Die digitale Kanzlei, beA, Verschlüsselung und Datenschutz

Eine digitale Akte kann hervorragend gesichert sein. Sie kann aber auch auf einem Server liegen, dessen Zugriffsrechte in der Kanzlei niemand kennt. § 2 Abs. 2 BORA und Art. 32 DSGVO verlangen Schutzmaßnahmen, die dem jeweiligen Risiko entsprechen; § 203 StGB setzt der Offenbarung von Geheimnissen strafrechtliche Grenzen. Der Anwalt muss deshalb wissen, wo seine Mandatsdaten liegen, wer sie lesen kann und welche Zugriffe tatsächlich verhindert werden.

Kommunikationswege und ihre Risiken

Die unverschlüsselte E-Mail ist eine Postkarte. Jeder, der sie unterwegs in die Hand bekommt, kann sie lesen, und trotzdem ist sie der Weg, den die meisten Mandanten wünschen. § 2 Abs. 2 BORA löst den Konflikt pragmatisch. Ein Kommunikationsweg, der die Vertraulichkeit gefährdet, darf genutzt werden, wenn der Mandant zustimmt, und von der Zustimmung ist auszugehen, wenn er den Weg selbst beginnt und ihn nach einem pauschalen Hinweis auf die Risiken fortsetzt. Der Hinweis kann in den Mandatsbedingungen stehen, in der Signatur oder in der ersten Antwort. Wer ihn erteilt hat, darf mit dem Mandanten per E-Mail korrespondieren, solange dieser nicht widerspricht. Die Zustimmung des Mandanten deckt nur seine eigenen Geheimnisse, nicht die Dritter, deren Namen in der Mail stehen, und bei besonders heiklen Inhalten muss der Anwalt selbst entscheiden, ob er sie diesem Weg anvertraut. Messenger sind E-Mails mit anderen Risiken. Ende-zu-Ende-verschlüsselte Dienste schützen den Transport besser, aber die Nachricht liegt danach auf dem Gerät des Mandanten, wandert in die Cloud-Sicherung des Anbieters und hinterlässt Metadaten, die der Anbieter sieht. Zum Hauptkanal für Mandatsinhalte taugt ein Messenger deshalb nicht. Videokonferenzen folgen den Regeln des Telefonats, der Anbieter ist Dienstleister nach § 43e BRAO, und wer Mandantengespräche über amerikanische Plattformen führt, sollte die Vertragskette kennen. Das Telefon ist der älteste riskante Kanal, und die Mandantenbesprechung im Zug oder im Café ist ein Offenbaren gegenüber jedem, der zuhört.

Das beA als sicherer Kanal

Das besondere elektronische Anwaltspostfach ist kein Komfortangebot mehr, sondern Teil der Berufsausübung, wie das Kapitel zur Mandatsführung beschreibt. Für den Verkehr mit Gerichten und unter Anwälten ist es der sichere Kanal, weil die Nachrichten verschlüsselt laufen und der Absender feststeht. Eine Ende-zu-Ende-Verschlüsselung im strengen Sinn ist das nicht, weil die Schlüssel in einem Hardware-Sicherheitsmodul der Bundesrechtsanwaltskammer umgeschlüsselt werden. Das hat 2017 zur Abschaltung des Systems und zu erheblicher Kritik geführt. Berufsrechtlich darf sich der Anwalt auf das System verlassen, weil der Gesetzgeber es vorschreibt, technisch unangreifbar ist es damit nicht. Mandanten können das beA nicht nutzen, und die sichere Kommunikation mit ihnen bleibt eine Frage der Vereinbarung. Über das beA wird auch die elektronische Akte zum Abruf bereitgestellt, und die Zweckbindung des § 32f Abs. 5 StPO gilt für alles, was der Anwalt auf diesem Weg erhält.

Verschlüsselung, Schlüsselhoheit und der Durchsuchungsfall

Ob und wie Kanzleidaten verschlüsselt werden, ist keine Frage des Geschmacks, sondern der Gefahrenlage. Der Fall Jones Day hat gezeigt, dass elektronisch gespeicherte Mandatsdaten im Zugriffsfall flächendeckend betroffen sein können, weil Ermittler nicht die Akte des einen Mandats mitnehmen, sondern den Server, auf dem alle Mandate liegen (BVerfG, Beschluss vom 27. Juni 2018 – 2 BvR 1405/17). Verschlüsselung, getrennte Schlüsselhoheit und eine dokumentierte Zugriffsorganisation schwächen das Mandatsgeheimnis nicht, sie setzen es technisch durch. Die Schlüsse, die die Kanzlei aus dem Fall gezogen hat, stehen in einem eigenen Beitrag (Rudolph, StraFo 2019, 57 ff.). Die Grundregeln sind einfach. Mobile Geräte werden vollständig verschlüsselt, weil der Verlust eines offenen Laptops ein Offenbaren gegenüber dem Finder ist. Server werden so eingerichtet, dass Zugriffe protokolliert werden und kein einzelner Mitarbeiter alle Mandate lesen kann. Sicherungen liegen verschlüsselt an einem anderen Ort, und die Schlüssel verwahrt der Anwalt, nicht der Dienstleister. Wer die Schlüsselhoheit an einen Cloud-Anbieter abgibt, hat die Daten offenbart, wer sie behält, hat sie nur verwahrt. An dieser Unterscheidung hängt nach der Kommentarliteratur die Strafbarkeit nach § 203 StGB. Bei einer Durchsuchung muss der Anwalt keine Passwörter herausgeben, weil niemand an seiner eigenen Überführung mitwirken muss, und seine Mitarbeiter können sich auf § 53a StPO berufen. Wer die Schlüssel für Mandate Dritter herausgibt, die mit dem Verfahren nichts zu tun haben, verletzt die Verschwiegenheit. Die Kanzlei sollte deshalb vorher festlegen, wie sie am Tag der Durchsuchung reagiert, wer den Beschluss prüft, wer die Beschlagnahme beanstandet und wer die Mandanten informiert.

