Berufsgeheimnis (StGB Art. 321) und KI-Nutzung: Was Anwälte, Notare, Ärzte und Revisoren beachten müssen

Was regelt Art. 321 StGB?

Art. 321 des Schweizerischen Strafgesetzbuchs schützt das Berufsgeheimnis. Der Katalog ist enumerativ: Geistliche, Rechtsanwälte, Verteidiger, Notare, gesetzlich zur Verschwiegenheit verpflichtete Patentanwälte, Ärzte, Zahnärzte, Chiropraktoren, Apotheker, Hebammen, Psychologen sowie deren Hilfspersonen. Wer ein Geheimnis offenbart, das ihm infolge seines Berufes anvertraut wurde, wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft. Das Delikt ist ein Antragsdelikt; die geheimnisberechtigte Person muss Strafantrag stellen.

Treuhänder stehen NICHT im Katalog des Art. 321 StGB. Geheimhaltungspflichten bestehen für Treuhänder dennoch, aber aus anderen Quellen: das Revisionsgeheimnis nach Art. 730b OR für zugelassene Revisoren, das Bankgeheimnis nach Art. 47 BankG für Bankmitarbeiter, vertragliche NDA, Datenschutzpflichten nach revDSG, sowie standesrechtliche Regeln (Treuhand Suisse, EXPERTsuisse). Wer als Anwalt-Treuhänder doppelt qualifiziert ist, für den gilt der strengere Massstab des Art. 321 StGB für die anwaltlich anvertrauten Mandatsdaten.

Was zählt als "Geheimnis"? Nach der Lehre und der bundesgerichtlichen Rechtsprechung (BGE 137 IV 269) jede Tatsache, die nicht allgemein bekannt ist, an deren Geheimhaltung der Berechtigte ein schutzwürdiges Interesse hat und die der Geheimnisträger im Rahmen seiner beruflichen Tätigkeit erfahren hat. Die Schwelle ist tief: Identität eines Mandanten, Vertragsentwürfe, Ehegueterstände, Diagnosen, Steuersituation, Liquiditätsprobleme einer KMU.

Warum KI-Nutzung das Geheimnis berührt

Wer Mandantendaten in einen Cloud-LLM-Prompt schreibt, übermittelt sie an einen Dritten. Bei OpenAI, Anthropic, Google sind das US-Konzerne mit US-Servern; bei Mistral und Aleph Alpha EU-Anbieter. Die Frage, ob diese Übermittlung ein "Offenbaren" iSv Art. 321 StGB ist, ist seit 2023 in der Schweizer Lehre intensiv diskutiert.

Die herrschende Meinung (Thouvenin, Schwarzenegger, Schiller – Gutachten für SAV 2021; Bracher-Suter-Kommentar 2024) qualifiziert den LLM-Provider als Hilfsperson nach Art. 321 Abs. 1 Ziff. 1 StGB – analog zur Cloud-Lehre. Das Offenbaren an eine Hilfsperson ist NICHT tatbestandsmässig, ABER nur unter Voraussetzungen: (a) der Geheimnisträger überwacht die Hilfsperson, (b) die Hilfsperson ist vertraglich zur Verschwiegenheit verpflichtet und kann den Geheimnisträger entlasten, (c) die Hilfsperson hat eine eigene Geheimhaltungsstruktur, die mit dem Berufsgeheimnis vereinbar ist. Das alles lässt sich bei einem US-Anbieter, der dem CLOUD Act unterliegt, NUR mit erheblichen technischen und vertraglichen Massnahmen erfüllen.

Die SAV-Wegleitung "KI im Anwaltsberuf" vom 14. Juni 2024 (aktualisiert Mai 2026 anlässlich des Anwaltstags Zürich) formuliert daher den Grundsatz: Mandantenidentifizierende Daten gehen nur in Cloud-LLMs, wenn (a) entweder der Mandant explizit eingewilligt hat, oder (b) die Daten vor dem Versand pseudonymisiert wurden, oder (c) der Provider vertraglich und technisch garantieren kann, dass keine US-Behörde Zugriff erhält. Praxistauglich sind in der Regel nur Variante (b) oder der Einsatz EU/CH-gehosteter Modelle (Mistral on Hetzner, Aleph Alpha PhariaAI, oder selbst betriebenes Llama 3.1 / Qwen).

