§ 203 StGB in der Public Cloud: Azure, AWS und Google Cloud rechtskonform für Berufsgeheimnisträger

Die Frage erreicht uns fast wöchentlich: „Dürfen wir als Klinik, Praxis oder Kanzlei überhaupt in die Public Cloud?" Die kurze Antwort: Ja. Die ehrliche Antwort: Ja, aber nicht mit dem Standardvertrag, den Sie beim Self-Service-Checkout akzeptieren. Wer der ärztlichen Schweigepflicht oder einer anderen Verschwiegenheitspflicht nach § 203 StGB unterliegt, braucht mehr als eine Auftragsverarbeitungsvereinbarung. Und genau dieses „mehr" sieht bei Microsoft, AWS und Google jeweils völlig anders aus.

Update August 2026: Seit der Erstveröffentlichung haben uns viele Rückfragen zum Azure-Weg erreicht, vor allem zu Kosten, zur Rolle von innFactory und TD SYNNEX, zu GDAP-Berechtigungen, zum Geltungsbereich der Zusatzvereinbarung und zum Modified Abuse Monitoring. Die Antworten haben wir in diesen Beitrag eingearbeitet, gebündelt im neuen Abschnitt „Die häufigsten Rückfragen zum Azure-Weg".

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Er beschreibt die bewährte Vorgehensweise, wie wir sie als indirekter Microsoft-CSP-Partner mit Berufsgeheimnisträgern umsetzen. Die berufsrechtliche Bewertung Ihres konkreten Falls gehört zu Ihrer Rechtsberatung, die diesen Beitrag gerne als Arbeitsgrundlage nutzen darf.

Warum die AVV nicht reicht

Seit der Reform des § 203 StGB im Jahr 2017 – das Gesetz trat am 9. November 2017 in Kraft – dürfen Berufsgeheimnisträger externe Dienstleister einbeziehen. Gemeint sind Ärzte, Heilberufe und die Verantwortlichen in Kliniken, aber auch Rechtsanwälte, Notare, Steuerberater und Wirtschaftsprüfer. Die Erlaubnis dazu steht in § 203 Absatz 3 Satz 2: Geheimnisse dürfen gegenüber „sonstigen mitwirkenden Personen" offenbart werden, soweit das für deren Tätigkeit erforderlich ist. Der Gesetzgeber hatte dabei ausdrücklich den Betrieb, die Wartung und die externe Speicherung von IT-Systemen vor Augen – also den Cloud-Fall.

Die entscheidende Bedingung folgt in Absatz 4: Die mitwirkende Person muss zur Geheimhaltung verpflichtet werden. Wer diese Verpflichtung versäumt, macht sich als Berufsgeheimnisträger selbst strafbar – das ist eine eigene Strafnorm, kein Kavaliersdelikt. Ein Rechenzentrum ist rechtlich nichts anderes als eine solche „sonstige mitwirkende Person".

Stellen Sie sich den Hyperscaler wie eine neue Mitarbeiterin vor: Bevor sie am ersten Tag Patientenakten sieht, unterschreibt sie eine Verschwiegenheitsverpflichtung, inklusive Belehrung über die strafrechtlichen Folgen. Nichts anderes verlangt das Gesetz vom Rechenzentrum. Nur dass die Unterschrift hier nicht im Personalbüro fällt, sondern über Vertragszusätze, die die Anbieter nicht offensiv bewerben.

Ein Hinweis zur Einordnung, weil er in der Praxis für Verwirrung sorgt: § 203 StGB benennt Berufe, keine Einrichtungen. Ein Krankenhaus als juristische Person ist nicht selbst „Berufsgeheimnisträger". In der Pflicht stehen die behandelnden Ärztinnen und Ärzte; das übrige Personal sind ihre berufsmäßig tätigen Gehilfen. Im Ergebnis fällt die Klinik damit trotzdem unter das Regime – nur eben abgeleitet über die dort tätigen Heilberufler. Für Rechtsanwälte konkretisiert § 43e BRAO, für Steuerberater § 62a StBerG, was bei der Einbeziehung von Dienstleistern zu beachten ist. Die Zusatzvereinbarung von Microsoft adressiert § 203 StGB; die Parallelnormen prüfen Sie mit Ihrer Rechtsberatung.

Merksatz: Die AVV nach Art. 28 DSGVO schützt die Daten Ihrer Patienten und Mandanten. Die Verschwiegenheitsverpflichtung nach § 203 StGB schützt Sie – nämlich vor dem Strafrecht.

