln bestimmt. Im Folgenden zunächst die Entscheidungen, dann der europäische Rahmen, dann die Vorkehrungen.

Was die Gerichte 2026 entschieden haben

United States v. Heppner: Ein Verbraucher-Chatbot ist ein Dritter

Bradley Heppner, ehemaliger Verwaltungsratsvorsitzender eines börsennotierten Unternehmens, wurde am 28. Oktober 2025 im Southern District of New York angeklagt. Nachdem er von den Ermittlungen erfahren hatte und noch vor der Anklage, nutzte er die Verbraucherversion eines bekannten Assistenten, um die Tatsachen und Rechtsfragen seines Falls durchzuarbeiten. Er verarbeitete dabei Informationen seiner Verteidiger und erstellte Unterlagen, die er anschließend mit ihnen teilte. Das FBI fand diese Unterlagen bei der Vollstreckung eines Durchsuchungsbeschlusses. Richter Rakoff entschied am 10. Februar 2026 mündlich und begründete am 17. Februar schriftlich, dass das Material weder durch das attorney-client privilege noch durch die work-product-Doktrin geschützt sei (1).

Das Gericht nannte drei Gründe. Der Assistent sei kein Anwalt, und das Privileg setze ein Vertrauensverhältnis zu einem Berufsträger voraus, der Treuepflichten unterliege und berufsrechtlich belangt werden könne. Die Kommunikation sei nicht vertraulich gewesen, weil die Datenschutzerklärung des Anbieters die Nutzer darauf hinwies, dass Eingaben gespeichert, zum Training verwendet und an Dritte einschließlich Behörden weitergegeben werden könnten. Und die Unterlagen seien nicht erstellt worden, um Rechtsrat eines Anwalts einzuholen; der Beschuldigte habe sie aus eigenem Antrieb verfasst und erst danach mit seinen Verteidigern geteilt. Aus demselben letzten Grund scheiterte auch der Schutz als work product: Die Unterlagen seien nicht durch den Verteidiger oder auf dessen Veranlassung entstanden (1).

Was das Gericht nicht gesagt hat, wiegt ebenso schwer. Es hat nicht entschieden, dass der Einsatz generativer KI als solcher den Schutz aufhebt. Und es hat über die ständige Kovel-Rechtsprechung zu Hilfspersonen des Anwalts offengelassen, dass ein auf Weisung des Verteidigers und unter vertraulichkeitswahrenden Bedingungen genutztes Werkzeug anders beurteilt werden könnte. Kommentatoren auf beiden Seiten des Atlantiks lesen die Entscheidung als eine über Verbraucherbedingungen, nicht über Technologie (2).

Warner v. Gilbarco: Ein Werkzeug, keine Person

Eine Woche zuvor, am 10. Februar 2026, war das Bundesgericht für den Eastern District of Michigan zu einem auf den ersten Blick gegenteiligen Ergebnis gelangt. Eine Arbeitnehmerin, die sich ohne Anwalt vertrat, hatte eingeräumt, ChatGPT zur Beantwortung rechtlicher Fragen und zum Entwurf von Schriftsätzen benutzt zu haben. Die Beklagten verlangten ihre Eingaben und die Antworten heraus. Das Gericht lehnte ab: Der Schutz des work product gehe nur durch Mitteilung an den Gegner oder auf eine Weise verloren, die eine solche Mitteilung wahrscheinlich mache, und eine KI-Plattform sei ein Werkzeug und keine Person, der etwas mitgeteilt werden könne (3).

Die beiden Entscheidungen lassen sich vereinbaren, und gerade diese Vereinbarung ist das Nützlichste, was ein deutscher Anwalt aus ihnen mitnehmen kann. Das attorney-client privilege geht durch jede Mitteilung außerhalb des Vertrauensverhältnisses verloren. Work product geht nur durch Mitteilung an den Gegner verloren. Derselbe Chat kann also den einen Schutz einbüßen und den anderen behalten. Die eigene Prozessvorbereitung eines Mandanten in einem Chatbot kann geschützt bleiben; der Rat des Anwalts, den der Mandant in denselben Chat eingefügt hat, nicht.

