Schweigepflicht und externe Postbearbeitung: was § 203 StGB von Berufsgeheimnisträgern verlangt

Wenn du als Rechtsanwalt, Steuerberater, Wirtschaftsprüfer oder Arzt deine Post von einem Dienstleister annehmen, sortieren oder scannen lässt, ist das kein rein organisatorischer Vorgang. Es ist ein Fall von § 203 StGB. Seit 2017 ist er sauber geregelt, aber an Bedingungen geknüpft, und eine davon bleibt bei dir und lässt sich nicht auslagern.

Dieser Artikel erklärt, was das Gesetz verlangt, wer wofür haftet und was in dem Vertrag stehen muss, den du mit einem Dienstleister schließt. Und er zeigt, was wir in unseren AGB dafür geändert haben.

Warum externe Postbearbeitung ein Fall für § 203 StGB ist

§ 203 Abs. 1 StGB stellt es unter Strafe, wenn bestimmte Berufsträger ein fremdes Geheimnis unbefugt offenbaren, das ihnen in ihrer beruflichen Eigenschaft anvertraut wurde. Genannt sind unter anderem Ärzte, Zahnärzte, Psychotherapeuten, Rechtsanwälte, Steuerberater und Wirtschaftsprüfer.

Offenbaren heißt nicht erst, das Geheimnis auszuplaudern. Es reicht, es einem Dritten zugänglich zu machen. Wenn ein externer Mitarbeiter deine Post entgegennimmt, ist genau das passiert. Häufig schon vor dem Öffnen: Wer dir schreibt, ist auf dem Umschlag zu lesen, und die Verbindung zwischen diesem Absender und dir ist bei einem Arzt oder einem Anwalt oft selbst das Geheimnis.

Vor 2017 war das ein echtes Problem. Wer externe Dienstleister einsetzte, bewegte sich in einer Grauzone, die in der Literatur ernsthaft als strafbar diskutiert wurde. Das ist erledigt, aber die Lösung hat eine Bedingung.

Was seit 2017 erlaubt ist: die sonstige mitwirkende Person

Das Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen hat § 203 StGB im November 2017 umgebaut. Der entscheidende Satz steht in Absatz 3:

Ein Postdienstleister ist eine solche sonstige mitwirkende Person. Er wirkt an deiner Berufsausübung mit, ohne selbst schweigepflichtiger Berufsträger zu sein. Damit ist die Einschaltung dem Grunde nach zulässig.

Zwei Einschränkungen stecken schon in diesem Satz. Erstens die Erforderlichkeit: Der Dienstleister darf nur so viel erfahren, wie er zur Erfüllung seiner Aufgabe braucht. Zweitens die Mitwirkung an deiner Tätigkeit: Ein Anbieter, der mit deiner beruflichen Arbeit nichts zu tun hat, fällt nicht darunter.

Die Pflicht, die bei dir bleibt

Hier wird es unangenehm, und dieser Punkt wird in der Praxis am häufigsten übersehen. Der Gesetzgeber hat die Erlaubnis aus Absatz 3 mit einem eigenen Straftatbestand verknüpft, der sich gegen dich richtet, nicht gegen den Dienstleister.

Im Klartext: Wenn beim Dienstleister etwas durchsickert und du nicht dafür gesorgt hattest, dass er zur Geheimhaltung verpflichtet war, machst du dich selbst strafbar. Der Strafrahmen liegt bei bis zu einem Jahr Freiheitsstrafe oder Geldstrafe. Diese Sorgfaltspflicht kannst du vertraglich nicht wegdelegieren, du kannst sie nur erfüllen.

Der Dienstleister hat eine spiegelbildliche Pflicht. Nach § 203 Abs. 4 Satz 2 Nr. 2 StGB macht sich strafbar, wer als mitwirkende Person weitere Personen einsetzt, ohne dafür zu sorgen, dass auch diese zur Geheimhaltung verpflichtet werden.

Wer	Woran gebunden	Norm
Du als Berufsgeheimnisträger	Musst dafür sorgen, dass der Dienstleister zur Geheimhaltung verpflichtet ist	§ 203 Abs. 4 S. 2 Nr. 1 StGB
Der Dienstleister als Unternehmen	Muss seine eigenen Leute und etwaige Subunternehmer verpflichten	§ 203 Abs. 4 S. 2 Nr. 2 StGB
Die einzelne Person, die die Post bearbeitet	Macht sich bei Offenbarung selbst strafbar	§ 203 Abs. 4 S. 1 StGB

Was zusätzlich gilt, je nach Berufsstand

§ 203 StGB ist der gemeinsame Nenner. Drei der vier Berufsgruppen haben darüber hinaus eine eigene berufsrechtliche Norm, die genau vorschreibt, was im Vertrag mit dem Dienstleister stehen muss. Der Wortlaut ist in allen drei Fällen fast identisch.

