Die DSGVO und das anwaltliche Mandantengeheimnis beantworten unterschiedliche Fragen. Eine Verarbeitung kann datenschutzrechtlich zulässig sein und trotzdem eine unzulässige Offenbarung geschützter Geheimnisse enthalten. Umgekehrt ersetzt die Verschwiegenheit weder eine Rechtsgrundlage noch angemessene Sicherheit. Kanzleien müssen deshalb die konkrete Tätigkeit, die beteiligten Personen und den Informationszugang gemeinsam prüfen. Ein unterschriebener Auftragsverarbeitungsvertrag allein löst diese Aufgabe nicht.
Dieser Leitfaden behandelt die Schnittstellen von DSGVO, Bundesrechtsanwaltsordnung und Strafrecht bei Mandatsbearbeitung, Dienstleistern, Kommunikation und Akten. Die allgemeinen organisatorischen Grundlagen ergänzt der DSGVO-Leitfaden für Anwaltskanzleien. Rechtsstand ist der 29. September 2026; für die Berufsordnung wurde die von der BRAK veröffentlichte Fassung vom 1. Dezember 2025 herangezogen.
Mandatsvertrag, personenbezogene Daten und Geheimnisse unterscheiden
Die anwaltliche Verschwiegenheit erfasst nach § 43a Absatz 2 BRAO grundsätzlich alles, was in beruflicher Eigenschaft bekannt wird. Ausgenommen sind insbesondere offenkundige Tatsachen und Informationen, die ihrer Bedeutung nach keiner Geheimhaltung bedürfen. Geschützt sein kann bereits die Tatsache der Mandatierung. Das Mandatsende beseitigt die Verschwiegenheit nicht. Auch vertrauliche Unternehmensinformationen ohne Personenbezug können geschützt sein, obwohl die DSGVO auf diese Informationen als solche nicht anwendbar ist.
Für personenbezogene Daten ist zusätzlich eine Grundlage nach Artikel 6 DSGVO erforderlich. Vertragsnotwendigkeit kann die Bearbeitung eines Mandats mit der betroffenen natürlichen Person tragen. Sie lässt sich nicht ohne Weiteres auf die Beschäftigten eines Unternehmensmandanten, Zeugen oder Prozessgegner übertragen: Diese Personen sind nicht schon deshalb Parteien des Mandatsvertrags. Für ihre Daten müssen insbesondere gesetzliche Aufgaben, rechtliche Pflichten oder berechtigte Interessen mit den jeweiligen Voraussetzungen geprüft werden. Die Auswahl einer Rechtsgrundlage nach Artikel 6 sollte daher nach Zweck und Personengruppe erfolgen.
Gesundheitsdaten oder Angaben zur Religion benötigen außerdem eine Ausnahme nach Artikel 9 Absatz 2. Die Erforderlichkeit für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen kann einschlägig sein; sie rechtfertigt keine Sammlung beliebiger Privatdetails. Angaben über strafrechtliche Verurteilungen und Straftaten gehören demgegenüber zu Artikel 10. Sie dürfen nicht pauschal als Gesundheitsdaten unter Artikel 9 eingeordnet werden. Für die konkrete Verarbeitung sind die dort verlangte behördliche Aufsicht oder die gesetzliche Erlaubnis mit angemessenen Garantien zu prüfen.
Einwilligungen bleiben zweckbezogen. Eine Zustimmung zur Weitergabe an einen Sachverständigen deckt weder die Veröffentlichung einer Erfolgsgeschichte noch die Nutzung der Akte als Trainingsmaterial für ein fremdes KI-Modell. Auch eine wirksame Entbindung von der Schweigepflicht ersetzt nicht die übrigen Datenschutzanforderungen.
Wer in der Kanzlei welche Informationen benötigt
Die berufsrechtliche Verpflichtung von Beschäftigten nach § 43a BRAO erfolgt grundsätzlich in Textform und umfasst eine Belehrung über die strafrechtlichen Folgen. Die Vorschrift enthält Ausnahmen und besondere Regeln für bereits anderweitig verpflichtete Personen. Ein pauschales Formular für alle Rollen bildet diese Unterschiede nicht zuverlässig ab. Verantwortliche sollten festhalten, wer aufgrund welcher Regelung verpflichtet ist, und die tatsächlichen Arbeitsabläufe daran ausrichten.