Das Upper Tribunal: Mandantenschreiben in einem öffentlichen Werkzeug sind im öffentlichen Raum

In verbundenen ausländerrechtlichen Verfahren, verhandelt im Oktober und November 2025 und veröffentlicht am 19. Februar 2026, befasste sich das Upper Tribunal vor allem mit erfundenen Fundstellen aus KI-Werkzeugen. Es fügte eine Passage zur Vertraulichkeit hinzu, die seither überall zitiert wird. Wer Mandantenschreiben und Bescheide des Innenministeriums in ein offenes KI-Werkzeug wie ChatGPT einstellt, bringe diese Informationen ins Internet und damit in den öffentlichen Raum und verletze so die Vertraulichkeit gegenüber dem Mandanten und lasse das legal privilege entfallen; ein reglementierter Berufsträger, der dies tue, solle seine Aufsicht informieren und die britische Datenschutzaufsicht konsultieren. Dem stellte das Tribunal geschlossene Werkzeuge gegenüber, die Informationen nicht in den öffentlichen Raum bringen und für Aufgaben wie das Zusammenfassen ohne diese Risiken zur Verfügung stünden (4).

Britische Praktiker haben zu Recht gefragt, ob „öffentlicher Raum“ die zutreffende rechtliche Beschreibung einer Eingabe auf den Servern eines Anbieters ist. Die Aussage übersteht die Kritik. Beide Formen des Privilegs nach englischem Recht setzen Vertraulichkeit voraus, und die Warnung ist die Feststellung eines hohen Gerichts, dass ein öffentliches Verbraucherwerkzeug sie nicht gewährleistet.

Rotterdam: Die Eingabe geschützter Informationen in ChatGPT ist eine Offenbarung

Die niederländische Entscheidung ist verfahrensrechtlich bescheiden und inhaltlich am unmittelbarsten. Im Rahmen einer Filterung nach Artikel 98 der niederländischen Strafprozessordnung hatte ein Ermittlungsrichter in Rotterdam zu entscheiden, welche der von den Telefonen und dem Laptop einer Beschuldigten beschlagnahmten Daten als geschützte Kommunikation dem Ermittlungsteam vorzuenthalten waren. Unter den Daten befanden sich ChatGPT-Verläufe, in denen die Beschuldigte mit einer Eingabe eine Nachricht hatte entwerfen lassen, die erkennbar für einen Berufsgeheimnisträger bestimmt war, und der erzeugte Text nannte diese Person (5).

Die Begründung des Ermittlungsrichters setzte beim Zweck des Zeugnisverweigerungsrechts an: Das öffentliche Interesse an der Wahrheitsfindung müsse hinter dem öffentlichen Interesse zurücktreten, dass sich jeder frei und ohne Furcht vor Offenbarung des Anvertrauten an bestimmte Berufsträger um Beistand und Rat wenden könne. Ein externes KI-System speichere sowohl die eingegebenen als auch die erzeugten Informationen und könne sie anschließend etwa zum Training des Modells verwenden. Die Eingabe möglicherweise geschützter Informationen in ChatGPT, ebenso wie das Erzeugenlassen eines für einen Berufsgeheimnisträger bestimmten Textes, könne daher als Offenbarung dieser Informationen angesehen werden. Damit werde die Vertraulichkeit durchbrochen, die Information verliere ihren vertraulichen Charakter und könne nicht länger als geschützt gelten. Die zuvor durch Suchbegriffe markierten ChatGPT-Verläufe wurden als nicht geschützt gekennzeichnet und mit dem bereinigten Datensatz an das Ermittlungsteam und die Staatsanwaltschaft freigegeben, unter den Zugriffsbeschränkungen der forensischen Plattform, über die die Daten eingesehen werden (5).

Ein Feststellungsprotokoll eines Ermittlungsrichters bindet niemanden außerhalb dieses Verfahrens. Es ist gleichwohl die erste veröffentlichte niederländische Begründung zu dieser Frage, es erging innerhalb des Rahmens, den der Hoge Raad im März 2024 für den Umgang mit geschützten Daten in beschlagnahmten digitalen Beständen aufgestellt hat (6), und es betraf das Verhalten einer Beschuldigten, nicht eines Anwalts. Dieser letzte Punkt ist das Muster aller vier Entscheidungen.

Warum die deutsche Frage anders liegt als die amerikanische

Die amerikanische Diskussion spricht von waiver: Das Privileg ist ein Recht des Mandanten, das durch unvorsichtige Mitteilung verloren gehen kann. Das deutsche Recht ist anders gebaut. Der Schutz ist in erster Linie eine Pflicht des Berufsträgers, flankiert durch das Zeugnisverweigerungsrecht, das Beschlagnahmeverbot und die Strafbarkeit der unbefugten Offenbarung, und er erstreckt sich auf einen gesetzlich umschriebenen Kreis mitwirkender Personen. Daraus folgen drei Konsequenzen für KI.

