Mandantendaten in der Cloud: Was BRAO und DSGVO wirklich verlangen
Cloud in der Kanzlei – ja oder nein? Die Antwort ist differenzierter, als die meisten denken. Und sie gilt genauso für KI-Assistenten.
Aktualisiert am 03. September 2026 – ergänzt um den Abschnitt zu KI und PRIKI.
„Cloud ist verboten.“ – diesen Satz hören wir in jedem zweiten Erstgespräch mit Kanzleien. Er stimmt so nicht. Was die BRAO und die DSGVO verlangen, ist deutlich differenzierter.
Was § 43e BRAO tatsächlich sagt
Die BRAO erlaubt die Auslagerung von Datenverarbeitung an Dritte – sofern eine Verschwiegenheitsverpflichtung vereinbart ist und die Sicherheit gewährleistet bleibt. Cloud-Speicher ist also nicht per se verboten.
Die drei Bedingungen für Cloud-Nutzung
- EU-Rechenzentrum mit nachweisbarer Datenresidenz
- Auftragsverarbeitungsvertrag mit Verschwiegenheitszusatz
- Verschlüsselung at-rest und in-transit mit von Ihnen kontrollierten Schlüsseln (BYOK/HYOK)
Microsoft 365 – konkret
Microsoft 365 erfüllt mit der „EU Data Boundary“ und Customer Key seit 2024 alle drei Bedingungen. Der entscheidende Punkt ist die Konfiguration: Aus der Box ist das nicht rechtssicher. Sie brauchen eine Hardening-Konfiguration, die u. a. Connected Services, Telemetrie und Microsoft-eigene Backups deaktiviert.
Was passiert, wenn Sie es falsch konfigurieren
Ein Mandant in Köln hat 2024 ein 12.000-Euro-Bußgeld kassiert, weil Mandantendokumente versehentlich über OneDrive Personal synchronisiert wurden. Drei Klicks falsch konfiguriert.
Und KI? Für ChatGPT & Co. gelten dieselben drei Bedingungen
Was für Cloud-Speicher gilt, gilt erst recht für KI-Assistenten. Wer Schriftsätze, Mandantenkorrespondenz oder Akteninhalte in ChatGPT, Gemini oder Copilot einfügt, lagert Datenverarbeitung an einen US-Anbieter aus – in den Standardtarifen meist ohne Auftragsverarbeitungsvertrag mit Verschwiegenheitszusatz, ohne kontrollierten Serverstandort und ohne Schlüsselhoheit. § 43e BRAO und § 203 StGB unterscheiden nicht zwischen „Speichern“ und „Verarbeiten“.
PRIKI: KI, die die drei Bedingungen erfüllt
Genau dafür haben wir PRIKI gebaut: eine private KI-Plattform, die vollständig in einem deutschen Rechenzentrum betrieben wird – mit AVV, ohne US-Subprozessoren, ohne Training auf Ihren Daten und mit einer isolierten Instanz pro Kanzlei. Bedienung wie gewohnt, Betreuung durch uns.
Fazit
Cloud ist für Kanzleien nicht verboten, aber technisch anspruchsvoll – und für KI gilt dasselbe. Wer die drei Bedingungen einhält, arbeitet rechtssicher; wer sie ignoriert, riskiert Bußgeld und Vertrauen. Wir helfen bei beidem: gehärtete Cloud-Konfiguration für den Bestand und eine souveräne KI-Plattform mit PRIKI.
Kostenloses Erstgespräch für Ihre Kanzlei
Wir besprechen die Punkte aus diesem Artikel mit Ihnen – unverbindlich und ohne Kosten.