Kanzlei digitalisieren ohne DSGVO-Risiko: Tool-Auswahl-Guide
Die Digitalisierung der Kanzlei ist kein Trend mehr, sondern eine wirtschaftliche Notwendigkeit. Gleichzeitig liegt die Verantwortung für anwaltliche Schweigepflicht (§ 203 StGB), DSGVO und Berufsrecht (BRAO, BORA) auch dann beim Anwalt, wenn er ein Tool eines Drittanbieters nutzt. Dieser Beitrag zeigt, welche Tool-Kategorien Kanzleien typischerweise einführen, welche rechtlichen Anforderungen je Kategorie gelten und woran man einen kanzleitauglichen Anbieter erkennt.
Der Rechtsrahmen: BRAO, BORA, DSGVO
Die anwaltliche Schweigepflicht ist mehrfach verankert: strafrechtlich in § 203 StGB, berufsrechtlich in § 43a BRAO und konkretisiert in § 2 BORA (Berufsordnung für Rechtsanwälte). Seit der StGB-Reform 2017 ist die Einbindung von Dienstleistern in die Verarbeitung mandantenbezogener Daten ausdrücklich zulässig — unter den Voraussetzungen des § 203 Abs. 4 Satz 2 StGB (insb. schriftliche Verpflichtung der Mitwirkenden). Parallel verlangt die DSGVO (Art. 28) einen Auftragsverarbeitungsvertrag. Die Berufsordnungs-Kommission der BRAK gibt zusätzlich Hinweise zu IT-Sicherheit und Cloud-Nutzung in der Kanzlei.
Vier typische Tool-Kategorien in der Kanzlei
Diktat und Transkription
Audio-Notizen, Vermerke, Schriftsatz-Diktate. Hier laufen mandantenbezogene Inhalte direkt durch — der heikelste Punkt. Faustregel: keine US-Cloud, Audio nach Transkription gelöscht, AVV mit explizitem Verbot der KI-Training-Nutzung.
Aktenführung / DMS
Dokumentenmanagement-Systeme verarbeiten den kompletten Akten-Korpus inkl. Schriftsätzen, Gegnerdokumenten, Korrespondenz. Vollständige Verschlüsselung in Transit und im Ruhezustand, granulare Rollen, Audit-Log sind hier Pflicht.
Kommunikation
E-Mail, Messenger, Mandanten-Portal. § 2 BORA verpflichtet zur Verschwiegenheit, lässt elektronische Kommunikation aber zu — gängige Auslegung: Aufklärung der Mandantschaft über Rest-Risiken (insb. unverschlüsselte E-Mail) oder ausdrückliche Einwilligung. Ende-zu-Ende-Verschlüsselung ist berufsrechtlich nicht zwingend, aber bei sensiblen Mandaten praktisch unverzichtbar.
Buchhaltung und Zahlungsverkehr
Mandanten-Identifizierungsdaten, RVG-Abrechnungen, Honorarpfändungen. Hier gilt GwG und AO mit eigenen Aufbewahrungsfristen — meist 10 Jahre. AVV-Pflicht trifft auch hier zu, oft übersehen.
Sieben Kriterien für kanzleitaugliche Tools
1. Serverstandort EU — möglichst Deutschland
Bei US-Bezug greift der CLOUD Act (18 U.S.C. § 2713): US-Behörden können von US-Unternehmen Daten anfordern, auch wenn die Server in der EU stehen. Bei mandantenbezogenen Daten ist das ein materielles Risiko.
2. AVV nach Art. 28 DSGVO + Schweigepflichts-Verpflichtung
Ein DSGVO-AVV allein reicht nicht. Der Anbieter und seine mitwirkenden Personen müssen zusätzlich nach § 203 Abs. 4 Satz 2 Nr. 1 StGB schriftlich zur Verschwiegenheit verpflichtet werden — sonst bleibt die Einbindung strafbar.
3. Subprozessor-Transparenz
Wer ist alles in der Kette? AWS, Google Cloud oder Azure als Unterauftragsverarbeiter bedeutet US-Konzern-Beteiligung. Ein seriöser Anbieter führt die Subprozessor-Liste öffentlich.