Sekretariat, Buchhaltung, Referendare und vertretende Anwälte benötigen verschiedene Ausschnitte der Akte. Die Einrichtung einer zentralen Suchfunktion für sämtliche Mandate muss deshalb nach Berechtigung und Konfliktlage beurteilt werden. Bei gemeinschaftlich genutzten Räumen entstehen weitere Fragen: Können Besucher Unterlagen auf dem Empfangstresen sehen, und nutzt eine rechtlich getrennte Kanzlei denselben Drucker oder Kalender? Organisatorische Nähe ist keine Zugriffsberechtigung.
Eine sinnvolle Umsetzung verknüpft die Aufnahme eines Mitarbeiters mit einer dokumentierten Rolle, seiner Verpflichtung und den freigegebenen Systemen. Beim Wechsel des Aufgabenbereichs werden Rechte angepasst; beim Ausscheiden werden Zugänge und aktive Sitzungen entzogen. Das ist eine praktische Umsetzung risikogerechter Sicherheit, keine gesetzlich vorgegebene universelle Anzahl von Kontrollen. Nachweise müssen verständlich zeigen, warum ein Zugriff notwendig und wie er begrenzt war.
Was § 203 StGB tatsächlich voraussetzt
§ 203 StGB stellt bestimmte unbefugte Geheimnisoffenbarungen unter Strafe. Die frühere Annahme, jede fahrlässige Offenbarung sei von dieser Vorschrift erfasst, ist falsch. Nach § 15 StGB ist grundsätzlich vorsätzliches Handeln erforderlich, wenn fahrlässiges Handeln nicht ausdrücklich mit Strafe bedroht wird. Daraus folgt keineswegs, dass fahrlässige Datenverluste folgenlos wären: Datenschutzrecht, Berufsrecht und Haftung haben jeweils eigene Voraussetzungen.
Absatz 3 des § 203 unterscheidet unter anderem berufsmäßig tätige Gehilfen und sonstige mitwirkende Personen. Für externe Mitwirkung ist die Erforderlichkeit des Geheimniszugangs maßgeblich. Die Regelung eröffnet keine allgemeine Weitergabeerlaubnis an jeden Vertragspartner. Bei der strafrechtlichen Verantwortung wegen unterbliebener Geheimhaltungsverpflichtung nach Absatz 4 sind die dort genannten Voraussetzungen einschließlich der unbefugten Offenbarung durch die mitwirkende Person und der gesetzlichen Ausnahmen zu prüfen. Allein eine fehlende Vertragsklausel ist nicht automatisch der vollendete Straftatbestand.
Ähnliche Fragen stellen sich bei anderen Berufsgeheimnisträgern. Der Beitrag über Datenschutz bei Steuerberatermandaten hilft bei gemeinsamen Mandatsabläufen; die Organisation der Steuerberaterkanzlei behandelt deren eigene Prozesse. Unterschiedliche Berufsgesetze müssen dabei eigenständig geprüft werden.
Externe IT: Berufsrecht und Auftragsverarbeitung nebeneinander prüfen
Für nichtanwaltliche Dienstleistungen konkretisiert § 43e BRAO die Anforderungen. Geheimniszugang darf nur eröffnet werden, soweit er für die Dienstleistung erforderlich ist. Der Dienstleister ist sorgfältig auszuwählen. Ist die Einhaltung der Vorgaben nicht gewährleistet, muss die Zusammenarbeit unverzüglich beendet werden. Ein günstiger Preis oder ein bekannter Markenname ersetzt diese Prüfung nicht.
Der Vertrag muss grundsätzlich in Textform geschlossen werden. Er hat insbesondere die Verschwiegenheitsverpflichtung mit Belehrung über strafrechtliche Folgen, eine Begrenzung der Kenntnisnahme auf das Erforderliche und die Einschaltung weiterer Personen zu behandeln. Soweit weitere Personen eingesetzt werden dürfen, ist deren entsprechende Verpflichtung sicherzustellen. Die Vorschrift verlangt damit nicht für jede Gestaltung eine handschriftliche Unterschrift. Bei Dienstleistungen im Ausland verlangt sie grundsätzlich einen mit dem Inland vergleichbaren Geheimnisschutz, soweit nicht ausnahmsweise der Schutz des Geheimnisses dies nicht gebietet.
