Datenschutz in der Kanzlei: Pflichten für Rechtsanwälte nach der DSGVO

Kurze Zusammenfassung

Kurz gesagt: Auch für Rechtsanwälte und Anwaltskanzleien gilt die DSGVO. Beim Datenschutz in der Kanzlei müssen personenbezogene Daten rechtmäßig verarbeitet, angemessen geschützt und die Verarbeitung nachvollziehbar dokumentiert werden. Zusätzlich müssen Rechtsanwälte die anwaltliche Verschwiegenheit wahren. Diese Punkte gehören zum Kanzlei-Datenschutz:

• Datenschutzbeauftragter: Eine Benennung ist unter anderem erforderlich, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Weitere gesetzliche Voraussetzungen können eine Benennung auch unabhängig von dieser Schwelle erforderlich machen (§ 38 BDSG, Art. 37 DSGVO).
• Dokumentation: Dazu gehören insbesondere das Verzeichnis von Verarbeitungstätigkeiten, geeignete technische und organisatorische Maßnahmen sowie ein Löschkonzept.
• IT-Sicherheit: Zugriffsschutz, Verschlüsselung und eine sichere Kommunikation mit Mandanten sind wichtige Bestandteile des Schutzes personenbezogener Daten.
• Kanzleisoftware: Prüfen Sie, welche datenschutzrechtliche Rolle der Anbieter übernimmt, ob ein Auftragsverarbeitungsvertrag erforderlich ist und wo Daten gehostet werden. Auch mögliche Drittlandübermittlungen sollten geprüft werden.
• Website: Die Kanzlei benötigt die erforderlichen Datenschutzinformationen für die Verarbeitung personenbezogener Daten über ihre Website.

Für Steuerberatungen gelten ähnliche Datenschutzanforderungen. Mehr dazu im Beitrag Datenschutz bei Steuerberatern.

Benötigt eine Kanzlei einen Datenschutzbeauftragten?

Grundsätzlich muss immer dann ein Datenschutzbeauftragter bestellt werden, sobald  gem. § 38 Abs. 1 BDSG zwanzig Personen ständig mit der Verarbeitung von personenbezogenen Daten beschäftigt sind. Darüber hinaus besteht ebenfalls eine Pflicht zur Bestellung gem. Art. 37 Abs. 1 DSGVO, falls die Kerntätigkeit die Verarbeitung besonderer Kategorien personenbezogener Daten gem. Art. 9 DSGVO oder von personenbezogenen Daten über Straftaten gem. Art. 10 DSGVO ist. In Kanzleien werden grundsätzlich Daten von Mandanten und daher häufig von natürlichen Personen verarbeitet, diese können auch besondere Kategorien oder Daten über Straftaten beinhalten und somit eine Pflicht zur Bestellung eines Datenschutzbeauftragten begründen. Des Weiteren muss ein Datenschutzbeauftragter bestellt werden, wenn die Verarbeitung durch eine öffentliche Stelle durchgeführt wird: Bei Notaren handelt es sich um solche öffentliche Stellen der Länder. Notare müssen daher einen Datenschutzbeauftragten benennen gem. Art. 37 Abs. 1 DSGVO. 

Wer als Kanzleiinhaber oder Partner selbst über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet, kann in der Regel nicht zugleich Datenschutzbeauftragter sein, wenn dadurch ein Interessenkonflikt entsteht. Denn der Datenschutzbeauftragte muss die Einhaltung der Datenschutzvorgaben unabhängig überwachen können (Art. 38 Abs. 6 DSGVO). Kanzleien sollten deshalb mögliche Interessenkonflikte sorgfältig prüfen und können bei Bedarf einen externen Datenschutzbeauftragten benennen. Mehr zu möglichen Interessenkonflikten steht im Beitrag Anwalt als Datenschutzbeauftragter.

Datenschutzanforderungen an die Kanzlei: Welche DSGVO-Pflichten gelten für Rechtsanwälte?

