Kanzlei-IT ausmustern: Was § 203 StGB von Anwälten und Steuerberatern verlangt

In jeder Kanzlei und jedem Steuerbüro kommt der Tag, an dem die alten Rechner gehen. Notebooks, Arbeitsplatzrechner, der Server aus dem Technikraum, die Festplatte im Multifunktionsgerät. Auf ihnen liegen Mandantenakten, Steuererklärungen, Lohnabrechnungen, Schriftsätze und E-Mails. Die Frage, die fast immer gestellt wird, lautet: Ist das DSGVO-konform? Die Frage, die fast nie gestellt wird, ist die härtere: Haben wir unseren Dienstleister so verpflichtet, wie es das Strafrecht und unser Berufsrecht verlangen?

Denn für Rechtsanwälte, Steuerberater und Wirtschaftsprüfer gilt neben dem Datenschutz § 203 StGB. Und der knüpft an die Kanzlei selbst an, nicht nur an den Dienstleister. Dieser Beitrag zeigt, was die Vorschrift beim Ausmustern von IT bedeutet, was die Bundesrechtsanwaltsordnung und das Steuerberatungsgesetz konkret verlangen und wie ein Ablauf aussieht, der beides erfüllt. Er dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

Warum reicht ein Auftragsverarbeitungsvertrag nicht aus?

Weil er ein anderes Rechtsgebiet regelt. Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO ist beim Ausmustern von IT richtig und notwendig. Er regelt, wie der Dienstleister mit personenbezogenen Daten umgeht. Verstöße werden mit Bußgeldern geahndet, die sich gegen das Unternehmen richten.

§ 203 StGB schützt dagegen fremde Geheimnisse, die Berufsgeheimnisträgern anvertraut wurden – und zwar auch Betriebs- und Geschäftsgeheimnisse von Mandanten, die gar keine personenbezogenen Daten sind. Die Sanktion ist keine Geldbuße gegen die Kanzlei, sondern eine Strafe gegen den Menschen: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe, bei Handeln gegen Entgelt oder in Bereicherungsabsicht bis zu zwei Jahren. Beide Regime gelten nebeneinander. Das eine ersetzt das andere nicht, und ein gut gemachter AVV beantwortet die strafrechtliche Frage nicht.

Wen erfasst § 203 StGB beim IT-Ausmustern?

Nach § 203 Absatz 1 Nummer 3 StGB gehören unter anderem Rechtsanwälte, Patentanwälte, Notare, Wirtschaftsprüfer, vereidigte Buchprüfer, Steuerberater und Steuerbevollmächtigte zum Kreis der Berufsgeheimnisträger. Nummer 3a erfasst zusätzlich Organe und Organmitglieder entsprechender Berufsausübungsgesellschaften. Für Ärztinnen, Ärzte und andere Heilberufe gilt dieselbe Vorschrift – das haben wir im Beitrag Klinik- und Praxis-IT ausmustern ausführlich beschrieben.

Der Dienstleister, der Ihre Altgeräte abholt, löscht und verwertet, ist im Sinne des Gesetzes eine sonstige mitwirkende Person. Absatz 3 erlaubt es seit der Reform von 2017 ausdrücklich, ihm Geheimnisse zugänglich zu machen, soweit das für seine Tätigkeit erforderlich ist. Auf einem Notebook, das zur Löschung übergeben wird, ist das zwangsläufig der Fall. Die Weitergabe an sich ist also erlaubt – unter einer Bedingung.

Wann wird die Kanzlei selbst strafbar?

Die Bedingung steht in § 203 Absatz 4 Satz 2 Nummer 1 StGB. Danach wird bestraft, wer als Berufsgeheimnisträger nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person zur Geheimhaltung verpflichtet wurde – wenn diese Person ein fremdes Geheimnis unbefugt offenbart. Mit anderen Worten: Gelangen Mandantendaten von einem nicht gelöschten Datenträger an Dritte, steht nicht nur der Dienstleister im Fokus, sondern auch die Person in der Kanzlei, die ihn nicht verpflichtet hat.

Zwei Einschränkungen gehören zur ehrlichen Einordnung. Erstens setzt diese Strafbarkeit voraus, dass beim Dienstleister tatsächlich ein Geheimnis unbefugt offenbart wird. Die fehlende Verpflichtung allein ist noch keine Straftat; sie wird es, wenn etwas passiert. Zweitens wird die Tat nach § 205 StGB nur auf Antrag verfolgt. Beides ändert nichts an der praktischen Lehre: Ob die Verpflichtung vorlag, entscheidet sich nicht am Tag des Vorfalls, sondern Monate vorher bei der Beauftragung. Wer sie dann nicht in der Akte hat, kann sie nicht nachholen.

