DSGVO in Anwaltskanzleien: Mandantengeheimnis und BRAO

In einem Satz. Rechtsanwaltskanzleien verarbeiten Mandantendaten unter dreifacher Pflicht — DSGVO, anwaltliche Verschwiegenheitspflicht (§ 43a BRAO, § 2 BORA) und strafrechtliche Geheimhaltung (§ 203 StGB) — wobei der Verstoß gegen die Schweigepflicht über Bußgeld hinaus berufs- und strafrechtlich relevant wird.

Die Verschwiegenheitspflicht ist Kern des Anwaltsberufs. Cloud-Nutzung, externe IT-Dienstleister und Auslagerung sind seit der § 203-StGB-Reform 2017 möglich — mit Schweigepflichtverpflichtung der Dienstleister-Mitarbeiter. Die Rechtsanwaltskammern (RAK) führen berufsrechtliche Aufsicht; Datenschutzaufsicht durch LDA. Siehe BfDI. Den maßgeblichen Straftatbestand regelt § 203 StGB im Volltext (Gesetze im Internet); die datenschutzrechtliche Grundlage bildet die DSGVO auf EUR-Lex.

Wichtige Punkte

• Dreifachpflicht: DSGVO, § 43a BRAO, § 203 StGB.
• § 203 Abs. 3 StGB seit 2017: Mitwirkende Personen zulässig mit Schweigepflichtverpflichtung.
• beA (besonderes elektronisches Anwaltspostfach) verpflichtend seit 2018.
• Cloud-Nutzung möglich — mit EU-Standort und C5-Niveau erwartet.
• DSB-Pflicht ab 20 Personen oder bei “Kerntätigkeit” sensible Daten.

1. Rechtsgrundlagen für Mandantendaten

Verarbeitung	Rechtsgrundlage
Mandatsvertrag	Art. 6 Abs. 1 lit. b
Rechtsverfolgung	Art. 6 Abs. 1 lit. f + § 24 BDSG
Sensible Daten (Gesundheit, Strafverf.)	Art. 9 Abs. 2 lit. f (Rechtsansprüche)
Abrechnung	Art. 6 Abs. 1 lit. b + GOA/RVG
Marketing	Art. 6 Abs. 1 lit. a (Einwilligung)

2. Verschwiegenheitspflicht § 43a BRAO

Kern: Anwalt ist zur Verschwiegenheit verpflichtet, soweit Tatsachen ihm in beruflicher Eigenschaft anvertraut wurden. Reichweite: alle Mandantenangaben, auch Mandatsverhältnis selbst.

Berufsrechtliche Sanktionen durch RAK:

• Rüge
• Geldbuße bis €25.000
• Vertretungsverbot
• Ausschluss aus Anwaltschaft

3. § 203 StGB: Strafbarkeit

Offenbarung fremder Geheimnisse durch Anwalt: bis 1 Jahr Freiheitsstrafe oder Geldstrafe. Erfasst auch fahrlässige Offenbarung.

§ 203 Abs. 3 StGB seit 2017: Mitwirkende Personen (“sonstige mitwirkende Personen”) zulässig, wenn Anwalt sie zur Geheimhaltung verpflichtet. Anwendung: Sekretariat, IT-Dienstleister, Cloud-Anbieter. Dieselbe Dreifachpflicht aus Berufsrecht, § 203 StGB und DSGVO trifft übrigens auch Steuerberater — siehe unsere DSGVO-Hinweise für Steuerberater; als verwandte Berufsgeheimnisträger behandelt sie unser Leitfaden DSGVO in der Steuerberaterkanzlei.

4. IT-Dienstleister und Cloud

Voraussetzungen für externe IT-Nutzung:

• Schweigepflichtverpflichtung der Mitarbeiter des Dienstleisters (§ 203 Abs. 4 StGB)
• AVV nach Art. 28 DSGVO
• EU-Datenstandort
• Zertifizierungen (C5, ISO 27001)
• Verschlüsselung in Transit und at Rest

Siehe AVV-Muster.

5. beA (besonderes elektronisches Anwaltspostfach)

Seit 2018 für alle Anwälte verpflichtend (§ 31a BRAO). BRAK betreibt zentrale Infrastruktur. Datenschutzfragen:

• Verschlüsselte Übermittlung
• Aufbewahrung von Versanddaten
• Zugriff durch Vertreter

6. Mandantenkommunikation per E-Mail

Unverschlüsselte E-Mail ist gemäß BRAK-Richtlinien grundsätzlich zulässig — Mandanten können einen sichereren Weg verlangen. Best Practice 2026:

• TLS-Pflicht für E-Mail-Server (TR-02102 konform)
• Ende-zu-Ende für hochsensible Inhalte
• ggf. Mandanten-Portal für Datenaustausch

Siehe BSI TR-02102 Kryptographie-Empfehlungen.