Erstens ist die Frage, ob die eigenen Chatbot-Entwürfe eines Mandanten geschützt sind, enger als in den Vereinigten Staaten. Das Zeugnisverweigerungsrecht nach § 53 Abs. 1 Nr. 3 StPO und § 383 Abs. 1 Nr. 6 ZPO schützt, was dem Anwalt in dieser Eigenschaft anvertraut oder bekannt geworden ist, und § 97 StPO nimmt schriftliche Mitteilungen zwischen dem Beschuldigten und seinem Verteidiger sowie dessen Aufzeichnungen von der Beschlagnahme aus. Eigene Aufzeichnungen des Beschuldigten zur Vorbereitung der Verteidigung werden von der Rechtsprechung in den Schutz der Verteidigung einbezogen, und die Rotterdamer Entscheidung zeigt, dass der Entwurf einer Nachricht an den Anwalt jedenfalls als Kandidat in Betracht kam. Ein eigenständiges Privileg des Mandanten für seine juristischen Überlegungen, wie es das Gericht in Michigan als work product anerkannt hat, kennt das deutsche Recht jedoch nicht.

Zweitens ist für eine Kanzlei entscheidend, ob der KI-Anbieter innerhalb oder außerhalb des Kreises der Personen steht, die der Berufsträger nach dem Gesetz einschalten darf. Das ist eine Frage von Gesetz und Vertrag, und das deutsche Recht hat sie so genau beantwortet wie keine andere europäische Rechtsordnung.

• Die Pflicht und ihre Sanktion. § 43a Abs. 2 BRAO verpflichtet den Rechtsanwalt zur Verschwiegenheit über alles, was ihm in Ausübung seines Berufs bekannt geworden ist; § 2 BORA konkretisiert die Pflicht, und § 203 Abs. 1 Nr. 3 StGB stellt die unbefugte Offenbarung unter Strafe. Erfasst ist nach den Hinweisen der Bundesrechtsanwaltskammer grundsätzlich „alles“ aus einem Mandat, also auch der Name des Mandanten und die Tatsache der Mandatierung (7) (8).
• Der Kreis der mitwirkenden Personen. Seit der Neuregelung von 2017 dürfen Berufsgeheimnisträger nach § 203 Abs. 3 StGB fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme dieser Tätigkeit erforderlich ist; die mitwirkende Person macht sich nach § 203 Abs. 4 StGB ihrerseits strafbar, wenn sie das Geheimnis unbefugt offenbart (8). § 43e BRAO füllt das für Dienstleister aus: sorgfältige Auswahl, ein Vertrag in Textform mit Verschwiegenheitsverpflichtung und Belehrung über die strafrechtlichen Folgen, Beschränkung der Kenntnisnahme auf das Erforderliche, Regelungen zur Hinzuziehung weiterer Personen, unverzügliche Beendigung bei Verstößen und, bei Dienstleistern im Ausland, ein dem inländischen vergleichbarer Geheimnisschutz (7).
• Die Anwendung auf Sprachmodelle. Die Hinweise der Bundesrechtsanwaltskammer zum KI-Einsatz, Stand Dezember 2024, übertragen dieses Schema ausdrücklich auf Sprachmodelle: nach Möglichkeit nur „abstrakte“ Eingaben, die auch im Kontext keinen Rückschluss auf ein Mandat zulassen; vollständige Anonymisierung vor jedem Upload; und die Feststellung, dass das Entfernen von Namen und Anschriften regelmäßig nicht ausreicht, wenn sich Mandatsinformationen aus dem Zusammenhang ergeben. Für das Merkmal des Zugangs komme es nicht darauf an, ob der Anbieter tatsächlich Kenntnis nehme; wie bei der Offenbarung nach § 203 StGB genüge die Möglichkeit dazu. Bei Anbietern mit Sitz in den Vereinigten Staaten sei ungeklärt, ob auf das Datenschutzniveau abgestellt werden könne, weshalb Anbieter mit Serverstandorten in Deutschland oder Europa vorzuziehen seien (9).

Drittens liegt die grundrechtliche Untergrenze höher als in den Vereinigten Staaten. Der Gerichtshof der Europäischen Union hat im Dezember 2022 zur Meldepflicht von Anwälten nach DAC6 und erneut im September 2024 im Luxemburger Verfahren über steuerliche Beratung entschieden, dass Artikel 7 der Charta die Vertraulichkeit des anwaltlichen Rechtsrats sowohl hinsichtlich seiner Existenz als auch seines Inhalts gewährleistet und dass, wer einen Anwalt konsultiert, vernünftigerweise erwarten darf, dass diese Vertraulichkeit außer in Ausnahmesituationen gewahrt bleibt (10) (11). Der Europäische Gerichtshof für Menschenrechte zählt das anwaltliche Berufsgeheimnis seit Michaud gegen Frankreich zum Kern des Rechts auf Achtung des Privatlebens und der Korrespondenz (12). Und die Beschränkung des Privilegs im europäischen Kartellverfahren auf unabhängige Rechtsanwälte in Akzo Nobel erinnert daran, dass der Schutz der beruflichen Stellung des Menschen folgt, weshalb er Software nie folgen kann (13).

