Eine Anwaltskanzlei muss den Datenschutz für jeden Teil ihrer Arbeit organisieren: von der ersten Anfrage über die Mandatsbearbeitung bis zur Rückgabe und Löschung von Unterlagen. Berufsgeheimnis und DSGVO wirken dabei zusammen. Die Verschwiegenheit hebt weder Sicherheitsanforderungen noch Betroffenenrechte pauschal auf. Umgekehrt darf eine Datenschutzanfrage keine geschützten Informationen über andere Mandate offenlegen. Entscheidend sind nachvollziehbare Entscheidungen zu Zwecken, Zugängen, Empfängern und Aufbewahrung.
Dieser Leitfaden beschreibt die Anforderungen nach dem Rechtsstand vom 30. September 2026. Er verbindet die allgemeinen DSGVO-Anforderungen mit den besonderen Regeln für die anwaltliche Tätigkeit. Die vertiefende Darstellung zum anwaltlichen Mandantengeheimnis hilft insbesondere bei der Abgrenzung geschützter Informationen. Praktisch sollte die Kanzlei zunächst feststellen, wer welche Verarbeitung verantwortet und welche Unterlagen tatsächlich erforderlich sind. Eine unterschriebene Datenschutzerklärung ersetzt diese Prüfung nicht.
Mandatsdaten nach Personen und Zwecken unterscheiden
In einer Akte können Informationen über Mandanten, Gegner, Zeugen, Beschäftigte und Angehörige zusammenkommen. Diese Personen haben unterschiedliche Beziehungen zur Kanzlei. Artikel 6 Absatz 1 Buchstabe b DSGVO trägt die für einen Vertrag mit der betroffenen natürlichen Person erforderliche Verarbeitung. Er ist deshalb keine pauschale Grundlage für sämtliche Daten in einem Unternehmensmandat. Informationen über Ansprechpartner, Gegner oder Zeugen benötigen eine passende eigene Einordnung.
Häufig kommt ein berechtigtes Interesse an der Wahrnehmung rechtlicher Interessen in Betracht. Die Kanzlei muss den konkreten Zweck, die Erforderlichkeit und die entgegenstehenden Rechte prüfen. Die Prozessstrategie rechtfertigt keine vorsorgliche Sammlung des gesamten privaten Umfelds. Bei gesetzlichen Pflichten ist festzuhalten, welche Vorschrift welche Daten verlangt. Auch eine erste Konfliktprüfung und die spätere Mandatsbearbeitung sollten als unterschiedliche Zwecke erkennbar bleiben.
Gesundheitsdaten oder Angaben zum Sexualleben fallen unter die besonderen Kategorien des Artikels 9. Zusätzlich zur Grundlage nach Artikel 6 ist eine Ausnahme vom Verarbeitungsverbot erforderlich. Artikel 9 Absatz 2 Buchstabe f erlaubt die erforderliche Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Das erfasst keine beliebige Weiterverwendung für Kanzleimarketing. Daten über strafrechtliche Verurteilungen und Straftaten unterliegen dagegen Artikel 10; die Ausnahme des Artikels 9 ersetzt dessen gesonderte Voraussetzungen und erforderliche gesetzliche Erlaubnis nicht.
Verantwortlichkeit und Verzeichnis im Kanzleialltag
Die anwaltliche Mandatsbearbeitung erfolgt regelmäßig in eigener datenschutzrechtlicher Verantwortung. Dass ein Unternehmen die Kanzlei bezahlt und Unterlagen übergibt, macht sie nicht schon zum Auftragsverarbeiter. Entscheidend ist die tatsächliche Entscheidung über Zwecke und wesentliche Mittel. Bei weiteren Tätigkeiten oder gemeinsamen Angeboten kann eine gesonderte Rollenprüfung notwendig sein. Die Bezeichnung im Rahmenvertrag allein entscheidet diese Frage nicht.
Ein Verzeichnis der Verarbeitungstätigkeiten sollte Mandatsbearbeitung, Personalverwaltung, Abrechnung und Öffentlichkeitsarbeit so beschreiben, dass deren unterschiedliche Regeln sichtbar werden. Artikel 30 verlangt unter anderem Zwecke, Personen- und Datenkategorien, Empfängerkategorien sowie, soweit möglich, Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen. Rechtsgrundlagen und verantwortliche interne Ansprechpartner sind zusätzlich hilfreiche Arbeitsfelder. Das Verzeichnis enthält Beschreibungen der Tätigkeiten, nicht vollständige Mandatsakten oder vertrauliche Prozessstrategien.
Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten gilt nicht uneingeschränkt. Insbesondere Verarbeitungen, die ein Risiko für Rechte und Freiheiten bergen, nicht nur gelegentliche Verarbeitungen sowie Verarbeitungen nach Artikel 9 oder 10 fallen unter die gesetzlichen Rückausnahmen. Eine kleine Kanzlei kann ihre laufende Mandatsbearbeitung daher nicht allein wegen ihrer Größe aus dem Verzeichnis ausklammern. Bei einer neuen Software oder einem neuen Dienstleister müssen die tatsächlich veränderten Abläufe nachgeführt werden.
Bei einer abgelehnten Mandatsanfrage sollte die Kanzlei festlegen, welche Angaben für den Nachweis der Entscheidung oder eine erforderliche Konfliktprüfung verbleiben. Dafür muss nicht dauerhaft das gesamte zunächst eingereichte Dokumentenpaket gespeichert werden. Wer unaufgefordert fremde Unterlagen übersendet, bestimmt dadurch weder den zulässigen Umfang noch die Aufbewahrungsdauer. Eine zuständige Person sollte über Rückgabe, sichere Löschung und einen gegebenenfalls begrenzten Restbestand entscheiden. Das gilt besonders, wenn die Anfrage Gesundheitsdaten oder Informationen über Familienangehörige enthält.
Verschwiegenheit konkret organisieren
Nach § 43a Absatz 2 BRAO erstreckt sich die anwaltliche Verschwiegenheit grundsätzlich auf alles, was in Berufsausübung bekannt wird, mit den dort geregelten Ausnahmen. Beschäftigte sind grundsätzlich in Textform zur Verschwiegenheit zu verpflichten und über die strafrechtlichen Folgen zu belehren; die gesetzlichen Sonderfälle bleiben zu beachten. Die Kanzlei muss außerdem auf die Einhaltung hinwirken. Ein einmal abgelegtes Formular reicht organisatorisch nicht, wenn gemeinsame Laufwerke anschließend sämtliche Akten offenlegen.
Zugriffsgruppen sollten die Bearbeitung und Vertretung ermöglichen und unnötige Einsicht verhindern. Das betrifft auch Auszubildende, Empfang, Buchhaltung und externe Unterstützung. Eine Vertretung braucht einen geregelten Zugang, keine dauerhaft gemeinsam verwendeten Kennwörter. Beim Ausscheiden müssen Konten und Berechtigungen überprüft werden. Für vertrauliche Besprechungen, Ausdrucke und Akten im Homeoffice gelten ebenfalls nachvollziehbare Regeln. Welche Maßnahmen angemessen sind, hängt von den tatsächlichen Risiken und Arbeitswegen ab.
Dienstleister: § 43e BRAO und Artikel 28 gemeinsam prüfen
§ 43e BRAO betrifft den Zugang von Dienstleistern zu geschützten Tatsachen. Zugang darf nur eröffnet werden, soweit er für die Dienstleistung erforderlich ist. Die Auswahl muss sorgfältig erfolgen; ist die Einhaltung der Vorgaben nicht mehr gewährleistet, muss die Zusammenarbeit unverzüglich beendet werden. Technischer Komfort allein erklärt nicht, warum ein Anbieter auf sämtliche Mandate zugreifen können soll.
Der grundsätzlich erforderliche Vertrag in Textform muss die gesetzlich beschriebenen Verpflichtungen abdecken. Dazu gehören Verschwiegenheit mit Belehrung über strafrechtliche Folgen, die Begrenzung der Kenntnisnahme und die Regelung weiterer eingesetzter Personen. Für Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, verlangt Absatz 5 eine Einwilligung des Mandanten. Bei einer Leistung im Ausland ist grundsätzlich ein vergleichbarer Geheimnisschutz erforderlich; die gesetzliche Ausnahme hängt vom konkreten Schutzbedarf ab. Die weiteren Ausnahmen und Verzichtsmöglichkeiten des Paragraphen müssen konkret geprüft werden.
