DSGVO Anwaltskanzlei 2026: Pflichten + Fristen + Bußgelder

In einem Satz. Eine Anwaltskanzlei wird DSGVO-konform, indem sie das Mandatsgeheimnis (§ 43a Abs. 2 BRAO, § 203 StGB) mit den DSGVO-Pflichten verzahnt, die Sonderregeln für Berufsgeheimnisträger nach § 43e BRAO und Art. 90 DSGVO nutzt, Auftragsverarbeiter (§ 43e BRAO) sauber verpflichtet, das Art.-30-Verzeichnis führt und Handakten entlang der Aufbewahrungsfristen kontrolliert löscht.

Was muss eine Anwaltskanzlei für DSGVO-Konformität tun? Die Kanzlei verarbeitet hochsensible Mandantendaten - oft besondere Kategorien nach Art. 9 (Gesundheit, Straftaten, Weltanschauung). Konformität heißt: das anwaltliche Berufsrecht als vorrangigen Schutzrahmen erkennen, Auftragsverarbeitung nach dem für Anwälte maßgeschneiderten § 43e BRAO gestalten, Betroffenenrechte im Rahmen der Verschwiegenheit bedienen und ein belastbares Fristen- und Löschkonzept betreiben. Dieser Leitfaden ergänzt unseren Beitrag zum anwaltlichen Mandantengeheimnis. Grundlagen: DSGVO Anforderungen.

Wichtige Punkte

• Mandatsgeheimnis und DSGVO ergänzen sich; das Berufsrecht geht in Konfliktfällen vor (Art. 90 DSGVO).
• § 43e BRAO regelt die Auftragsverarbeitung speziell für Rechtsanwälte.
• Auskunftsrecht Dritter ist durch das Mandatsgeheimnis begrenzt.
• DSB-Pflicht ab 20 Personen mit automatisierter Verarbeitung (§ 38 BDSG).
• Handakten: 6-Jahres-Frist nach § 50 BRAO als Ankerpunkt fürs Löschen.

1. Welche Daten die Kanzlei verarbeitet

Anwaltskanzleien verarbeitet Mandanten- und Gegnerdaten, Zeugendaten, oft besondere Kategorien nach Art. 9 DSGVO: Gesundheitsdaten (Medizinrecht, Personenschäden), Daten über strafrechtliche Verurteilungen (Art. 10), Weltanschauung oder Sexualleben (Familien-, Asyl-, Arbeitsrecht). Die Sensibilität ist strukturell höher als in fast jeder anderen Branche - das prägt das Schutzniveau.

2. Rechtsgrundlagen pro Verarbeitung

Verarbeitung	Rechtsgrundlage
Mandatsbearbeitung	Art. 6 Abs. 1 lit. b
Gegner- und Zeugendaten	Art. 6 Abs. 1 lit. f
Besondere Kategorien (Gesundheit etc.)	Art. 9 Abs. 2 lit. f (Rechtsansprüche)
Strafrechtliche Daten	Art. 10 i.V.m. berufsrechtlicher Befugnis
Honorarabrechnung / Buchhaltung	Art. 6 Abs. 1 lit. c
Kanzlei-Mitarbeiter	§ 26 BDSG
Mandantengewinnung / Newsletter	Art. 6 Abs. 1 lit. a

Für die Verarbeitung von Gegner- und Zeugendaten ist das berechtigte Interesse an der Mandatsführung die tragende Grundlage.

3. Mandatsgeheimnis und die Vorrangregel des Art. 90 DSGVO

Das anwaltliche Verschwiegenheitsgebot (§ 43a Abs. 2 BRAO, § 203 StGB) ist eine gesetzlich normierte Geheimhaltungspflicht. Art. 90 DSGVO erlaubt den Mitgliedstaaten, für Berufsgeheimnisträger die Befugnisse der Aufsichtsbehörde einzuschränken - Deutschland hat das in § 29 Abs. 3 BDSG umgesetzt: Die Aufsichtsbehörde darf keinen Einblick in Mandatsakten nehmen, soweit die Verschwiegenheit reicht. Das Berufsrecht ist damit nicht Hindernis, sondern Schutzschild. Anwälte können sich zudem auf ein Zeugnisverweigerungsrecht berufen.