Rechtsanwälte: § 43e BRAO

Der Vertrag bedarf der Textform. In ihm ist der Dienstleister erstens unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten, zweitens zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist, und drittens ist festzulegen, ob er weitere Personen heranziehen darf. Falls ja, muss ihm auferlegt werden, diese Personen in Textform zur Verschwiegenheit zu verpflichten.

Dazu kommt § 43e Abs. 2 BRAO: Du musst den Dienstleister sorgfältig auswählen und die Zusammenarbeit unverzüglich beenden, wenn die Einhaltung dieser Vorgaben nicht gewährleistet ist. Die Auswahl ist also selbst eine Pflicht, nicht nur eine Empfehlung.

Steuerberater: § 62a StBerG

Dieselben drei Vertragspunkte, dieselbe Textform, dazu die Pflicht zur sorgfältigen Auswahl. Absatz 5 verlangt zusätzlich die Einwilligung des Mandanten, wenn sich die Dienstleistung auf ein konkretes Mandat bezieht.

Wirtschaftsprüfer: § 50a WPO

Gleiche Struktur, gleiche Anforderungen an den Vertrag. Wer als Wirtschaftsprüfer und Steuerberater zugleich zugelassen ist, erfüllt mit einem korrekt aufgesetzten Vertrag beide Normen.

Ärzte, Zahnärzte und Psychotherapeuten

Hier gibt es keine Parallelvorschrift, die den Vertragsinhalt vorgibt. Maßstab bleiben § 203 StGB, die Berufsordnung deiner Landesärztekammer und das Datenschutzrecht. Weil die Pflicht aus § 203 Abs. 4 Satz 2 Nr. 1 StGB aber identisch ist, läuft es praktisch auf denselben Vertragsinhalt hinaus. Der Unterschied ist nur, dass du dich nicht auf eine Norm berufen kannst, die dir die Punkte vorgibt.

Die Checkliste für den Vertrag

Wenn du prüfst, ob ein Anbieter für dich in Frage kommt, sind das die Punkte, die im Vertrag oder in den AGB stehen müssen:

• Der Vertrag liegt in Textform vor, E-Mail oder PDF reicht, ein mündlicher Hinweis nicht.
• Der Anbieter verpflichtet die mit deiner Post befassten Personen ausdrücklich zur Geheimhaltung, unter Belehrung über die strafrechtlichen Folgen.
• Der Anbieter verpflichtet sich, nur so viel zur Kenntnis zu nehmen, wie für die Vertragserfüllung erforderlich ist.
• Es ist geregelt, ob Unterauftragnehmer eingesetzt werden dürfen, und wenn ja, dass diese in Textform verpflichtet werden.
• Der Anbieter benennt dir auf Verlangen die konkreten Schutzmaßnahmen, damit du deine eigene Auswahlpflicht dokumentieren kannst.
• Zusätzlich, nicht ersatzweise: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Was wir dazu in unseren AGB geändert haben

Wir haben unseren Abschnitt zur Vertraulichkeit um einen Absatz ergänzt, der genau diesen Fall abbildet:

Warum der Hinweis bei Vertragsschluss: Wir können einer Sendung nicht ansehen, ob sie an eine Kanzlei oder an einen Onlinehändler geht. Sobald wir wissen, dass du Berufsgeheimnisträger bist, greifen die zusätzlichen Maßnahmen, und wir können dir die förmliche Erklärung geben, die du für deine eigene Dokumentation brauchst.

Die Verpflichtung unserer Mitarbeitenden ist in unserer Verschwiegenheits- und Datenschutzverpflichtung bereits angelegt und wird für diese Fälle um die förmliche Erklärung zu § 203 StGB ergänzt.