Dient die Dienstleistung unmittelbar einem einzelnen Mandat, verlangt § 43e Absatz 5 grundsätzlich die Einwilligung des Mandanten zur Zugangseröffnung. Die Vorschrift enthält besondere Ausnahmen und Regeln für einen ausdrücklichen Verzicht auf bestimmte Anforderungen. Eine pauschale Zustimmung in allgemeinen Mandatsbedingungen sollte daher nicht als Freistellung von sorgfältiger Auswahl und Vertragsgestaltung behandelt werden.
Datenschutzrechtlich kommt es darauf an, ob der Anbieter personenbezogene Daten im Auftrag verarbeitet. Dann ist Artikel 28 anzuwenden: durch einen schriftlichen, auch elektronischen Vertrag oder einen anderen bindenden Rechtsakt nach Unionsrecht oder dem Recht eines Mitgliedstaats. Die gewöhnliche Kanzleigestaltung verwendet einen Vertrag. Die Erläuterungen zum Auftragsverarbeitungsvertrag unterstützen diese zweite Prüfung. Nicht jede externe fachliche Tätigkeit ist Auftragsverarbeitung; selbstständig entscheidende Berufsträger können für ihre Verarbeitung eigenständig verantwortlich sein.
Cloud und KI nach tatsächlichen Datenflüssen beurteilen
Eine allgemeine Regel, wonach jede Kanzlei ausschließlich Cloudanbieter mit EU-Standort oder einem C5-Nachweis einsetzen dürfe, ergibt sich aus den genannten Vorschriften nicht. Entscheidend sind die konkrete Leistung, berufsrechtlicher Geheimnisschutz, Artikel 28, Artikel 32 und gegebenenfalls die Drittlandregeln der DSGVO. Ein Standort in Deutschland beantwortet die Fragen nach Fernwartung aus Drittländern, Unterauftragnehmern und behördlichen Zugriffsmöglichkeiten noch nicht.
Vor einer Beauftragung sollte die Kanzlei erklären können, welche Daten der Anbieter entschlüsseln kann, welche Beschäftigten Zugang erhalten, wie Supportzugriffe freigegeben werden und wie der Datenexport bei Vertragsende funktioniert. Prüfberichte helfen nur innerhalb ihres tatsächlichen Geltungsbereichs. Ein Zertifikat für ein Rechenzentrum belegt nicht automatisch die Sicherheit jeder darauf betriebenen Anwendung oder die berufsrechtliche Eignung ihrer Vertragsbedingungen.
Bei einem KI-Assistenten sind Eingaben, Anhänge, Protokolle und spätere Verwendungszwecke zu erfassen. Die Einstellung „kein Training“ beantwortet noch nicht die Fragen nach Aufbewahrung, Support und Unterauftragnehmern. Werden Namen entfernt, können Sachverhalt, Aktenzeichen oder seltene Lebensumstände trotzdem identifizierend wirken. Eine Empfehlung ist, zunächst mit erfundenen Sachverhalten zu arbeiten und reale Mandatsdaten erst nach einer dokumentierten Freigabe einzusetzen. Ein eigener Server allein macht eine rechtswidrige Zweckänderung ebenfalls nicht zulässig.
Für die Beschaffung sind deshalb konkrete Funktionsnachweise hilfreicher als allgemeine Werbeaussagen. Bei der Auswahl von Datenschutzsoftware für Kanzleien sollten insbesondere Berechtigungen, Nachvollziehbarkeit, Export und kontrollierte Löschung anhand eigener Mandatsabläufe bewertet werden.
E-Mail und beA erfüllen unterschiedliche Aufgaben
§ 2 BORA in der aktuellen BRAK-Fassung verlangt risikoadäquate und für den Beruf zumutbare organisatorische und technische Maßnahmen. Die Vorschrift regelt auch die Zustimmung zu einem Kommunikationsweg mit Vertraulichkeitsrisiken. Eine Zustimmung kann unter den dort genannten Bedingungen angenommen werden, wenn der Mandant den Weg beginnt oder vorschlägt und nach einem allgemeinen Risikohinweis fortsetzt. Die Datenschutzvorschriften bleiben ausdrücklich unberührt.