7. Mandantenakten und Aufbewahrung

Dokument	Frist	Grundlage
Handakten	6 Jahre nach Mandatsende	§ 50 BRAO
Sonstiges	nach Bedarf, oft 10 Jahre	§ 257 HGB
Werbeeinwilligungen	bis Widerruf	DSGVO

§ 50 BRAO ist Mindestfrist. Längere Aufbewahrung bei laufenden Verfahren oder Vollstreckungsfristen. Nach Ablauf gilt umgekehrt eine Löschpflicht: Handakten dauerhaft über die Fristen hinaus zu horten, ist selbst ein DSGVO-Verstoß gegen die Speicherbegrenzung (Art. 5 Abs. 1 lit. e). Ein dokumentiertes Löschkonzept mit klaren Fristen je Aktentyp ist deshalb Pflichtbestandteil der Kanzlei-Compliance.

8. Datenschutzbeauftragter in Kanzleien

DSB-Pflicht nach § 38 BDSG bei:

• 20+ Personen ständig mit automatisierter Verarbeitung
• “Kerntätigkeit” umfangreiche Verarbeitung sensibler Daten (Strafverteidigung, Familienrecht, Medizinrecht)

Häufig externer DSB. Siehe Aufgaben DSB.

9. Auskunftsrecht des Mandanten

Mandant hat Anspruch nach Art. 15 DSGVO + § 50 BRAO. Umfang:

• Vollständige Handakte (mit Vorbehalten)
• Korrespondenz
• Notizen, soweit nicht persönliche Arbeitsmittel

Konflikte mit Vertraulichkeit Dritter: einzelfallabhängige Abwägung.

10. Datenpannen in Kanzleien

Typische Vorfälle:

• Falschadressierte Schriftsätze
• Beraterhaftung bei IT-Hack
• Verlust mobiler Geräte
• Hack der Kanzlei-IT (deutscher Großkanzlei-Fall 2021)

Meldepflicht 72h. Zusätzlich Mandanteninformation und ggf. RAK-Meldung.

Der praktische Ablauf bei einem Vorfall (z. B. Verschlüsselung der Kanzlei-IT durch Ransomware): Erstens Vorfall dokumentieren und Beweise sichern. Zweitens prüfen, ob personenbezogene Daten betroffen sind — bei einer Anwaltskanzlei praktisch immer. Drittens Risikoabwägung: Bei hohem Risiko binnen 72 Stunden an die zuständige LDA melden (Art. 33 DSGVO) und bei voraussichtlich hohem Risiko die betroffenen Mandanten benachrichtigen (Art. 34 DSGVO). Viertens: War die IT nach TR-02102-Standard verschlüsselt, kann die Mandantenbenachrichtigung nach Art. 34 Abs. 3 lit. a DSGVO entfallen — ein weiteres Argument für konsequente Verschlüsselung. Fünftens parallel prüfen, ob ein Bruch der Schweigepflicht vorliegt, der berufs- oder strafrechtliche Schritte auslöst.

11. Sanktionsbeispiele

Fall	Sanktion
Kanzlei (offene Fax-Versendung)	€5.000 RAK + DSGVO-Verwarnung
Großkanzlei (IT-Hack, Mandantenleak)	€130.000 + Schadensersatz
Steuerberater-Sozietät (offener FTP)	€20.000 LDA

12. Die § 203-Verpflichtung in der Praxis

Die häufigste Lücke in Kanzleien ist nicht der fehlende AVV, sondern die vergessene strafrechtliche Schweigepflichtverpflichtung nach § 203 Abs. 4 StGB. Sie ist nicht identisch mit der datenschutzrechtlichen Verpflichtung auf Vertraulichkeit nach Art. 28/29 DSGVO — beide sind nötig. Konkret verlangt § 203 Abs. 4 StGB:

1. Schriftliche Verpflichtung jeder mitwirkenden Person, die tatsächlich Zugang zu Mandantengeheimnissen erlangen kann — nicht nur des Vertragspartners, sondern der einzelnen eingesetzten Mitarbeiter.
2. Belehrung über die Strafbarkeit eines Bruchs der Schweigepflicht.
3. Weitergabe der Pflicht an Subunternehmer: Wer selbst mitwirkende Personen einschaltet, muss diese ebenfalls verpflichten.

