Dienstleistungen · Spezialleistung · Berufsgeheimnis

Microsoft 365 und KI für Berufsgeheimnisträger.

Mandats- und Patientendaten verlangen besondere Sorgfalt. Wer Microsoft 365, Microsoft Copilot oder Azure OpenAI einsetzen möchte, muss Vertragsunterlagen, Zugriffsrechte und die tatsächliche Datenverarbeitung zusammenbringen. arades begleitet Kanzleien, Praxen sowie die Softwareanbieter und IT-Dienstleister, die für sie arbeiten — technisch und organisatorisch, mit klarer Trennung zwischen technischer Prüfung und rechtlicher Bewertung.

§ 203 StGB Rahmen für Deutschland, keine Zusicherung Art. 28 DSGVO Auftragsverarbeitung als eigene Prüfung Microsoft Partner seit 2007 Europaweit beraten; Bezugsweg je Land geprüft

Zwei Einstiege

Wobei wir Sie unterstützen.

Berufsgeheimnisträger und ihre Dienstleister stellen unterschiedliche Fragen. Beide Wege führen zu derselben technischen Grundlage: Welche Informationen gelangen wohin, wer darf darauf zugreifen, und welche Unterlagen belegen das?

Einstieg A

Für Kanzleien und Praxen

Sie möchten moderne Werkzeuge nutzen und nachvollziehen können, welche Informationen wohin gelangen und wer darauf zugreifen darf. Wir ordnen Ihre bestehenden Microsoft-Dienste ein, machen technische Lücken sichtbar und planen den nächsten Schritt. Ihre interne IT und Ihre Datenschutz- oder Rechtsberatung beziehen wir nach Bedarf ein.

Einstieg B

Für Softwareanbieter und IT-Dienstleister

Ihre Anwendung verarbeitet Informationen im Auftrag von Berufsgeheimnisträgern. Wir helfen Ihnen, Datenwege, Ressourcen, Berechtigungen und Betriebsanforderungen zu strukturieren und Microsoft-Verfahren vorzubereiten. So können Sie Ihren Kunden genauer erklären, wie Ihre Lösung arbeitet und welche Nachweise vorliegen.

Weitere Berufsgruppen

Steuerberater, Notare und andere

Unser Ansatz richtet sich auch an Steuerberater, Wirtschaftsprüfer, Notare, Psychotherapeuten und weitere Berufsgruppen mit besonderen Verschwiegenheitspflichten. Welche Anforderungen gelten, hängt von Tätigkeit, Land und konkreter Verarbeitung ab und wird je Berufsrecht gesondert betrachtet.

Rechtlicher Rahmen · Deutschland

Welche Begriffe die Diskussion bestimmen — und was sie nicht bedeuten.

Die folgenden Absätze benennen den Rahmen, in dem sich die technische Arbeit bewegt. Sie sind eine Einordnung für das Gespräch, keine rechtliche Bewertung Ihres Vorhabens.

Berufsgeheimnis (§ 203 StGB). § 203 des Strafgesetzbuchs stellt die Verletzung von Privatgeheimnissen unter Strafe und benennt die betroffenen Berufsgruppen — unter anderem Ärzte, Rechtsanwälte, Steuerberater, Notare und Psychotherapeuten. Die Vorschrift gilt für Deutschland. Sie ist keine europaweite Norm und gibt kein Produkt frei.

Sonstige mitwirkende Personen (§ 203 Abs. 3 StGB). Der Einsatz externer Dienstleister wird in § 203 Abs. 3 StGB ausdrücklich behandelt. Sinngemäß und nicht im Wortlaut: Berufsgeheimnisträger dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit dieser mitwirkenden Personen erforderlich ist. „Soweit“ ist eine Einschränkung der Reichweite, keine Bedingung: Die Vorschrift erlaubt keine pauschale Offenbarung, sondern genau so weit, wie es die Inanspruchnahme erfordert. Was im Einzelfall erforderlich ist, bewertet Ihre Rechtsberatung — wir machen technisch sichtbar, welche Daten ein Dienst tatsächlich sieht.

§ 43e BRAO. Für die Anwaltschaft regelt § 43e der Bundesrechtsanwaltsordnung besondere Vorgaben zur Inanspruchnahme von Dienstleistungen, zur Auswahl der Dienstleister und zu den vertraglichen Verpflichtungen. Diese Vorschrift gilt für die Anwaltschaft. Sie wird nicht ungeprüft auf Ärzte, andere Berufsgruppen oder andere Länder übertragen.

