Datenschutz, Berufsgeheimnis und Zugriffsrechte

Kanzleisoftware speichert Daten, die dem Berufsgeheimnis unterliegen. Ob sie diese schützt, hängt von Rechten, Anmeldung, Protokollen, Datensicherung und Betriebsart ab. Der Beitrag ordnet die rechtlichen Pflichten ein und zeigt, woran Sie die Eigenschaften bei Cloud-Lösungen und lokalem Betrieb prüfen.

Das Berufsgeheimnis als technische Anforderung

Nach § 43a Abs. 2 BRAO ist die Anwaltschaft zur Verschwiegenheit verpflichtet; die Pflicht erfasst alles, was in Ausübung des Berufes bekannt wurde. Wer unbefugt ein fremdes Geheimnis offenbart, macht sich nach § 203 Abs. 1 Nr. 3 StGB strafbar. Beschäftigte sind in Textform zur Verschwiegenheit zu verpflichten und über die strafrechtlichen Folgen zu belehren (§ 43a Abs. 2 Satz 4 BRAO). Gegenüber externen Personen, die an der Berufstätigkeit mitwirken, dürfen Geheimnisse offenbart werden, soweit das für deren Tätigkeit erforderlich ist (§ 203 Abs. 3 Satz 2 StGB).

BRAO und BORA enthalten nach unserer Recherche keine ausdrückliche Pflicht zu Datensicherung, Verschlüsselung, Passwortregeln oder Zwei-Faktor-Anmeldung.

Cloud und Dienstleister: § 43e BRAO

Bei Cloud-Software sind Anbieter und Rechenzentrum Dienstleister im Sinne des § 43e BRAO. Das ist, wer von Rechtsanwältinnen und Rechtsanwälten im Rahmen der Berufsausübung mit Dienstleistungen beauftragt wird. Nach der Gesetzesbegründung zählt die Bereitstellung von Software und Speicherplatz dazu. Auch eine externe IT-Betreuung mit Zugang zu Mandatsdaten kann Dienstleister sein. Die Vorschrift stellt fünf Anforderungen:

1. Erforderlichkeit (Abs. 1): Den Zugang zu geschützten Tatsachen dürfen Sie nur eröffnen, soweit die Dienstleistung ihn erfordert.
2. Sorgfältige Auswahl (Abs. 2): Die Zusammenarbeit ist unverzüglich zu beenden, wenn die Vorgaben nach Abs. 3 nicht gewährleistet sind.
3. Vertrag in Textform (Abs. 3): Er verpflichtet den Dienstleister zur Verschwiegenheit unter Belehrung über die strafrechtlichen Folgen, beschränkt die Kenntnisnahme auf das Erforderliche und regelt, ob weitere Personen (Unterauftragnehmer) eingesetzt werden dürfen, die dann in Textform zu verpflichten sind.
4. Dienstleistung im Ausland (Abs. 4): Der dortige Geheimnisschutz muss dem inländischen vergleichbar sein, es sei denn, der Schutz der Geheimnisse gebietet dies nicht. Ein Standort in der EU oder in Deutschland ist nicht vorgeschrieben; bei anderen EU-Staaten geht die Gesetzesbegründung in der Regel von vergleichbarem Schutz aus.
5. Einwilligung bei mandatsbezogenen Diensten (Abs. 5 und 6): Dient eine Leistung unmittelbar einem einzelnen Mandat, braucht es die Einwilligung der Mandantschaft; Abs. 2 und 3 gelten trotzdem, außer bei ausdrücklichem Verzicht. Allgemeine Kanzleisoftware ist nach unserer Einordnung regelmäßig kein solcher Fall.

Daneben bleibt das Datenschutzrecht unberührt (§ 43e Abs. 8 BRAO). Verarbeitet der Anbieter personenbezogene Daten in Ihrem Auftrag, braucht es einen Vertrag nach Art. 28 DSGVO, schriftlich auch in elektronischem Format (Abs. 9). Er regelt unter anderem Weisungsbindung, Maßnahmen nach Art. 32, Unterauftragsverarbeiter, Löschung oder Rückgabe und Kontrollrechte. Beide Regelungen gelten nebeneinander. Ein Auftragsverarbeitungsvertrag allein erfüllt aus unserer Sicht § 43e Abs. 3 BRAO nicht automatisch: Dort sind zusätzlich die Verpflichtung zur Verschwiegenheit mit Belehrung über die strafrechtlichen Folgen, die Beschränkung der Kenntnisnahme auf das Erforderliche und Regeln zu Unterauftragnehmern vorgesehen. Prüfen Sie, ob der Vertrag diese Punkte enthält.