Beides braucht es. Und je nach Hyperscaler ist der Weg dorthin ein dokumentierter Prozess, ein Formular oder eine Einzelfallverhandlung. Wir gehen alle drei durch, so wie wir sie bei innFactory mit unseren Kunden umsetzen.

Microsoft Azure: der am weitesten formalisierte Weg

Microsoft hat für Deutschland eine eigene Zusatzvereinbarung geschaffen, die den Konzern ausdrücklich zur Verschwiegenheit verpflichtet. Sie taucht unter mehreren Namen auf, meint aber dasselbe Dokument: im Partner Center als „Professional Secrecy Amendment for Germany", auf Deutsch als „Datengeheimnis-Zusatzvereinbarung für Deutschland (November 2021)", im Dokument selbst als „Microsoft Customer Agreement – Zusatzvereinbarung für Berufsgeheimnisträger". Sie ergänzt das Microsoft Customer Agreement (MCA) und ist als offizielles Microsoft-Partnerdokument auf der CSP-Dokumentenseite im Partner Center hinterlegt. Als Kunde haben Sie darauf keinen direkten Zugriff, Sie beziehen das Dokument über Ihren CSP-Partner. Es ist Microsoft-Standard, für alle Kundengrößen verfügbar und muss nicht verhandelt werden.

Wir setzen diesen Weg als indirekter CSP-Reseller um: Der Vertrag besteht zwischen Microsoft und Ihnen, innFactory übernimmt Vermittlung und Abrechnung, der Distributor TD SYNNEX Germany GmbH & Co. OHG agiert als Indirect Provider. So sieht der Prozess bei uns konkret aus:

1. Angebot und Rollenklärung: Sie beauftragen, dass Ihre Azure-Kosten über innFactory bezogen werden. Sie erhalten ein Angebot für eine Azure Subscription zu den Listenpreisen von Microsoft ohne Zuschlag, ohne Einrichtungspauschale, ohne laufende CSP- oder Verwaltungsgebühren und ohne Mindestumsatz.
2. Partner bestätigen, GDAP erteilen, Mandat einrichten: Sie bestätigen innFactory im Microsoft 365 Admin Center als Partner und erteilen die minimale GDAP-Berechtigung (dazu unten mehr). Falls Sie Conditional-Access-Richtlinien einsetzen, werden sie so angepasst, dass die Abrechnung funktioniert. Dazu kommt ein Firmenlastschrift-Mandat, das wir mit einer Testlastschrift über 1 Euro prüfen und mit der ersten Rechnung verrechnen. Existiert noch kein Entra Tenant, stimmen wir die Einrichtung kurz ab.
3. MCA-Annahme prüfen: Wir prüfen im Partner Center an Ihrem Kundenkonto, ob eine wirksame Annahme des Microsoft Customer Agreement hinterlegt ist, und dokumentieren das Ergebnis im Onboarding. Bei einem bestehenden Tenant liegt das MCA in der Regel bereits vor. Nur bei einem neuen Tenant nehmen Sie es im Zuge der CSP-Einrichtung an, direkt im Microsoft 365 Admin Center. Ohne bestätigte Annahme lässt sich kein CSP-Bezug anlegen.
4. Subscription anlegen: innFactory provisioniert die Subscription über das indirekte CSP-Modell mit TD SYNNEX als Distributor.
5. § 203 StGB Zusatzvereinbarung annehmen: innFactory lädt das offizielle Dokument aus dem Partner Center und stellt es Ihnen zu. Sie nehmen es an und fügen es Ihrem MCA bei. Wirksam wird die Zusatzvereinbarung durch Ihre Annahme, eine Gegenzeichnung durch Microsoft erfolgt nicht. Unsere Empfehlung: Produktive Ressourcen erst nach dokumentierter Annahme in der Subscription anlegen.
6. Modified Abuse Monitoring beantragen: Für Azure OpenAI bzw. die „Foundry Models sold by Azure" stellen Sie den Antrag auf Modified Abuse Monitoring bei Microsoft. innFactory koordiniert den Antrag kostenlos und sorgt über eigene Microsoft-Kontakte dafür, dass er auch ohne eigenes Microsoft Account Team bearbeitet werden kann.
7. Optional: Sovereign Landing Zone ausrollen – also Policy-as-Code-Leitplanken für Datenresidenz, Verschlüsselung und Confidential Computing auf Basis von Microsofts Sovereign Public Cloud (Bicep oder Terraform).