Daneben bleibt nach Absatz 8 das Datenschutzrecht unberührt. Liegt tatsächlich eine Auftragsverarbeitung nach Artikel 28 vor, braucht die Kanzlei den dort vorgesehenen verbindlichen Vertrag oder anderen zulässigen Rechtsakt. Dazu gehören Weisungen, Sicherheitsmaßnahmen, Unterstützung bei Rechten und Vorfällen, Unterauftragsverarbeitung sowie Rückgabe oder Löschung. Ein Vertrag kann beide Regelwerke abdecken, muss deren unterschiedliche Anforderungen aber vollständig enthalten. Eine bloße Vertraulichkeitsklausel ersetzt diesen Inhalt nicht.
Bei Hosting, Fernwartung oder Aktenvernichtung ist die tatsächliche Leistung zu untersuchen. Ein eigenständig beratender Berufsträger ist nicht allein wegen des Datenaustauschs ein Auftragsverarbeiter. Für die Zusammenarbeit mit steuerlichen Beratern erläutert der Leitfaden für Steuerberater vergleichbare Abgrenzungen. Bei Auslandsbezügen kommen gegebenenfalls die Anforderungen des fünften DSGVO-Kapitels hinzu. Ein europäischer Serverstandort beantwortet Fragen nach weiteren Zugängen, Unterauftragnehmern und Übermittlungen noch nicht vollständig.
Handakten: Sechs Jahre beginnen am Jahresende
§ 50 BRAO verlangt Handakten, die ein geordnetes und zutreffendes Bild der Auftragsbearbeitung ermöglichen. Die Aufbewahrungsfrist beträgt sechs Jahre und beginnt mit dem Ablauf des Kalenderjahres, in dem der Auftrag beendet wurde. Endet ein Mandat im März 2026, läuft diese Frist grundsätzlich bis zum Ende des Jahres 2032. Das Mandatsende sollte deshalb als nachvollziehbares Ereignis erfasst werden; das Datum des letzten Dateizugriffs ist kein Ersatz.
Für Dokumente, die aus Anlass der Berufstätigkeit vom Auftraggeber oder für ihn erhalten wurden, regelt Absatz 2 die Herausgabe auf Verlangen und die Verwahrung. Die dortige Ausnahme nach einer erfolglosen Aufforderung zur Abholung und sechsmonatigem Abwarten betrifft diese Verwahrungspflicht. Sie ist keine pauschale Abkürzung sämtlicher Aufbewahrungspflichten. Auch die Ausnahmen für bestimmte Korrespondenz und bereits erhaltene Dokumente müssen dem richtigen Absatz zugeordnet werden. Die Regeln gelten entsprechend für elektronische Akten; andere gesetzliche Pflichten bleiben bestehen.
Die Kanzlei sollte deshalb zwischen geordneter Handakte, zurückzugebenden Originalen, Abrechnungsunterlagen und bloßen Arbeitskopien unterscheiden. Mehrfache Downloads eines Schriftsatzes auf lokalen Geräten werden nicht allein dadurch für sechs Jahre erforderlich, dass das Dokument zur Handakte gehört. Bei einer Rückgabe ist festzuhalten, welche Unterlagen übergeben wurden und welche rechtmäßig benötigten Bestandteile verbleiben. Das verhindert später unnötige Vollkopien aus bloßer Unsicherheit.
Steuerunterlagen und konkrete Rechtsstreitigkeiten gesondert behandeln
Die alte pauschale Aussage „Buchungsbelege zehn Jahre“ entspricht nicht der allgemeinen aktuellen Regel des § 147 AO. Die Vorschrift unterscheidet insbesondere zehnjährige Fristen für bestimmte Bücher und Abschlussunterlagen, acht Jahre für Buchungsbelege und sechs Jahre für andere dort erfasste Unterlagen. Der Beginn hängt vom jeweiligen gesetzlichen Ereignis ab, etwa der Entstehung des Belegs oder dem Empfang eines Geschäftsbriefs, jeweils zum Kalenderjahresende. Steuerliche Besonderheiten können das Fristende beeinflussen.
Daraus folgt keine achtjährige Speicherung jeder Mandatsakte. Die Kanzlei muss bestimmen, welcher Datensatz welcher Pflicht unterliegt. Ebenso rechtfertigt ein möglicher Haftungsfall nicht automatisch eine unbegrenzte Gesamtkopie. Für eine konkrete Anspruchsabwehr sind Zweck, benötigte Unterlagen, Zugriffsberechtigte und nächste Prüfung zu dokumentieren. Die Verjährung hängt unter anderem von Anspruchsart, Entstehung und Kenntnis ab; ein einheitlicher Aufschlag auf alle Akten bildet das nicht zuverlässig ab.