4. Verschlüsselung in Transit und at Rest
TLS 1.2+ für die Übertragung, Verschlüsselung der gespeicherten Daten (z. B. AES-256). Bei Diktat-/Transkriptions-Tools zwangsläufig ein Verarbeitungs-Zeitfenster, in dem Audio unverschlüsselt verfügbar ist — kurz halten, sofort löschen.
5. Lösch-Workflow vertraglich zugesichert
Konkrete Fristen, nicht "bei Bedarf". Audio-Files: idealerweise sofortige Löschung nach Verarbeitung. Transkripte: konfigurierbare Aufbewahrungsdauer mit manueller Sofort-Löschung.
6. Audit-Recht
Art. 28 (3) (h) DSGVO sieht das Audit-Recht vor — aber viele AVVs reduzieren es auf "Vorlage von Zertifikaten". Für Kanzleien mit sensiblen Mandaten sollte das Recht auf eigene Überprüfung erhalten bleiben.
7. Mandantenbezogene Datenlöschung auf Anforderung
Wenn ein Mandant sein Recht auf Löschung nach Art. 17 DSGVO geltend macht: wie schnell und nachweisbar erfolgt das? Dokumentierte Lösch-Bestätigung sollte technisch vorgesehen sein.
Warnsignale beim Anbieter-Vergleich
Vage Formulierungen statt konkreter Fristen
„Daten werden sicher gespeichert" sagt nichts. „Audio-Dateien werden innerhalb von X Minuten nach Transkriptionsende unwiderruflich gelöscht" sagt etwas.
„DSGVO-konform" ohne Belege
DSGVO-Konformität ist eine Bewertung, kein Label. Ein seriöser Anbieter belegt das mit AVV, TOMs-Dokumentation, Subprozessor-Liste und ggf. Audit-Berichten — nicht mit einem Logo.
KI-Training mit Mandantendaten als Default
In den AGB versteckt: „Wir verbessern unsere Modelle mit anonymisierten Daten." Bei mandantenbezogenen Inhalten ist das berufsrechtlich heikel. Klare Opt-out- oder besser keine-Verwendungs-Klausel verlangen.
Mutterkonzern in den USA
Viele etablierte SaaS-Anbieter (CRM, Office, Zahlungsabwicklung, Cloud-Storage) haben EU-Tochtergesellschaften, gehören aber zu US-Konzernen. Konzern-Beziehungen können Datenflüsse durch die USA bedeuten — relevant je nach Datenkategorie. Bei reinen Abrechnungs-/Zahlungs-Funktionen (wo keine Mandanteninhalte verarbeitet werden, sondern nur Namen/IBANs) ist das auf Basis von EU-US Data Privacy Framework und SCCs vertretbar; bei mandantenbezogenen Inhalten (Schriftsätze, Diktate, E-Mail-Korrespondenz) sollten Anbieter ohne US-Konzern-Bezug bevorzugt werden. Faustregel: Datenkategorie und Tool-Funktion müssen zusammenpassen.
Weiterführend
Quellen & Hinweise
§ 203 StGB (Verletzung von Privatgeheimnissen) inkl. Erweiterung 2017 · § 43a BRAO · § 2 BORA · DSGVO Art. 6, 28, 32 · BRAK-Stellungnahmen zur Cloud-Nutzung (laufend) · DSK-Hinweise zur Anwaltschaft · CLOUD Act (18 U.S.C. § 2713). Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Bei konkreten Mandatslagen wenden Sie sich bitte an Ihre Rechtsanwaltskammer oder Ihren Datenschutzbeauftragten.
Transkribr für Kanzleien
Verarbeitung auf eigener GPU-Infrastruktur in Deutschland, schriftliche Verpflichtung zur Schweigepflicht-Wahrung gem. § 203 Abs. 4 StGB auf Anfrage, AVV nach Art. 28 DSGVO, sofortige Audio-Löschung nach Transkription. Kein KI-Training mit Ihren Daten. Transparenz: Zahlungsabwicklung erfolgt über Stripe (EU-Vertragspartner Irland, Konzern Stripe Inc. USA) — Audio- und Mandanteninhalte fließen aber nicht über Stripe; nur Rechnungs-/Zahlungsdaten (Name, IBAN/Karte, Transaktion). 15 Minuten kostenlos testen.
Kostenlos testen