ChatGPT und Datenschutz in der anwaltlichen Nutzung

Künstliche Intelligenz (KI), Automatisierung und Digitalisierung sind wichtige Schlagworte, wenn es darum geht, die Entwicklungen der Wirtschaft in den kommenden Dekaden zu umreißen. Arbeitsschritte können in Zukunft beschleunigt werden, sie werden sich verändern und einige Tätigkeiten werden obsolet. Diese Entwicklung macht auch vor den rechtsberatenden Berufen nicht Halt. Auch diese Berufsgruppe hat repetitive Arbeitsschritte, die grundsätzlich durch maschinelle Hilfe ersetzt werden könnten.

In welche Richtung die Entwicklung gehen kann, haben Verfahren wie

• Smartlaw, BGH, Urt. v. 9.9.2021 – I ZR 113/20 und
• LexFox, BGH, Urt. v. 27.11.2019, Az. VIII ZR 285/18,

beispielhaft gezeigt. Kündigungsschreiben, Anfechtungen, Widersprüche und sogar einfache Verträge und Einkommenssteuererklärungen können schon jetzt durch Software erstellt werden. Es braucht nicht viel Fantasie, um zu erkennen, dass KI-Werkzeuge insbesondere auch die Recherchearbeit mit Datenbanken erheblich erleichtern werden. Die Suche mit Hilfe von Stichwörtern, die über Filter eingegrenzt wird, kann ein Programm übernehmen und die Vielzahl der Ergebnisse in kurzer Zeit prüfen und zusammenfassen. Schon jetzt können die KI-Anwendungen längere und komplexere Texte derart zusammenfassen, dass sie sich für ein bestimmtes Zielpublikum eignen.

Künstliche Intelligenz und das Berufsrecht

Der weiteren Modernisierung des Rechtsdienstleistungsmarktes stehen aber zwei wesentliche Hürden entgegen. Einerseits stellt sich die Frage, inwieweit Tätigkeiten unter Verwendung moderner Software eine Rechtsdienstleistung im Sinne des RDG sind (vgl. Smartlaw). Andererseits ist für rechtsberatende Berufsträger zu prüfen, ob die Gefahr einer Berufspflichtverletzung besteht, wenn sie KI-Anwendungen nutzen. Die erste Hürde, die Berufsträger überwinden müssen, ist die Frage, wie die Verletzung von Datenschutz und Verschwiegenheitspflicht bei der Nutzung von ChatGPT („GPT“) vermieden werden kann.

Was ist ChatGPT?

Worauf ist am Beispiel der KI-Anwendung GPT zu achten, wenn Rechtsanwälte und andere zur Verschwiegenheit verpflichtete Berufsträger sie nutzen wollen?

Zunächst ist klarzustellen, was GPT ist:

GPT ist ein Chatbot, der das maschinelle Lernen nutzt, um durch das Erkennen und Erlernen von Gesprächsmustern in der Lage zu sein, sinnvolle und wahrscheinlich passende Antworten zu erstellen, indem er anhand der Wortfolge abgleicht, welche Art von Antwort auf eine andere Wortfolge besonders häufig folgt. GPT kann so auf menschliche Sprache reagieren und kann, die folgenden Aufgaben erfüllen (vgl. Hartung, RDi 2023, 209, 210):

• Unterstützung bei der Beantwortung von Fragen und der Bereitstellung von Informationen zu verschiedenen Themen,
• Kundensupport und –service,
• Erstellung von Texten für verschiedene Anwendungen wie Übersetzungen und Zusammenfassungen,
• Unterstützung bei der Datenauswertung,
• Virtueller Assistenten und
• Unterstützung bei der Erstellung von kreativen Inhalten wie Gedichten und Geschichten.

Hürden des Berufsrechts – Mandantengeheimnisse

Verfolgen wir ein Beispiel aus der anwaltlichen Praxis, so können wir erkennen, an welchen Stellen die GPT-Nutzung mit dem Berufsrechts und insbesondere mit der Pflicht zur Verschwiegenheit in Konflikt gerät. Die Erstellung einer Kündigungsschutzklage folgt einer bestimmten Struktur. Die Fallstricke und zu prüfenden Fragen und Anträge wiederholen sich. Wenn sich der Berufsträger nun als ersten Arbeitsschritt an GPT wendet und die KI darum bittet, eine Kündigungsschutzklage für Herrn Mustermann zu erstellen, so könnte der Rechtsanwalt bereits einen Berufspflichtverstoß begangenen haben.