Wie eine StGB-321-konforme KI-Nutzung aussieht

Vier Bausteine sind in der Praxis notwendig.

Datenklassifizierung: Bevor ein KI-System mandatsrelevante Daten verarbeitet, klassifiziert die Kanzlei oder Praxis ihre Datenkategorien. Mandantenname, eindeutige Aktenzeichen, Personenidentifikatoren und Diagnosen sind StGB-321-Daten. Allgemeine Texte ohne Bezug (Standardvertrag, öffentliche Gerichtsurteile, Lehrbuchtext) sind frei. Eine Klassifizierungs-Matrix ist eine Voraussetzung jeder Compliance-Architektur.

Routing: Das Multi-LLM-Gateway (siehe Multi-LLM-Routing-Strategien) entscheidet pro Anfrage, welches Modell angesprochen wird. StGB-321-Daten gehen nur an Modelle in der Klasse "EU/CH gehostet" oder "lokal" – typisch Mistral Large 2 auf Hetzner FSN1, Aleph Alpha PhariaAI auf Schweizer Infrastruktur, oder Llama 3.1 70B / Qwen 2.5 72B on-prem. Cloud-US-Modelle (OpenAI, Anthropic, Google) sind für diese Klasse gesperrt.

Pseudonymisierung: Wo doch ein leistungsfähiges Cloud-Modell unausweichlich ist, wird vor der Übermittlung ein Pseudonymisierungs-Layer eingeschaltet. Eigennamen, Adressen, Geburtsdaten, AHV-Nummern werden durch Platzhalter ersetzt. Die Rückersetzung findet erst nach Empfang der Modellantwort statt, lokal. Tools: Microsoft Presidio (open source), eigene Regex-Pipelines, oder spezialisierte Lösungen wie privatGPT.

Auftragsverarbeiter-Vertrag: Jeder LLM-Provider, der auch nur pseudonymisierte Berufsgeheimnis-Daten sieht, braucht einen Vertrag, der die EDÖB-konformen Auftragsverarbeitungs-Klauseln enthält, plus eine Sub-Processor-Liste, plus eine Verpflichtung zu Sicherheitsmassnahmen nach Stand der Technik. OpenAI bietet seit Mai 2024 ein "Zero Data Retention"-Add-on; Anthropic über Workspace-Vertrag mit BAA-Optionen; Mistral standardmässig EU-Hosting.

Die revisionsfähige Dokumentation des Setups (Datenklassifizierung, Routing-Policy, Pseudonymisierungs-Prüfung, Vertragsstand) ist Teil der Sorgfaltspflicht. Bei einer Strafuntersuchung gegen einen Anwalt wegen StGB-321-Verletzung ist diese Dokumentation der Hauptentlastungsbeweis.

StGB-321-Compliance-Workflow in 6 Schritten

1. 01Datenklassifizierung erstellen: Welche Datenkategorien sind StGB-321-Daten, welche revFADP-personenbezogen, welche frei?
2. 02Multi-LLM-Routing definieren: StGB-321-Klasse → nur EU/CH/lokal. Andere Klassen → Cloud-Modelle mit ZDR-Vertrag.
3. 03Pseudonymisierungs-Layer bauen: Presidio + eigene Patterns für AHV, IBAN, CH-Aktenzeichen, Vornamen-Listen.
4. 04Mandantenklausel in die Vollmacht aufnehmen: Aufklärung + Einwilligung zur KI-Nutzung mit Provider-Liste.
5. 05Auftragsverarbeiter-Verträge ablegen: pro Provider DPA, Sub-Processor-Liste, Sicherheitszertifikate dokumentieren.
6. 06Audit-Trail einrichten: jede KI-Anfrage mit Datum, Klasse, Modell, Pseudonymisierungs-Status protokollieren (siehe AI Audit Trail Design).

