In einem Satz. Rechtsanwaltskanzleien verarbeiten Mandantendaten unter dreifacher Pflicht — DSGVO, anwaltliche Verschwiegenheitspflicht (§ 43a BRAO, § 2 BORA) und strafrechtliche Geheimhaltung (§ 203 StGB) — wobei der Verstoß gegen die Schweigepflicht über Bußgeld hinaus berufs- und strafrechtlich relevant wird.
Wichtige Punkte
- Dreifachpflicht: DSGVO, § 43a BRAO, § 203 StGB.
- § 203 Abs. 3 StGB seit 2017: Mitwirkende Personen zulässig mit Schweigepflichtverpflichtung.
- beA (besonderes elektronisches Anwaltspostfach) verpflichtend seit 2018.
- Cloud-Nutzung möglich — mit EU-Standort und C5-Niveau erwartet.
- DSB-Pflicht ab 20 Personen oder bei “Kerntätigkeit” sensible Daten.
1. Rechtsgrundlagen für Mandantendaten
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Mandatsvertrag | Art. 6 Abs. 1 lit. b |
| Rechtsverfolgung | Art. 6 Abs. 1 lit. f + § 24 BDSG |
| Sensible Daten (Gesundheit, Strafverf.) | Art. 9 Abs. 2 lit. f (Rechtsansprüche) |
| Abrechnung | Art. 6 Abs. 1 lit. b + GOA/RVG |
| Marketing | Art. 6 Abs. 1 lit. a (Einwilligung) |
2. Verschwiegenheitspflicht § 43a BRAO
Kern: Anwalt ist zur Verschwiegenheit verpflichtet, soweit Tatsachen ihm in beruflicher Eigenschaft anvertraut wurden. Reichweite: alle Mandantenangaben, auch Mandatsverhältnis selbst.
Berufsrechtliche Sanktionen durch RAK:
- Rüge
- Geldbuße bis €25.000
- Vertretungsverbot
- Ausschluss aus Anwaltschaft
3. § 203 StGB: Strafbarkeit
Offenbarung fremder Geheimnisse durch Anwalt: bis 1 Jahr Freiheitsstrafe oder Geldstrafe. Erfasst auch fahrlässige Offenbarung.
§ 203 Abs. 3 StGB seit 2017: Mitwirkende Personen (“sonstige mitwirkende Personen”) zulässig, wenn Anwalt sie zur Geheimhaltung verpflichtet. Anwendung: Sekretariat, IT-Dienstleister, Cloud-Anbieter. Dieselbe Dreifachpflicht aus Berufsrecht, § 203 StGB und DSGVO trifft übrigens auch Steuerberater — siehe unsere DSGVO-Hinweise für Steuerberater; als verwandte Berufsgeheimnisträger behandelt sie unser Leitfaden DSGVO in der Steuerberaterkanzlei.
4. IT-Dienstleister und Cloud
Voraussetzungen für externe IT-Nutzung:
- Schweigepflichtverpflichtung der Mitarbeiter des Dienstleisters (§ 203 Abs. 4 StGB)
- AVV nach Art. 28 DSGVO
- EU-Datenstandort
- Zertifizierungen (C5, ISO 27001)
- Verschlüsselung in Transit und at Rest
5. beA (besonderes elektronisches Anwaltspostfach)
Seit 2018 für alle Anwälte verpflichtend (§ 31a BRAO). BRAK betreibt zentrale Infrastruktur. Datenschutzfragen:
- Verschlüsselte Übermittlung
- Aufbewahrung von Versanddaten
- Zugriff durch Vertreter
6. Mandantenkommunikation per E-Mail
Unverschlüsselte E-Mail ist gemäß BRAK-Richtlinien grundsätzlich zulässig — Mandanten können einen sichereren Weg verlangen. Best Practice 2026:
- TLS-Pflicht für E-Mail-Server (TR-02102 konform)
- Ende-zu-Ende für hochsensible Inhalte
- ggf. Mandanten-Portal für Datenaustausch
Siehe BSI TR-02102 Kryptographie-Empfehlungen.