Auftragsverarbeitung (Art. 28 DSGVO). Die Auftragsverarbeitung ist ein datenschutzrechtliches Institut. Sie regelt das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter und beantwortet die berufsrechtliche Frage nicht mit. Berufsgeheimnis und Datenschutz sind zwei Prüfungen nebeneinander, nicht eine.

Microsoft-Zusatzvereinbarungen. Microsoft stellt für bestimmte Regionen und Bezugswege Zusatzvereinbarungen bereit, die den Geheimnisschutz behandeln. Welche Fassung für Ihren Bezugsweg einschlägig ist, ob sie angenommen wurde und welchen Leistungsumfang sie abdeckt, prüfen wir am konkreten Vertrag. Eine Vereinbarung ersetzt weder eine passende Konfiguration noch die Prüfung weiterer Beteiligter.

Keine Rechtsberatung

arades erbringt technische und organisatorische Leistungen. Wir erteilen keinen Rechtsrat, geben keine berufsrechtliche Freigabe und bescheinigen Ihnen keine Rechtskonformität. Die rechtliche Bewertung erfolgt durch die dafür zuständigen Fachleute — wir liefern die technischen Angaben, auf die sich diese Bewertung stützen kann.

Unsere Leistungen

Fünf Bausteine — jeder mit einem Ergebnis, das Sie in der Hand haben.

Die Bausteine sind einzeln beauftragbar. Jeder liefert ein eigenständiges Ergebnis, das auch dann Wert hat, wenn der nächste Baustein verschoben wird. Umfang, Aufwand und Zuständigkeiten vereinbaren wir vorab schriftlich.

01

Standortbestimmung

Welche Microsoft- und KI-Dienste nutzen Sie bereits, welche Daten verarbeiten Sie damit, welche Unterlagen und Zuständigkeiten sind vorhanden? Wir führen die technischen und organisatorischen Informationen zusammen und priorisieren die nächsten Schritte nach Risiko und Aufwand.

Ihr Ergebnis: eine verständliche Bestandsaufnahme mit priorisierter Lückenliste, ausdrücklich benannten offenen Rechtsfragen und einer Empfehlung für das weitere Vorgehen. Keine pauschale Compliance-Bescheinigung.

02

Bezugsweg und Vertragsunterlagen

Wir prüfen Bestandstenant und Lizenzbedarf, beschaffen die für Ihren Bezugsweg benötigten Microsoft-Unterlagen und dokumentieren die einschlägige Zusatzvereinbarung mit Fassung, Annahme und Laufzeit. Bei indirektem Bezug läuft die Bereitstellung bestimmter Vertragsdokumente über den vorgelagerten Vertragspartner. Verpflichtungen Ihres IT-Partners behandeln wir gesondert.

Ihr Ergebnis: ein nachvollziehbarer Dokumenten- und Verantwortungsstand mit klar zugeordneten nächsten Schritten. Die rechtliche Bewertung stimmen Sie mit Ihrer zuständigen Beratung ab.

03

Zugriffe begrenzen

Ein Bezugsweg beantwortet nicht, wer administrieren oder Inhalte lesen kann. Im beauftragten Umfang untersuchen wir Partnerbeziehung, delegierte Administrationsrechte, Azure-Rollen, Gastfreigaben und Applikationsrechte und planen Maßnahmen für minimal erforderliche Rechte.

Ihr Ergebnis: eine Rollenübersicht der geprüften Zugriffswege, konkrete Änderungen und dokumentierte Prüfnachweise. Geprüft wird, was beauftragt ist — nicht automatisch jeder denkbare Zugriffsweg.

04

Azure OpenAI und Foundry vorbereiten

Modell, Bereitstellungsart, Region beziehungsweise Datenzone, Datenflüsse, Speicherfunktionen, Monitoring und Anwendungsprotokolle betrachten wir getrennt. Ist Modified Abuse Monitoring für Ihr Vorhaben relevant, klären wir Voraussetzungen und Antragsweg und begleiten Vorbereitung und Nachverfolgung. Quoten und Kapazität verfolgen wir als eigenen Vorgang.

Ihr Ergebnis: eine Architektur- und Datenflussübersicht, strukturierte Antragsunterlagen und ein nachvollziehbarer Freigabestand. Über Anträge und Kapazität entscheidet Microsoft; eine Genehmigung oder ein Termin lässt sich nicht zusagen.