4. Auskunftsrecht und seine Grenzen

Ein Mandant hat Auskunftsanspruch über seine Daten (Art. 15 DSGVO). Anfragen des Gegners oder Dritter über bei der Kanzlei gespeicherte Daten sind aber durch das Mandatsgeheimnis begrenzt: Die Kanzlei muss und darf keine Auskunft erteilen, die Mandatsinterna preisgäbe. Auch der Auskunftsanspruch des eigenen Mandanten reicht nicht in Arbeitsprodukte und interne rechtliche Bewertungen, soweit Rechte Dritter oder die Verschwiegenheit gegenüber Dritten betroffen sind.

5. § 43e BRAO - Auftragsverarbeitung für Anwälte

Die Auslagerung von Datenverarbeitung an Dritte (Cloud, IT-Wartung, Schreibbüro, Aktenvernichtung) regelt für Anwälte speziell § 43e BRAO: Der Dienstleister ist zur Verschwiegenheit zu verpflichten, die Weitergabe muss erforderlich sein, und der Mandant ist grundsätzlich informiert. Der AVV nach Art. 28 DSGVO wird durch die berufsrechtlichen Anforderungen des § 43e BRAO ergänzt - beides gehört in den Vertrag. Typische Auftragsverarbeiter: RA-Micro/DATEV-Kanzleisoftware-Hosting, Cloud-Backup, beA-Umfeld-Dienstleister, Aktenvernichter.

6. Aufbewahrungsfristen

Datenart	Frist	Grundlage
Handakten	6 Jahre nach Mandatsende	§ 50 Abs. 1 BRAO
Buchungsbelege, Honorarabrechnung	10 Jahre	§ 147 AO, § 257 HGB
Handels- und Geschäftsbriefe	6 Jahre	§ 257 HGB
Verjährungsrelevante Haftungsunterlagen	bis Ablauf Verjährung (bis 3+ Jahre)	§ 195 BGB
Bewerberdaten	6 Monate nach Absage	AGG-Klagefrist

Die 6-Jahres-Frist des § 50 BRAO ist der zentrale Ankerpunkt: Nach Ablauf sind Handakten zu vernichten, soweit keine steuerliche oder haftungsrechtliche Aufbewahrung greift. Grundsatz: Speicherbegrenzung.

7. TOM und beA

Wegen der Datensensibilität sind hohe Maßnahmen nach Art. 32 DSGVO angezeigt: Ende-zu-Ende-verschlüsselte Kommunikation über das besondere elektronische Anwaltspostfach (beA), verschlüsselte Datenträger, rollenbasierte Zugriffsrechte, Zwei-Faktor-Authentifizierung, verschlossene Aktenschränke, sichere Aktenvernichtung nach DIN 66399. Für sensible Mandate empfiehlt sich strikte Zugriffstrennung, damit nicht jeder Mitarbeiter jedes Mandat einsehen kann.

8. Echte Bußgelder - was den Sektor betrifft

Öffentlich bekannte DSGVO-Bußgelder gegen Anwaltskanzleien sind selten, auch weil das Berufsgeheimnis die behördliche Einsicht begrenzt. Aussagekräftig sind Fälle aus vergleichbar datensensiblen Umfeldern:

Jahr	Behörde	Fall (Sektor)	Sanktion	Lehre für Kanzleien
2020	LfDI BW	AOK Baden-Württemberg	1.240.000 €	keine Zweckentfremdung sensibler Daten
2019	BfDI	1&1 Telecom	9.550.000 €	Identitätsprüfung vor Auskunft
2019	BlnBDI	Deutsche Wohnen	14.500.000 €	Löschfristen konsequent umsetzen

Für Kanzleien besonders lehrreich: der telefonische Auskunftsfall (1&1) - Identität vor jeder Auskunft prüfen - und die Löschdisziplin (Deutsche Wohnen), die bei Altakten oft fehlt.