Für den Dienstleister gilt dieselbe Logik eine Stufe tiefer. Nach Nummer 2 macht sich auch eine mitwirkende Person strafbar, die sich weiterer Personen bedient – etwa eines Spediteurs oder eines Subunternehmers im Löschwerk – und nicht dafür sorgt, dass diese verpflichtet wurden. Die Kette muss also bis zum letzten Glied reichen.

Was verlangen BRAO und Steuerberatungsgesetz zusätzlich?

Für Rechtsanwälte und Steuerberater konkretisiert das Berufsrecht, wie diese Sorgfalt aussehen muss. § 43e BRAO für die Anwaltschaft und § 62a StBerG für Steuerberater und Steuerbevollmächtigte sind nahezu wortgleich und stellen vier klare Anforderungen:

• Sorgfältige Auswahl: Der Dienstleister ist sorgfältig auszuwählen. Ist die Einhaltung der Vorgaben nicht gewährleistet, muss die Zusammenarbeit unverzüglich beendet werden.
• Textform: Der Vertrag mit dem Dienstleister bedarf der Textform. Ein Handschlag oder eine mündliche Zusage genügt nicht.
• Verpflichtung mit Belehrung: Der Dienstleister ist unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten und darf sich nur insoweit Kenntnis verschaffen, wie es zur Vertragserfüllung erforderlich ist.
• Regel für weitere Personen: Im Vertrag ist festzulegen, ob der Dienstleister weitere Personen heranziehen darf. Wenn ja, muss er diese ebenfalls in Textform zur Verschwiegenheit verpflichten.

Hinzu kommt eine Vorgabe für Auslandsbezug: Werden Dienstleistungen im Ausland erbracht, darf der Zugang zu Geheimnissen nur eröffnet werden, wenn der dortige Schutz dem inländischen vergleichbar ist. Für die Verwertung heißt das: Ungelöschte Datenträger gehören nicht auf den Weg ins Ausland. Erst gelöscht und nachgewiesen, dann vermarktet – siehe auch gebrauchte IT ins Ausland verkaufen.

Welche Geräte in Kanzleien werden häufig vergessen?

Notebooks und Server hat jede Kanzlei im Blick. Kritisch sind die Geräte, die niemand als Datenträger wahrnimmt. Multifunktionsgeräte und Scanner speichern Druck- und Scanaufträge oft auf einer internen Festplatte – in einer Kanzlei mit eingescannten Mandantenunterlagen ist das ein Aktenarchiv auf Zeit. Diktiergeräte und Smartphones mit Mandanten-Chats, NAS-Systeme für die Datensicherung und Router und Firewalls mit VPN-Zugängen gehören ebenfalls auf die Liste. Für die Netzwerkgeräte haben wir die Besonderheiten im Beitrag zu Switches, Routern und Firewalls beschrieben.

Besonders anfällig sind Kanzleiwechsel, Fusionen und Praxisaufgaben. Wenn eine Sozietät sich teilt oder ein Steuerbüro übergeben wird, wechseln Geräte den Raum, und mit dem Raum geht leicht das Wissen darüber, was auf ihnen liegt. Hier lohnt eine vollständige Inventur, bevor das erste Gerät die Räume verlässt.

Wie sieht ein Ablauf aus, der beides erfüllt?

Er ist schlank, wenn die Dokumente vor der Abholung stehen und nicht danach. Sechs Schritte haben sich bewährt:

1. Inventar erstellen: alle Geräte mit Datenträger, einschließlich Multifunktionsgeräten, NAS und Smartphones, mit Seriennummer.
2. Dienstleister auswählen und prüfen: Wo werden die Geräte gelagert, wer hat Zugang, wer löscht, welche Subunternehmer sind beteiligt? Die Auswahlkriterien für einen Verwertungspartner gelten hier verschärft.
3. Zwei Dokumente unterschreiben: den AVV nach Artikel 28 DSGVO und die Verpflichtung zur Verschwiegenheit nach § 43e BRAO beziehungsweise § 62a StBerG mit Belehrung über § 203 StGB – in Textform und mit Regelung für Subunternehmer.
4. Gesichert übergeben: verschlossene Transporteinheiten, Seriennummernliste, beidseitig unterschriebenes Übergabeprotokoll – siehe IT-Abholung im Unternehmen.
5. Löschen oder vernichten mit Nachweis: zertifizierte Löschung nach NIST SP 800-88 Rev. 2 in Verbindung mit IEEE 2883-2022 oder physische Vernichtung nach ISO/IEC 21964, jeweils mit Protokoll je Seriennummer.
6. Akte schließen: Verpflichtung, AVV, Übergabeprotokoll und Löschnachweise gemeinsam ablegen. Sie sind Ihr Beleg, dass Sie Sorge getragen haben.