Neben der Pflicht der Bestellung eines Datenschutzbeauftragten muss eine Kanzlei weitere Anforderungen der DSGVO erfüllen. Als Orientierung können hier die Grundsätze für die Verarbeitung von personenbezogenen Daten herangezogen werden. So müssen Kanzleien beispielsweise gem. Art. 5 Abs. 2 DSGVO aufgrund der Rechenschaftspflicht einer ausführlichen Dokumentation nachkommen. Hierzu zählen u.a. die Führung eines Verzeichnisses von Verarbeitungstätigkeiten, Dokumentation von Datenschutz-Folgenabschätzungen (DSFA) und Datenpannen sowie die Führung eines Löschkonzeptes und Berechtigungskonzeptes. Kanzleien müssen ferner der Transparenzpflicht gem. Art. 5 Abs. 1 lit. a) DSGVO gerecht werden und ihre Informationspflichten wahrnehmen. So müssen Maßnahmen ergriffen werden, die eine präzise, transparente und leicht zugängliche Information über die Verarbeitung ermöglicht. Informiert werden muss beispielsweise über Namen und Kontaktdaten des Kanzleiinhabers, die Zwecke und Rechtsgrundlagen der Verarbeitungen, Empfänger der Daten, Dauer der Speicherung der Daten und über die Betroffenenrechte gem. Art. 12 ff. DSGVO. Die Informationspflicht kann jedoch eingeschränkt werden, wenn es sich um einen Berufsgeheimnisträger, wie einen Rechtsanwalt handelt und die Informationen aufgrund des Berufsgeheimnisses schützenswerter sind als die Wahrung des Informationsinteresses. So müssen diese schützenswerten Informationen beispielsweise nicht an eine Aufsichtsbehörde übermittelt werden, falls die Interessen der betroffenen Person an der Informationserteilung überwiegt vgl. § 29 Bundesdatenschutzgesetz (BDSG).

Der Grundsatz der Integrität und Vertraulichkeit gem. Art. 5 Abs. 1 lit. f) DSGVO fordert zudem eine ausreichende Sicherheit der Verarbeitungen. Hierzu muss die Kanzlei technische und organisatorische Maßnahmen (TOM) gem. Art. 25 und 32 DSGVO ergreifen, um das Risiko eines unbefugten Zugriffs oder Verlusts der Daten zu verringern. Insbesondere Maßnahmen wie regelmäßige Updates von Software- und Virenprogrammen, Nutzung von Sicherheitssoftware und ausreichende Verschlüsselung von Mandantendaten sollten hierzu ergriffen werden. Eine besondere Rolle spielt in diesem Zusammenhang der Austausch und die Kommunikation mit Mandanten: Es müssen sichere Verschlüsselungsmechanismen für die Kommunikation verwendet werden, wie z.B. die Korrespondenz mittels verschlüsselten E-Mails.

Datenmanagement in der Kanzlei: Mandantendaten verwalten, aufbewahren und löschen

Zum Datenmanagement in der Kanzlei gehört, dass Mandantendaten nur für den Zweck verarbeitet werden, für den sie erhoben wurden, und dass nur Personen Zugriff haben, die sie für die Bearbeitung brauchen. Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) schafft den Überblick, welche Daten wo liegen. Aufbewahrungsfristen, etwa für Handakten (§ 50 BRAO), und das Löschen nach Fristablauf sollten in einem Löschkonzept geregelt sein.

Datenschutzerklärung der Kanzlei-Website: Was Rechtsanwälte prüfen sollten

Auch die Website einer Anwaltskanzlei verarbeitet personenbezogene Daten, zum Beispiel über das Kontaktformular, Server-Logfiles, Analyse- oder Kartendienste. Deshalb braucht jede Kanzlei eine vollständige Datenschutzerklärung nach Art. 13 DSGVO. Bei der Prüfung der Datenschutzerklärung sollte die Kanzlei kontrollieren, ob alle eingebundenen Dienste genannt sind, ob Rechtsgrundlagen und Speicherdauer stimmen und ob dort, wo es nötig ist, eine Einwilligung eingeholt wird. Eine Anleitung steht im Beitrag Datenschutzerklärung erstellen.