Einrichtung, Konfiguration und Verwaltung der Subscription bleiben dauerhaft bei Ihnen. Ein Supportvertrag ist für den reinen CSP-Bezug nicht erforderlich. Wünschen Sie darüber hinaus Unterstützung, etwa bei einer Migration bestehender KI-Workloads nach Azure AI Foundry, ist das ein separates Angebot auf Time-and-Material-Basis, klar getrennt vom CSP-Bezug, damit das Vertragsverhältnis zwischen Ihnen und Microsoft unberührt bleibt.

Die Fristenfalle: Das MCA läuft unbefristet, die Zusatzvereinbarung nicht

Ein Detail aus dem ersten Absatz der Zusatzvereinbarung wird in der Praxis regelmäßig übersehen: Das MCA als Rahmenvertrag ist unbefristet. Die § 203 Zusatzvereinbarung ist es nicht. Im Wortlaut der deutschen Fassung heißt es, sie „läuft ab entweder (i) am Ablaufdatum des Microsoft Kundenvertrages oder (ii) am letzten Tag des Monats, 36 volle Kalendermonate nach der Annahme des Kunden, je nachdem, welches Datum das frühere ist." Eine Verlängerungsklausel enthält das Dokument nicht. Juristen nennen das Fristeninkongruenz: Der Hauptvertrag und sein Schutzschild laufen zeitlich nicht synchron.

Microsoft gestaltet das bewusst so. § 203 StGB ist nationales Strafrecht, und der Konzern will sich nicht zeitlich unbegrenzt strafrechtlich binden, sondern die Vereinbarung an Gesetzesänderungen, neue technische Maßnahmen und aktualisierte Vertragswerke anpassen können. Für Sie als Kunde heißt das operativ:

1. Ablaufdatum dokumentieren, und zwar am Tag der Annahme, nicht irgendwann.
2. Spätestens nach 30 bis 34 Monaten prüfen, ob eine neuere Fassung existiert und eine erneute Annahme erforderlich ist.
3. Im Zweifel neu bestätigen lassen, bevor die Vereinbarung ausläuft.

Läuft die Zusatzvereinbarung unbemerkt aus, fehlt die vertragliche Verschwiegenheitsbindung von Microsoft, während die Dienste einfach weiterlaufen. Das strafrechtliche Risiko und die Audit-Risiken gegenüber Kammern und Aufsichtsbehörden liegen dann wieder vollständig bei Ihnen.

So weisen Sie die Annahme nach

Die zweite Frage, die in jedem Audit kommt: Wie belegen Sie eigentlich, dass die Zusatzvereinbarung angenommen wurde? Einen von Microsoft gegengezeichneten Annahmebeleg gibt es nicht. Der Nachweis erfolgt mittelbar, aber rechtlich belastbar, über drei Bausteine:

1. Nachweis der MCA-Annahme: Das Microsoft Customer Agreement besteht zwischen Microsoft und Ihnen, entsprechend liegt auch der Nachweis bei Ihnen. Er gelingt mit einem Export oder Screenshot aus dem Microsoft Admin Center oder Azure Portal mit Datum, Tenant-ID und annehmender Organisation. Ohne MCA-Annahme keine Zusatzvereinbarung.
2. Gültige Fassung der Zusatzvereinbarung: Legen Sie zusätzlich zu Ihrem MCA die zum Annahmezeitpunkt gültige PDF-Fassung der Zusatzvereinbarung mit Versionsdatum ab, zusammen mit Ihrer dokumentierten Annahme. Das Dokument wird von Microsoft nicht unterschrieben; es dokumentiert, was Bestandteil Ihres MCA geworden ist.
3. Nutzung und Bestellung: Die erste Bestellung von Cloud-Diensten nach der Annahme sowie laufende Rechnungen gelten als Annahme durch schlüssiges Handeln.

Wer diese drei Belege zusammen ablegt, ist prüfungsfest aufgestellt.

Modified Abuse Monitoring: der übersehene KI-Baustein

Schritt 6 des Prozesses verdient einen genaueren Blick. Für die „Foundry Models sold by Azure", insbesondere Azure OpenAI, protokolliert Azure für das Abuse Monitoring standardmäßig auffällige Prompts und Completions und legt sie bis zu 30 Tage in einem gesonderten, nach Kunden getrennten Datenspeicher ab. Die Prüfung läuft dabei zunächst automatisiert; eine menschliche Sichtung durch autorisierte Microsoft-Mitarbeiter erfolgt nur, wenn die automatische Bewertung nicht eindeutig ist – und für Dienste im Europäischen Wirtschaftsraum durch Personal innerhalb des EWR. Auch wenn also nicht jeder Prompt von einem Menschen gelesen wird: Für Mandanten- oder Patientendaten ist schon die Speicherung mit möglicher Human Review ein Problem, das keine AVV der Welt löst.