9. Häufige Fehler

• Kein AVV mit Kanzleisoftware-Hoster und Aktenvernichter.
• Gegner-Auskunftsersuchen werden ohne Prüfung des Mandatsgeheimnisses beantwortet oder abgelehnt.
• Sammel-E-Mails an Mandanten mit offenem Verteiler.
• Alle Mitarbeiter haben Zugriff auf alle Mandate.
• Handakten werden nie systematisch nach § 50 BRAO vernichtet.
• Unverschlüsselter E-Mail-Versand von Schriftsätzen mit Gesundheitsdaten.

10. Tool-Unterstützung

Legiscope hilft Kanzleien, das Verarbeitungsverzeichnis aufzubauen, AVV nach Art. 28 und § 43e BRAO zu kombinieren und ein Löschkonzept entlang der 6- und 10-Jahres-Fristen zu etablieren - unter Wahrung des Mandatsgeheimnisses.

11. Datenpanne in der Kanzlei

Typische Szenarien: ein Fehlversand von Schriftsätzen an die Gegenseite, ein verlorenes Notebook mit Mandatsdaten, ein gehacktes Kanzleipostfach oder ein Ransomware-Angriff. Weil Mandatsdaten regelmäßig besondere Kategorien enthalten (Gesundheit, Straftaten), ist das Risiko meist hoch - die 72-Stunden-Meldung nach Art. 33 DSGVO und eine Benachrichtigung der Mandanten nach Art. 34 sind dann geboten. Zugleich ist die berufsrechtliche Verschwiegenheit zu wahren: Die Meldung an die Aufsichtsbehörde darf keine Mandatsinterna offenlegen, die über das Erforderliche hinausgehen. Vorsorge: Festplattenverschlüsselung, beA-Nutzung, Zwei-Faktor-Authentifizierung, getestete Offline-Backups. Meldewege: Datenpanne melden.

12. Umsetzung in fünf Schritten

1. Datenlandkarte: Mandats-, Gegner-, Zeugen- und Kanzleidaten sowie alle Dienstleister erfassen.
2. Verzeichnis nach Art. 30 anlegen; Rechtsgrundlagen je Verarbeitung dokumentieren, besondere Kategorien (Art. 9/10) gesondert kennzeichnen.
3. AVV nach Art. 28 und § 43e BRAO mit Kanzleisoftware-Hoster, IT und Aktenvernichter kombinieren.
4. Zugriffs- und Löschkonzept: Mandatstrennung im Zugriff, Löschroutinen entlang § 50 BRAO (6 Jahre) und AO (10 Jahre).
5. Sicherheit und Schulung: beA und Verschlüsselung als Standard, jährliche Kurzschulung - besonders zum Umgang mit Auskunftsersuchen Dritter.

13. Betroffenenrechte und ihre berufsrechtlichen Grenzen

Die Kanzlei muss Betroffenenanfragen innerhalb eines Monats (Art. 12 Abs. 3) bearbeiten - die anwaltliche Verschwiegenheit setzt aber eigene Grenzen:

• Auskunft (Art. 15): Der Mandant erhält Auskunft über seine Daten. Anfragen des Gegners oder Dritter über gespeicherte Daten sind durch das Mandatsgeheimnis begrenzt; interne rechtliche Bewertungen und Arbeitsprodukte sind regelmäßig ausgenommen.
• Berichtigung (Art. 16): unrichtige Stammdaten korrigieren.
• Löschung (Art. 17): greift nicht gegen die Aufbewahrungspflichten des § 50 BRAO und der AO - Sperrung statt sofortiger Löschung.
• Widerspruch (Art. 21) gegen Kanzlei-Werbung ist sofort umzusetzen.
• Beschwerde und Schadensersatz: Betroffene können sich an die Aufsichtsbehörde wenden (Art. 77); ein Verstoß kann Ansprüche nach Art. 82 begründen.