IT-Sicherheit in der Kanzlei: Welche IT-Pflichten gelten?

Welche IT-Pflichten eine Kanzlei hat, ergibt sich vor allem aus Art. 32 DSGVO und der anwaltlichen Verschwiegenheit: Mandantendaten müssen durch geeignete technische und organisatorische Maßnahmen geschützt werden. Dazu gehören Zugriffsschutz mit Rechten und Rollen, Verschlüsselung von Geräten und Datenträgern, Updates, Datensicherung und eine sichere E-Mail-Kommunikation. Beim elektronischen Rechtsverkehr über das beA ist die Verschlüsselung Teil des Systems. Bei E-Mails an Mandanten muss die Kanzlei selbst für geeigneten Schutz sorgen, zum Beispiel durch Transport- oder Ende-zu-Ende-Verschlüsselung. Cybersicherheit für Kanzleien ist damit auch Datenschutz: Kommt es zu einer Datenpanne, muss sie bei einem Risiko für die Betroffenen in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO).

KI-Tools in der Kanzlei: Was ist zu beachten?

Setzt eine Kanzlei KI-Tools für Recherche, Schriftsätze oder die Mandatsbearbeitung ein, gelten dieselben Maßstäbe wie bei jeder anderen Software: Es braucht einen Auftragsverarbeitungsvertrag, Klarheit über Speicherort und Drittlandtransfer und die Sicherheit, dass Mandantendaten nicht zum Training fremder Modelle verwendet werden. Die Regeln für die Nutzung gehören in eine interne KI-Richtlinie.

Datenschutz bei Rechtsanwälten: Freie Mitarbeit in der Kanzlei

Damit die Umsetzung der DSGVO von der gesamten Kanzlei sichergestellt wird, müssen auch die Mitarbeitenden geschult, sensibilisiert und zur Einhaltung verpflichtet werden. Es stellt sich jedoch die Frage, wie das Verhältnis zu freien Mitarbeitern zu beurteilen ist. Insbesondere Rechtsanwälte bevorzugen die Form der freien Mitarbeit. Rechtsanwälte sind freie Mitarbeiter, wenn sie eine umfangreiche Handlungsbefugnis besitzen und die Möglichkeit haben, Mandate selbstständig zu suchen und auch abzulehnen. Außerdem muss ein Rechtsanwalt als freier Mitarbeiter der Kanzlei nicht seine gesamte Arbeitskraft zur Verfügung stellen und kann seine Bürozeiten selbstständig einteilen. Freie Mitarbeiter gehören zu den arbeitnehmerähnlichen Personen und sind gem. § 26 Abs. 8 Nr. 6 BDSG ebenfalls auf das Datengeheimnis zu verpflichten. Trotz der freien Handlungskompetenz müssen sich auch Rechtsanwälte, die als freie Mitarbeiter in der Kanzlei arbeiten, für die Umsetzung der DSGVO verpflichtet. Art. 29 DSGVO gilt hierfür als zentrale “Freelancer”- Norm und besagt, dass alle der Verantwortlichen unterstellten Person, die Zugang zu personenbezogenen Daten haben, diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten dürfen. Die freien Mitarbeiter werden hierdurch also in ihrer umfangreichen Handlungsbefugnis eingeschränkt und müssen sich an die Vorgaben der Kanzlei im Hinblick auf die Datenverarbeitungen halten. 