Erst das genehmigte Modified Abuse Monitoring schaltet diese Speicherung und die menschliche Überprüfung ab (eine automatisierte Bewertung ohne Speicherung kann weiterhin stattfinden). Anders als die Zusatzvereinbarung, die Sie einfach annehmen, muss Modified Abuse Monitoring beantragt werden. Der Antrag ist ein Formular, das Sie als Kunde selbst bei Microsoft einreichen. Microsoft entscheidet, eine Annahmegarantie gibt es nicht, und eine verbindliche Bearbeitungsdauer nennt Microsoft ebenfalls nicht – wer Ihnen eine feste Zusage macht, kennt den Prozess nicht.

Der Antrag richtet sich an Kunden, die von einem Microsoft Account Team betreut werden. Wer im Self-Service startet, hat diesen Zugang oft nicht. Genau hier setzen wir an: innFactory koordiniert den Antrag kostenlos und lässt über eigene Microsoft-Kontakte einen Account bei Microsoft anlegen, damit der Antrag auch ohne eigenes Account Team bearbeitet werden kann. Ein Praxishinweis zur Planung: Die Antragsbegleitung funktioniert erfahrungsgemäß zwischen September und Juni. In den Sommermonaten Juli und August ruht der Prozess auf Microsoft-Seite weitgehend, planen Sie KI-Projektstarts entsprechend.

Ob das Modified Abuse Monitoring aktiv ist, können Sie selbst prüfen: Nach der Genehmigung erscheint an der betreffenden Ressource in der Capabilities-Liste der Eintrag ContentLogging mit dem Wert false. Sie finden ihn in der JSON-Ansicht des Azure-Portals oder per Azure CLI mit az cognitiveservices account show. Das ist der technische Nachweis für Ihre Compliance-Dokumentation, belegt durch die öffentliche Microsoft-Dokumentation zu Daten und Datenschutz bei Azure OpenAI.

Nicht jeder KI-Dienst braucht Modified Abuse Monitoring. Die Frage kommt regelmäßig für Azure AI Document Intelligence, etwa bei der Digitalisierung von Patientenakten oder Mandantenpost. Klassische Azure-AI-Dienste wie Document Intelligence haben kein Abuse Monitoring und ein eigenes Datenhaltungsmodell: Eingaben und Ergebnisse werden für den Abruf bis zu 24 Stunden vorgehalten und dann gelöscht, eine frühere Löschung der Analyseergebnisse ist über die Delete-Analyze-API möglich (Microsoft-Dokumentation). Ein Antrag auf Modified Abuse Monitoring ist für solche Dienste weder erforderlich noch vorgesehen.

Ein Namenshinweis, damit Sie die richtige Dokumentation finden: Microsoft hat die Azure-OpenAI-Dienste 2025 unter „Microsoft Foundry" bzw. „Models sold by Azure" neu geordnet, die Inhaltsfilter heißen jetzt „Guardrails". Der Mechanismus dahinter bleibt derselbe.

Die optionale Sovereign Public Cloud setzt darauf noch eine Schicht: Microsofts Souveränitätsangebot für die europäischen Rechenzentrumsregionen kombiniert die EU Data Boundary (seit Februar 2025 vollständig umgesetzt) mit operativer Transparenz über den „Data Guardian" (Zugriffe durch in Europa ansässiges Personal, manipulationssicher protokolliert) und kundenverwalteten Schlüsseln in eigenen HSMs (External Key Management). Als Betriebsmodell dient die Sovereign Landing Zone, eine auf Souveränität zugeschnittene Variante der Azure Landing Zone – verfügbar als Bicep- und Terraform-Implementierung. Das Angebot wurde im Juni 2025 vorgestellt und rollt seither über die europäischen Regionen aus. Für Häuser mit hohen Schutzanforderungen ist das der konsequente nächste Schritt; für den Einstieg genügen die Schritte eins bis sechs. Wie so ein souveräner Aufbau aussieht, zeigen wir am Beispiel unseres souveränen KI-Hubs auf STACKIT und in unserem Beitrag zu Azure Landing Zones.