05

KI gezielt integrieren

Dokumente klassifizieren, internes Wissen erschließen oder Kommunikation vorbereiten: Wir grenzen einen Pilotfall ab, legen Datenquellen, Berechtigungen, Datenminimierung, Löschung und menschliche Ergebnisprüfung fest und begleiten die vereinbarte Umsetzung bis zur Betriebsübergabe.

Ihr Ergebnis: ein klar definierter Anwendungsfall mit technischen Prüfungen, Nutzungsregeln, Zuständigkeiten und Übergabe. Zugesagt wird nur, was ein benanntes Umsetzungsteam liefern kann.

Entscheidungshilfe

Wann reicht ein fertiges KI-Produkt, wann brauchen Sie Beratung?

Nicht jedes Vorhaben braucht eine eigene Anwendung. Diese vier Wege stehen üblicherweise zur Auswahl; welcher passt, hängt von Aufgabe, Datenweg und vertretbarem Betriebsaufwand ab.

Ein fertiges Fachprodukt

Kann passen, wenn es die benötigte Aufgabe bereits gut abdeckt und seine Vertrags-, Daten- und Betriebsbedingungen zu Ihren Anforderungen passen. Wir unterstützen die Auswahl sachlich und grenzen den verbleibenden Integrations- und Betriebsbedarf ab.

Microsoft 365 oder Microsoft Copilot

Kann passen, wenn die Arbeit überwiegend in Ihrer Microsoft-Umgebung stattfindet. Zu betrachten sind unter anderem Berechtigungen, eingebundene Wissensquellen und zusätzliche Funktionen, die über den Grundumfang hinausgehen.

Eine eigene Azure-OpenAI-Anwendung

Kann passen, wenn Sie Datenfluss und Integration gezielt gestalten müssen. Sie bringt zusätzliche Architektur- und Betriebsverantwortung mit — und damit auch die Verantwortung, Protokollierung und Speicherfunktionen selbst zu beherrschen.

Eine alternative oder selbst betriebene Lösung

Kann sinnvoll sein, wenn Anforderungen mit einem vorgesehenen Cloud-Dienst nicht angemessen erfüllt werden können. Wir beziehen solche Alternativen in die Architekturentscheidung ein, ohne sie als eigenes Standardangebot auszugeben.

So arbeiten wir zusammen

Vier Schritte, in denen offene Punkte sichtbar bleiben.

Offene rechtliche Bewertungen und fehlende Herstellerbestätigungen werden benannt, nicht geglättet. Das ist der Unterschied zwischen einem Projektstand und einem Gefühl.

01

Vorhaben verstehen

Sie beschreiben Berufsgruppe, Land, bestehende Umgebung und die gewünschte Nutzung. Für den ersten Kontakt benötigen wir keine Mandatsakten und keine Patienteninformationen.

02

Anforderungen und Nachweise ordnen

Wir erfassen technische Datenwege, vorhandene Unterlagen und Zugriffe. Was offen ist, steht als offener Punkt in der Unterlage — mit Zuständigkeit und nächstem Schritt.

03

Umsetzung vereinbaren

Sie erhalten einen abgegrenzten Leistungsumfang mit Ergebnissen, Zuständigkeiten und Aufwand. Erforderliche Anträge und Entscheidungen Dritter bleiben als solche erkennbar.

04

Umsetzen und prüfen

Wir führen die beauftragten Maßnahmen durch, dokumentieren die Ergebnisse und übergeben die vereinbarten Betriebsinformationen an die benannte Zuständigkeit.

Leistungsraum

Europaweit zusammenarbeiten, lokale Anforderungen beachten.

Wir bieten Beratung und technische Begleitung für Organisationen in Europa an. Berufsgeheimnis und Datenschutz betrachten wir dabei anhand Ihres Landes, Ihrer Berufsgruppe und Ihrer konkreten Anwendung. Deutsche Regelungen wie § 203 StGB und § 43e BRAO bilden keinen einheitlichen europäischen Rechtsrahmen; die Übersetzung einer deutschen Vorschrift ist keine Freigabe für ein anderes Land.

