Verwaltungsrecht vs. Strafrecht
SanktionDSGVO sanktioniert mit Bußgeld. §203 mit Freiheitsstrafe.
Bußgeld trifft die Bilanz. Freiheitsstrafe trifft die Person.
Cyberresilienz für Berufsgeheimnisträger. Die DSGVO regelt das Datenrisiko. §203 StGB regelt Ihre persönliche Strafbarkeit — und macht aus jedem Dienstleister mit Dateneinblick einen Mitwirkenden, der ausdrücklich zu verpflichten ist.
§203 StGB ist Strafrecht, nicht DSGVO — und Cybersecurity-Tools schauen häufig in Daten, die unter §203 fallen.
Wer als Berufsgeheimnisträger einen Dienstleister einsetzt, braucht deshalb eine eigenständige strafbewehrte Verpflichtung der Mitwirkenden — über die AVV hinaus.
Bei NETILITY ist diese §203-Verpflichtung Vertragsstandard für jede Person, die Zugriff erlangen kann.
Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet. Sie ist Verwaltungsrecht — mit Bußgeldern, Meldepflichten, Aufsichtsbehörden.
Das Berufsgeheimnis gilt für Ihre Profession, und ist strafbewehrt.
Wer als Wirtschaftsprüfer, Steuerberater, Rechtsanwalt, Arzt oder Psychotherapeut ein anvertrautes Geheimnis unbefugt offenbart, dem droht eine Freiheitsstrafe bis zu einem Jahr oder eine Geldstrafe — persönlich, nicht der Kanzlei. Hinzu kommen berufsrechtliche Verfahren der Kammer und der Verlust des Versicherungsschutzes, wenn keine angemessenen Schutzmaßnahmen nachweisbar sind.
DSGVO und §203 wirken oberflächlich ähnlich. Im Detail sind sie unterschiedliche Welten.
Verwaltungsrecht vs. Strafrecht
SanktionDSGVO sanktioniert mit Bußgeld. §203 mit Freiheitsstrafe.
Bußgeld trifft die Bilanz. Freiheitsstrafe trifft die Person.
Unternehmen vs. Person
AdressatDSGVO-Verstöße trifft die Organisation. §203-Verstöße den Berufsträger persönlich.
Kanzlei-Versicherung greift bei der einen, nicht bei der anderen.
Allgemein vs. besonders
GeltungsbereichJedes Unternehmen verarbeitet Daten. Aber Sie verwahren Geheimnisse im strafrechtlichen Sinn.
Moderne Cybersecurity-Lösungen sind nicht passiv. Sie müssen analysieren, was passiert — sonst können sie nichts erkennen, nichts verhindern, nichts wiederherstellen.
Das ist die Voraussetzung dafür, dass Cybersecurity überhaupt funktioniert.
Der Gesetzgeber hat 2017 ausdrücklich geregelt, wie Berufsgeheimnisträger mit Dienstleistern arbeiten dürfen. Die zentrale Vorschrift steht in §203 Abs. 3 und 4 StGB.
In kurzer Form: Ein Berufsgeheimnisträger darf Personen zur Mitwirkung an seiner Tätigkeit heranziehen — darunter ausdrücklich auch IT-Dienstleister. Voraussetzung: Er verpflichtet sie schriftlich zur Verschwiegenheit, weist sie auf die strafrechtliche Bedeutung hin und beschränkt ihren Zugang auf das Notwendige.
Geschieht das nicht, machen sich zwei Seiten gleichzeitig strafbar:
Der Berufsträger nach §203 Abs. 1 — weil er das Geheimnis offenbart hat.
Der Mitwirkende nach §203 Abs. 4 — sobald er das Geheimnis selbst offenbart oder verwertet.
Wir betreuen seit über zwei Jahrzehnten Mandate in hochvertraulichen Umgebungen — Banken unter Aufsichtsregime, Wirtschaftsprüfer-Gesellschaften, Steuerberatungssozietäten, Rechtsanwaltskanzleien, Krankenhäuser, öffentliche Auftraggeber.