Die häufigsten Rückfragen zum Azure-Weg

Die folgenden Punkte stammen aus den Anfragen, die uns seit der Erstveröffentlichung erreicht haben. Wir beantworten sie hier so, wie wir sie auch per E-Mail beantworten: direkt, als Beschreibung der bewährten Vorgehensweise und ohne Anspruch auf Rechtsberatung. Stand ist August 2026.

Was kostet der Bezug über innFactory?

Für Microsoft-Azure-Produkte berechnen wir keine Einrichtungspauschale, es gelten die Listenpreise von Microsoft ohne Zuschlag. Es gibt keine laufenden CSP- oder Verwaltungsgebühren und keinen Mindestumsatz. Das gilt für alle Azure-Ressourcen der Subscription, einschließlich Netzwerk- und Sicherheitskomponenten wie Private Endpoints oder Azure Front Door. Die Abrechnung erfolgt nach realem Verbrauch per Firmenlastschrift. Mit wachsendem Volumen steigen nur die Microsoft-Verbrauchskosten, unsere Konditionen ändern sich nicht.

Bei der Kundengröße gibt es kein Minimum und kein Maximum, weder bei der Nutzerzahl noch beim Umsatz. Voraussetzung ist lediglich, dass wir die Microsoft-Beträge in Rechnung stellen und per Firmenlastschrift einziehen dürfen. Bei Neugründungen ohne belastbare Bonität behalten wir uns eine Prüfung vor.

Ausdrücklich ausgenommen sind Marketplace- und Partner-Produkte. Warum das gerade bei KI-Modellen wichtig ist, steht weiter unten.

Wer ist Vertragspartner, und welche Rolle spielt TD SYNNEX?

Der Vertrag besteht zwischen Microsoft und Ihnen. innFactory übernimmt als indirekter CSP-Reseller Vermittlung und Abrechnung, TD SYNNEX ist als Distributor der Indirect Provider. Im reinen CSP-Modell hat innFactory keinen Zugriff auf Ihre Kundeninhalte und benötigt selbst keine § 203-Verpflichtung. Erbringen wir zusätzlich Dienstleistungen innerhalb Ihrer Subscription, vereinbaren wir das gesondert, inklusive der dann nötigen Verschwiegenheitsverpflichtung.

Zur Rolle des Distributors erreichen uns oft berechtigte Nachfragen. Technisch ist in Ihrer Subscription ein Foreign Principal von TD SYNNEX hinterlegt. Er dient ausschließlich der Auflösung der Abrechnungsdaten. Ein aktiver Zugriff von TD SYNNEX auf Ihren Tenant, Ihre Subscription oder Ihre Inhalte besteht nicht. Zusätzlich liegt innFactory eine § 203-Bestätigung von TD SYNNEX als Indirect Provider vor, sodass die Kette vom Berufsgeheimnisträger bis zu Microsoft lückenlos dokumentiert ist.

Welche Zugriffsrechte erhält innFactory in unserem Tenant?

Die minimalen. Wir fordern eine GDAP-Beziehung (Granular Delegated Admin Privileges) mit Limited Access an, die genau zwei Entra-Rollen umfasst: Directory Reader und Service Support Administrator. Sie dienen der Anlage und Zuordnung der Subscription im CSP-Modell und ermöglichen es uns, Microsoft-Support-Anfragen für Sie zu eröffnen. Beide Rollen wirken auf Verzeichnisebene. innFactory erhält keine Azure-RBAC-Rollen wie Owner oder Contributor auf Ihrer Subscription oder Ihren Ressourcen und hat keinen Zugriff auf Ihre Inhalte.

Sie können die GDAP-Beziehung jederzeit im Microsoft 365 Admin Center beenden. Die Reseller-Beziehung für Bestellung und Abrechnung bleibt davon unberührt (Microsoft GDAP-FAQ). Ohne GDAP können wir allerdings keine Verwaltungsvorgänge wie Support-Tickets oder die Anlage weiterer Subscriptions für Sie übernehmen; bei Bedarf richten wir die Beziehung dann neu ein.

Welche Dienste deckt die Zusatzvereinbarung ab?

Die Zusatzvereinbarung ist nicht dienstspezifisch. Sie ergänzt das Microsoft Customer Agreement um die Berufsgeheimnisträgerklausel und erfasst die unter dem MCA bezogenen Onlinedienste. Dienste der Azure-Plattform außerhalb des Marketplace, etwa Azure OpenAI, Azure AI Foundry oder Azure AI Document Intelligence, fallen darunter. Ob das für Ihre konkrete Nutzung ausreicht, klären Sie mit Ihrer Rechtsberatung, die Vertragslage selbst ist eindeutig.

