Vertraulich und mobil: Wie Kanzleien die Mandantenkommunikation DSGVO-konform gestalten

Die Erwartungen von Mandantinnen und Mandanten haben sich in den vergangenen Jahren grundlegend verändert. Wer heute rechtliche Unterstützung sucht, möchte nicht tagelang auf eine Antwort per Post warten – er erwartet schnelle Rückmeldungen, idealerweise über das Smartphone. Für Anwältinnen und Anwälte bedeutet das: Mobile Erreichbarkeit ist längst kein Komfortmerkmal mehr, sondern ein Wettbewerbsfaktor.

Doch die Nutzung von Messenger-Diensten, mobilen Apps und cloudbasierten Kommunikationsplattformen ist im anwaltlichen Kontext kein datenschutzrechtliches Niemandsland. Im Gegenteil: Wer hier unvorbereitet vorgeht, riskiert nicht nur Bußgelder nach der Datenschutz-Grundverordnung (DSGVO), sondern auch Verstöße gegen die anwaltliche Schweigepflicht gemäß § 43a der Bundesrechtsanwaltsordnung (BRAO).

Warum die anwaltliche Kommunikation besonders schutzbedürftig ist

Das Mandatsverhältnis lebt von einem fundamentalen Vertrauensverhältnis. Mandantinnen und Mandanten teilen mit ihren Anwälten häufig hochsensible Informationen – über Erbstreitigkeiten, strafrechtliche Vorwürfe, Unternehmensgeheimnisse oder familiäre Konflikte. Diese Daten sind nicht nur nach der DSGVO als personenbezogene Informationen zu schützen, sie unterliegen darüber hinaus dem Berufsgeheimnis.

Nach Art. 9 DSGVO können je nach Sachverhalt sogar besondere Kategorien personenbezogener Daten betroffen sein – etwa Gesundheitsdaten oder Informationen über strafrechtliche Verurteilungen. Der Umgang mit solchen Daten unterliegt strengen Voraussetzungen. Eine Übermittlung über nicht abgesicherte Kanäle ist in diesen Fällen schlicht unzulässig.

WhatsApp & Co.: Populär, aber problematisch

In der Praxis greift so manche Kanzlei dennoch auf weit verbreitete Messenger wie WhatsApp zurück – schließlich ist die App auf nahezu jedem Smartphone installiert und die Hemmschwelle zur Nutzung denkbar gering. Doch genau hier liegt das Problem.

WhatsApp wird von Meta Platforms betrieben, einem US-amerikanischen Konzern. Auch wenn die Nachrichten selbst Ende-zu-Ende-verschlüsselt sind, werden Metadaten – darunter Telefonnummern aus dem Adressbuch der Nutzerinnen und Nutzer – auf Server in den USA übertragen. Das Urteil des Europäischen Gerichtshofs in der Rechtssache Schrems II hat klargestellt, dass Datenübermittlungen in Drittstaaten ohne angemessenes Schutzniveau grundsätzlich unzulässig sind. Trotz des inzwischen verabschiedeten EU-US Data Privacy Framework bleibt die Rechtslage für viele Datenschutzbeauftragte und Aufsichtsbehörden umstritten.

Für Kanzleien empfiehlt es sich daher, auf Alternativen zu setzen, die nachweislich europäischen Datenschutzstandards entsprechen.

DSGVO-konforme Alternativen im Überblick

Der Markt für datenschutzkonforme Kommunikationslösungen hat sich in den letzten Jahren deutlich weiterentwickelt. Folgende Kategorien von Tools kommen für Kanzleien in Betracht:

Verschlüsselte Messaging-Plattformen mit europäischem Hosting: Dienste wie Threema Work oder Wire for Business bieten Ende-zu-Ende-Verschlüsselung und können mit Servern innerhalb der EU betrieben werden. Sie erlauben zudem eine zentrale Verwaltung durch die Kanzlei.