Die Niederlande und Frankreich folgen demselben Modell. Artikel 11a des niederländischen Advocatenwet erstreckt die Verschwiegenheitspflicht in einem Satz auf Mitarbeiter, Personal und andere an der Berufsausübung beteiligte Personen, und der Hoge Raad erkennt ein abgeleitetes Zeugnisverweigerungsrecht für diejenigen an, deren Mitwirkung der Anwalt benötigt (14). In Frankreich erklärt Artikel 66-5 des Gesetzes vom 31. Dezember 1971 sämtliche Aktenstücke für vom Berufsgeheimnis erfasst, und der Conseil national des barreaux hat am 17. März 2026 einen berufsethischen Leitfaden zur KI beschlossen, der verlangt, keine Mandanten- oder Aktendaten an ein generatives KI-Werkzeug zu übermitteln (15). Wer grenzüberschreitend arbeitet, begegnet diesen Maßstäben.

Was die Bedingungen des Werkzeugs tatsächlich sagen

Jede der genannten Entscheidungen beruht auf einer tatsächlichen Prämisse: Das Werkzeug speichert, was man ihm sagt, und darf es nutzen oder weitergeben. Diese Prämisse ist an den jeweils geltenden Bedingungen zu prüfen und nicht zu unterstellen, denn die Bedingungen unterscheiden sich erheblich zwischen Verbraucher- und Geschäftsvarianten, und sie ändern sich.

Der größte Verbraucherassistent verwendet Inhalte aus kostenlosen und individuellen Bezahlabonnements zur Verbesserung seiner Modelle, sofern der Nutzer das nicht in den Einstellungen abschaltet, und erklärt, dass seine Geschäfts-, Enterprise- und API-Produkte standardmäßig nicht zum Training genutzt werden (16). Ein weiterer großer Anbieter kündigte am 28. August 2025 an, dass Nutzer seiner Verbraucherpläne gefragt werden, ob ihre Gespräche zum Training verwendet werden dürfen, mit einer auf fünf Jahre verlängerten Speicherdauer für Zustimmende und dreißig Tagen für die anderen, während die Geschäfts-, Enterprise-, API- und Behördenangebote ausgenommen sind (17). Gelöschte Verbrauchergespräche werden in der Regel binnen dreißig Tagen entfernt, doch ein Rechtsstreit kann dazwischentreten: Im Urheberrechtsverfahren gegen den größten Anbieter bestätigte ein Bundesrichter in New York am 5. Januar 2026 eine Anordnung, den Klägern eine Stichprobe von zwanzig Millionen pseudonymisierten Verbrauchergesprächen herauszugeben, und eine frühere Aufbewahrungsanordnung hatte die routinemäßige Löschung 2025 mehrere Monate lang ausgesetzt (18).

Die Lehre lautet nicht, dass ein Anbieter sicher ist und ein anderer nicht. Sie lautet, dass die Vertraulichkeitsprüfung von Variante, Einstellungen, Vertrag und Prozesslage des Anbieters zum Zeitpunkt der Nutzung abhängt, und dass eine Kanzlei, die diese Tatsachen nicht für jedes genutzte Werkzeug benennen kann, auch nicht sagen kann, ob der Kreis der Verschwiegenheit gewahrt geblieben ist.

Das Problem auf Mandantenseite, und eine neue Pflicht bei der Mandatsannahme

Wer die vier Entscheidungen noch einmal liest, dem fällt eine Tatsache auf. In New York, Michigan und Rotterdam war es der Mandant oder Beschuldigte, der Material in einen Chatbot eingab, nicht der Anwalt. In London war es ein Vertreter, aber das beschriebene Risiko war allgemein. Das größte Risiko einer Kanzlei im Jahr 2026 sind daher nicht die eigenen Werkzeuge. Es ist der Mandant, der zwischen dem Erhalt eines Rats und dem nächsten Termin diesen Rat in einen kostenlosen Assistenten einfügt, um ihn zu verstehen, eine Antwort zu entwerfen oder zu prüfen, ob der Anwalt recht hat.

Dieses Verhalten ist natürlich, es ist verbreitet, und die Mandatsvereinbarung der meisten Kanzleien sagt nichts dazu. Drei Maßnahmen sind verhältnismäßig.