Fehlt diese Verpflichtung, macht sich nicht nur der Dienstleister strafbar — auch der beauftragende Anwalt kann sich nach § 203 Abs. 4 S. 2 StGB strafbar machen, wenn er nicht für die Verpflichtung Sorge trägt. Das ist der Grund, warum reine “Standard-AVVs” ohne § 203-Klausel für Kanzleien nicht ausreichen.

13. Zwei Aufsichten, zwei Verfahren

Kanzleien unterliegen einer doppelten Kontrolle, die in der Praxis oft verwechselt wird:

Aufsicht	Prüfmaßstab	Sanktion
Rechtsanwaltskammer (RAK)	Berufsrecht (§ 43a BRAO, BORA)	Rüge, Geldbuße bis 25.000 €, Vertretungsverbot, Ausschluss
Landesdatenschutzbehörde (LDA)	DSGVO/BDSG	Verwarnung, Bußgeld nach Art. 83 DSGVO
Staatsanwaltschaft	§ 203 StGB	Freiheits- oder Geldstrafe

Ein einziger Vorfall — etwa ein an den falschen Empfänger versandter Schriftsatz mit Gesundheitsdaten — kann alle drei Verfahren gleichzeitig auslösen. Deshalb ist in Kanzleien die Trennung von Datenschutz-Compliance und Berufsrecht künstlich; beides gehört in ein gemeinsames Dossier.

14. Tool-Unterstützung

Legiscope bildet Mandanten-VVT (mehr zum Verzeichnis der Verarbeitungstätigkeiten nach Art. 30), DSB-Aufgaben, AVV mit IT-Dienstleistern (inkl. § 203-Verpflichtung) und Aufbewahrungsfrist-Tracking ab.

Fazit

Für Anwälte ist DSGVO der einfache Teil — § 203 StGB und Berufsrecht sind die echten Hebel. Wer Cloud nutzt ohne Schweigepflichtverpflichtung der Dienstleister, riskiert eigene Strafbarkeit. Compliance ist hier Eigenschutz, nicht Mandantenschutz. Die praktische Umsetzung fasst unser praktischer DSGVO-Leitfaden für die Anwaltskanzlei zusammen. Wie Berufsgruppen ohne strafbewehrte Schweigepflicht mit ähnlich sensiblen Kundendaten umgehen, zeigt unser DSGVO-Leitfaden für Immobilienmakler.

FAQ

Darf ich Cloud-Software in der Kanzlei nutzen?

Ja, mit § 203 Abs. 4 StGB-Verpflichtung der Anbietermitarbeiter, AVV, EU-Standort und Verschlüsselung. Microsoft 365 und Datev sind etabliert.

Brauche ich einen Datenschutzbeauftragten?

Ab 20 Personen mit automatisierter Verarbeitung oder bei sensiblen Mandaten (Straf-, Medizin-, Familienrecht) als Kerntätigkeit.

Wie lange muss ich Mandantenakten aufbewahren?

Mindestens 6 Jahre nach Mandatsende (§ 50 BRAO), oft länger wegen Verjährungsfristen und Haftungsabsicherung.

E-Mail-Kommunikation: verschlüsseln oder nicht?

TLS-Server-Verschlüsselung ist Pflicht. Ende-zu-Ende-Verschlüsselung empfohlen bei hochsensiblen Inhalten oder auf Mandantenwunsch.

Was tun bei beA-Ausfall?

Faxweiterleitung an Gericht zulässig bei nachgewiesenem beA-Ausfall, plus Glaubhaftmachung des technischen Problems.

Reicht ein Standard-AVV für meinen IT-Dienstleister?

Nein. Der AVV nach Art. 28 DSGVO deckt das Datenschutzrecht ab, nicht aber die strafrechtliche Schweigepflicht. Zusätzlich braucht es die schriftliche Verpflichtung der mitwirkenden Personen nach § 203 Abs. 4 StGB. Ohne diese riskiert der Anwalt eigene Strafbarkeit.

Darf ich ChatGPT oder KI-Tools in der Kanzlei nutzen?

Nur mit größter Vorsicht. Werden Mandantendaten an einen KI-Dienst ohne AVV, ohne EU-Standort und ohne § 203-Verpflichtung übermittelt, liegt zugleich ein DSGVO- und ein Schweigepflichtverstoß vor. Für sensible Mandate sind anonymisierte Eingaben oder On-Premise-/EU-gehostete Lösungen mit vertraglicher Absicherung Pflicht.

Siehe auch: Welche Tools das Mandantengeheimnis technisch absichern, zeigt unser Vergleich der DSGVO-Software für Kanzleien.