Anwaltsspezifische Mandantenportale: Einige auf den Rechtsmarkt spezialisierte Softwarelösungen bieten integrierte Kommunikationsfunktionen innerhalb eines gesicherten Mandantenportals. Dokumente, Nachrichten und Fristen lassen sich dort gebündelt verwalten – mit klarer Trennung von privaten und beruflichen Kanälen.

Verschlüsselte E-Mail-Kommunikation: Auch klassische E-Mail kann DSGVO-konform gestaltet werden, wenn sie mit einer Ende-zu-Ende-Verschlüsselung (z. B. über S/MIME oder PGP) kombiniert wird. In der Praxis scheitert dies allerdings häufig an der mangelnden technischen Ausstattung auf Mandantenseite.

Technische und organisatorische Maßnahmen (TOMs)

Die DSGVO verlangt in Art. 32 von Verantwortlichen die Umsetzung geeigneter technischer und organisatorischer Maßnahmen zum Schutz personenbezogener Daten. Für Kanzleien bedeutet das konkret:

• Geräteverschlüsselung: Alle mobilen Endgeräte, über die Mandatskommunikation abgewickelt wird, müssen verschlüsselt sein.
• Mobile Device Management (MDM): Kanzleien sollten ein zentrales System zur Verwaltung mobiler Geräte einsetzen, um bei Verlust oder Diebstahl Fernlöschungen vornehmen zu können.
• Zugriffskontrollen: Nicht jede Mitarbeiterin und jeder Mitarbeiter benötigt Zugriff auf sämtliche Mandatsdaten. Rollenbasierte Berechtigungskonzepte sind Pflicht.
• Auftragsverarbeitungsverträge (AVV): Sobald externe Dienstleister – etwa Cloud-Anbieter oder App-Betreiber – Zugriff auf personenbezogene Daten erhalten, ist ein AVV nach Art. 28 DSGVO abzuschließen.

Die Rolle der Einwilligung und Transparenz

Ein häufig unterschätzter Aspekt: Mandantinnen und Mandanten müssen über die verwendeten Kommunikationskanäle und die damit verbundene Datenverarbeitung informiert werden. Eine Datenschutzerklärung, die lediglich auf der Kanzleiwebsite abrufbar ist, reicht in vielen Fällen nicht aus.

Besonders bei der Nutzung neuer digitaler Kanäle empfiehlt sich eine ausdrückliche Einwilligung der Mandantschaft – verbunden mit einer verständlichen Erläuterung, welche Daten wo gespeichert werden und wie lange. Diese Transparenz stärkt nicht nur die rechtliche Absicherung der Kanzlei, sondern auch das Vertrauen der Mandanten.

Schulung des Kanzleipersonals nicht vernachlässigen

Selbst die beste technische Infrastruktur nützt wenig, wenn das Team im Umgang damit nicht geschult ist. Datenpannen entstehen häufig nicht durch Hackerangriffe, sondern durch menschliche Fehler – eine versehentlich an den falschen Empfänger gesendete Nachricht, ein ungesichertes WLAN-Netz im Café, ein privates Gerät ohne Kanzleischutz.

Regelmäßige Schulungen, klare interne Richtlinien zur mobilen Kommunikation und ein sensibilisiertes Team sind daher ebenso wichtig wie die Wahl der richtigen Software.

Fazit: Mobilität und Datenschutz schließen sich nicht aus

Die gute Nachricht für alle Kanzleien, die modern und erreichbar sein möchten: Datenschutz und mobile Mandantenkommunikation sind kein Widerspruch. Mit der richtigen technischen Ausstattung, durchdachten organisatorischen Prozessen und einem informierten Team lässt sich beides vereinen.

Plattformen wie Kanzleien.mobi bieten Anwältinnen und Anwälten eine Möglichkeit, genau diesen Spagat sichtbar zu machen – und Mandanten den Weg zu Kanzleien zu weisen, die nicht nur rechtlich kompetent, sondern auch digital verantwortungsvoll aufgestellt sind. In einer Zeit, in der Vertrauen das wichtigste Kapital einer Kanzlei ist, zahlt sich diese Investition mehrfach aus.