Welche Microsoft-Vertragsoptionen und Bezugswege verfügbar sind, prüfen wir für Ihren Standort und die vorgesehenen Dienste. Lizenzlieferung, Abrechnung und Vertragsfassung klären wir je Kundenland, bevor wir etwas zusagen. Schweiz und Vereinigtes Königreich liegen in Europa, sind aber keine EU-Mitgliedstaaten und werden gesondert betrachtet.

In welchen Sprachen wir ein konkretes Vorhaben begleiten können, bestätigen wir vor der Zusage. Eine dreisprachige Website ist kein Beleg für zugesicherte Betreuung in jeder Sprache.

Ehrliche Abgrenzung

Wo unsere Leistung endet.

Rechtliche Bewertung. Die berufsrechtliche und datenschutzrechtliche Beurteilung Ihres Vorhabens nimmt Ihre Rechts- oder Datenschutzberatung vor. Wir bereiten sie technisch vor und benennen, was dafür noch fehlt.

Entscheidungen des Herstellers. Über Anträge, Genehmigungen, Quoten und Kapazität entscheidet Microsoft. Wir klären Voraussetzungen, stellen Unterlagen zusammen und verfolgen den Stand nach — Zusagen zu Ergebnis oder Termin gehören nicht dazu.

Klinische Fachlichkeit und Medizinprodukte. Wir arbeiten an Infrastruktur, Datenwegen und Anbieterbegleitung. Die medizinproduktrechtliche Einordnung einer Anwendung und ihre klinische Bewertung gehören nicht zu unserem Leistungsumfang.

Vollständigkeit einer Prüfung. Geprüft wird der beauftragte Umfang. Eine Rollenübersicht über die untersuchten Zugriffswege ist kein vollständiger Tenant-Audit, und ein eingereichter Antrag ist keine Genehmigung.

Häufige Fragen

Was vor dem ersten Gespräch meistens offen ist.

Dürfen Berufsgeheimnisträger Microsoft 365 oder KI überhaupt nutzen?

Das lässt sich nur für den konkreten Einsatz sinnvoll beantworten. Berufsrecht, Datenschutz, Vertragsumfang und technische Verarbeitung müssen zusammen betrachtet werden. Wir unterstützen die technische und organisatorische Vorbereitung und Umsetzung; eine pauschale rechtliche Freigabe geben wir nicht.

Reicht ein Auftragsverarbeitungsvertrag aus?

Die Auftragsverarbeitung nach Art. 28 DSGVO beantwortet die datenschutzrechtliche Seite. Für Deutschland sind daneben die berufsrechtlichen Verschwiegenheitsanforderungen zu betrachten; für die Anwaltschaft regelt § 43e BRAO besondere Pflichten bei der Inanspruchnahme von Dienstleistungen. Wir führen vorhandene Unterlagen und offene Punkte für die zuständige rechtliche Prüfung zusammen.

Gilt eine Microsoft-Zusatzvereinbarung automatisch für jede KI-Funktion?

Eine solche pauschale Abdeckung setzen wir nicht voraus. Vertragsfassung, konkreter Dienst und zusätzliche Funktionen werden einzeln geprüft. Eine Vereinbarung ersetzt außerdem weder eine passende Konfiguration noch die Prüfung weiterer Beteiligter.

Was verändert Modified Abuse Monitoring?

Nach der Microsoft-Dokumentation entfallen für entsprechend genehmigte Fälle die dort beschriebene Speicherung von Eingaben und Ausgaben sowie die menschliche Inhaltsprüfung zur Missbrauchsüberwachung. Automatisierte Prüfungen können weiterhin stattfinden. Andere Speicherfunktionen des Dienstes und die Protokollierung Ihrer eigenen Anwendung sind gesondert zu betrachten.

Können Sie eine Genehmigung für Modified Abuse Monitoring garantieren?

Nein. Wir klären die Voraussetzungen, bereiten die Unterlagen vor und verfolgen den Stand nach. Über die Genehmigung entscheidet Microsoft. Zusätzliche Kapazitäts- und Quotenanträge behandeln wir als davon getrennten Vorgang.

Müssen wir unseren vorhandenen Tenant aufgeben?

Zunächst prüfen wir die vorhandene Umgebung sowie mögliche Bezugs- und Integrationswege. Ob Änderungen oder ein Wechsel erforderlich sind, hängt vom konkreten Vertrag und der technischen Ausgangslage ab — nicht von einer Grundsatzentscheidung.

Erhält arades automatisch umfassende Administratorrechte?