Kanzleisoftware und DSGVO: Datenschutzkonforme Softwarelösungen in der Kanzlei

Eine weitere datenschutzrechtliche Frage ergibt sich aus der Nutzung von Softwarelösungen in Kanzleien. Auch hier muss auf die Einhaltung der DSGVO geachtet werden, was nicht immer ganz einfach ist. Bereits die Auswahl, welche Software genutzt werden soll, hat Auswirkungen auf die Einhaltung des Datenschutzes in der Kanzlei. Befinden sich die Server der Cloud-Software beispielsweise in einem Drittstaat, also außerhalb der Europäischen Union, müssen wesentlich mehr Regelungen eingehalten werden als eine Software, dessen Daten nicht in Drittstaaten übermittelt werden. Darüber hinaus ist in gewissen Konstellationen eine Datenschutz-Folgenabschätzung (DSFA) gem. Art. 35 DSGVO durchzuführen, wenn Softwarelösungen genutzt werden, um personenbezogene Daten zu verarbeiten. Dies ergibt sich daraus, dass die Verwendung einer neuen Technologie, ein großer Umfang von personenbezogenen Daten und die Zwecke der Verarbeitung zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben können. Zunächst müsste festgestellt werden, ob überhaupt eine DSFA relevant ist. Diese Relevanz wird in einer sog. Relevanzprüfung festgestellt. Grundsätzlich besteht die Pflicht eine DSFA durchzuführen, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Freiheiten und Rechte der natürlichen Person hat. Ein hohes Risiko ist beispielsweise immer gegeben, wenn personenbezogene Daten in ein Drittland, ohne Angemessenheitsbeschluss, übermittelt werden. Drittländer gelten nur als sichere Drittstaaten, wenn ein Angemessenheitsbeschluss vorliegt und weitere Vorgabe der DSGVO berücksichtigt worden sind. Sodann muss für die Nutzung von Softwarelösungen aus nicht sicheren Drittstaaten geeignete Garantien gem. Art. 46 DSGVO vorliegend sein. Es empfiehlt sich daher eine Software zu wählen, die nicht von Drittanbietern stammt und ihre Server in der Europäischen Union betreibt. Insbesondere die Lösungen von RA-MICRO, wie z.B. vOffice oder die WebAkte, gehören in diesem Zusammenhang zu den datenschutzfreundlichen Alternativen.

Bei der Wahl der Kanzleisoftware entscheidet die Kanzlei, wo Mandantendaten liegen und wer darauf zugreifen kann. Das gilt für klassische Software ebenso wie für Cloudsoftware für Kanzleien, Anwälte und Notare. Vor dem Einsatz sollten diese Punkte geklärt sein:

