Wer die Cloud nutzt,
verpflichtet auch den Putzdienst.

Was § 203 StGB verlangt

§ 203 Abs. 1 StGB stellt es unter Strafe, ein anvertrautes Geheimnis unbefugt zu offenbaren – Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Betroffen sind unter anderem Ärzte, Apotheker, Rechtsanwälte, Notare, Steuerberater und Wirtschaftsprüfer.

Bis 2017 war umstritten, ob schon die Wartung eines Servers durch einen externen Dienstleister ein Offenbaren ist. Die Neuregelung hat das gelöst: § 203 Abs. 3 StGB erlaubt die Einbindung „sonstiger Personen, die an der beruflichen oder dienstlichen Tätigkeit mitwirken“.

Erlaubt heißt aber nicht bedingungslos. Drei Pflichten bleiben: Die Weitergabe ist nur im erforderlichen Umfang zulässig. Jede mitwirkende Person ist angemessen zur Vertraulichkeit zu verpflichten. Und mehrstufige Ketten sind nur zulässig, wenn der Berufsgeheimnisträger sie gestattet und die Unterauftragnehmer ebenfalls verpflichtet werden.

§ 203 Abs. 4 StGB macht daraus eine eigene Strafbarkeit: Sie greift, wenn die mitwirkende Person das Geheimnis offenbart – und auch dann, wenn der Berufsgeheimnisträger seiner Verpflichtungspflicht nicht nachgekommen ist. Für Anwälte kommt § 43e Abs. 2 BRAO hinzu: sorgfältige Auswahl und angemessene Überwachung, berufsrechtlich.

Warum die Kette in der Cloud lang wird

Ein Cloud-Dienst ist selten ein einzelner Dienstleister. Er nutzt ein Rechenzentrum, das einem Dritten gehört, einen Zahlungsdienstleister, einen Betreiber für Sicherungskopien, einen für die Fehlerverfolgung, oft einen weiteren für den Versand von Benachrichtigungen. Jeder davon ist eine mitwirkende Person im Sinne der Norm.

Der Berufsgeheimnisträger muss diese Kette kennen, gestatten und ihre Verpflichtung sicherstellen. Praktisch bedeutet das: Liste der Unterauftragnehmer lesen, Änderungen nachverfolgen, bei jeder Erweiterung neu bewerten.

Das ist leistbar, aber es ist Arbeit – und sie fällt in einer Kanzlei oder Praxis an, nicht beim Anbieter. Wer sie nicht macht, verlässt sich darauf, dass nichts passiert.

Was Local-First an dieser Stelle ändert

Liegen die Daten auf dem Rechner der Kanzlei und verlässt kein Datensatz das Haus, gibt es keine mitwirkende Person, die zu verpflichten wäre. Kein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, keine Unterauftragnehmerliste, keine Nachverfolgung von Änderungen, keine Frage nach dem Serverstandort.

Das ist kein besseres Vertragswerk, sondern der Wegfall des Vertragswerks. Der Unterschied zeigt sich bei der Frage, die ein Mandant stellen darf: Wer außer Ihnen kann meine Akte lesen? Die Antwort lautet dann: niemand – und sie ist ohne Anlagenverzeichnis zu geben.

PilotOS speichert lokal, arbeitet ohne Cloud-Zwang und ohne Internetverbindung. Der Betrieb mehrerer Mandanten und Benutzer läuft im eigenen Netz.

Die ehrliche Kehrseite

Local-First verlagert die Verantwortung, es beseitigt sie nicht. Die Sicherung ist Sache der Kanzlei. Der Schutz des Rechners – Verschlüsselung, Zugangsschutz, Aussperrung fremder Geräte – ebenfalls. Ein unverschlüsselter Laptop im Zug ist unter § 203 StGB kein besserer Zustand als ein Cloud-Vertrag.

Und für verteilte Standorte oder Homeoffice braucht es eine bewusste Entscheidung, wie die Daten dorthin kommen. Wer diese Frage mit einem beliebigen Synchronisierungsdienst beantwortet, hat die Kette wieder aufgemacht – nur unbemerkt.

Der Punkt ist deshalb nicht „lokal ist sicher“, sondern: Lokal ist die einzige Bauform, bei der die Frage nach der Kette gar nicht erst entsteht. Alles andere muss man führen.

„Ein Cloud-Dienst ist selten ein Dienstleister. Er ist eine Kette: Rechenzentrum, Sicherungsbetreiber, Fehlerverfolgung, Benachrichtigungsversand. Jeder davon ist eine mitwirkende Person nach § 203 Abs. 3 StGB und muss verpflichtet werden. Bei lokaler Speicherung entfällt die Kette – nicht der Vertrag wird besser, es gibt keinen.“

PilotOS, Herstellerangabe · Stand 6. September 2026