1. Sagen Sie es bei der Mandatsannahme, schriftlich. Ein kurzer Absatz in der Mandatsvereinbarung oder in der ersten Beratungs-E-Mail, der erklärt, dass Rat und Korrespondenz nicht in öffentliche KI-Werkzeuge eingegeben werden dürfen und warum, kostet nichts und verändert Verhalten. In Straf- und Aufsichtsverfahren, in denen eine Beschlagnahme realistisch ist, sagen Sie es zusätzlich mündlich.
2. Bieten Sie eine Alternative. Mandanten nutzen Chatbots, weil sie verstehen wollen. Ein Anwalt, der seinen Rat in verständlicher Sprache erläutert oder anbietet, Fragen per Nachricht zu beantworten, nimmt den Anreiz. Verfügt die Kanzlei über eine kontrollierte KI-Umgebung, kann der Mandant in geeigneten Mandaten darin arbeiten.
3. Wird der Mandant ohnehin KI nutzen, geben Sie die Weisung. In den amerikanischen Verfahren lag der Unterschied zwischen Heppners Unterlagen und geschützten Unterlagen in der Weisung des Verteidigers. Eine schriftliche Aufforderung des Anwalts, für dessen Beratung und mit einem von der Kanzlei freigegebenen Werkzeug eine Chronologie oder eine Fragenliste zu erstellen, ist die Konstruktion, die das Material innerhalb des Mandatsverhältnisses hält. Sie hält es auch in kontinentalen Systemen innerhalb des geschützten Bereichs, weil die Arbeit des Mandanten damit Teil der Konsultation wird.

Sieben Vorkehrungen für den eigenen Einsatz der Kanzlei

Die folgenden Vorkehrungen sind aus § 43e BRAO und den Hinweisen der Bundesrechtsanwaltskammer abgeleitet und genügen zugleich den niederländischen und französischen Anforderungen. Sie reichen von der Entscheidung, die eine Kanzlei einmal trifft, bis zu den Gewohnheiten, die sie täglich pflegen muss.

1. Teilen Sie Werkzeuge in drei Stufen ein, und sagen Sie, welches wohin gehört

Öffentliche Verbraucherwerkzeuge, deren Bedingungen Speicherung, Training oder Weitergabe erlauben. Geschäftsvarianten allgemeiner Werkzeuge, bei denen Training standardmäßig abgeschaltet ist, bei denen aber Vertrag, Speicherort und Aufbewahrungsdauer noch zu prüfen sind. Kanzleieigene Werkzeuge, für juristische Arbeit unter einem Vertrag beschafft, der dem Maßstab des § 43e BRAO genügt. Mandantenbezogenes Material bleibt auf die dritte Stufe beschränkt. Anonymisierte oder abstrakte Arbeit darf die zweite nutzen. In die erste gehört nichts, was einen Mandanten betrifft, auch nicht die Tatsache der Mandatierung.

2. Vertraglich nach § 43e BRAO, und zwar überall

Das Gesetz gibt die Liste vor: eine Verschwiegenheitsverpflichtung des Anbieters mit Belehrung über die strafrechtlichen Folgen, Zweckbindung, ein Verbot des Trainings mit Kanzleidaten, Offenlegung von Unterauftragnehmern und deren Verpflichtung auf dieselben Pflichten, Löschung auf Verlangen und bei Vertragsende, Speicherort in der EU oder ein vergleichbares Schutzniveau, und Mitteilung jedes behördlichen Auskunftsverlangens. Ein Anbieter, der diese Bedingungen nicht unterzeichnet, hat der Kanzlei gesagt, in welche Stufe er gehört. Unsere Checkliste zur Anbieterprüfung behandelt die wirtschaftliche Seite derselben Aufgabe.

3. Beschränken Sie, was hineingeht

Der Punkt der Bundesrechtsanwaltskammer verdient Wiederholung, weil Kanzleien gerade hier am häufigsten irren: Das Entfernen von Namen und Anschriften ist keine Anonymisierung, wenn sich das Mandat aus den Tatsachen rekonstruieren lässt. Eine abstrakte Rechtsfrage ist in den meisten Werkzeugen unbedenklich. Eine Beschreibung der Transaktion des Mandanten mit umbenannten Beteiligten ist es in der Regel nicht. Behandeln Sie die gesamte Eingabe als Schriftstück, das eines Tages vorgelegt werden könnte, denn in Heppner geschah genau das.

4. Halten Sie fest, was genutzt wurde

Eine Aufzeichnung je Mandat, welches Werkzeug unter welchem Konto zu welchem Zweck mit welcher Art von Eingabe genutzt wurde, erlaubt es der Kanzlei, einem Gericht oder der Kammer in einem Satz zu antworten. Sie erlaubt es auch, nachzuweisen, dass die Nutzung auf Weisung und in Verantwortung des Anwalts erfolgte. Die Disziplin unserer KI-Audit-Trail-Checkliste gilt hier unmittelbar.

