Anwaltskanzleien gehören zu den Berufsgruppen, die besonders schutzwürdige Daten verwalten. Mandanteninformationen, Verfahrensunterlagen, medizinische Gutachten, wirtschaftliche Kennzahlen aus Unternehmensstreitigkeiten: All das landet täglich in digitalen Postfächern, auf Kanzleiservern und in cloudbasierten Aktensystemen. Die DSGVO gilt seit 2018, doch viele Kanzleien haben ihren Umgang mit diesen Daten seitdem kaum systematisch überprüft. 2026 ist das keine Kleinigkeit mehr, denn Aufsichtsbehörden verhängen Bußgelder auch gegen kleinere Einheiten.
Was die DSGVO von Anwaltskanzleien konkret verlangt
Rechtsanwälte sind nach Art. 4 Nr. 7 DSGVO Verantwortliche im datenschutzrechtlichen Sinne. Das bedeutet: Sie entscheiden über Zweck und Mittel der Datenverarbeitung und haften dafür, dass diese rechtmäßig erfolgt. Eine Einzelkanzlei ist dabei genauso in der Pflicht wie eine überregional tätige Sozietät mit 50 Berufsträgern.
Zu den Grundpflichten gehören das Führen eines Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO, die Umsetzung technischer und organisatorischer Maßnahmen (TOMs) nach Art. 32 DSGVO sowie die Erfüllung von Betroffenenrechten, etwa auf Auskunft oder Löschung. Kanzleien, die regelmäßig besondere Kategorien personenbezogener Daten verarbeiten, also etwa Gesundheitsdaten in Arzthaftungsfällen oder Strafregisterdaten in Strafverteidigungsmandaten, unterliegen nach Art. 9 DSGVO zusätzlichen Anforderungen.
Ein häufig übersehener Punkt: Wer als Anwalt externe Dienstleister einsetzt, etwa einen IT-Dienstleister für die Kanzleisoftware oder einen Cloudspeicher-Anbieter, muss mit diesen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen. Fehlt dieser Vertrag, liegt bereits ein Verstoß vor, unabhängig davon, ob tatsächlich Daten abgeflossen sind.
Datenschutzbeauftragter: Pflicht oder Kür?
Für Kanzleien stellt sich regelmäßig die Frage, ob ein Datenschutzbeauftragter zu benennen ist. Nach § 38 BDSG gilt die Pflicht ab zehn Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. In einer Kanzlei mit Anwälten, Referendaren, Sekretariat und IT-Betreuung ist diese Schwelle oft schneller erreicht, als es auf den ersten Blick scheint. Selbst unterhalb dieser Schwelle kann eine freiwillige Benennung sinnvoll sein, da sie dokumentiert, dass das Thema intern ernst genommen wird.
Wichtig: Der Datenschutzbeauftragte darf nicht zugleich die IT-Abteilung leiten oder über Verarbeitungsentscheidungen mitbestimmen. Ein externer Datenschutzbeauftragter ist in solchen Konstellationen oft die praktikablere Lösung und kostet je nach Umfang zwischen 1.500 und 5.000 Euro jährlich.
Digitale Sicherheit: Schwachstellen im Kanzleialltag
Technische Sicherheitsmaßnahmen sind in Art. 32 DSGVO zwar abstrakt formuliert, lassen sich aber konkret herunterbrechen. Drei Schwachstellen dominieren das Schadensbild in Anwaltskanzleien: unsichere Passwörter, fehlende Verschlüsselung und ungesicherte E-Mail-Kommunikation.
Passwörter sind nach wie vor das häufigste Einfallstor. Laut einer Analyse des Bundesamts für Sicherheit in der Informationstechnik aus 2024 nutzen rund 40 Prozent aller Unternehmen in Deutschland noch immer Standardpasswörter oder teilen Zugangsdaten unter Mitarbeitern. Für Kanzleien, die unter das Berufsgeheimnis nach § 203 StGB fallen, kann das strafrechtliche Konsequenzen haben. Ein strukturierter Umgang mit Zugangsdaten lässt sich durch spezialisierte Software erheblich verbessern: Informationen zu Passwörtern und Datenschutz zeigen, welche Werkzeuge dabei sinnvoll eingesetzt werden können und worauf es bei der Auswahl ankommt.