Was dort gilt, ist bei uns kein Sonderfall, sondern dauerhafter Vertragsstandard.
Für unsere Leistungen bieten wir daher die notwendigen vertraglich zugesicherten Verpflichtungen an. Für die eigenen Mitarbeiterinnen und Mitarbeiter und - wenn relevant - auch über die Lieferkette hinweg.
§203-Verpflichtung des gesamten Teams
Baustein 1Jede Person bei NETILITY, die potenziell Zugriff auf Ihre Systeme erlangen kann — von der Endpoint-Administration bis ins SOC — ist nach §203 Abs. 4 StGB schriftlich zur Verschwiegenheit verpflichtet, mit ausdrücklichem Hinweis auf die strafrechtliche Bedeutung.
Zugangsbeschränkung dokumentiert
Baustein 2Wer hatte wann, in welcher Rolle, auf welche Daten potenziell Zugriff? Technisch protokolliert und für eine Prüfung abrufbar.
Need to know ist bei uns kein Versprechen, sondern ein nachweisbarer Zustand.
Verträge passend zur Berufsgruppe
Baustein 3Wirtschaftsprüfer, Steuerberater, Rechtsanwälte, Ärzte und Psychotherapeuten unterliegen formal demselben §203, aber unterschiedlichen Berufsordnungen und Kammer-Anforderungen.
Unsere Vertragstexte sind auf die jeweilige Berufsgruppe abgestimmt.
Vollständige Cyberresilienz, nicht nur Verträge
Baustein 4Die Verpflichtung allein schützt nicht vor Angriffen — sie regelt nur den Status der Mitwirkenden. Den eigentlichen Schutz liefern wir gleich mit: Prävention, Detektion, Reaktion, Wiederherstellung.
Nein. Die Auftragsverarbeitungs-Vereinbarung (AVV) nach Art. 28 DSGVO regelt Datenschutz, also Verwaltungsrecht. §203 StGB ist Strafrecht und verlangt eine eigenständige schriftliche Verschwiegenheitsverpflichtung der mitwirkenden Personen — mit ausdrücklichem Hinweis auf die strafrechtliche Bedeutung.
Beides ist nötig. Wir liefern beides standardmäßig.
Nicht, wenn die Beauftragung den Anforderungen des §203 Abs. 3 StGB entspricht — also schriftliche Verpflichtung zur Verschwiegenheit, klar definierter Zugang, dokumentierte technische Maßnahmen. Genau das liefern wir.
Seit der Reform 2017 ist die Einbindung externer Dienstleister durch Berufsgeheimnisträger ausdrücklich zulässig, wenn diese Voraussetzungen erfüllt sind.
Im Verdachtsfall greift unser SOC zunächst nicht auf Inhalte zu, sondern auf Telemetrie und Logs. Wird ein Eingriff notwendig (z. B. Isolation eines kompromittierten Endgeräts), erfolgt das nach dokumentierten Eingriffsbefugnissen und mit protokollierter Begründung.
Jede Person, die in dieser Phase technisch Zugriff erlangen kann, ist nach §203 Abs. 4 StGB verpflichtet.
Ein klassischer IT-Dienstleister betreut Infrastruktur — Server, Netzwerk, Anwendungen. Cyberresilienz ist eine eigene Disziplin: erkennen, eingreifen, wiederherstellen, nachweisen.
Wir arbeiten in der Regel parallel zu Ihrem IT-Dienstleister, nicht statt seiner.
Die strafrechtlichen Anforderungen sind identisch zu denen einer 80-Personen-Sozietät. §203 unterscheidet nicht nach Kanzleigröße.
Was sich unterscheidet, ist der Aufwand der Umsetzung — den senken wir auf etwas, das auch eine kleine Sozietät tragen kann.
Die Monatspauschale skaliert mit der Anzahl der Mitarbeitenden. Eine konkrete Zahl bekommen Sie im Erstgespräch.
Video oder Telefon. Wir hören zu. Danach wissen Sie, wo Sie stehen — strafrechtlich, technisch, organisatorisch.