§ 203 StGB: Wie verpflichten Sie Dienstleister und Subunternehmer?

Ob Sie KI mit Patienten- oder Mandantendaten überhaupt nutzen dürfen und worauf es dabei ankommt, beantwortet der Ratgeber § 203 StGB und KI. Hier geht es um Vertrag und Verpflichtung von Dienstleistern aller Art.

Wer gilt nach § 203 StGB als Gehilfe, wer als mitwirkende Person?

§ 203 Abs. 3 StGB unterscheidet zwei Gruppen:

	Gehilfen und Auszubildende (Satz 1)	Sonstige mitwirkende Personen (Satz 2)
Wer	bei Ihnen berufsmäßig tätig, in Ihre Organisation eingegliedert: Pflegekräfte, Medizinische Fachangestellte, Kanzleipersonal	außerhalb Ihrer Organisation tätig, meist über einen Vertrag: IT-Dienstleister, Cloud- und KI-Anbieter, Schreibbüros, Abrechnungsstellen, Aktenvernichter
Weitergabe	gilt nicht als Offenbaren	erlaubt, soweit für die Tätigkeit erforderlich
Ihre Pflicht	Belehrung und Verpflichtung nach Berufsrecht und Arbeitsvertrag	Sorge tragen, dass die Person zur Geheimhaltung verpflichtet ist

Nach der Gesetzesbegründung wirkt mit, wer mit der beruflichen Tätigkeit, ihrer Vorbereitung, Durchführung, Auswertung oder Verwaltung befasst ist. Ausdrücklich genannt sind Einrichtung, Betrieb, Wartung (auch Fernwartung) und Anpassung von Anlagen, Anwendungen und Systemen aller Art sowie die Bereitstellung von Systemen zur externen Speicherung. Erfasst ist auch das Zusammenwirken verschiedener Stellen der öffentlichen Verwaltung.

Was heißt „erforderlich“?

Sie dürfen dem Dienstleister nur zugänglich machen, was er für seine Leistung braucht. Ein Druckerdienst muss keine Patientenakten lesen können; ein Dienstleister, der Ihre Fachanwendung betreibt, sieht dagegen zwangsläufig die Daten darin. Prüfen Sie auch, was darüber hinaus beim Dienstleister landet, etwa Protokolle, Sicherungen und Zugriffe des Supports. Was das bei KI-Anbietern heißt, steht im Ratgeber § 203 StGB und KI.

Wie verpflichten Sie einen Dienstleister zur Geheimhaltung?

Ihre zentrale Pflicht steht in § 203 Abs. 4 Satz 2 Nr. 1 StGB: Offenbart eine sonstige mitwirkende Person ein Geheimnis und haben Sie nicht dafür gesorgt, dass sie zur Geheimhaltung verpflichtet wurde, machen Sie sich strafbar. Die Strafe beträgt Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

Ein Vertrag mit dem Dienstleister sollte mindestens enthalten:

• Verpflichtung zur Verschwiegenheit, zeitlich unbegrenzt, auch nach Vertragsende
• Belehrung über die Strafbarkeit nach § 203 Abs. 4 StGB für die Personen, die beim Dienstleister tätig sind
• Beschränkung auf die Kenntnis, die für die Vertragserfüllung erforderlich ist
• Regel für Subunternehmer: ob sie zulässig sind und dass der Dienstleister sie vorher ebenfalls verpflichtet
• Verhalten bei Anordnungen von Behörden oder Gerichten, etwa vorherige Information, soweit zulässig

Für Rechtsanwälte schreibt § 43e BRAO diese Inhalte und die Textform vor, gleichlautende Regeln gibt es für Steuerberater (§ 62a StBerG), Wirtschaftsprüfer, Patentanwälte und Notare (§ 26a BNotO). Für Ärztinnen und Ärzte sind die Berufsordnungen der Landesärztekammern maßgeblich.

Was gilt für Subunternehmer und Unterauftragsverarbeiter?

Zieht ein Dienstleister selbst weitere Personen heran, etwa ein Rechenzentrum oder den Anbieter eines KI-Modells, gilt § 203 Abs. 3 Satz 2 StGB auch für diese. Die Pflicht zur Verpflichtung wandert mit: Der Dienstleister macht sich strafbar, wenn er einen Subunternehmer nicht zur Geheimhaltung verpflichtet und dieser ein Geheimnis offenbart (§ 203 Abs. 4 Satz 2 Nr. 2 StGB).

Datenschutzrechtlich sind diese Subunternehmer meist Unterauftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO. Lassen Sie sich deshalb eine Liste geben und klären Sie, wie Sie über Änderungen informiert werden. Prüfen Sie dabei beide Ebenen: die datenschutzrechtliche Genehmigung und die Verpflichtung nach § 203 StGB.

Was gilt bei Dienstleistern im Ausland?

Das Strafgesetzbuch selbst setzt für Dienstleister im Ausland keine besonderen Grenzen; schon der Bundesrat hat das im Gesetzgebungsverfahren 2017 als Lücke kritisiert. Das Berufsrecht der rechts- und steuerberatenden Berufe verlangt dagegen, dass der Schutz der Geheimnisse im Ausland dem inländischen vergleichbar ist (§ 43e Abs. 4 BRAO, § 62a Abs. 4 StBerG). Datenschutzrechtlich gelten zusätzlich die Regeln für Übermittlungen in Drittländer (Art. 44 ff. DSGVO). Bei Anbietern mit Sitz oder Mutterhaus in den USA kommt der US Cloud Act hinzu.

Wie geht das mit basebox?

basebox stellt die Vereinbarung nach § 203 StGB als Anlage zum Lizenzvertrag, für Cloud und Server, auch für Amtsträger nach § 203 Abs. 2 StGB. Sie enthält die Belehrung über die Strafbarkeit und die schriftliche Verpflichtung einbezogener Dritter; Einzelheiten stehen im Ratgeber § 203 StGB und KI.

Welche Unterauftragsverarbeiter in der Cloud beteiligt sind, steht in der Liste der Unterauftragsverarbeiter; über geplante Änderungen informiert basebox Sie vorab, und Sie können widersprechen. Beim Server ohne Betrieb durch basebox verarbeitet basebox Ihre Daten nur, wenn Sie für den Support Zugriff geben. Vereinbarung, AVV, TOMs und Liste finden Sie auf der Seite Sicherheit.

Keine Rechtsberatung: Dieser Artikel gibt einen Überblick über § 203 Abs. 3 und 4 StGB und das Berufsrecht. Er ersetzt nicht die Prüfung Ihrer Verträge durch Ihre Rechtsabteilung, Ihre Kammer oder Ihren Datenschutzbeauftragten. Stand der Recherche: 11. Oktober 2026.