Datenschutz DSGVO

15 February 2025

In der heutigen digitalen Wirtschaftskanzlei ist die Einhaltung der Datenschutz-Grundverordnung (DSGVO) nicht mehr eine optionale Zusatzleistung, sondern eine fundamentale Voraussetzung für den operativen Alltag. Kanzlei Franz sieht dies als integralen Bestandteil unserer Beratung im Arbeits- und Gesellschaftsrecht an, da jede Datenverarbeitung – sei es beim Klientenmanagement oder internen Prozessen – potenzielle Haftungsrisiken birgt. Der Artikel dient dazu, die praktischen Konsequenzen der DSGVO für juristische Dienstleister verständlich zu machen und konkrete Handlungsempfehlungen für die tägliche Praxis zu liefern.

Die besondere Stellung der Kanzlei im Datenschutz

Juristische Kanzleien sind hinsichtlich des Datenschutzes in einer Sonderposition. Einerseits sind wir auf die Verarbeitung sensibler Daten angewiesen, um Mandanten zu vertreten, andererseits unterliegen wir strengen berufsrechtlichen und gesetzlichen Pflichten. Besonders die Verarbeitung von Daten aus den Bereichen Arbeitsrecht, Mergers & Acquisitions und Unternehmensberatungen erweist sich als hochkomplex. Wir verarbeiten Stammdaten, aber auch sensible Kategorien wie Gesundheitsdaten (bei Arbeitsrechtsschwerpunkten), Berufsgeheimnisse sowie detaillierte Informationen über Betriebsstrukturen und Gehaltsverläufe. Die DSGVO verlangt hier eine heightened Sorgfaltspflicht, da das Vertrauensverhältnis zum Mandanten das Fundament unserer Tätigkeit darstellt. Eine Verletzung dieses Vertrauens durch eine Datenpanne kann die Reputation der Kanzlei nachhaltig beschädigen und zu massiven Bußgeldern führen.

Kernprinzipien in der täglichen Kanzlei-Praxis

Die Umsetzung der Datenschutzgrundsätze erfordert einen systematischen Ansatz, der über reine Checklisten hinausgeht. Es reicht nicht aus, einmal jährlich ein Datum abzustreichen; der Datenschutz muss als „Privacy by Design" im gesamten Firmenkultur verankert sein. Die folgenden Punkte bilden das Rückgrat einer DSGVO-konformen Kanzlei:

Datensparsamkeit: Wir dürfen nur jene Daten erfassen, die für den jeweiligen Fall absolut notwendig sind. Bei der ersten Kontaktaufnahme eines neuen Mandanten sollten wir keine unangekündigten Gesundheitsfragen stellen oder vollständige Adressdaten erfassen, wenn nur das Büro für die Post reicht.
Transparenz und Information: Mandanten müssen klar und verständlich darüber informiert werden, welche Daten wie verwendet werden. Dies beginnt bereits mit der ersten Kontaktunterlage und muss in verständlicher Sprache formuliert sein, ohne in Fachjargon zu verfallen.
Sicherheit und Integrität: Technische und organisatorische Maßnahmen (TOMs) müssen gewährleisten, dass Daten vor unbefugtem Zugriff, Verlust oder Manipulation geschützt sind. Dies umfasst Verschlüsselung bei der Übertragung, sichere Archivierung auf verschlüsselten Servern und Zugriffskontrollen für Mitarbeiter.
Rechenschaftspflicht: Die Kanzlei muss in der Lage sein, nachzuweisen, dass sie alle gesetzlichen Anforderungen erfüllt. Dies führt zu einer fortlaufenden Dokumentation aller Verarbeitungen und Risikobewertungen.

Dokumentationspflichten und Verzeichnis der Verarbeitungstätigkeiten

Eine der wichtigsten praktischen Maßnahmen ist die Erstellung und fortlaufende Aktualisierung des Verzeichnisses der Verarbeitungstätigkeiten (VVT). Für Kanzlei Franz ist dies ein zentrales Dokument, das alle internen Prozesse abbildet. In diesem Verzeichnis müssen für jede Art von Datenverarbeitung festgehalten werden: Der Zweck der Verarbeitung, die Kategorien der betroffenen Personen (z. B. Mandanten, Angestellte, Bewerber), die Kategorien der personenbezogenen Daten, die Empfänger der Daten und die vorbestimmten Zeiten für die Löschung. Ohne dieses Dokument ist eine effektive Reaktion auf eine Aufsichtsbehörden-Behörde nicht möglich. Es muss regelmäßig geprüft werden, ob noch verarbeitete Daten, die nicht mehr notwendig sind, gelöscht oder anonymisiert wurden.

