Aktualisiert am 29. September 2026. Zwei weitere Korrekturen. Erstens: Dieser Text sagte, das Modell erfahre nie, wer die Mandantschaft ist. Der Schritt ersetzt die Kennzeichen, die er erkennt; er hat die unten genannten Lücken, und diese Zusage war zu stark. Zweitens: Text für einen KI-Schritt geht nicht mehr direkt vom Browser zum Modell. In den verwalteten Tarifen läuft er über unseren KI-Dienst, bereits pseudonymisiert, und wird dort nicht gespeichert.

Aktualisiert am 31. Juli 2026. Zwei Korrekturen, ausgesprochen statt still vorgenommen. Die Klasse „Geburtsdatum" wurde am 31. Juli 2026 gebaut; dieser Text nannte sie, bevor es sie gab: das war falsch und wird hier richtiggestellt. Unten ist eine vierte Grenze hinzugekommen, zum Aktenzeichen, damit jede etikettverankerte Klasse auch als etikettverankert genannt wird und nicht nur die Datumsangaben.

Es gibt eine Version eines KI-Rechtswerkzeugs, bei der Sie die Sachverhalte in eine Eingabemaske einfügen, der Name und die Adresse und die Kontonummer der Mandantschaft dort im Prompt stehen, und das Ganze auf einen Server geht, den Sie nicht kontrollieren. Der Anbieter hat eine Datenschutzrichtlinie. Sie haben eine Verschwiegenheitspflicht. Das sind nicht dasselbe, und die Lücke dazwischen ist die Stelle, an der eine Kanzlei Schaden nimmt.

Wir wollten diese Lücke nicht im Produkt haben. Also haben wir sie an der Stelle geschlossen, an der sie sich öffnet: bevor Text zur KI-Verarbeitung irgendwohin gesendet wird.

Was vor dem Ausgang passiert

Wenn Sie die KI bitten, etwas zu einem Mandat zu entwerfen, zusammenzufassen oder zu analysieren, läuft zuerst ein Pseudonymisierungsschritt: in Ihrem Browser, bevor die Anfrage an die KI geht.

Er findet die personenbezogenen Daten, die er erkennt, und ersetzt jede Fundstelle durch ein stabiles Token. In einem deutschen Mandat sind das sechzehn Klassen: Namen der Parteien, Anschrift, Postleitzahl, Geburtsdatum, steuerliche Identifikationsnummer, Steuernummer, Umsatzsteuer-Identifikationsnummer, Personalausweisnummer, Rentenversicherungsnummer, Handelsregisternummer, IBAN, Zahlungskarte, E-Mail-Adresse, Telefonnummer und das Aktenzeichen: dazu Geldbeträge, wenn Sie auch diese entfernt haben wollen. Jeder der vier anderen Märkte lädt seine eigene Liste unter ihrem eigenen Namen: NI number und NHS number in England, PESEL und KRS in Polen, DNI und NIE in Spanien, BSN und KvK-nummer in den Niederlanden.

„Stabil" ist entscheidend: Dieselbe Person wird überall in der Nutzlast zum selben Token, damit das Modell noch nachvollziehen kann, dass diese Partei jenes getan hat und jenem anderen jenes schuldet. Es analysiert die Form des Sachverhalts einwandfrei. Die erkannten Namen dahinter sieht es nicht.

Wenn die Antwort zurückkommt, werden die Token umgekehrt (wieder in Ihrem Browser) und Sie lesen den Entwurf mit den echten Namen wiederhergestellt, genau dort, wo sie hingehören. Die Zuordnung vom Token zurück zum echten Namen bleibt auf Ihrer Seite.

Pseudonymisierung, und wir sagen es genau so

Es gibt hier ein Wort, das gern locker verwendet wird. Es in einem Auftragsverarbeitungsvertrag locker zu verwenden, ist der schnellste Weg, das Vertrauen einer datenschutzrechtlich versierten Kollegin in den ersten fünf Minuten zu verlieren.