Die Datenschutz-Grundverordnung in der Kanzlei

Die Kanzlei ist Verantwortliche im Sinne der Datenschutz-Grundverordnung. Sie verarbeitet Daten von Mandanten, Gegnern, Zeugen, Gerichten und Mitarbeitern, und für jede dieser Verarbeitungen braucht sie eine Rechtsgrundlage. Für Mandantendaten ist es Art. 6 Abs. 1 lit. b DSGVO, der Vertrag, für Daten von Gegnern und Dritten Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse an der Rechtsverfolgung. Eine Einwilligung des Mandanten braucht die Kanzlei dafür nicht, und sie würde auch nicht weit tragen, weil sie nur seine eigenen Daten deckt, nicht die des Gegners, des Zeugen oder des Mitbeschuldigten. Daneben sind Art. 9 und Art. 10 DSGVO getrennt zu prüfen. Gesundheitsdaten und andere besondere Kategorien, die in Strafakten regelmäßig stehen, trägt Art. 9 Abs. 2 lit. f DSGVO, die Geltendmachung und Verteidigung von Rechtsansprüchen. Daten über Straftaten unterliegen Art. 10 DSGVO, der eine eigene gesetzliche Zulassung verlangt, und § 22 BDSG liefert sie nicht, weil er nur die Kategorien des Art. 9 betrifft. Wer die Strafakte auf § 22 BDSG stützt, stützt sie auf nichts. Die Kanzlei muss ein Verzeichnis der Verarbeitungstätigkeiten führen, Datenschutzhinweise nach Art. 13 und 14 DSGVO erteilen, technische und organisatorische Maßnahmen nach Art. 32 DSGVO treffen und einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung beschäftigt sind. Die Rollen sind zu klären. Der IT-Dienstleister und der Cloud-Anbieter sind Auftragsverarbeiter nach Art. 28 DSGVO, das Gericht, die Staatsanwaltschaft und der Gegenanwalt sind eigene Verantwortliche, und die Übermittlung an sie ist Teil der Rechtsverfolgung, nicht ihr Störfall. Der Auskunftsanspruch des Gegners nach Art. 15 DSGVO ist durch § 29 Abs. 1 Satz 2 BDSG beschränkt, soweit die Auskunft Informationen offenbaren würde, die der Verschwiegenheit unterliegen. § 29 Abs. 3 BDSG nimmt der Aufsichtsbehörde gegenüber Berufsgeheimnisträgern bestimmte Untersuchungsbefugnisse, den Zugang zu Daten und Räumen, und auch das nur, soweit ihre Ausübung den Anwalt zum Bruch der Verschwiegenheit zwänge. Die Aufsicht selbst bleibt, die Kanzlei ist kein aufsichtsfreier Raum. Eine pauschale Löschungspflicht kennt das Datenschutzrecht nicht. Art. 17 DSGVO weicht gesetzlichen Aufbewahrungspflichten und der Rechtsverfolgung. Die Handakte bleibt nach § 50 BRAO sechs Jahre, die Buchführung nach der Abgabenordnung länger, das Kollisionsregister so lange, wie das Tätigkeitsverbot reicht, und die Akte eines Mandats, aus dem Regress drohen kann, darf bleiben, bis der Anspruch verjährt ist. Das Löschkonzept der Kanzlei bildet diese Fristen ab und benennt den Tag, an dem die letzte von ihnen endet. Die Datenschutzbehörden haben Kanzleien bisher zurückhaltend geprüft. Die Bußgelder gegen andere Verantwortliche zeigen, dass diese Zurückhaltung kein Rechtsanspruch ist.

Datenpannen

Verliert die Kanzlei Daten, wird sie gehackt oder schickt ein Mitarbeiter eine Akte an den falschen Empfänger, liegt eine Verletzung des Schutzes personenbezogener Daten vor. Sie ist nach Art. 33 DSGVO binnen 72 Stunden der Aufsichtsbehörde zu melden, wenn sie voraussichtlich ein Risiko für die Betroffenen mit sich bringt, und nach Art. 34 DSGVO den Betroffenen mitzuteilen, wenn das Risiko hoch ist. Die Meldung verletzt die Verschwiegenheit nicht, weil sie keine Mandatsinhalte offenbart, und die Kanzlei fasst sie so, dass sie den Vorfall beschreibt, nicht die Mandate. Berufsrechtlich ist die Datenpanne ein Prüfstein für die Organisation. Wer gemeldet, die Betroffenen informiert und die Ursache beseitigt hat, hat seine Pflicht erfüllt, auch wenn der Vorfall selbst ein Organisationsmangel war. Wer schweigt, hat eine zweite Pflichtverletzung begangen. Ransomware-Angriffe auf Kanzleien haben in den vergangenen Jahren zugenommen, und die Kanzlei, deren Daten verschlüsselt und zur Erpressung veröffentlicht werden, hat ein Offenbaren zu verantworten, das nur Vorsorge verhindert hätte. Die Vorsorge besteht aus Sicherungen, die vom Netz getrennt sind, aus Aktualisierungen, aus Schulung der Mitarbeiter gegen Phishing und aus einem Plan für den Tag, an dem nichts mehr geht.