7. Mandantenakten und Aufbewahrung
| Dokument | Frist | Grundlage |
|---|---|---|
| Handakten | 6 Jahre nach Mandatsende | § 50 BRAO |
| Sonstiges | nach Bedarf, oft 10 Jahre | § 257 HGB |
| Werbeeinwilligungen | bis Widerruf | DSGVO |
§ 50 BRAO ist Mindestfrist. Längere Aufbewahrung bei laufenden Verfahren oder Vollstreckungsfristen. Nach Ablauf gilt umgekehrt eine Löschpflicht: Handakten dauerhaft über die Fristen hinaus zu horten, ist selbst ein DSGVO-Verstoß gegen die Speicherbegrenzung (Art. 5 Abs. 1 lit. e). Ein dokumentiertes Löschkonzept mit klaren Fristen je Aktentyp ist deshalb Pflichtbestandteil der Kanzlei-Compliance.
8. Datenschutzbeauftragter in Kanzleien
DSB-Pflicht nach § 38 BDSG bei:
- 20+ Personen ständig mit automatisierter Verarbeitung
- “Kerntätigkeit” umfangreiche Verarbeitung sensibler Daten (Strafverteidigung, Familienrecht, Medizinrecht)
9. Auskunftsrecht des Mandanten
Mandant hat Anspruch nach Art. 15 DSGVO + § 50 BRAO. Umfang:
- Vollständige Handakte (mit Vorbehalten)
- Korrespondenz
- Notizen, soweit nicht persönliche Arbeitsmittel
Konflikte mit Vertraulichkeit Dritter: einzelfallabhängige Abwägung.
10. Datenpannen in Kanzleien
Typische Vorfälle:
- Falschadressierte Schriftsätze
- Beraterhaftung bei IT-Hack
- Verlust mobiler Geräte
- Hack der Kanzlei-IT (deutscher Großkanzlei-Fall 2021)
Meldepflicht 72h. Zusätzlich Mandanteninformation und ggf. RAK-Meldung.
Der praktische Ablauf bei einem Vorfall (z. B. Verschlüsselung der Kanzlei-IT durch Ransomware): Erstens Vorfall dokumentieren und Beweise sichern. Zweitens prüfen, ob personenbezogene Daten betroffen sind — bei einer Anwaltskanzlei praktisch immer. Drittens Risikoabwägung: Bei hohem Risiko binnen 72 Stunden an die zuständige LDA melden (Art. 33 DSGVO) und bei voraussichtlich hohem Risiko die betroffenen Mandanten benachrichtigen (Art. 34 DSGVO). Viertens: War die IT nach TR-02102-Standard verschlüsselt, kann die Mandantenbenachrichtigung nach Art. 34 Abs. 3 lit. a DSGVO entfallen — ein weiteres Argument für konsequente Verschlüsselung. Fünftens parallel prüfen, ob ein Bruch der Schweigepflicht vorliegt, der berufs- oder strafrechtliche Schritte auslöst.
11. Sanktionsbeispiele
| Fall | Sanktion |
|---|---|
| Kanzlei (offene Fax-Versendung) | €5.000 RAK + DSGVO-Verwarnung |
| Großkanzlei (IT-Hack, Mandantenleak) | €130.000 + Schadensersatz |
| Steuerberater-Sozietät (offener FTP) | €20.000 LDA |
12. Die § 203-Verpflichtung in der Praxis
Die häufigste Lücke in Kanzleien ist nicht der fehlende AVV, sondern die vergessene strafrechtliche Schweigepflichtverpflichtung nach § 203 Abs. 4 StGB. Sie ist nicht identisch mit der datenschutzrechtlichen Verpflichtung auf Vertraulichkeit nach Art. 28/29 DSGVO — beide sind nötig. Konkret verlangt § 203 Abs. 4 StGB:
- Schriftliche Verpflichtung jeder mitwirkenden Person, die tatsächlich Zugang zu Mandantengeheimnissen erlangen kann — nicht nur des Vertragspartners, sondern der einzelnen eingesetzten Mitarbeiter.
- Belehrung über die Strafbarkeit eines Bruchs der Schweigepflicht.
- Weitergabe der Pflicht an Subunternehmer: Wer selbst mitwirkende Personen einschaltet, muss diese ebenfalls verpflichten.