Anonymisierung ist unumkehrbar. Wirklich anonymisierte Daten sind keine personenbezogenen Daten mehr und fallen vollständig aus dem Anwendungsbereich der DSGVO heraus. Das ist nicht, was hier geschieht. Wir halten eine Zuordnungstabelle: genau darum geht es, denn dadurch steht der echte Name im fertigen Entwurf wieder an seiner Stelle. Die Daten sind also pseudonymisiert im Sinne von Art. 4 Nr. 5 DSGVO. Sie bleiben personenbezogen, sie bleiben im Anwendungsbereich, und sie brauchen weiterhin eine Rechtsgrundlage.

Wir sagen das offen, weil die ehrliche Fassung die stärkere ist. Was wir tatsächlich anbieten: eine umkehrbare Ersetzung, lokal ausgeführt, bei der die Zuordnungstabelle in Ihrem Browser entsteht, dort verwendet wird und weder uns noch den Modellanbieter jemals erreicht. Das ist eine präzisere Aussage als „anonymisiert", und anders als diese hält sie einer genauen Lektüre stand.

Eine datenschutzrechtliche Antwort, keine Antwort zur Verschwiegenheit

Diese beiden Dinge werden häufig vermengt und sollten es nicht sein.

Die Verschwiegenheitspflicht erfasst die Kommunikation und den Inhalt der Beratung: nicht den Namen der Mandantschaft. Ein Schriftsatz bleibt auch dann geschützt, wenn jeder Name geschwärzt ist; geschützt ist, was darin steht. Das Entfernen der Identität beantwortet daher eine Frage der Datenminimierung. Es beantwortet keine Frage der Verschwiegenheit, und wir bieten es auch nicht als solche an.

Die Antwort zur Verschwiegenheit ist die Architektur darunter: Die Mandatsakte liegt in Ihrem verschlüsselten Aktentresor und wird uns nicht überlassen. Ist ein Dokument als geschützt eingestuft, oder noch nicht eingestuft, hält das Egress-Gate es vollständig vom KI-Aufruf zurück und nennt Ihnen die zurückgehaltenen Dateien. Das ist die Ebene, auf der § 43a Abs. 2 BRAO und § 203 StGB beantwortet werden, nicht auf der Ebene der Namensersetzung.

Zwei Kontrollen, zwei Pflichten. Die Pseudonymisierung ist die zweite Schicht: für das, was rechtmäßig tatsächlich hinausgeht.

Was es nicht leistet: genannt, nicht verschwiegen

Ein Kontrollregister, das nur Erfolge auflistet, ist ein Werbeprospekt. Vier Grenzen, schriftlich:

  • Pixel sind kein Text. Ein Screenshot oder ein eingescanntes Blatt geht so hinaus, wie es ist: der Schritt arbeitet auf Text. Das Produkt warnt beim Hochladen, statt Sie etwas anderes annehmen zu lassen.
  • Datumsangaben sind etikettverankert. „Geburtsdatum: 14. Mai 1974" wird tokenisiert. Ein bloßes Datum mitten in der Chronologie nicht, und zwar absichtlich: Wer jedes Datum beansprucht, nimmt auch das Datum der Pflichtverletzung und den Verjährungsbeginn mit und zerstört genau die Prüfung, für die Sie zahlen.
  • Das Aktenzeichen einer zitierten Entscheidung bleibt stehen. Das Aktenzeichen Ihres Verfahrens wird ersetzt, weil es am Etikett hängt. Eine zitierte veröffentlichte Entscheidung hat dieselbe Form und bleibt unangetastet: sie ist öffentliches Recht, kein Datum Ihrer Mandantschaft.
  • Ein Aktenzeichen ohne Etikett bleibt ebenfalls stehen. Die Klasse hängt am Etikett: „Aktenzeichen", „Az.", „unser Zeichen", „Ihr Zeichen". Ein kanzleieigenes Zeichen, das bloß im Satz steht, geht unverändert mit hinaus. Das ist die andere Seite derselben Abwägung: ohne Etikett daneben ist Ihr Zeichen von dem einer zitierten Entscheidung nicht zu unterscheiden. Wir schreiben es hin, statt Sie es entdecken zu lassen. In einem deutschen Mandat greifen zwei Klassen auf dem Etikett: das Geburtsdatum und das Aktenzeichen. Das Register in der Anlage zum AVV kennzeichnet beide. Ihr eigenes Aktenzeichen ist dabei selbst ein pseudonymes Kennzeichen, das für den Modellanbieter ohne Ihre Kanzleisoftware nichts bedeutet: deshalb steht es in der Rangfolge unter den Kennnummernklassen und nicht über ihnen.

