DSGVO in der Anwaltskanzlei

Die Pflichten lassen sich auf sechs Punkte verdichten, die im Kanzleialltag tatsächlich Arbeit erzeugen.

• Rechtsgrundlage. Mandatsverarbeitung stützt sich in der Regel auf die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO, bei besonderen Datenkategorien kommen weitere Voraussetzungen hinzu.
• Verzeichnis von Verarbeitungstätigkeiten. Nach Art. 30 DSGVO verpflichtend, auch für kleine Kanzleien.
• Informationspflichten. Betroffene müssen wissen, wer ihre Daten zu welchem Zweck verarbeitet.
• Betroffenenrechte. Auskunft, Berichtigung, Löschung, Einschränkung, jeweils mit Fristen.
• Technisch-organisatorische Maßnahmen. Art. 32 DSGVO, in der Kanzlei vor allem Zugriffskontrolle und Verschlüsselung.
• Auftragsverarbeitung. Für jeden externen Dienstleister mit Datenzugriff ein Vertrag nach Art. 28 DSGVO.

Bei Verstößen drohen Bußgelder, in der Praxis relevanter sind aber Beschwerden von Betroffenen und der Reputationsschaden.

Sobald ein Dritter Mandantendaten verarbeitet, sei es Cloud-Speicher, Kanzleisoftware, Telefonservice oder KI-Telefonie, braucht es einen Auftragsverarbeitungsvertrag. Ohne wirksamen AVV ist die Weitergabe schlicht nicht zulässig.

Worauf die Kanzlei beim Prüfen achten sollte: konkrete Aufzählung der verarbeiteten Datenarten statt Textbausteinen, benannter Hosting-Standort, vollständige Liste der Subunternehmer mit Widerspruchsrecht, definierte Löschprozesse, technisch-organisatorische Maßnahmen als Anlage, und die Zusicherung, dass Inhalte nicht für das Training von KI-Modellen genutzt werden.

Der letzte Punkt ist bei KI-Anbietern der entscheidende. Er sollte im Vertrag stehen, nicht nur auf einer Marketingseite.

Ein Telefongespräch mit einem potenziellen Mandanten ist eine Datenverarbeitung. Wird es aufgezeichnet oder transkribiert, braucht es eine Einwilligung, und die muss vor der Verarbeitung eingeholt und dokumentiert werden.

In der Praxis heißt das: eine klare Ansage zu Beginn des Gesprächs, eine echte Wahlmöglichkeit und ein dokumentiertes Ergebnis. Der Anrufer muss ablehnen können, ohne dass die Kanzlei ihn abweist.

Bei LexDial wird die Einwilligung zu Gesprächsbeginn abgefragt und im Datensatz festgehalten. Wird sie verweigert, speichert das System weder Transkript noch Gesprächsinhalt. Die Rufnummer bleibt erhalten, damit die Kanzlei zurückrufen kann. Das ist der datensparsame Mittelweg zwischen "gar nichts" und "alles".

Speicherdauer und Löschung gehören ebenfalls geregelt. Wer Anrufdaten unbegrenzt aufhebt, verstößt gegen die Zweckbindung.

Für Kanzleien gilt eine Besonderheit: die DSGVO ist nicht der strengste Maßstab. Die anwaltliche Verschwiegenheit nach § 43a BRAO und § 203 StGB geht weiter und ist strafbewehrt. Sie schützt bereits die Tatsache, dass ein Mandatsverhältnis besteht, und sie gilt zeitlich unbegrenzt fort.

Ein Dienstleister, der DSGVO-konform arbeitet, ist deshalb noch nicht automatisch berufsrechtlich tragfähig. Nötig ist zusätzlich die vertragliche Einbindung als Hilfsperson und eine technische Architektur, die den Zugriff Dritter tatsächlich verhindert.

Konkret bedeutet das: Hosting innerhalb der EU, besser innerhalb Deutschlands, Verschlüsselung im Ruhezustand und während der Übertragung, getrennte Schlüssel pro Kanzlei, dokumentierte Zugriffskontrolle. Bei LexDial liegen die Daten in Deutschland und sind mit AES-256-GCM verschlüsselt, mit einem eigenen Schlüssel je Kanzlei. Details auf der Seite Sicherheit.