Die wichtige Ausnahme sind KI-Modelle von Drittanbietern. Microsoft unterscheidet in Azure AI Foundry zwei Kategorien, und der Unterschied entscheidet über Ihre Vertragslage:

• Foundry Models sold by Azure: von Azure gehostet und betrieben, Abrechnung über Ihre Azure Subscription, Azure-SLAs, Microsoft-Support. Sie laufen unter den Microsoft-Verträgen und damit unter dem MCA mit Zusatzvereinbarung. Für einzelne Modelle gilt zusätzlich eine Anbieter-EULA. Beispiel, Stand August 2026: Microsoft führt Cohere-rerank-v4.0-pro und Cohere-rerank-v4.0-fast als „Cohere models sold by Azure". Für sie gilt ergänzend die Azure AI EULA for Cohere Models, ein Vertrag zwischen Ihnen und Cohere für die Nutzung über Microsofts Plattform. Eine gesondert zu verhandelnde Vereinbarung mit dem Anbieter ist nicht nötig, die EULA gehört aber in Ihre anwaltliche Prüfung.
• Models from partners and community: Nicht-Microsoft-Produkte unter den Microsoft Product Terms, Bezug über den Azure Marketplace, Lizenzbedingungen und Preis setzt der Anbieter. Sie fallen weder unter das Microsoft DPA noch unter die Zusatzvereinbarung und sind im CSP-Modell nicht beziehbar.

Der Status eines Modells kann sich ändern. Prüfen Sie ihn deshalb vor dem Einsatz im öffentlichen Microsoft-Katalog, wir tun das für unsere Kunden bei jeder Anfrage und belegen das Ergebnis mit der Fundstelle.

Reicht das C5-Testat nicht aus?

Nein. Der Geltungsbereich des BSI-C5-Testats von Microsoft ist öffentlich nachlesbar, Azure AI Foundry und Azure OpenAI zählen dazu. C5 belegt Sicherheitskontrollen und ist ein sinnvoller Baustein Ihrer Dokumentation. Eine Verschwiegenheitsverpflichtung nach § 203 Abs. 4 StGB ersetzt es nicht, denn die entsteht ausschließlich durch die vertragliche Bindung, also durch die angenommene Zusatzvereinbarung. Wer aus einem C5-Testat eine § 203-Konformität ableitet, verwechselt technische Sicherheit mit strafrechtlicher Verpflichtung.

Bekommen wir individuelle Zusagen von Microsoft?

Realistisch nicht. Was Microsoft nicht im Standard anbietet, etwa individuelle Bestätigungsschreiben, Vertragsanpassungen oder Zusagen zu weiteren Paragraphen wie § 43e BRAO, ist unterhalb von rund einer Million Euro Azure-Umsatz pro Jahr praktisch nicht erhältlich. Wir können Sonderwünsche bei Microsoft anfragen, setzen die Erwartung aber klar. Die gute Nachricht: § 203 StGB selbst ist Standard und braucht keine Verhandlung.

Wir sind selbst IT-Dienstleister mit Endkunden aus dem Gesundheits- oder Rechtswesen. Ändert das etwas?

Am Bezugsweg nichts. Vertrag, Subscription, Zusatzvereinbarung und Modified Abuse Monitoring funktionieren für einen Dienstleister genauso wie für die Klinik oder Kanzlei selbst. Was sich unterscheidet, ist Ihre eigene Rolle in der Kette: Ob und wie Sie selbst als mitwirkende Person nach § 203 Abs. 3 StGB verpflichtet sind und diese Verpflichtung an Microsoft weiterreichen, ist eine Frage Ihres Vertrags mit Ihren Endkunden. Dazu treffen wir keine Aussage, das gehört in Ihre Rechtsberatung. Vertrag und Plattform setzen wir mit Ihnen auf.