Warum im Browser und nicht auf einem Server

Das ist der Teil, der leicht fast richtig und trotzdem falsch sein kann.

Viele Werkzeuge behaupten, sie pseudonymisieren. Die Frage ist wo. Wenn die Entfernung auf einem Server passiert, hat die ungeschwärzte Fassung diesen Server erreicht, um dort geschwärzt zu werden: was bedeutet, dass sie einen fremden Server mit den Namen noch darin erreicht hat. Das ist genau das, was Sie verhindern wollten. Serverseitige Schwärzung schützt die Protokolle des Anbieters. Sie schützt nicht Ihre Mandantschaft.

Es im Browser zu tun, vor dem Ausgang, ist die einzige Version, die der Pflicht tatsächlich entspricht. Die erkannten Kennzeichen überschreiten die Leitung nicht: Unser KI-Dienst und der Modellanbieter sehen an ihrer Stelle Token. Das ist eine architektonische Entscheidung, keine Einstellung, und eine, die ein Cloud-First-Werkzeug nicht nachrüsten kann, ohne sich selbst neu zu bauen.

Es ist keine Zusatzfunktion

Wir haben hier eine bewusste Entscheidung getroffen: Pseudonymisierung ist keine Premium-Funktion, kein Kontrollkästchen in den Einstellungen und nichts, das man sich merken muss, einzuschalten. Sie läuft in jedem Tarif, bei jedem KI-Aufruf, als Standardhaltung des Produkts. Ein Schutz, den man erst aktivieren muss, ist ein Schutz, den man eines Tages bei dem Mandat vergessen wird, bei dem er am meisten gebraucht hätte.

Der rechtliche Rahmen

Das steht unter dem Datenminimierungsgrundsatz nach Art. 5 Abs. 1 lit. c DSGVO (Sie schicken dem Modell das wenigste, was es braucht, um die Aufgabe zu erfüllen, und wer die Mandantschaft ist, war nie Teil davon. Und es steht unter den Erwartungen, die sich aus der Verschwiegenheitspflicht nach § 43a Abs. 2 BRAO und § 203 StGB ergeben. Aber der ehrliche Grund ist einfacher als die Zitate. Wenn das Modell nicht wissen muss, wer Ihre Mandantschaft ist, um Ihnen beim Entwerfen zu helfen, dann sollte es es nicht wissen. Also haben wir es so gebaut, dass jedes erkannte Kennzeichen aus der Anfrage herausbleibt) und die, die der Schritt übersehen kann, stehen oben ausdrücklich beschrieben.

Vorher: Name und Kontonummer der Mandantschaft stehen im Prompt, Sie vertrauen einer Richtlinie, und es gibt keinen Nachweis darüber, was die Kanzlei verlassen hat.

Nachher: Erkannte Kennzeichen werden im Browser ersetzt, tokenisierter Text geht heraus, die Namen kommen auf Ihrer Seite zurück, und die Grenzen des Schritts sind aufgeschrieben statt verschwiegen.

← Alle Beiträge