Für Drittländer gilt zusätzlich Kapitel V der DSGVO (Art. 44 ff.). Nach der Datenschutzkonferenz (DSK) kann die Gefahr von Behördenzugriffen aus Drittländern auf Daten bei EWR-Töchtern von Drittlandskonzernen die Zuverlässigkeit des Auftragsverarbeiters nach Art. 28 Abs. 1 DSGVO in Frage stellen. Das gilt, wenn keine Maßnahmen hinreichende Garantien bieten. Die BRAK hält in ihren KI-Hinweisen (Stand Dezember 2024) für nicht abschließend geklärt, ob bei US-Anbietern auf das Datenschutzniveau abgestellt werden kann.

Datenschutzpflichten im Kanzleialltag

Die Kanzleiinhaberschaft ist Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Für die Softwareauswahl zählen vor allem diese Pflichten:

• Verzeichnis (Art. 30 DSGVO): Verantwortliche führen ein Verzeichnis ihrer Verarbeitungstätigkeiten (Abs. 1; Ausnahmen für kleine Einrichtungen in Abs. 5).
• Sicherheit (Art. 32 DSGVO): Geeignete Maßnahmen nach Stand der Technik und Risiko, etwa Verschlüsselung, Vertraulichkeit, Verfügbarkeit, rasche Wiederherstellung und regelmäßige Überprüfung (Abs. 1 lit. a bis d).
• Meldung (Art. 33 DSGVO): Datenschutzverletzungen sind unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden, außer sie führen voraussichtlich nicht zu einem Risiko. Ein Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich (Abs. 2).

Handakten sind sechs Jahre aufzubewahren, beginnend mit Ablauf des Kalenderjahres, in dem der Auftrag endete (§ 50 Abs. 1 BRAO). Bis dahin steht Art. 17 Abs. 3 lit. b DSGVO einem Löschverlangen entgegen. Danach sind sie nach der Gesetzesbegründung in der Regel zu vernichten. Für steuerlich relevante Unterlagen laufen steuerliche Fristen parallel (§ 147 Abs. 3 Satz 1 AO: zehn, acht oder sechs Jahre je nach Unterlage). Software sollte Fristen je Akte verwalten, vor dem Löschen sperren und die Löschung protokollieren (siehe Aktenführung und Beteiligte).

Datenschutzbeauftragte müssen Kanzleien benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen (§ 38 Abs. 1 Satz 1 BDSG).

Rollen und Rechte: Wer darf welche Akte sehen?

Das Datenschutzrecht verlangt Schutz vor unbefugter Verarbeitung (Art. 5 Abs. 1 lit. f DSGVO) und bezieht die Voreinstellung ausdrücklich auf die Zugänglichkeit der Daten (Art. 25 Abs. 2 Satz 2 DSGVO). Daraus leiten Aufsichtsbehörden ein Berechtigungskonzept nach dem Erforderlichkeitsprinzip ab (Need-to-know). Eine ausdrückliche berufsrechtliche Vorschrift dazu gibt es für Beschäftigte nicht. Aus unserer Sicht sollte die Software drei Ebenen trennen:

1. Rolle im System: Üblich sind Administration, Anwaltschaft, Sachbearbeitung und Mandantschaft (Mandantenportal).
2. Zugriff je Akte: Personen lassen sich Akten zuordnen, auch abgestuft, etwa „bearbeitend“ oder „nur lesend“.
3. Zusatzschutz für heikle Akten: Eine Vertraulichkeitsstufe sperrt Akten für alle, die nicht ausdrücklich zugeordnet sind.

Ethical Wall und streng vertrauliche Akten

Eine „Ethical Wall“ trennt Akten innerhalb der Kanzlei. Hintergrund ist das Tätigkeitsverbot bei widerstreitenden Interessen (§ 43a Abs. 4 BRAO), das sich auf gemeinschaftlich tätige Rechtsanwältinnen und Rechtsanwälte erstreckt. Die Erstreckung entfällt, wenn alle betroffenen Mandantinnen und Mandanten nach umfassender Information in Textform zugestimmt haben und geeignete Vorkehrungen die Verschwiegenheit sichern.

Nach § 3 Abs. 4 BORA ist dann getrennt zu bearbeiten: durch verschiedene Personen, mit Ausschluss des wechselseitigen Zugriffs auf Papierakten und elektronische Daten einschließlich beA, mit Kommunikationsverbot und Dokumentation je Mandat. Eine Informationsbarriere allein genügt nicht; das persönliche Verbot für die selbst vorbefasste Person ist nicht abdingbar.