Ein Löschkonzept verbindet diese Ereignisse mit der Speicherbegrenzung. Nach Ablauf der tragenden Zwecke und Pflichten werden Daten gelöscht, sofern keine weitere begründete Ausnahme besteht. Für einen laufenden Streit gesperrte Unterlagen sollten aus gewöhnlichen Arbeits- und Werbeabläufen herausgenommen werden. Backups brauchen begrenzte Zyklen und ein Verfahren, das nach einer Wiederherstellung bereits veranlasste Löschungen erneut berücksichtigt. Ein technisch schwer löschbares Archiv ist keine zusätzliche Rechtsgrundlage.
Auskunft ohne pauschale Geheimnisverweigerung
Eine Anfrage nach Artikel 15 DSGVO muss zunächst der richtigen Person und den betroffenen Verarbeitungen zugeordnet werden. Bei begründeten Identitätszweifeln dürfen erforderliche zusätzliche Angaben verlangt werden. Eine vollständige Ausweiskopie ist dafür kein automatischer Standard. Die Kanzlei sollte die Anfrage intern so weitergeben, dass weder Fristen verloren gehen noch unbeteiligte Mitarbeiter unnötig Mandatsinhalte erhalten.
§ 29 Absatz 1 BDSG begrenzt die Auskunft, soweit dadurch gesetzlich oder ihrem Wesen nach geheim zu haltende Informationen offenbart würden, insbesondere wegen überwiegender berechtigter Interessen Dritter. Das verlangt eine Prüfung der konkreten Informationen. Ein Gegner verliert seine Rechte nicht allein wegen seiner Prozessrolle. Ebenso sind interne rechtliche Bewertungen nicht schon aufgrund ihrer Bezeichnung vollständig vom Datenschutz ausgenommen. Teilantworten, Schwärzungen und eine verständliche Darstellung können Rechte und Verschwiegenheit zusammenführen.
Die Antwort erfolgt grundsätzlich innerhalb eines Monats nach Eingang. Bei erforderlicher Verlängerung wegen Komplexität oder Anzahl der Anträge sind höchstens zwei weitere Monate möglich; die Mitteilung mit Gründen muss innerhalb des ersten Monats erfolgen. Bei Untätigkeit oder Ablehnung sind innerhalb eines Monats Gründe sowie Beschwerde- und gerichtliche Rechtsschutzmöglichkeiten mitzuteilen. Die Begründung darf ihrerseits keine geschützten Informationen verraten. Gesetzliche Ausnahmen von Informationspflichten sind getrennt vom Auskunftsrecht zu prüfen.
Auch das Recht auf Löschung gilt mit seinen Ausnahmen, etwa für erforderliche gesetzliche Aufbewahrung oder Rechtsansprüche. Ein Antrag kann deshalb zur Löschung von Arbeitskopien führen, während bestimmte Aktenbestandteile rechtmäßig verbleiben. Die Antwort sollte diese Unterschiede erklären. Betroffene behalten das Beschwerderecht; mögliche Schadensersatzansprüche erfordern neben einem Verstoß einen Schaden und den ursächlichen Zusammenhang.
Datenschutzbeauftragter und Folgenabschätzung
Nach § 38 BDSG ist grundsätzlich ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit automatisierter personenbezogener Verarbeitung beschäftigt sind. Maßgeblich ist die gesetzliche Tätigkeit, nicht allein die Zahl angestellter Rechtsanwälte. Zusätzlich gelten die Voraussetzungen des Artikels 37 DSGVO, etwa eine Kerntätigkeit mit umfangreicher Verarbeitung besonderer Kategorien oder strafrechtlicher Daten. Eine einzelne sensible Akte macht diese Umfangsvoraussetzung noch nicht automatisch wahr.
Unabhängig von der Personenzahl greift § 38 unter anderem bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach Artikel 35 unterliegen. Ob eine solche Folgenabschätzung erforderlich ist, richtet sich nach dem voraussichtlich hohen Risiko und den weiteren einschlägigen Voraussetzungen. Eine neue umfangreiche Auswertung vieler Mandate kann anders zu beurteilen sein als die gewöhnliche Bearbeitung einer einzelnen Akte. Die Prüfung sollte vor Einführung abgeschlossen werden. Die benannte Person braucht Fachkunde, Unabhängigkeit und ausreichende Ressourcen; der Datenschutzbeauftragte übernimmt nicht die Leitungsverantwortung der Kanzlei.