Risikomanagement und Pflichtenüberwachung

Die Einschätzung des Risikos ist der Schlüssel zur Proportionalität der getroffenen Maßnahmen. Nicht jede Datenverarbeitung erfordert ein Datenschutz-Folgenabschätzung (DPIA), doch bei besonders risikobehafteten Verfahren – etwa der automatisierten Entscheidungsfindung bei Bewerberauswahl oder der Übermittlung von Mandantendaten an Drittstaaten – ist dies zwingend erforderlich. Kanzleien sollten interne Prozesse etablieren, bei denen bei neuen Systemen oder Verfahren eine Risikobewertung durchgeführt wird, bevor die Umsetzung gestartet wird. Dabei müssen folgende Fragen geklärt werden: Welche Daten werden verarbeitet? Wie hoch ist das Risiko für die Rechte und Freiheiten der betroffenen Personen? Welche Maßnahmen können das Risiko minimieren?

Es ist essenziell, dass alle Mitarbeiter, von der Anwaltin im Partnerbereich bis zum Assistenzpersonal im Sekretariat, über ihre Pflichten aufgeklärt sind. Regelmäßige Schulungen sind kein Luxus, sondern eine rechtliche Verpflichtung. Ohne fundierte Sensibilisierung bleiben viele DSGVO-Risiken unaufgedeckt, da Mitarbeiter oft nicht wissen, was sie in ihrem Alltag tun dürfen oder müssen.

Die Pflichten des Auftragsverarbeiters

Ein großer Teil der Datenverarbeitung in einer Kanzlei erfolgt über externe Dienstleister: Die IT-Abschnitt, die Archivierung, die E-Mails oder das Scannergerät sind klassische Beispiele. Als Auftragsverarbeiter (AV) tragen wir spezifische Pflichten gegenüber dem Auftragnehmer (in der Regel der Kanzlei oder der Mandantin). Wir dürfen Daten nur verarbeiten, wenn wir eine schriftliche AV-Vertragsklausel haben, die genau regelt, wie wir mit den Daten umgehen sollen. Unser Auftrag ist es ausschließlich, die Daten gemäß den Anweisungen des Auftragnehmers zu verarbeiten, nicht selbstständig eigene Interessen zu verfolgen. Zudem müssen wir den Auftragnehmer bei Verstößen sofort informieren und auf dessen Anordnung alle geeigneten Maßnahmen zur Beseitigung des Unfalls ergreifen. Der Wechsel von einem Dienstleister zu einem anderen erfordert zudem eine Übertragungspflicht der Daten, um eine Lücke im Schutz zu vermeiden.

Die Umsetzung der Löschungsrechte

Die Pflicht zur Löschung von Daten („Recht auf Vergessenwerden") wird in der Kanzlei-Praxis oft unterschätzt. Wenn ein Mandat endet, ein Mandant seine Zustimmung widerruft oder die Verträge gekündigt werden, müssen die personenbezogenen Daten gelöscht oder anonymisiert werden. Dies gilt insbesondere für Beweismittel, die nicht länger vor Gericht benötigt werden, oder für interne Korrespondenzen, die den Zweck ihrer Erstellung erlitten haben. Die Herausforderung liegt hier oft in der technischen Umsetzung: Sind die Daten vollständig aus dem System entfernt oder nur noch gesichert? Kanzleien sollten eine klare Protokolle über den Löschungsprozess führen und sicherstellen, dass nicht nur die aktiven Ordner, sondern auch die Backup-Speicher und Backups auf der entsprechenden Frist begrenzt sind. Nur so kann sichergestellt werden, dass keine Daten dauerhaft im System verbleiben und später zur Identifizierung von Personen verwendet werden könnten.

Die konsequente Anwendung dieser Regeln sichert nicht nur die Rechtsicherheit der Kanzlei, sondern stärkt auch das Vertrauen in den Rechtsdienst. In einer Zeit, in der digitale Transparenz und Datenschutz zu den wichtigsten Werten der modernen Gesellschaft gehören, ist Compliance kein Hindernis, sondern ein Wettbewerbsvorteil, der die Integrität unserer juristischen Dienstleistung unterstreicht.