Müssen Kanzlei-Rechner deshalb geschreddert werden?

Nein. Weder § 203 StGB noch das Berufsrecht verlangen Vernichtung. Sie verlangen, dass Geheimnisse nicht unbefugt offenbart werden und dass der Dienstleister ordnungsgemäß verpflichtet ist. Ein Datenträger, der nach anerkanntem Standard nachweislich gelöscht wurde, enthält kein Geheimnis mehr – und das Gerät behält seinen Marktwert. Gerade Business-Notebooks aus Kanzleien sind meist gepflegt und gut ausgestattet; der Restwert trägt die sichere Abwicklung in vielen Fällen vollständig.

Die Reihenfolge bleibt dennoch unverhandelbar: erst Verpflichtung und Nachweis, dann Erlös. Sicherheit vor Tempo. Wir verstehen es als unsere Aufgabe, das Unangenehme früh zu benennen und den Weg gleich mitzuliefern: Wir sprechen die Verpflichtung nach § 203 StGB vor der Abholung an, legen die Unterlagen in Textform bereit, verpflichten die Personen, die mit Ihren Geräten arbeiten, und geben Ihnen eine schnelle, verbindliche Zusage zum Ablauf. Vertrauen schlägt Marketing – gerade dort, wo Ihr Beruf auf Verschwiegenheit gebaut ist.

Wenn Sie eine Ausmusterung in Ihrer Kanzlei oder Ihrem Steuerbüro planen, sprechen Sie uns an – oder lesen Sie, wie wir IT-Hardware gemeinsam mit Partnern verwerten.

Passend dazu

• Klinik- und Praxis-IT ausmustern: Patientendaten, § 203 StGB und der Restwert
• Auftragsverarbeitungsvertrag (AVV) bei der IT-Verwertung
• Zertifizierte Datenlöschung oder Schreddern?
• IT-Hardware nachhaltig verwerten – gemeinsam mit BKN

Häufige Fragen zu § 203 StGB beim Ausmustern von Kanzlei-IT

Gilt § 203 StGB auch für Steuerberater und Wirtschaftsprüfer?

Ja. § 203 Absatz 1 Nummer 3 StGB nennt neben Rechtsanwälten und Notaren ausdrücklich Wirtschaftsprüfer, vereidigte Buchprüfer, Steuerberater und Steuerbevollmächtigte. Nummer 3a erfasst zusätzlich Organe entsprechender Berufsausübungsgesellschaften.

Reicht ein AVV nach DSGVO für den IT-Dienstleister einer Kanzlei aus?

Nein. Der AVV regelt den Datenschutz. Daneben verlangen § 203 StGB sowie § 43e BRAO bzw. § 62a StBerG, dass der Dienstleister in Textform und unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet wird. Beide Dokumente sollten vor der Abholung vorliegen.

Macht sich die Kanzlei strafbar, wenn die Verpflichtung fehlt?

Nach § 203 Absatz 4 Satz 2 Nummer 1 StGB kann sich strafbar machen, wer nicht dafür Sorge getragen hat, dass der Dienstleister zur Geheimhaltung verpflichtet wurde – wenn dieser dann ein Geheimnis unbefugt offenbart. Die Tat wird nach § 205 StGB nur auf Antrag verfolgt. Maßgeblich ist, ob die Verpflichtung bei der Beauftragung vorlag.

Dürfen Subunternehmer des Dienstleisters an den Geräten arbeiten?

Nur, wenn der Vertrag das ausdrücklich regelt und der Dienstleister diese Personen seinerseits in Textform zur Verschwiegenheit verpflichtet. Unterlässt er das, kann er sich nach § 203 Absatz 4 Satz 2 Nummer 2 StGB selbst strafbar machen.

Müssen Festplatten aus Kanzleien vernichtet werden?

Nein. Eine nach anerkanntem Standard nachgewiesene Löschung genügt, wenn der Dienstleister ordnungsgemäß verpflichtet ist. Vernichtet werden Datenträger, die sich nicht nachweislich löschen lassen oder defekt sind.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Gesetzesstand: §§ 203, 205 StGB, § 43e BRAO, § 62a StBerG, abgerufen am 9. Oktober 2026.