Sicherheit und Vorfälle als Arbeitsabläufe vorbereiten
Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Für Kanzleien sind getrennte Zugänge, geeignete Verschlüsselung, abgesicherte Fernzugriffe, zeitnahe Behandlung von Schwachstellen und überprüfte Wiederherstellungsmöglichkeiten regelmäßig wichtige Maßnahmen. Ihre konkrete Ausgestaltung muss zur Verarbeitung passen. Empfängerprüfung vor dem Versand und sichere Übermittlung von Zugangsdaten verhindern Fehler, die auch eine verschlüsselte Verbindung nicht behebt. Die Wirksamkeit der Maßnahmen ist regelmäßig zu überprüfen und zu bewerten.
Ein Fehlversand, ein kompromittiertes Postfach oder ein Ausfall mit Datenverlust muss sofort intern bewertet werden. Eine Datenschutzverletzung kann Vertraulichkeit, Integrität oder Verfügbarkeit betreffen. Die Meldung nach Artikel 33 ist grundsätzlich erforderlich, außer die Verletzung führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten. Sie erfolgt unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden; Verzögerungen sind zu begründen. Fehlende Einzelheiten können nach den gesetzlichen Bedingungen schrittweise ergänzt werden.
Alle Datenschutzverletzungen sind zu dokumentieren, auch wenn keine Meldung erfolgt. Bei voraussichtlich hohem Risiko kommt zusätzlich die unverzügliche Benachrichtigung betroffener Personen nach Artikel 34 in Betracht. § 29 Absatz 1 BDSG enthält eine besondere Abwägung bei geheimhaltungsbedürftigen Informationen; überwiegen die Interessen der Betroffenen, insbesondere angesichts drohender Schäden, muss dennoch benachrichtigt werden. Die Verschwiegenheit ist daher kein pauschaler Grund, Vorfälle zu verbergen. Ein vorbereiteter Ablauf zum Melden von Datenpannen sollte Zuständigkeiten und erreichbare Vertretungen festlegen.
Für die Vorbereitung empfiehlt sich ein kurzer gemeinsamer Durchlauf mit der Vertretung: Wer erkennt einen Fehlversand, wer stoppt weitere Offenlegungen und wer entscheidet über die Meldung? Dabei sollte die Kanzlei prüfen, ob sie Zeitpunkt, betroffene Personen, mögliche Folgen und ergriffene Maßnahmen zuverlässig zusammentragen kann. Ein Rückruf beim falschen Empfänger kann helfen, ersetzt aber keine Bewertung des bereits entstandenen Risikos. Die Dokumentation sollte erklären, auf welche Tatsachen sich die Entscheidung stützt und welche Unsicherheiten verbleiben. Wird später bekannt, dass eine Datei weitergegeben wurde, muss die frühere Bewertung überprüft werden. Solche Übungen sind eine praktische Empfehlung; eine gesetzlich einheitliche jährliche Übungsfrist für jede Kanzlei folgt daraus nicht.
Kontrolle und nachvollziehbare Werkzeugauswahl
Artikel 90 DSGVO erlaubt bestimmte nationale Regeln für Berufsgeheimnisträger. § 29 Absatz 3 BDSG beschränkt die Untersuchungsbefugnisse nach Artikel 58 Absatz 1 Buchstaben e und f nur insoweit, wie ihre Ausübung gegen die Geheimhaltungspflicht verstieße. Daraus folgt keine allgemeine Befreiung von Aufsicht. Eine Kanzlei sollte ihre organisatorischen Nachweise bereitstellen können und konkret begründen, welche verlangten Informationen geschützt sind. Eine vollständige Aktenverweigerung ohne Prüfung kann diese Abgrenzung nicht ersetzen.
Bei der Auswahl von DSGVO-Software für Kanzleien helfen konkrete Arbeitsfälle: Lässt sich ein Zugriff entziehen, eine Frist begründet aussetzen und eine Löschung nachvollziehbar durchführen? Kann die Kanzlei Unterlagen exportieren, ohne unnötig weitere Mandate offenzulegen? Solche überprüfbaren Anforderungen verbinden die rechtlichen Entscheidungen mit dem täglichen Betrieb. Die Verantwortung für ihre sachliche Richtigkeit bleibt bei der Kanzlei.