Daraus folgt keine allgemeine Erlaubnis, beliebige Gesundheitsunterlagen ungeschützt zu verschicken. Die Kanzlei muss Empfänger, Inhalt und Schutzbedarf beurteilen. Transportverschlüsselung schützt andere Abschnitte der Kommunikation als eine Ende-zu-Ende-Verschlüsselung; ein kompromittiertes Endgerät wird durch beide nicht zuverlässig geheilt. Die BSI-Empfehlungen zur Kryptographie bieten technische Orientierung. Sie sind keine pauschale gesetzliche Vorgabe, dass jeder Kanzleiversand vollständig einer bestimmten Technischen Richtlinie entsprechen müsse.
§ 31a BRAO verpflichtet insbesondere dazu, die technischen Voraussetzungen für die Nutzung des beA vorzuhalten und Zustellungen sowie Nachrichten zur Kenntnis zu nehmen. Davon zu unterscheiden ist die aktive elektronische Einreichung nach dem jeweiligen Verfahrensrecht. Für den Zivilprozess regelt § 130d ZPO die elektronische Übermittlung der erfassten Schriftsätze, Anträge und Erklärungen.
Bei vorübergehender technischer Unmöglichkeit bleibt dort eine Ersatzeinreichung nach den allgemeinen Regeln möglich. Die Unmöglichkeit muss bei der Ersatzeinreichung oder unverzüglich danach glaubhaft gemacht werden; auf Anforderung ist elektronisch nachzureichen. Eine unbelegte Behauptung eines beA-Ausfalls genügt nicht. Ebenso wenig ersetzt das Postfach die eigene Aktenführung: Nachrichten dürfen nach § 31a unter den gesetzlichen Voraussetzungen nach angemessener Zeit gelöscht werden. Vertretungsrechte, Empfangskontrolle und beweiskräftiger Export gehören daher in den Kanzleiablauf.
Aufbewahrung und Herausgabe der Handakte
§ 50 BRAO verlangt grundsätzlich sechs Jahre Aufbewahrung. Die Frist beginnt mit Ablauf des Kalenderjahres, in dem der Auftrag beendet wurde. Endet ein Mandat im März, startet die Frist deshalb nicht schon an diesem Märztag. Die Vorschrift enthält außerdem besondere Regeln für herauszugebende Dokumente, die Aufforderung zur Abholung und Ausnahmen vom Umfang der Handaktenpflicht.
Steuerliche Unterlagen, Geldwäscheunterlagen und zur Rechtsverteidigung erforderliche Informationen können anderen Anforderungen unterliegen. Eine pauschale Verlängerung sämtlicher Akten auf zehn oder dreißig Jahre ist daraus nicht abzuleiten. Für zusätzliche Speicherung muss die Kanzlei den fortbestehenden Zweck, die Rechtsgrundlage und die Erforderlichkeit bestimmen. Das Löschkonzept mit getrennten Fristen sollte deshalb auch Dubletten in E-Mails, mobilen Geräten und Exportspeichern berücksichtigen.
Bei einer endgültigen Ablage kann der operative Zugriff enger werden, obwohl die zulässige Aufbewahrung weiterläuft. Das ist beispielsweise sinnvoll, wenn eine abgeschlossene Familienrechtssache nur noch zur Erfüllung einer Aufbewahrungspflicht benötigt wird. Eine konkrete Streitsache kann eine dokumentierte Löschsperre für relevante Unterlagen begründen; sie rechtfertigt keine unbefristete Sperre aller früheren Mandate.
Auskunft, Geheimnisse Dritter und Aufsicht
Artikel 15 DSGVO gewährt Zugang zu personenbezogenen Daten und den vorgeschriebenen Begleitinformationen. Das ist weder identisch mit einem allgemeinen Akteneinsichtsrecht noch auf eine von der Kanzlei selbst formulierte Zusammenfassung beschränkt. Dokumentkopien können erforderlich sein, um die personenbezogenen Daten verständlich zugänglich zu machen. Daneben besteht die berufsrechtliche Herausgaberegelung des § 50 BRAO mit eigenen Voraussetzungen. Eine offene Honorarforderung macht die datenschutzrechtliche Auskunft nicht automatisch entbehrlich.