AWS: Zusatzvereinbarung über den Partnerkanal

Bei AWS gibt es keine öffentlich verlinkte § 203-Standardvereinbarung, wie sie Microsoft bereitstellt – die vorhandenen AWS-Zusätze adressieren die deutsche Verschwiegenheitspflicht nicht spezifisch. Der Weg führt deshalb über eine individuelle Vereinbarung, die wir über unseren Distributionskanal anstoßen. Der Prozess:

1. AWS Account anlegen oder einen Bestandsaccount nutzen, das funktioniert genauso.
2. Billing Transfer zu innFactory bzw. TD SYNNEX einrichten, damit der Account im Partnermodell geführt wird.
3. Zusatzvereinbarung anfragen: Wir stoßen über unsere Ansprechpartner bei TD SYNNEX und AWS die Verschwiegenheits-Zusatzvereinbarung an.
4. Vereinbarung schließen: Sie schließen die Zusatzvereinbarung direkt mit AWS.
5. Bedrock-Modelle prüfen: Seit Oktober 2025 hat AWS den Zugang zu Amazon Bedrock vereinfacht – die serverlosen Modelle einer Region sind heute in der Regel automatisch verfügbar, der frühere manuelle Freischalt-Schritt entfällt. Für einzelne Modelle bleibt aber eine Hürde: Die Anthropic-Modelle etwa verlangen vor der ersten Nutzung ein einmaliges Use-Case-Formular. Prüfen Sie das früh, damit das gewünschte Modell zum Projektstart bereitsteht.

Der letzte Punkt ist die typische Stolperfalle: Teams schließen die Vereinbarung, starten das Projekt und stellen dann fest, dass für das gewünschte Modell noch das Use-Case-Formular fehlt. Planen Sie die Modell-Freigabe als eigenen Schritt ein, nicht als Selbstverständlichkeit.

Google Cloud: möglich, aber ohne Zeitgarantie

Google ist der Weg mit den meisten Unbekannten. Öffentlich zugänglich ist nur das allgemeine Cloud Data Processing Addendum, das die datenschutzrechtliche Auftragsverarbeitung nach DSGVO regelt. Für die berufsrechtlichen Anforderungen nach § 203 StGB existiert darüber hinaus ein eigenes Addendum, öffentlich einsehbar ist es jedoch nicht. Der Ablauf: Sie fordern das Dokument über eine Vertraulichkeitsvereinbarung (NDA) an, prüfen es mit Ihrer Rechtsberatung, und Google bearbeitet die Anfrage anschließend nach dem Best-Effort-Prinzip. Wir haben Ansprechpartner bei Google und begleiten den Prozess, aber eine belastbare Zeitspanne bis zum Abschluss können wir nicht nennen. Das sollte auch niemand versprechen, der den Prozess kennt.

Das ist keine Disqualifikation von Google Cloud oder Vertex AI. Es bedeutet nur: Wer auf Google setzt und unter § 203 StGB fällt, sollte die Vertragsanbahnung früh starten und die Projektplanung nicht von einem festen Vertragsdatum abhängig machen.

Die drei Wege im Überblick

Fazit: In vier Schritten zur rechtskonformen Cloud

Alle drei Hyperscaler lassen sich unter Berücksichtigung des § 203 StGB nutzen, aber keiner davon „einfach so" per Kreditkarte und Standardvertrag. Unsere Faustregel:

1. Erst der Vertrag, dann die Daten. Keine Patienten- oder Mandantendaten in die Cloud, bevor die Verschwiegenheits-Zusatzvereinbarung geschlossen und dokumentiert ist.
2. Fristen und Nachweise managen. Ablaufdaten dokumentieren, die drei Nachweisbausteine ablegen und die Erneuerung rechtzeitig anstoßen. Eine ausgelaufene Zusatzvereinbarung ist so gut wie keine.
3. KI-Dienste separat prüfen. Abuse Monitoring, Datenretention, Modellstatus und Modell-Freigaben sind eigene Baustellen neben dem Rahmenvertrag – bei Azure das Modified Abuse Monitoring und die Abgrenzung zu Marketplace-Modellen, bei AWS das Use-Case-Formular für einzelne Bedrock-Modelle.
4. Über den Partnerkanal gehen. Die Zusatzvereinbarungen laufen bei allen drei Anbietern über Partner- und Distributionsstrukturen. Bei Azure kostet der Bezug über einen indirekten CSP-Partner wie innFactory nichts extra, und ein Partner mit direkten Ansprechpartnern bei Microsoft verkürzt den Weg beim Modified Abuse Monitoring erheblich.

Wer diesen Unterbau sauber legt, kann anschließend die führenden KI-Modelle datenschutz- und berufsrechtskonform nutzen: GPT über Azure OpenAI, Claude über Amazon Bedrock oder Google Vertex AI, Gemini über Vertex AI. Die Modelle laufen dann innerhalb Ihrer abgesicherten Cloud-Umgebung statt über einen öffentlichen Endpunkt.