Nein. Welche Zugriffe benötigt werden, klären wir für die konkrete Leistung. Lizenzbezug und administrative Berechtigungen sind unterschiedliche Fragen; Rollen, Anwendungsrechte und tatsächliche Zugriffsmöglichkeiten betrachten wir getrennt und dokumentieren, was eingerichtet wurde.

Arbeiten Sie auch mit unserer bisherigen IT zusammen?

Ja. Die Zusammenarbeit mit Ihrer internen IT oder Ihrem bisherigen Dienstleister kann Bestandteil des vereinbarten Vorgehens sein. Zuständigkeiten und benötigte Zugriffe legen wir gemeinsam fest und halten sie schriftlich fest.

Unterstützen Sie auch kleine Organisationen?

Ja. Den Leistungsumfang grenzen wir nach Ihrem Vorhaben und Ihrem Unterstützungsbedarf ab, nicht nach Organisationsgröße. Für kleine Einheiten ohne eigene IT-Kapazität beginnt der Weg meist mit der Standortbestimmung.

Gilt dieses Angebot unverändert in ganz Europa?

Wir bieten europaweite Zusammenarbeit an und prüfen dabei die lokalen Anforderungen. Deutsche Vorschriften und deutschsprachige Zusatzvereinbarungen sind nicht ohne Weiteres auf andere Länder übertragbar; Berufsrecht, Gesundheitsdatenanforderungen, Vertragsoptionen und Lieferregionen werden je Land gesondert geprüft.

Quellen · geprüft am 24.10.2026

Worauf sich die Aussagen auf dieser Seite stützen.

Rechtsnormen und Herstellerangaben ändern sich. Wir nennen die Primärquellen mit Prüfdatum, damit Sie den Stand selbst nachvollziehen können.

§ 203 StGB — Verletzung von Privatgeheimnissen. Gesetzestext im Portal „Gesetze im Internet“ des Bundesministeriums der Justiz, Fundstelle www.gesetze-im-internet.de/stgb/__203.html. Belegt den deutschen gesetzlichen Rahmen und die betroffenen Berufsgruppen.

§ 43e BRAO — Inanspruchnahme von Dienstleistungen. Gesetzestext im Portal „Gesetze im Internet“, Fundstelle www.gesetze-im-internet.de/brao/__43e.html. Belegt die besonderen deutschen Vorgaben für die Anwaltschaft.

Art. 28 DSGVO — Auftragsverarbeiter. Verordnung (EU) 2016/679, Fundstelle eur-lex.europa.eu, CELEX 32016R0679. Belegt das datenschutzrechtliche Institut der Auftragsverarbeitung, nicht die berufsrechtliche Beurteilung.

Microsoft Partner Center — CSP-Vertragsunterlagen. Dokumentation der regionenspezifischen Vertragsunterlagen und Standard-Zusatzvereinbarungen. Belegt den Bereitstellungsweg, nicht eine universelle Abdeckung sämtlicher KI-Dienste.

Microsoft — Datenverarbeitung und Datenschutz bei Azure-OpenAI-Modellen. Herstellerdokumentation zu Speicherung, Protokollierung und Missbrauchsüberwachung. Grundlage der Aussagen zu Modified Abuse Monitoring.

Microsoft — Abuse Monitoring. Herstellerdokumentation zu Antrag und Voraussetzungen. Belegt das Antragsverfahren; eine Genehmigungs- oder Bearbeitungsfrist lässt sich daraus nicht ableiten.

CCBE — Technischer Leitfaden zum Einsatz von KI-Werkzeugen und -Modellen durch Anwältinnen und Anwälte, 27.03.2026. Leitfaden des Rates der Europäischen Anwaltschaften (PDF). Europäische fachliche Referenz; keine rechtliche Prüfung Ihres Vorhabens.

Verwandte Dienstleistungen

Diese Themen gehören zum selben Vorhaben.

30 Min Erstgespräch oder 45 Min Architektur-Gespräch

Beschreiben Sie uns Ihre Ausgangslage.

Berufsgruppe, Land, bestehende Umgebung, gewünschtes Ergebnis — mehr brauchen wir für den Einstieg nicht. Wir besprechen mit Ihnen, welche technische Unterstützung sinnvoll ist und welche Punkte vor einer Umsetzung geklärt sein müssen. Mandatsakten und Patienteninformationen gehören nicht in den Erstkontakt.