Fehlt diese Verpflichtung, macht sich nicht nur der Dienstleister strafbar — auch der beauftragende Anwalt kann sich nach § 203 Abs. 4 S. 2 StGB strafbar machen, wenn er nicht für die Verpflichtung Sorge trägt. Das ist der Grund, warum reine “Standard-AVVs” ohne § 203-Klausel für Kanzleien nicht ausreichen.
13. Zwei Aufsichten, zwei Verfahren
Kanzleien unterliegen einer doppelten Kontrolle, die in der Praxis oft verwechselt wird:
| Aufsicht | Prüfmaßstab | Sanktion |
|---|---|---|
| Rechtsanwaltskammer (RAK) | Berufsrecht (§ 43a BRAO, BORA) | Rüge, Geldbuße bis 25.000 €, Vertretungsverbot, Ausschluss |
| Landesdatenschutzbehörde (LDA) | DSGVO/BDSG | Verwarnung, Bußgeld nach Art. 83 DSGVO |
| Staatsanwaltschaft | § 203 StGB | Freiheits- oder Geldstrafe |
Ein einziger Vorfall — etwa ein an den falschen Empfänger versandter Schriftsatz mit Gesundheitsdaten — kann alle drei Verfahren gleichzeitig auslösen. Deshalb ist in Kanzleien die Trennung von Datenschutz-Compliance und Berufsrecht künstlich; beides gehört in ein gemeinsames Dossier.
14. Tool-Unterstützung
Fazit
Für Anwälte ist DSGVO der einfache Teil — § 203 StGB und Berufsrecht sind die echten Hebel. Wer Cloud nutzt ohne Schweigepflichtverpflichtung der Dienstleister, riskiert eigene Strafbarkeit. Compliance ist hier Eigenschutz, nicht Mandantenschutz. Die praktische Umsetzung fasst unser praktischer DSGVO-Leitfaden für die Anwaltskanzlei zusammen. Wie Berufsgruppen ohne strafbewehrte Schweigepflicht mit ähnlich sensiblen Kundendaten umgehen, zeigt unser DSGVO-Leitfaden für Immobilienmakler.
FAQ
Darf ich Cloud-Software in der Kanzlei nutzen?
Ja, mit § 203 Abs. 4 StGB-Verpflichtung der Anbietermitarbeiter, AVV, EU-Standort und Verschlüsselung. Microsoft 365 und Datev sind etabliert.
Brauche ich einen Datenschutzbeauftragten?
Ab 20 Personen mit automatisierter Verarbeitung oder bei sensiblen Mandaten (Straf-, Medizin-, Familienrecht) als Kerntätigkeit.
Wie lange muss ich Mandantenakten aufbewahren?
Mindestens 6 Jahre nach Mandatsende (§ 50 BRAO), oft länger wegen Verjährungsfristen und Haftungsabsicherung.
E-Mail-Kommunikation: verschlüsseln oder nicht?
TLS-Server-Verschlüsselung ist Pflicht. Ende-zu-Ende-Verschlüsselung empfohlen bei hochsensiblen Inhalten oder auf Mandantenwunsch.
Was tun bei beA-Ausfall?
Faxweiterleitung an Gericht zulässig bei nachgewiesenem beA-Ausfall, plus Glaubhaftmachung des technischen Problems.
Reicht ein Standard-AVV für meinen IT-Dienstleister?
Nein. Der AVV nach Art. 28 DSGVO deckt das Datenschutzrecht ab, nicht aber die strafrechtliche Schweigepflicht. Zusätzlich braucht es die schriftliche Verpflichtung der mitwirkenden Personen nach § 203 Abs. 4 StGB. Ohne diese riskiert der Anwalt eigene Strafbarkeit.
Darf ich ChatGPT oder KI-Tools in der Kanzlei nutzen?
Nur mit größter Vorsicht. Werden Mandantendaten an einen KI-Dienst ohne AVV, ohne EU-Standort und ohne § 203-Verpflichtung übermittelt, liegt zugleich ein DSGVO- und ein Schweigepflichtverstoß vor. Für sensible Mandate sind anonymisierte Eingaben oder On-Premise-/EU-gehostete Lösungen mit vertraglicher Absicherung Pflicht.
Siehe auch: Welche Tools das Mandantengeheimnis technisch absichern, zeigt unser Vergleich der DSGVO-Software für Kanzleien.