Wann ein KI-Einsatz unter Art. 321 zulässig ist

Klar zulässig: KI-Recherche in öffentlichen Quellen (Bundesgerichtsentscheide, Gesetzestexte, Kommentare in OpenJur), Entwurf von Standardklauseln ohne Mandantsbezug, allgemeine Sprach-Optimierung von bereits anonymisierten Texten, interne Wissensbasis-Suche mittels RAG über eigene Kanzlei-Dokumente auf lokaler Vektordatenbank.

Zulässig mit Mandanten-Einwilligung: Konkrete Mandats-Fragen an Cloud-LLMs, sofern der Mandant nach Aufklärung über die Datenübermittlung schriftlich zugestimmt hat. Die SAV-Wegleitung 2024/2026 empfiehlt eine Standardklausel in der Vollmacht: "Der Mandant erlaubt der Kanzlei den Einsatz KI-gestützter Werkzeuge zur Bearbeitung des Mandats, einschliesslich der Übermittlung pseudonymisierter Daten an etablierte Anbieter (OpenAI, Anthropic, Mistral, Aleph Alpha)."

Zulässig ohne Einwilligung bei korrekt aufgesetzter Pseudonymisierung: Wenn die übermittelten Daten keinen Personenbezug mehr haben und die Re-Identifizierung praktisch unmöglich ist, liegt kein "Offenbaren eines Geheimnisses" mehr vor. Vorsicht: Pseudonyme, die der Provider mit anderen Daten verknüpfen kann, sind keine echte Anonymisierung – siehe NDSG Art. 5 lit. a und EDÖB-Leitfaden 2024.

Zulässig im lokalen Setup: Llama 3.1, Qwen 2.5, Mistral, DeepSeek-R1 lokal auf eigener Hardware betrieben. Die Daten verlassen den Server nicht. Das ist die rechtssicherste Variante, aber teurer im Setup (siehe Self-hosted vs. Cloud LLM).

Wann der Einsatz NICHT zulässig ist

Niemals zulässig: Direkte Eingabe vollständiger Mandatsakten in ChatGPT, Claude, Gemini ohne Pseudonymisierung und ohne explizite Mandanten-Einwilligung. Auch wenn der Anbieter "we do not train on your data" verspricht – das schliesst das CLOUD-Act-Risiko nicht aus.

Niemals zulässig: Verwendung der kostenlosen Consumer-Tier-Versionen (ChatGPT Free, Claude.ai Free, Gemini Free). Diese Tiers behalten sich Trainingsnutzung vor, haben keine Auftragsverarbeitungs-Verträge, und haben keine SOC2/ISO-Sicherheitsbestätigung. Die SAV-Wegleitung benennt das explizit als Verletzung der Sorgfaltspflicht.

Niemals zulässig: Hochladen von Akten auf KI-Dienste, deren Anbieter, Hosting-Standort oder Sub-Processor-Liste nicht bekannt ist. "Eine schöne App im App Store" reicht nicht – die Kanzlei trägt die volle Verantwortung für die Wahl der Hilfsperson.

Grenzfall: Pseudonymisierungs-Layer bei besonderer Vorgeschichte. Bei prominenten Mandanten (Wirtschaftsführer, Politiker) kann die blosse Kombination aus Branche, Standort, Sachverhalt eine Re-Identifizierung erlauben, auch wenn der Name fehlt. Hier bleibt nur lokales Hosting.

Vor- und Nachteile

Häufige Fragen

Verwandte Themen

Quellen

1. StGB Art. 321 – Verletzung des Berufsgeheimnisses (fedlex.admin.ch) · 2026-01
2. SAV-Wegleitung Umgang mit künstlicher Intelligenz (Anwaltsrevue 9/2024, aktualisiert 2026) · 2024-09
3. Thouvenin / Schwarzenegger / Schiller – Gutachten zur Nutzung von Cloud-Diensten durch Anwältinnen und Anwälte (UZH / SAV) · 2021-03
4. BGE 137 IV 269 – Bundesgerichtsentscheid zum Begriff des Berufsgeheimnisses · 2011-11
5. Art. 730b OR – Revisionsgeheimnis (fedlex.admin.ch) · 2026-01