Vom Vertrag zur fertigen Lösung: CompanyGPT und AI Gateway

Die Zusatzvereinbarung schafft den Rahmen, aber noch keinen Arbeitsplatz, an dem Ärztinnen, Anwälte oder Steuerberater tatsächlich mit KI arbeiten. Dafür bieten wir mit CompanyGPT eine komplette Lösung an: ein KI-Assistent mit ChatGPT-ähnlicher Oberfläche, der vollständig in Ihrer eigenen Azure-Subscription läuft, also genau in der Umgebung, die durch MCA und Zusatzvereinbarung abgedeckt ist. Die Modelle bezieht CompanyGPT über Microsoft Foundry (vormals Azure AI Foundry) in der EU Data Zone, die Anmeldung läuft über Microsoft Entra ID, Dokumente aus SharePoint werden mit den Berechtigungen des jeweiligen Nutzers durchsucht, und über das Model Context Protocol lassen sich Fachsysteme und eigene Agenten anbinden. Abgerechnet werden nur die Azure-Verbrauchskosten über den CSP-Bezug, ohne Pro-Kopf-Lizenzen. Wie der Cloud-Stack dahinter aussieht, beschreiben wir im Beitrag CompanyGPT Cloud-Stack im eigenen Azure Tenant.

Ergänzt wird CompanyGPT durch das innFactory AI Gateway: ein in Rust entwickeltes, OpenAI-kompatibles LLM-Gateway, das alle KI-Zugriffe Ihrer Anwendungen, Tools und Agenten hinter einer einzigen API bündelt, Nutzer über Entra ID authentifiziert, Budgets und Kostenstellen pro Team oder Agent durchsetzt und jeden Zugriff protokolliert. Für Berufsgeheimnisträger ist vor allem der Routing-Aspekt interessant: Das Gateway spricht neben Azure OpenAI auch Amazon Bedrock, Google Gemini, STACKIT und weitere Provider. Drittanbieter-Modelle wie Anthropic Claude lassen sich so über den Weg einbinden, für den Sie den passenden vertraglichen Rahmen geschlossen haben, etwa Amazon Bedrock nach Abschluss der AWS-Zusatzvereinbarung, während Ihre Anwender weiterhin nur einen einzigen, kontrollierten Endpunkt sehen. Provider-Schlüssel liegen im Azure Key Vault, die Daten bleiben in Ihrer Cloud oder in souveränen deutschen Rechenzentren. Das Gateway ist ein eigenständiges Produkt und für CompanyGPT keine Voraussetzung; es lohnt sich, sobald mehrere Teams, Anwendungen oder Agenten über verschiedene Modellanbieter hinweg kontrolliert werden sollen.

Und selbst Desktop-Werkzeuge wie Claude Cowork und Claude Code lassen sich per zentral verteiltem Konfigurationsprofil auf Ihre eigenen, konformen Modell-Endpunkte umleiten – wie das konkret funktioniert, zeigen wir im Beitrag Claude Cowork & Claude Code datenschutzkonform mit CompanyGPT.

Wichtiger Hinweis: Dieser Beitrag ist keine Rechtsberatung und ersetzt sie nicht. Er beschreibt die Prozesse und die bewährte Vorgehensweise nach unserem Kenntnisstand zum Zeitpunkt der letzten Aktualisierung (August 2026). Eine „100 Prozent rechtssichere" oder „automatisch § 203-konforme" Cloud gibt es nicht: Konformität entsteht bei Ihnen aus Vertrag, Konfiguration und Organisation, und die berufsrechtliche Bewertung Ihres konkreten Falls gehört in die Hände Ihrer Rechtsberatung. Vertragsangebote, Formulare, Laufzeiten, Modellkataloge und Programme der Hyperscaler ändern sich regelmäßig. Prüfen Sie insbesondere die jeweils aktuelle Fassung der Zusatzvereinbarungen, den Status der eingesetzten Modelle im Microsoft-Katalog sowie die Verfügbarkeit und Bedingungen des Modified Abuse Monitoring immer zum aktuellen Zeitpunkt. Der Gesetzestext des § 203 StGB ist öffentlich einsehbar.

Sie planen Cloud- oder KI-Workloads mit Daten, die unter das Berufsgeheimnis fallen? innFactory begleitet Sie als indirekter Microsoft-CSP-Partner: Azure Subscription zu Microsoft-Listenpreisen ohne Zuschlag, ohne Einrichtungspauschale, ohne laufende Gebühren und ohne Mindestumsatz, inklusive Zusatzvereinbarung für Berufsgeheimnisträger und Koordination des Modified Abuse Monitoring. Sprechen Sie uns unverbindlich an.