5. Halten Sie mithörende Werkzeuge aus vertraulichen Kanälen heraus

Der leise Weg in den Kreis der Verschwiegenheit führt nicht über das Chatfenster. Er führt über den Besprechungsassistenten, der an jedem Gespräch teilnimmt, den Transkriptionsbot in der Videoplattform des Mandanten, die Browsererweiterung, die jede Seite liest, und den mandantenweiten Assistenten, der jedes Postfach indexiert, auf das er Zugriff erhält. Jedes davon ist ein Dritter, der in einem vertraulichen Gespräch oder einer vertraulichen Akte anwesend ist, und jedes braucht dieselbe Einstufung und denselben Vertrag. Eine Aufzeichnung einer Mandantenbesprechung, die ein vom Arbeitgeber des Mandanten betriebener Assistent anfertigt, kann bei diesem Arbeitgeber herausverlangt werden.

6. Seien Sie auf Beschlagnahme und Herausgabe vorbereitet

Die Rotterdamer Filterung dauerte ein Jahr und hing davon ab, dass die Verteidigung präzise angeben konnte, welche Berufsgeheimnisträger in den Daten vorkommen konnten und mit welchen Suchbegriffen sie zu finden waren. Eine Kanzlei sollte ihr geschütztes Material in den eigenen Systemen auf dieselbe Weise benennen können: nach Mandat, nach Korrespondent und nach Werkzeug. Wo eine KI-Umgebung Mandatsmaterial enthält, muss die Kanzlei wissen, wie sie es exportiert, wie sie nachweist, was es enthält, und wie sie belegt, dass der Anbieter zu keinem anderen Zweck darauf zugreifen konnte. § 97 StPO schützt nur, was als Verteidigungsunterlage erkennbar und zuordenbar ist.

7. Schulen Sie, und lesen Sie die Bedingungen zweimal im Jahr neu

Artikel 4 der KI-Verordnung verpflichtet die Kanzlei bereits, für ein ausreichendes Maß an KI-Kompetenz bei denjenigen zu sorgen, die diese Werkzeuge nutzen, und Vertraulichkeit ist der Gegenstand, der am unmittelbarsten mit dem Berufsrecht verknüpft ist. Die Schulung sollte die Bedingungen der Werkzeuge der zweiten Stufe umfassen, weil sie sich ohne Ankündigung ändern, und das Datum der letzten Prüfung sollte festgehalten werden; der technische Leitfaden des CCBE vom März 2026 zählt das Verständnis der Datenverarbeitung eines Werkzeugs zu der Kompetenz, die der Berufsstand inzwischen erwartet (19). Unser Leitfaden zur KI-Kompetenz nach Artikel 4 beschreibt ein rollenbezogenes Programm.

Wenn es bereits geschehen ist

Früher oder später erfährt eine Kanzlei, dass ein Referendar, ein Mandant oder ein Mitverteidiger etwas Geschütztes in ein öffentliches Werkzeug eingegeben hat. Die Reaktion hat vier Schritte, und ihre Reihenfolge ist wichtig.

1. Stellen Sie den Sachverhalt fest. Was genau wurde eingegeben, von welchem Konto, in welcher Variante, mit welchen Einstellungen und wann. Exportieren Sie das Gespräch, bevor etwas gelöscht wird, denn die eigene Dokumentation des Vorfalls kann später benötigt werden.
2. Begrenzen Sie den Schaden. Löschen Sie das Gespräch, schalten Sie Trainings- und Speicherfunktionen ab und richten Sie, wo die Variante es zulässt, ein Löschverlangen an den Anbieter; bewahren Sie die Bestätigung auf. Löschung macht eine Offenbarung nicht ungeschehen, aber sie begrenzt, wie lange das Material außerhalb des Kreises existiert.
3. Prüfen Sie die Rechtslage ehrlich. Handelte es sich um Kommunikation mit dem Anwalt, um eigene Vorbereitung des Mandanten oder um Arbeit des Anwalts? Welche Rechtsordnung ist anwendbar? Ist ein Beschlagnahmeverbot oder ein Zeugnisverweigerungsrecht noch verteidigbar, etwa weil die Eingabe einem Werkzeug und nicht dem Gegner galt oder weil der Anbieter vertraglich gebunden ist? Liegt eine Verletzung des Schutzes personenbezogener Daten vor, die binnen 72 Stunden nach Artikel 33 DSGVO zu melden ist?
4. Informieren Sie den Mandanten und, soweit geboten, die Kammer. Die Vertraulichkeit des Mandanten ist berührt, und der Mandant hat ein Recht, das zu erfahren. Für den Anwalt selbst entscheiden § 43a Abs. 2 BRAO und § 203 StGB über die Folgen, und eine rasche, dokumentierte Reaktion ist die beste verfügbare Entlastung.