Zwei Normen des Berufsrechts sind hier besonders zu beachten, § 43a Abs. 2 und § 43e BRAO.

Die Vorschrift des § 43a Abs. 2 BRAO verpflichtet zur Verschwiegenheit und § 43e BRAO bestimmt unter welchen Voraussetzungen Dritte in die Mandatsbearbeitung einbezogen werden dürfen. Kerngedanke ist es, dass der Mandant „Herr seiner Geheimnisse“ ist. Es obliegt allein ihm, welche personenbezogenen Daten er offenbaren möchte, er bestimmt, ob Dritte von der Bearbeitung seines Mandats wissen dürfen. Die Bitte an GPT, eine Klage zu erstellen, würde Adresse, Geburtsdatum, Geschlecht, Gehalt u.v.m. offenbaren. Für die Frage nach der Berufsrechtskonformität ist es nun maßgeblich, wohin diese Daten gehen. Gelangen die Daten unverschlüsselt auf fremde Servern ist die Verschwiegenheit gebrochen. Zudem würden fremde Server den Anwendungsbereich des § 43e BRAO eröffnen.

GPT auf Fremdservern oder lokal?

Werden zur Verarbeitung Server genutzt, die sich im Ausland befinden, wäre im Zusammenhang mit dem Erbringen einer anwaltlichen Dienstleistung der Anwendungsbereich des § 43e Abs. 4 BRAO eröffnet. Dann müsste der Nutzer dafür Sorge tragen, dass dort, wo die Server stehen, ein vergleichbar hohes Datenschutzniveau herrscht, wie in der Bundesrepublik. Diese Prüfung würde derzeit negativ ausfallen. Der Datenschutzbeauftragte Schleswig-Holsteins hat den Konzern hinter GPT in seinem Schreiben vom 19. April 2023 u. a. um eine Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 Abs. 1 DSGVO gebeten, siehe dazu auch Berz, Amelie/Engel, Andreas/Hacker, Philipp, ZUM 2023, 586, 590. Diese ist immer dann erforderlich, wenn eine Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. In dem Schreiben werden auch grundsätzliche Bedenken zur Datenschutzkonformität ausgedrückt.

Diese Fragen der Datenverarbeitung durch Dritte kann unbeantwortet bleiben, wenn man die Anwendung allein auf den eigenen Geräten verwendet, ohne dass ein Datentransfer an Dritte erfolgt.

Es droht bei Unachtsamkeit eine Verletzung der Verschwiegenheitspflicht

Berufsrechtlich würde neben der Frage nach einem ausreichenden Datenschutzniveau noch hinzutreten, ob eine Verletzung der Verschwiegenheit eintritt, indem ChatGPT beispielsweise mit der Erstellung einer Kündigungsschutzklage betraut wird. Wird die Anwendung von fremden Servern benutzt und sind in der Anfrage personenbezogene Daten enthalten, dann würde ohne Aufklärung und Einwilligung des Mandanten eine Verletzung der Verschwiegenheitspflicht eintreten. Selbst wenn diese Hürde beseitigt ist, dann wäre die Klageerstellung noch deswegen problematisch, weil auch die personenbezogenen Daten Dritter Teil der Klageschrift sein könnten. Eine Anfrage wäre somit idealerweise so zu stellen, dass von GPT nur ein anonymes Gerüst gefordert wird.

Lokale Software-Nutzung umgeht wesentliche Probleme

Die datenschutzrechtlichen und berufsrechtlichen Probleme lassen sich dann umgehen, solange die Anwendung nur lokal genutzt wird und keine Weitergabe der Daten an Dritte erfolgt. Beispiel hierfür ist die Nutzung von Übersetzungssoftware, die sich häufig nur auf dem Endgerät des Nutzers befindet und keine Daten weitervermittelt.

Solange noch Zweifel am Datenschutz gegenüber GPT bestehen, ist eine Nutzung über Drittserver ausgeschlossen. Interessant sind die lokalen Lösungen, die zum Teil angeboten werden und wesentlichen Probleme so umgehen.

Das könnte Sie auch interessieren:

Bundesregierung stellt fest: Für ChatGPT gilt die DSGVO

Das EU-Datengesetz (Data Act): Relevanz für Unternehmen – Internet der Dinge und darüber hinaus

Digital Services Act: Was kommt auf Betreiber von Webshops zu?