Ob der Zugriffsausschluss auch für Administration, Volltextsuche und Sicherungen greifen muss, nennt § 3 Abs. 4 BORA nicht ausdrücklich; das gehört in die fachkundige Prüfung. Der Anbieter sollte deshalb belegen können, wer eine solche Akte sehen kann und wer sie je gesehen hat. Zur Volltextsuche lesen Sie Dokumente, Vorlagen und Volltextsuche.

Eine Konfliktdatenbank schreibt § 3 BORA nicht vor. Berufsausübungsgesellschaften müssen berufsrechtliche Verstöße aber durch geeignete Maßnahmen früh erkennen (§ 59e Abs. 2 Satz 1 BRAO); § 31 BORA nennt dafür elektronische Systeme gegen Interessenkollisionen.

Mandantentrennung bei Mehrmandanten- und Cloud-Systemen

In der IT heißt „Mandant“ jede Kanzlei, die dasselbe System nutzt (englisch „Tenant“) – nicht die Mandantschaft. Keine Kanzlei darf Daten einer anderen sehen. Die Trennung kann technisch erzwungen sein, etwa weil die Datenzugriffsschicht jede Abfrage an die Kanzlei bindet. Oder sie beruht auf Konvention: Jede Programmfunktion muss selbst daran denken zu filtern. Das ist fehleranfälliger. Fragen Sie, wie die Trennung getestet wird und ob Zugriffsversuche über Kanzleigrenzen hinweg protokolliert werden.

Anmeldung: Passwort, zweiter Faktor, Zurücksetzen

Eine ausdrückliche Pflicht zur Zwei-Faktor-Anmeldung enthalten BRAO und BORA nicht, und Art. 32 DSGVO nennt sie nicht. Ob sie geboten ist, ist eine Frage von Risikobewertung und Stand der Technik. Nur für das beA schreibt § 31a Abs. 3 Satz 1 BRAO zwei voneinander unabhängige Sicherungsmittel vor. Als Maßstab kann das IT-Grundschutz-Kompendium des BSI (Edition 2023) dienen; es bindet Kanzleien nicht. Passwörter dürfen danach nicht mehrfach verwendet werden (ORP.4.A8). Rein zeitgesteuerte Wechsel sollen vermieden werden (ORP.4.A23). Für Kennungen mit weitreichenden Berechtigungen soll eine Mehr-Faktor-Authentisierung genutzt werden (ORP.4.A10).

Aus unserer Sicht gehören zur Grundausstattung:

• Zwei-Faktor-Anmeldung für alle Konten, von der Kanzlei verbindlich einstellbar.
• Ratenbegrenzung: Wiederholt fehlgeschlagene Anmeldungen werden gebremst oder gesperrt.
• Einladung statt vergebener Passwörter: Nutzende legen ihr Passwort selbst fest; die Administration kennt keines.
• Zurücksetzen über einen einmaligen, zeitlich begrenzten Link an die hinterlegte E-Mail-Adresse.
• Deaktivieren statt Löschen ausscheidender Konten.

Protokollierung: Was nachvollziehbar sein sollte

Ein Protokoll zeigt, wer wann was getan hat. Unterscheiden Sie Aktenprotokoll (Änderungen an Akte, Fristen, Dokumenten, Status), Zugriffsprotokoll (wer hat eine Akte geöffnet), Protokoll administrativer Zugriffe und Rechteänderungen sowie Anmeldeprotokoll. Sie helfen, Datenschutzverletzungen zu erkennen (Art. 33 DSGVO). Fragen Sie nach Aufbewahrungsdauer, Leseberechtigten und Schutz vor nachträglicher Änderung. Protokolle enthalten selbst personenbezogene Daten, auch über Beschäftigte.

Datensicherung und Wiederherstellung

Art. 32 Abs. 1 DSGVO nennt die Fähigkeit, Verfügbarkeit und Zugang bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen (lit. c), und Verschlüsselung (lit. a). Das BSI-Kompendium (nicht bindend) nennt als Basis-Anforderungen Datensicherungen nach Plan (CON.3.A5), räumlich getrennte Aufbewahrung (CON.3.A12), Schutz vor unbefugtem Zugriff (CON.3.A14) und regelmäßige Rückspieltests (CON.3.A15).