Wie das zur Arbeitsweise von LexVera passt

Jede der beschriebenen Entscheidungen handelt am Ende von derselben Frage: Wer stand innerhalb des Kreises der Verschwiegenheit, als das Material bearbeitet wurde, und konnte der Anwalt das nachweisen? Das ist eine Frage der beruflichen Organisation, bevor es eine Frage der Technik ist, und es ist die Frage, für die LexVera gebaut wurde.

Die Plattform wird der Kanzlei zur eigenen Nutzung unter Bedingungen bereitgestellt, die sie dem Kreis der Personen zuordnen, die eine Kanzlei an ihrer Berufsausübung mitwirken lassen darf: zur Verschwiegenheit verpflichtet, auf den Zweck der juristischen Arbeit der Kanzlei beschränkt, ohne das Recht, Mandatsmaterial zum Training von Modellen zu verwenden, und auf Weisung zur Löschung imstande. Mandatsmaterial bleibt in dem Kontext, den die Kanzlei dafür freigegeben hat, sodass die Frage, die eine Kammer oder ein Ermittlungsrichter stellen würde, ihre Antwort in einem Vertrag und einer Konfiguration findet und nicht in einer für Verbraucher geschriebenen Datenschutzerklärung. Die Analyse bleibt mit dem Material verbunden, aus dem sie stammt, sodass ein Anwalt von einer Aussage in einem Vermerk zu der Passage oder Fundstelle zurückgehen kann, die sie trägt, statt flüssigen Text auf Treu und Glauben hinzunehmen. Und ein zugelassener Anwalt entscheidet, was zu Rat, Korrespondenz oder Schriftsatz wird; dort verortet jede hier besprochene Berufsregel die Verantwortung. Dieselbe Unterscheidung zwischen belegter Tatsache, fachlicher Einordnung und Produktkontext liegt unserer Redaktionsrichtlinie zugrunde.

Häufig gestellte Fragen

Unterliegt ein Gespräch mit einem Chatbot dem Anwaltsgeheimnis?

Nein. Das Berufsgeheimnis schützt die Konsultation eines Angehörigen eines reglementierten Berufs, der zur Verschwiegenheit verpflichtet ist und berufsrechtlich belangt werden kann. Ein Chatbot erfüllt keine dieser Voraussetzungen, seine Antworten sind daher in keiner der hier behandelten Rechtsordnungen geschützter Rechtsrat, so zutreffend sie auch sein mögen.

Bleibt mein Rat geschützt, wenn der Mandant ihn in ein öffentliches KI-Werkzeug einfügt?

Er ist ernsthaft gefährdet. Das Gericht in New York sah in Heppner keine Vertraulichkeit, weil die Verbraucherbedingungen Speicherung, Training und Weitergabe erlaubten; der Rotterdamer Ermittlungsrichter behandelte die Eingabe in ChatGPT als Offenbarung, die die Vertraulichkeit durchbricht; das Upper Tribunal bezeichnete das Hochladen von Mandantenschreiben in ein öffentliches Werkzeug als Bruch der Vertraulichkeit. Warnen Sie Mandanten bei der Mandatsannahme und bieten Sie ihnen einen besseren Weg zum Verständnis.

Verletze ich meine Verschwiegenheitspflicht schon durch die Nutzung eines KI-Werkzeugs?

Nicht, wenn das Werkzeug innerhalb des Kreises steht, den § 43e BRAO und § 203 Abs. 3 StGB beschreiben. Maßgeblich ist, ob der Anbieter zur Verschwiegenheit verpflichtet, auf das Erforderliche beschränkt, vom Training ausgeschlossen und zur Löschung imstande ist, nicht ob Software beteiligt war.

Worin unterscheiden sich Heppner und Gilbarco?

Verschiedene Schutzmechanismen mit verschiedenen Verlustregeln. Das attorney-client privilege geht durch Mitteilung außerhalb des Vertrauensverhältnisses verloren; work product nur durch Mitteilung an den Gegner oder auf eine Weise, die das wahrscheinlich macht. Das Gericht in Michigan behandelte den Chatbot als Werkzeug, sodass die eigene Vorbereitung der Partei geschützt blieb. Das Gericht in New York behandelte den Verbraucheranbieter als Dritten, sodass beratungsbezogene Unterlagen den Schutz verloren.

