Berufsgeheimnis und IT-Dienstleister: Was Kanzleien regeln müssen

Externe IT-Dienstleister sehen zwangsläufig, was Mandanten anvertraut haben: Aktenstrukturen, Namen, Korrespondenz. Das ist zulässig, aber an Voraussetzungen gebunden, die bis ins Strafrecht reichen. Wer Software, Wartung oder Cloud einkauft, sollte drei Ebenen auseinanderhalten: die strafrechtliche Verschwiegenheitspflicht, den Rahmen des § 43e BRAO und die Auftragsverarbeitung nach Art. 28 DSGVO.

Die Verschwiegenheitspflicht erstreckt sich auf Mitwirkende

§ 203 Absatz 1 Nummer 3 StGB stellt die Offenbarung fremder Geheimnisse durch Rechtsanwälte unter Strafe. Absatz 3 Satz 2 nimmt einen Teil davon aus: Die genannten Personen dürfen Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme ihrer Tätigkeit erforderlich ist. Der IT-Dienstleister ist damit Teil des Geheimnisschutzes, nicht Außenstehender.

Diese Erleichterung hat einen Preis, und er steht im selben Paragrafen. Nach Absatz 4 Nummer 1 macht sich der Berufsgeheimnisträger strafbar, wenn er nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person zur Geheimhaltung verpflichtet wurde. Die Verpflichtung ist deshalb keine Formalie, sondern Bedingung der eigenen Straflosigkeit. Der Dienstleister selbst kann sich nach Absatz 4 Satz 1 strafbar machen; Absatz 6 erhöht den Strafrahmen auf bis zu zwei Jahre bei Handeln gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht.

§ 43e BRAO: der berufsrechtliche Rahmen

Das Berufsrecht regelt die Einbeziehung ausdrücklich. § 43e Absatz 1 BRAO erlaubt den Zugang zu Tatsachen, auf die sich die Verschwiegenheitspflicht nach § 43a Absatz 2 Satz 1 BRAO bezieht, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Dienstleister ist nach Absatz 1 Satz 2 eine andere Person oder Stelle, die im Rahmen der Berufsausübung mit Dienstleistungen beauftragt wird.

Textform und drei Pflichtinhalte

Der Vertrag bedarf nach Absatz 3 Satz 1 der Textform. Absatz 3 Satz 2 nennt drei Inhalte, die nicht zur Disposition stehen:

• Der Dienstleister ist unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten.
• Er ist zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist.
• Es ist festzulegen, ob er weitere Personen heranziehen darf; ist das der Fall, muss er diese in Textform zur Verschwiegenheit verpflichten.

Mandatsbezug und Dienstleister im Ausland

Absatz 5 zieht eine zusätzliche Grenze: Dient die Dienstleistung unmittelbar einem einzelnen Mandat, darf der Zugang nur mit Einwilligung des Mandanten eröffnet werden. Absatz 6 stellt klar, dass die Pflichten aus Absatz 2 und 3 auch dann bestehen bleiben, sofern der Mandant nicht ausdrücklich darauf verzichtet.

Für Dienstleistungen im Ausland verlangt Absatz 4, dass der dortige Schutz der Geheimnisse dem im Inland vergleichbar ist, es sei denn, der Schutz gebietet dies nicht. Absatz 7 nimmt Dienstleistungen aus, die aufgrund besonderer gesetzlicher Vorschriften in Anspruch genommen werden, und entbindet von der Textform-Verpflichtung, soweit der Dienstleister gesetzlich zur Verschwiegenheit verpflichtet ist. Absatz 8 lässt das Datenschutzrecht unberührt.

Datenschutzrechtlich: Auftragsverarbeitung nach Art. 28 DSGVO

Sobald personenbezogene Daten verarbeitet werden, tritt die zweite Ebene hinzu. Art. 28 Absatz 1 DSGVO verpflichtet den Verantwortlichen, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden. Absatz 3 Satz 2 zählt auf, was der Vertrag insbesondere vorsehen muss:

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, auch bei Drittlandübermittlungen (Buchstabe a).
• Vertraulichkeitsverpflichtung der befugten Personen oder eine angemessene gesetzliche Verschwiegenheitspflicht (Buchstabe b).
• Alle Maßnahmen nach Art. 32 DSGVO (Buchstabe c).
• Einhaltung der Bedingungen für weitere Auftragsverarbeiter nach Absatz 2 und 4 (Buchstabe d).
• Löschung oder Rückgabe aller personenbezogenen Daten nach Ende der Leistung (Buchstabe g).
• Nachweise über die Einhaltung der Pflichten und Duldung von Überprüfungen einschließlich Inspektionen (Buchstabe h).