Wichtig: Auch bei der Antwort auf ein Auskunftsersuchen bleibt die Verschwiegenheit gegenüber Dritten zu wahren. Ein dokumentierter, identitätsgeprüfter Prozess schützt die Kanzlei zugleich vor der versehentlichen Preisgabe von Mandatsdaten an unberechtigte Anfragende.

Fazit

In der Anwaltskanzlei ist das Berufsrecht der beste Verbündete des Datenschutzes: Mandatsgeheimnis und DSGVO ziehen an einem Strang, und Art. 90 DSGVO schützt die Akten vor behördlichem Zugriff. Operativ zählen § 43e-konforme AVV, strikte Zugriffstrennung, beA-Verschlüsselung und ein Löschkonzept entlang § 50 BRAO. Kanzleien, die auch steuerlich beraten oder mit Steuerberatern kooperieren, finden die verwandten Themen im Leitfaden Steuerberater.

FAQ

Steht das Mandatsgeheimnis der DSGVO entgegen?

Nein. Beide verlangen Vertraulichkeit. Über Art. 90 DSGVO und § 29 Abs. 3 BDSG geht das Berufsrecht sogar vor: Die Aufsichtsbehörde darf keine Mandatsakten einsehen, soweit die Verschwiegenheit reicht.

Was regelt § 43e BRAO?

Er regelt die Auftragsverarbeitung speziell für Anwälte: Der Dienstleister muss zur Verschwiegenheit verpflichtet, die Auslagerung erforderlich und der Mandant grundsätzlich informiert sein. Der AVV nach Art. 28 wird dadurch ergänzt.

Muss ich einem Auskunftsersuchen des Gegners nachkommen?

Nur eingeschränkt. Das Mandatsgeheimnis begrenzt die Auskunft: Mandatsinterna dürfen nicht offengelegt werden. Der Auskunftsanspruch der eigenen Mandantschaft reicht nicht in geschützte interne Bewertungen.

Wie lange muss ich Handakten aufbewahren?

Nach § 50 Abs. 1 BRAO 6 Jahre nach Mandatsende. Buchungsbelege 10 Jahre (AO, HGB). Danach ist zu vernichten, soweit keine Haftungs- oder Steueraufbewahrung greift.

Brauche ich einen Datenschutzbeauftragten?

Ab 20 Personen mit ständiger automatisierter Verarbeitung (§ 38 BDSG). Wegen der besonderen Datenkategorien kann zusätzlich eine Datenschutz-Folgenabschätzung bei umfangreicher Verarbeitung sensibler Daten erforderlich sein.

Darf ich Mandatsakten in einer US-Cloud speichern?

Nur unter strengen Voraussetzungen. Neben AVV nach Art. 28 und § 43e BRAO ist ein Transfer-Impact-Assessment erforderlich, und die anwaltliche Verschwiegenheit verlangt, dass ein Zugriff durch den Anbieter oder US-Behörden technisch ausgeschlossen ist - praktisch durch clientseitige Verschlüsselung mit eigener Schlüsselhoheit. EU-gehostete Kanzleilösungen mit dokumentiertem Serverstandort sind der risikoärmere Weg. Ein bloßer Standard-AVV ohne Verschlüsselungskonzept genügt für Mandatsdaten nicht.

Behördeninformationen: BfDI und DSK; Gesetzestexte unter gesetze-im-internet.de/brao.

Siehe auch: Welche Werkzeuge diese Anforderungen technisch abbilden, zeigt unser Vergleich der DSGVO-Software für Kanzleien.