Verschlüsselung betrifft nicht nur den Versand von E-Mails, sondern auch die Speicherung von Daten auf Endgeräten. Ein gestohlenes Notebook mit unverschlüsselter Festplatte und Mandantenakten darauf löst eine Meldepflicht nach Art. 33 DSGVO aus, die innerhalb von 72 Stunden gegenüber der zuständigen Aufsichtsbehörde erfüllt werden muss. Wer das versäumt, riskiert ein zusätzliches Bußgeld neben dem eigentlichen Datenschutzverstoß.
E-Mail und Kommunikation: Sicherheit im Detail
Die meisten Mandantenkommunikation läuft über E-Mail, obwohl das Protokoll in seiner Grundform nicht für vertrauliche Rechtskommunikation geeignet ist. Unverschlüsselte E-Mails lassen sich auf dem Transportweg abfangen und mitlesen. Wer Mandantendaten per unverschlüsselter E-Mail versendet, handelt nach geltender Rechtslage fahrlässig.
Praktische Abhilfe bieten S/MIME-Verschlüsselung, PGP-basierte Systeme oder mandantenspezifische Portallösungen, bei denen Dokumente nicht per E-Mail verschickt, sondern in einem gesicherten Bereich bereitgestellt werden. Einige Kanzleisoftware-Anbieter wie RA-MICRO oder Advoware bieten solche Portale inzwischen als integrierten Bestandteil an. Die Implementierung ist kein Luxus mehr, sondern Stand der Technik im Sinne von Art. 32 DSGVO.
Aufbewahrung und Löschung: Unterschätzte Pflichten
Anwälte neigen dazu, Akten dauerhaft zu archivieren. Das ist verständlich, rechtlich aber problematisch. Die DSGVO verlangt, dass personenbezogene Daten nicht länger gespeichert werden, als es für den Verarbeitungszweck notwendig ist (Art. 5 Abs. 1 lit. e DSGVO). Für Handakten gilt nach § 50 BRAO eine Aufbewahrungspflicht von sechs Jahren nach Beendigung des Mandats. Danach besteht grundsätzlich eine Löschpflicht, sofern keine anderen gesetzlichen Aufbewahrungsfristen eingreifen.
Ein Löschkonzept, das diesen Namen verdient, enthält eine Übersicht aller Datenkategorien, die jeweilige Aufbewahrungsfrist mit Rechtsgrundlage und einen konkreten Prozess zur Löschung oder Vernichtung. Ohne ein solches Konzept ist das Verzeichnis der Verarbeitungstätigkeiten unvollständig, was bei einer Prüfung durch die Aufsichtsbehörde negativ auffällt.
Bußgelder und Haftung: Was Anwälte riskieren
Die Bußgeldpraxis der deutschen Aufsichtsbehörden hat sich seit 2021 spürbar verschärft. Verhängt werden Bußgelder nicht nur gegen Konzerne. Die Berliner Beauftragte für Datenschutz verhängte 2023 ein Bußgeld von 50.000 Euro gegen eine mittelgroße Kanzlei wegen unzureichender TOMs. Das LG München I entschied 2022, dass Anwälte auch zivilrechtlich gegenüber Mandanten haften können, wenn deren Daten durch Fahrlässigkeit kompromittiert wurden.
Neben dem Bußgeld droht bei einem Datenpanne nach § 203 StGB auch eine strafrechtliche Verantwortlichkeit, wenn das Anwaltsgeheimnis verletzt wurde. Und der Reputationsschaden nach einem öffentlich gewordenen Datenschutzvorfall lässt sich finanziell kaum beziffern, trifft aber eine Kanzlei oft härter als jedes Bußgeld.
Wer 2026 Mandantendaten verarbeitet, braucht kein Sicherheitskonzept für den Ernstfall, sondern eines, das von Anfang an funktioniert. Die rechtlichen Vorgaben sind klar, die technischen Mittel verfügbar. Was fehlt, ist in vielen Kanzleien schlicht die systematische Umsetzung.
- Datenschutz im Anwaltsbüro 2026: Pflichten und Sicherheit - 15. August 2026
- Schlüsseldienst: Wer zahlt Mieter, Vermieter oder Versicherung? - 15. August 2026
- Maschinenwert nach Schaden: Zeitwert, Restwert erklärt - 15. August 2026