Betriebsarten im Sicherheitsvergleich

Kanzleisoftware läuft lokal, als Cloud-Dienst oder beim Hersteller gehostet. Keine Variante ist von vornherein sicherer; es verschieben sich die Verantwortlichkeiten. Lokal tragen Kanzlei und IT-Betreuung Updates, Zugriffsschutz und Sicherung. Bei Cloud und Hosting liegt der Betrieb beim Anbieter; dafür prüfen Sie Vertrag, Standort, Unterauftragnehmer und dessen Zugriffsmöglichkeiten. Überall gilt: Wer kann Mandatsdaten lesen, wo liegen die Sicherungen, was geschieht beim Vertragsende? Angebote finden Sie auf der Vergleichsseite Kanzleisoftware.

Anforderungen im Überblick

Anforderung	Warum	Woran Sie es prüfen
Verträge nach § 43e Abs. 3 BRAO und Art. 28 DSGVO	Beide gelten nebeneinander	Beide Vertragstexte liegen vor
Standort und Unterauftragnehmer	§ 43e Abs. 4 BRAO	Liste mit Ländern und Unterauftragnehmern
Rollen und Aktenrechte	Zugriff nach Erforderlichkeit	Testkonten je Rolle, Aktenteam
Sperre streng vertraulicher Akten	§ 3 Abs. 4 BORA (nur bei Ethical Wall)	Administration und Suche sehen sie nicht
Erzwungene Mandantentrennung	Kein Einblick anderer Kanzleien	Testverfahren mit zwei Kanzleien
Zwei-Faktor, Ratenbegrenzung	Einschätzung zu Risiko und Stand der Technik (Art. 32 DSGVO)	Einstellungen, Anmeldeprotokoll
Protokolle	Nachweis nach Vorfällen	Arten, Aufbewahrung, Änderungsschutz
Sicherung, Rückspieltest	Art. 32 Abs. 1 lit. c DSGVO	Testprotokoll, Ort der Kopien

Häufige Fragen

Muss die Kanzleisoftware in Deutschland oder der EU gehostet werden?

Nein. § 43e BRAO schreibt keinen Standort vor. Bei Dienstleistungen im Ausland, auch in anderen EU-Staaten, muss der Geheimnisschutz grundsätzlich dem inländischen vergleichbar sein. Die BRAK empfiehlt in ihren KI-Hinweisen (Stand Dezember 2024), soweit möglich Serverstandorte in Deutschland oder Europa zu bevorzugen.

Genügt ein Auftragsverarbeitungsvertrag?

Aus unserer Sicht nicht. § 43e Abs. 3 BRAO verlangt einen Vertrag in Textform mit Verschwiegenheitsverpflichtung samt Belehrung über die strafrechtlichen Folgen. Der Vertrag nach Art. 28 DSGVO regelt die Datenschutzseite; beide gelten nebeneinander.

Ist die Zwei-Faktor-Anmeldung Pflicht?

BRAO, BORA und Art. 32 DSGVO nennen sie nicht ausdrücklich. Wegen Berufsgeheimnis und Stand der Technik (§ 2 Abs. 2 BORA) sollten Sie sie nach unserer Einschätzung für alle Konten verlangen. Nur beim beA schreibt § 31a Abs. 3 Satz 1 BRAO zwei Sicherungsmittel vor.

Rechtsgrundlagen und Quellen

• § 43a BRAO – Verschwiegenheit, Tätigkeitsverbot
• § 43e BRAO – Dienstleister
• § 50 BRAO – Handakten
• § 31a BRAO – beA-Zugang
• § 203 StGB – Privatgeheimnisse
• BORA, Stand 01.12.2025 – §§ 2, 3 und 31
• DSGVO – Art. 4, 5, 17, 25, 28, 30, 32, 33, 44 ff.
• § 38 BDSG – Datenschutzbeauftragte
• § 147 AO – Aufbewahrungsfristen
• BRAK, Hinweise zum Einsatz von KI (12/2024) – Cloud, § 43e
• DSK-Beschluss zu Drittlandzugriffen (31.01.2023) – Drittlandzugriffe
• BSI, IT-Grundschutz-Kompendium 2023 – Rechte, Anmeldung, Sicherung

Weiterlesen

• KI in der Kanzleisoftware: Nutzen, Grenzen, Pflichten
• Aktenführung und Beteiligte in der Kanzleisoftware
• Mandantenportal und elektronische Signatur in der Kanzlei
• Dokumente, Vorlagen und Volltextsuche in der Kanzleisoftware
• Kanzleisoftware im Vergleich