Datenschutz-Checkliste für Kanzleien und Rechtsanwälte

1. Um die Anforderungen der DSGVO strukturiert und vollumfänglich nachkommen zu können, sollte ein Datenschutzmanagementsystem (DSMS) aufgebaut werden. Das DSMS der Keyed GmbH eignet sich perfekt für Konzerne, Unternehmensgruppen aber auch für mittelständische Unternehmen, sowie für Kanzleien. Auch die DSFA kann durch das DSMS automatisiert und strukturiert dokumentiert werden, was Sicherheit bietet und wertvolle Zeit sparen kann. 
2. Die Bestellung des Datenschutzbeauftragten sollte ebenfalls zügig geschehen. Auch hier müssen die Vorgaben der DSGVO eingehalten werden. Eine wirksame Bestellung bedarf daher einer von der Geschäftsleitung unterzeichneten Bestellungsurkunde. Diese Urkunde muss genaue Informationen darüber enthalten, welche Person die Tätigkeit des Datenschutzbeauftragten übernimmt. Ein Datenschutzbeauftragter kann intern und extern bestellt werden. Lesen Sie hier, welche Vorteile die Bestellung eines externen Datenschutzbeauftragten mit sich bringt. 
3. Verzeichnis von Verarbeitungstätigkeiten führen. Alle Verarbeitungen mit Zweck, Datenkategorien, Empfängern und Löschfristen dokumentieren.
4. Technische und organisatorische Maßnahmen festlegen. Zugriffsschutz, Verschlüsselung, Datensicherung und sichere E-Mail-Kommunikation regeln und dokumentieren.
5. Die umfangreiche Betreuung der Mandanten wird häufig nicht nur durch die Kanzlei selbst vorgenommen. Stattdessen werden verschiedene Dienstleister mit der Verarbeitung personenbezogener Daten der Kanzlei weisungsgebunden beauftragt. Bei den Beauftragten handelt es sich in der Regel um Auftragsverarbeiter. Zwischen dem Auftragsverarbeiter und dem Verantwortlichen muss dann gem. Art. 28 DSGVO ein Auftragsverarbeitungsvertrag abgeschlossen werden
6. Zuletzt sollten Systeme erarbeitet werden, die eine regelkonforme Umsetzung der Informationspflicht ermöglichen. Bereits bei der Erhebung personenbezogener Daten bedarf es einer ausführlichen Informationspflicht nach den Vorgaben der Art. 12 ff. DSGVO. Diese Informationspflicht wird jedoch für Berufsgeheimnisträger gem. § 29 BDSG eingeschränkt.
7. Löschkonzept und Aufbewahrungsfristen festlegen. Fristen für Handakten und Mandantendaten klären und das Löschen organisieren.
8. Mitarbeitende und freie Mitarbeiter verpflichten und schulen. Verschwiegenheit und Datengeheimnis regeln und festlegen, wie bei einer Datenpanne vorzugehen ist.

FAQ

Gilt die DSGVO auch für Rechtsanwälte?

Ja. Rechtsanwälte und Kanzleien verarbeiten personenbezogene Daten von Mandanten, Mitarbeitenden und Gegenseiten und müssen die DSGVO einhalten. Zusätzlich gilt die anwaltliche Verschwiegenheit, die den Schutz der Daten zusätzlich verschärfen kann.

Braucht eine Kanzlei einen Datenschutzbeauftragten?

Ja, wenn ständig mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Besteht eine Pflicht zur Datenschutz-Folgenabschätzung, ist unabhängig von der Personenzahl ein Datenschutzbeauftragter zu benennen. Kleinere Kanzleien können freiwillig einen benennen, zum Beispiel einen externen Datenschutzbeauftragten.

Welche IT-Pflichten hat eine Kanzlei?

Die Kanzlei muss Mandantendaten durch geeignete technische und organisatorische Maßnahmen schützen (Art. 32 DSGVO). Dazu gehören Zugriffsschutz, Verschlüsselung, Updates, Datensicherung und eine sichere E-Mail-Kommunikation.

Darf eine Kanzlei Cloudsoftware nutzen?

Ja, wenn ein Auftragsverarbeitungsvertrag abgeschlossen ist, der Anbieter sorgfältig ausgewählt wurde und die Verschwiegenheit sichergestellt ist (Art. 28 DSGVO, § 203 StGB, § 43e BRAO). Ein Serverstandort in der EU erleichtert die Prüfung.

Wie lange müssen Kanzleien Mandantendaten aufbewahren?

Für Handakten gilt nach § 50 BRAO in der Regel eine Aufbewahrungsfrist von sechs Jahren nach Beendigung des Auftrags. Danach sind die Daten zu löschen, sofern keine anderen Aufbewahrungspflichten bestehen.

Muss eine Kanzlei ein Verzeichnis von Verarbeitungstätigkeiten führen?

In der Regel ja, weil Kanzleien Mandantendaten nicht nur gelegentlich verarbeiten (Art. 30 DSGVO). Das Verzeichnis dokumentiert Zwecke, Datenkategorien, Empfänger und Löschfristen.

Dürfen Kanzleien KI-Tools einsetzen?

Ja, unter denselben Voraussetzungen wie bei anderer Software: Auftragsverarbeitungsvertrag, geklärter Speicherort, keine Nutzung von Mandantendaten zum Training und eine interne KI-Richtlinie.