§203 StGB · Hintergrund
Ist Ihre IT so verschwiegen wie Sie?
Warum Datenschutz und Schweigepflicht zwei verschiedene Pflichten sind, warum ein Server in Deutschland noch kein deutsches Recht bedeutet und was das für Ihre IT heißt. Keine Rechtskunde, sondern die technische Seite Ihrer Verschwiegenheit. In verständlicher Sprache, mit Belegen am Ende der Seite.
Worum es geht
Ihre Verschwiegenheit kennen Sie. Hier geht es um deren technische Seite.
Was §203 des Strafgesetzbuchs von Ihnen verlangt, muss Ihnen niemand erklären, am wenigsten ein IT-Dienstleister. Die Frage aus der Praxis ist eine andere: Was bedeutet diese Pflicht für die Technik, über die täglich Mandanten- und Patientendaten laufen, von der E-Mail über die Ablage bis zur Fachsoftware?
Genau dort steht seit 2017 auch Ihr IT-Dienstleister mit in der Verantwortung: Das Gesetz bindet ihn in Ihre Verschwiegenheit ein und stellt ihn bei Verstößen selbst unter Strafe. Diese Seite zeigt, was das technisch bedeutet und woran Sie einen Dienstleister erkennen, der es ernst nimmt.
Datenschutz und Schweigepflicht sind nicht dasselbe
Die meisten IT-Verträge regeln den Datenschutz. Das geschieht über einen Auftragsverarbeitungsvertrag, kurz AVV, den vertraglichen Standard dafür, wie ein Dienstleister mit personenbezogenen Daten umgeht.
Ihre Schweigepflicht ist davon getrennt. Nicht jedes Berufsgeheimnis ist ein personenbezogenes Datum, und ein AVV allein deckt die Anforderungen aus §203 noch nicht ab.
Seit der Gesetzesänderung von 2017 ist der Einsatz externer IT-Dienstleister klar geregelt. Voraussetzung sind eine sorgfältige Auswahl und eine ausdrückliche Verpflichtung des Dienstleisters zur Verschwiegenheit in Textform. Ein Dienstleister, der mit Berufsgeheimnisträgern arbeitet, legt Ihnen diese Verpflichtungserklärung unaufgefordert vor. Bei mir ist sie der erste Schritt jeder Zusammenarbeit, noch vor dem ersten Systemzugriff.
DSGVO · Datenschutz
Schützt personenbezogene Daten
Geregelt über einen Auftragsverarbeitungsvertrag (AVV). Wichtig, aber für Ihre Schweigepflicht nicht ausreichend.
§203 StGB · Schweigepflicht
Schützt anvertraute Geheimnisse
Strafrecht. Verlangt eine eigene, schriftliche Verpflichtung des IT-Dienstleisters zur Verschwiegenheit.
Ein Server in Deutschland ist noch kein deutsches Recht
Viele Anbieter werben mit Rechenzentren in Deutschland oder der EU. Das klingt sicher, greift aber zu kurz. Maßgeblich ist nicht, wo die Daten liegen, sondern wer das Unternehmen kontrolliert, dem die Systeme gehören.
Steht hinter einem Anbieter ein US-Konzern, kann ein US-Gesetz von 2018, der sogenannte CLOUD Act, die Herausgabe der Daten verlangen. Auch dann, wenn die Server in Frankfurt stehen. Ein Rechenzentrum in der EU ändert daran nichts, solange die Muttergesellschaft amerikanischem Recht unterliegt.
Ein im Auftrag des Bundesinnenministeriums erstelltes Rechtsgutachten der Universität zu Köln hat das 2025 bestätigt. Und Microsoft Frankreich hat in einer Anhörung vor dem französischen Senat im Juni 2025 selbst eingeräumt, nicht garantieren zu können, dass Daten europäischer Kunden vor einem Zugriff auf Grundlage von US-Recht geschützt sind.
Auch Verschlüsselung hilft nur bedingt. Liegt der Schlüssel beim Anbieter, schützt sie nicht, wenn der Anbieter zur Herausgabe verpflichtet wird. Wirksam wird sie erst, wenn die Schlüssel in Ihrer Hand bleiben.
Was das praktisch bedeutet
Datenhoheit heißt: Sie behalten die Kontrolle.
Das Ziel ist nicht, Ihnen Angst zu machen, sondern Ihnen die Kontrolle zurückzugeben. In der Zusammenarbeit mit mir heißt das:
- Wo es auf Vertraulichkeit ankommt, setze ich auf Anbieter ohne US-Mutterkonzern und mit Standort in der EU.
- Verschlüsselung wird so eingerichtet, dass die Schlüssel bei Ihnen bleiben, nicht beim Anbieter.
- Ich verpflichte mich Ihnen gegenüber schriftlich zur Verschwiegenheit, so wie §203 es für mitwirkende Dienstleister vorsieht, und binde eingesetzte Dienstleister entsprechend ein.
- Sie bekommen nachvollziehbar dokumentiert, wo Ihre Daten liegen und wer darauf Zugriff hat.
Das Ergebnis ist kein Technikprojekt, sondern Ruhe: Sie können Ihren Mandanten und Patienten glaubhaft sagen, dass ihre Daten in sicheren Händen sind.
Belege & Hintergrund
- §203 StGB Neuregelung durch das Gesetz zur Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen, in Kraft seit 9. November 2017
- CLOUD Act US-Gesetz von 2018 zur Herausgabe von Daten unter Kontrolle US-amerikanischer Anbieter, unabhängig vom Speicherort
- Art. 48 DSGVO untersagt die Herausgabe an Behörden von Drittstaaten ohne völkerrechtliche Grundlage
- Schrems II Urteil des Europäischen Gerichtshofs zu Datenübermittlungen in die USA, 2020
- Rechtsgutachten der Universität zu Köln im Auftrag des Bundesinnenministeriums, 2025, zum Zugriff von US-Behörden auf Daten bei US-kontrollierten Anbietern
- Anhörung im französischen Senat Aussage von Microsoft Frankreich, Juni 2025, zur fehlenden Garantie gegen Datenzugriffe auf Grundlage von US-Recht
Wie sicher ist Ihre IT wirklich aufgestellt?
Im kostenfreien Erstgespräch schauen wir gemeinsam auf Ihre Situation: Wo liegen Ihre Daten, wer hat Zugriff, und passt das zu Ihrer Schweigepflicht? Ohne Verkaufsdruck, mit einer klaren Einschätzung.
Antwort auf E-Mails in der Regel am selben Werktag · kontakt@bns-it.com