Absatz 4 verlangt, dass weitere Auftragsverarbeiter dieselben Datenschutzpflichten auferlegt bekommen; kommt der weitere seinen Pflichten nicht nach, haftet der erste gegenüber dem Verantwortlichen. Nach Absatz 9 genügt Textform, auch in elektronischem Format. Absatz 10 behandelt den Auftragsverarbeiter, der die Zwecke und Mittel der Verarbeitung bestimmt: Er gilt dann als Verantwortlicher.

Zwei Regelwerke, ein Vertrag

§ 43e BRAO und Art. 28 DSGVO überschneiden sich, sind aber nicht deckungsgleich: § 43e fragt nach dem Geheimnis, Art. 28 nach dem Personenbezug. Ein reiner Auftragsverarbeitungsvertrag erfüllt § 43e Absatz 3 Satz 2 Nummer 1 BRAO nicht, weil die Belehrung über die strafrechtlichen Folgen fehlt; umgekehrt deckt eine Verschwiegenheitsklausel weder Weisungsbindung noch Löschpflichten ab. Beides gehört in ein Dokument. Bewährt haben sich diese Punkte:

1. Verschwiegenheitsverpflichtung mit ausdrücklicher Belehrung über die Strafbarkeit nach § 203 StGB, datiert und unterschrieben, bei Wechsel der Ansprechpartner erneuert.
2. Namentlicher oder rollenbezogener Kreis der Zugriffsberechtigten statt einer pauschalen Formel.
3. Regelung für Fernzugriff, Wartungszugänge und Arbeit außerhalb der Kanzlei, einschließlich Protokollierung.
4. Subunternehmer nur mit Genehmigungsvorbehalt, mit Name, Sitz und eigener Textform-Verpflichtung.
5. Löschung und Rückgabe nach Vertragsende mit Frist und Nachweis.
6. Meldeweg und Frist bei Sicherheitsvorfällen.
7. Prüfungsrechte und die Pflicht, Zertifikate oder Auditberichte vorzulegen.

Auswahl, Kontrolle, Beendigung

§ 43e Absatz 2 Satz 1 BRAO verpflichtet zur sorgfältigen Auswahl. Das ist eine Bringschuld: Referenzen, Zertifizierungen, Angaben zu Rechenzentren und Subunternehmern statt Selbsterklärungen ohne Anlagen. Und es bleibt nicht bei der Auswahl.

Er hat die Zusammenarbeit unverzüglich zu beenden, wenn die Einhaltung der dem Dienstleister gemäß Absatz 3 zu machenden Vorgaben nicht gewährleistet ist. (§ 43e Absatz 2 Satz 2 BRAO)

Dieselbe Sorgfalt gilt intern: Nach § 43a Absatz 2 Satz 4 BRAO sind die beschäftigten Personen in Textform zur Verschwiegenheit zu verpflichten und dabei über die strafrechtlichen Folgen einer Pflichtverletzung zu belehren; Satz 5 verlangt, in geeigneter Weise auf die Einhaltung hinzuwirken. Wer Dienstleister dokumentiert, die eigene Belegschaft aber nicht, hat die Kontrolle nur zur Hälfte.

Was das für die Softwareauswahl bedeutet

Jedes Werkzeug, das Mandantendaten sieht, ist ein Dienstleister im Sinne des § 43e BRAO: die Kanzleisoftware in der Cloud, das Notizwerkzeug, der Übersetzungsdienst, der KI-Assistent. Entscheidend ist, ob die Daten für die konkrete Funktion erforderlich sind; ein Werkzeug, das nur Fristen zählt, braucht keinen Akteninhalt. Angaben für die Datenschutzhinweise liefert der Generator für Datenschutzhinweise, Hintergründe zur Annahme stehen unter digitales Mandat für Kanzleien.

Als Reihenfolge für die nächste Vertragsprüfung: zuerst klären, welche Daten das Werkzeug sieht, dann Erforderlichkeit und Mandatsbezug prüfen, dann Verpflichtung nach § 43e Absatz 3 und Auftragsverarbeitung nach Art. 28 in einem Dokument zusammenführen, zuletzt Auswahl und Beendigungsweg dokumentieren. Weitere Beiträge sammelt der Blog.