Sind Geschäftsvarianten auch rechtlich sicherer, nicht nur praktisch?

Die bisherigen Begründungen deuten darauf hin, auch wenn kein Gericht es entschieden hat. Heppner stellte auf Verbraucherbedingungen ab, und das Upper Tribunal stellte öffentliche Werkzeuge geschlossenen gegenüber, die Informationen aus dem öffentlichen Raum heraushalten. § 43e BRAO und die Hinweise der Bundesrechtsanwaltskammer beschreiben, was der Vertrag enthalten muss, damit ein Anbieter zulässiger Dienstleister ist.

Liegt es in Strafsachen anders?

Die Regeln sind dieselben, der Einsatz ist höher, weil eine Beschlagnahme realistisch ist und die Filterung beschlagnahmter Daten genau der Ort ist, an dem die Rotterdamer Entscheidung entstand. Warnen Sie den Mandanten in Straf- und Aufsichtsverfahren auch mündlich, und sorgen Sie dafür, dass die Verteidigung ihre geschützten Unterlagen präzise benennen kann, wenn ein Gerät mitgenommen wird.

Was tun wir, wenn es bereits geschehen ist?

Genau feststellen, was wo eingegeben wurde, löschen und Löschung verlangen, den Vorfall dokumentieren, prüfen, ob das Material Kommunikation mit dem Anwalt oder eigene Arbeit des Mandanten war und ob ein Schutz fortbesteht, eine mögliche Meldepflicht nach Artikel 33 DSGVO prüfen und den Mandanten informieren.

Quellen und Methodik

Dieser Leitfaden gibt Gerichtsentscheidungen, Gesetze, Hinweise der Berufsorganisationen und Anbieterbedingungen mit Stand vom 10. September 2026 wieder. Er unterscheidet zwischen bindenden Entscheidungen, Hinweisen und Anbieterdokumentation und fasst nationales Recht auf der Ebene der Grundsätze zusammen. Es handelt sich um allgemeine fachliche Information und nicht um Beratung im Einzelfall; die anwendbaren Vorschriften, die Rechtsprechung und das Berufsrecht sind im konkreten Zusammenhang zu prüfen, und Anbieterbedingungen sind in der zum Zeitpunkt der Nutzung geltenden Fassung zu lesen.

1. United States v. Heppner, No. 25 Cr. 503 (JSR) (S.D.N.Y. 17. Februar 2026), besprochen im Harvard Law Review Blog, März 2026
2. Venable LLP, AI, privilege and the Heppner ruling: what the court actually held, Februar 2026
3. Warner v. Gilbarco, Inc. (E.D. Mich. 10. Februar 2026), besprochen von Proskauer Rose LLP
4. UK and Munir v Secretary of State for the Home Department (AI hallucinations; supervision; Hamid) [2026] UKUT 81 (IAC), Rn. 21 und 60
5. Rechtbank Rotterdam (rechter-commissaris), 12. Juni 2026, ECLI:NL:RBROT:2026:9319
6. Hoge Raad, 12. März 2024, ECLI:NL:HR:2024:375, zum Umgang mit geschützten Daten in beschlagnahmten digitalen Beständen
7. Bundesrechtsanwaltsordnung, § 43e, mit § 43a Abs. 2
8. Strafgesetzbuch, § 203
9. Bundesrechtsanwaltskammer, Hinweise zum Einsatz von künstlicher Intelligenz, Stand Dezember 2024
10. EuGH, Urteil vom 8. Dezember 2022, C-694/20, Orde van Vlaamse Balies u. a.
11. EuGH, Urteil vom 26. September 2024, C-432/23, Ordre des avocats du barreau de Luxembourg
12. EGMR, Urteil vom 6. Dezember 2012, Michaud gegen Frankreich, Nr. 12323/11
13. EuGH, Urteil vom 14. September 2010, C-550/07 P, Akzo Nobel Chemicals und Akcros Chemicals gegen Kommission
14. Advocatenwet (Niederlande), Artikel 11a
15. Conseil national des barreaux, Guide déontologie et intelligence artificielle, beschlossen am 17. März 2026, mit Artikel 66-5 des Gesetzes vom 31. Dezember 1971
16. OpenAI, How your data is used to improve model performance
17. Anthropic, Updates to consumer terms and privacy policy, 28. August 2025
18. In re OpenAI copyright litigation (S.D.N.Y.), Beschluss vom 5. Januar 2026 zur Herausgabe von zwanzig Millionen pseudonymisierten Gesprächen, besprochen in The National Law Review
19. CCBE, Technical guide on the use of AI tools and models by lawyers, 27. März 2026