Bei Drittgeheimnissen ist eine konkrete Prüfung erforderlich. § 29 BDSG begrenzt Informations- und Auskunftspflichten unter den dort genannten Geheimhaltungsvoraussetzungen; Artikel 15 Absatz 4 schützt außerdem Rechte und Freiheiten anderer bei der Kopie. Häufig lassen sich berechtigte Interessen durch Auszüge oder Schwärzungen sichern. Der bloße Hinweis „Anwaltsakte“ begründet keine vollständige Ablehnung.
Über Maßnahmen auf einen Antrag informiert die Kanzlei unverzüglich, grundsätzlich spätestens innerhalb eines Monats. Eine notwendige Verlängerung um bis zu zwei weitere Monate setzt die Voraussetzungen des Artikels 12 voraus und muss innerhalb des ersten Monats begründet mitgeteilt werden. Wird nicht tätig geworden, sind unverzüglich, spätestens innerhalb eines Monats, Gründe sowie Beschwerde- und gerichtliche Rechtsschutzmöglichkeiten mitzuteilen.
§ 29 Absatz 3 BDSG beschränkt bestimmte Untersuchungsbefugnisse der Datenschutzaufsicht, soweit deren Ausübung das Berufsgeheimnis verletzen würde. Er befreit Kanzleien nicht von jeder Datenschutzaufsicht. Bei gewöhnlichen privaten Kanzleien ist grundsätzlich die zuständige Landesaufsicht zu bestimmen; die Einordnung der BfDI verhindert eine automatische Zuordnung aller deutschen Fälle zum Bund. Berufsrechtliche Aufsicht und mögliche Strafverfahren folgen eigenen Zuständigkeiten und Voraussetzungen.
Datenschutzbeauftragter und Vorfälle
Für die Benennung eines Datenschutzbeauftragten gelten Artikel 37 DSGVO und § 38 BDSG. Nach § 38 ist insbesondere relevant, ob regelmäßig mindestens zwanzig Personen ständig mit automatisierter Verarbeitung beschäftigt sind. Artikel 37 erfasst daneben etwa die umfangreiche Verarbeitung besonderer Datenkategorien oder strafrechtlicher Daten als Kerntätigkeit. Einzelne sensible Mandate allein lösen diesen Tatbestand nicht aus. § 38 enthält weitere Auslöser, insbesondere die Durchführung von Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, unabhängig von der Personenzahl. Die Aufgaben des Datenschutzbeauftragten ersetzen keine Leitungsverantwortung.
Ein falsch adressierter Schriftsatz, gestohlener Laptop oder Ransomwarevorfall erfordert zunächst die Prüfung, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt. Die Kanzlei meldet nach Artikel 33 unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsicht, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten. Eine spätere Meldung muss begründet werden. Fehlende Einzelheiten können nach den gesetzlichen Regeln nachgereicht werden.
Jede personenbezogene Datenverletzung ist nach Artikel 33 Absatz 5 zu dokumentieren, auch unterhalb der Meldeschwelle. Die Information betroffener Personen nach Artikel 34 setzt grundsätzlich ein voraussichtlich hohes Risiko voraus und erfolgt unverzüglich; die gesetzlichen Ausnahmen sind gesondert zu prüfen. Wirksame Verschlüsselung kann relevant sein, wenn sie die betroffenen Daten für Unbefugte tatsächlich unzugänglich macht. Ein allgemeiner Hinweis auf einen Kryptographiestandard genügt nicht.
Parallel wird geprüft, welche Geheimnisse betroffen sind und welche berufsrechtlichen oder vertraglichen Schritte erforderlich werden. Es gibt keine aus der DSGVO folgende pauschale Pflicht, jeden Vorfall zusätzlich der Rechtsanwaltskammer anzuzeigen. Eine sachliche Dokumentation von Zeitpunkt, Datenumfang, Empfängern, Risiko und Maßnahmen unterstützt die unterschiedlichen Prüfungen. Solche Nachweise zur Rechenschaftspflicht sind auch bei einer Entscheidung gegen eine Meldung wichtig.
Die Abgrenzung bleibt schließlich bei gemeinsamen Mandaten relevant: Ein Immobilienmakler und eine Kanzlei können am selben Vorgang arbeiten, ohne denselben Geheimhaltungsvorschriften zu unterliegen. Der Datenschutzleitfaden für Immobilienmakler hilft, deren eigenständige Datenflüsse zu erkennen. Die Kanzlei muss jede Weitergabe nach ihren eigenen zusätzlichen Pflichten beurteilen.