Eine Grenze, die wir klar benennen

Eine Geschäftsadresse regelt deine Post. Sie ersetzt keinen Kanzlei- oder Praxissitz. Der Bundesgerichtshof hat am 1. Dezember 2025 bestätigt, dass die Kanzleipflicht aus § 27 Abs. 1 BRAO weiterhin dauerhaft verfügbare Räumlichkeiten verlangt (AnwZ (Brfg) 50/24). Für Ärzte gilt über die Niederlassungspflicht der Berufsordnung Vergleichbares. Wenn du eine Geschäftsadresse für eine Holding, eine Verwaltungs- oder Abrechnungsgesellschaft oder eine Nebentätigkeit brauchst, passt das Modell. Als Ersatz für deine Kanzlei oder deine Praxis passt es nicht, und das sagen wir lieber vorher.

Häufige Fragen

Darf ein Rechtsanwalt seine Post überhaupt von einem externen Dienstleister bearbeiten lassen?

Ja. Seit der Reform von 2017 erlaubt § 203 Abs. 3 Satz 2 StGB ausdrücklich, fremde Geheimnisse gegenüber sonstigen mitwirkenden Personen zu offenbaren, soweit das für die Inanspruchnahme der Dienstleistung erforderlich ist. Zusätzlich gilt für Rechtsanwälte § 43e BRAO: Der Vertrag mit dem Dienstleister muss in Textform geschlossen werden und drei Punkte enthalten, nämlich die Verschwiegenheitsverpflichtung unter Belehrung über die strafrechtlichen Folgen, die Beschränkung der Kenntnisnahme auf das Erforderliche und eine Regelung dazu, ob Unterauftragnehmer eingesetzt werden dürfen.

Wer macht sich strafbar, wenn beim Dienstleister etwas schiefgeht?

Beide Seiten, aber aus unterschiedlichen Gründen. Der Mitarbeiter des Dienstleisters, der ein Geheimnis offenbart, nach § 203 Abs. 4 Satz 1 StGB. Der Berufsgeheimnisträger selbst nach § 203 Abs. 4 Satz 2 Nr. 1 StGB, wenn er nicht dafür gesorgt hat, dass der Dienstleister zur Geheimhaltung verpflichtet war. Der Strafrahmen liegt bei bis zu einem Jahr Freiheitsstrafe oder Geldstrafe. Diese Pflicht kannst du nicht auslagern.

Reicht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO aus?

Nein. Der AV-Vertrag deckt das Datenschutzrecht ab, nicht das Strafrecht. § 203 StGB und die berufsrechtlichen Vorschriften wie § 43e BRAO, § 62a StBerG und § 50a WPO stehen daneben und verlangen eine eigene Verschwiegenheitsverpflichtung mit Belehrung über die strafrechtlichen Folgen. In der Praxis braucht es beides.

Gilt das auch für Ärzte und Psychotherapeuten?

§ 203 StGB gilt genauso, Ärzte stehen in Absatz 1 Nummer 1. Anders als bei Anwälten, Steuerberatern und Wirtschaftsprüfern gibt es aber keine eigene berufsrechtliche Norm, die den Vertrag mit dem Dienstleister durchbuchstabiert. Maßstab sind § 203 StGB, die jeweilige Berufsordnung der Landesärztekammer und die DSGVO. Praktisch empfiehlt sich derselbe Vertragsinhalt wie bei § 43e BRAO, weil er die Sorgfaltsanforderungen sauber dokumentiert.

Ist schon der Briefumschlag ein Geheimnis?

Häufig ja. Wer Post an dich schickt, gibt sich als Absender zu erkennen, und die Verbindung zwischen Absender und dir kann bereits das geschützte Geheimnis sein. Bei einem Arzt ist das offensichtlich, wenn ein Patient als Absender erkennbar ist. Deshalb setzt die Verschwiegenheitsverpflichtung nicht erst beim Öffnen an, sondern bei jedem, der die Sendung in der Hand hat.

Muss ich meinen Mandanten oder Patienten um Einwilligung bitten?

Für die allgemeine Postbearbeitung in der Regel nicht, weil sie sich nicht auf ein einzelnes Mandat bezieht. § 43e Abs. 4 BRAO und § 62a Abs. 5 StBerG knüpfen die Einwilligung an mandatsbezogene Dienstleistungen. Wo die Grenze im Einzelfall verläuft, solltest du mit deiner Kammer oder deinem Berufsrechtler klären, nicht mit uns.

Dieser Beitrag gibt den Stand der genannten Vorschriften wieder und ersetzt keine Rechtsberatung im Einzelfall. Für die Beurteilung deiner konkreten Konstellation sind deine Kammer oder ein Berufsrechtler die richtige Adresse.