Mandantendaten und Datenschutz

Dieser Beitrag gehört zum Ratgeber Mandanten- und Beteiligtendaten in der Kanzlei. Verwandte Themen: Mandantenstammdaten richtig pflegen und Dubletten in den Beteiligtendaten vermeiden.

Auf welcher Rechtsgrundlage Kanzleien Daten verarbeiten

Kanzleien verarbeiten Mandantendaten in erster Linie zur Erfüllung des Mandatsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Daten von Gegnern, Zeugen und anderen Beteiligten verarbeiten sie in der Regel zur Wahrung berechtigter Interessen, nämlich des Interesses des Mandanten an der Durchsetzung oder Abwehr von Ansprüchen (Art. 6 Abs. 1 lit. f DSGVO). Soweit gesetzliche Pflichten bestehen, etwa Aufbewahrungspflichten, kommt Art. 6 Abs. 1 lit. c DSGVO hinzu.

Eine Einwilligung ist für die eigentliche Mandatsbearbeitung meist nicht erforderlich und wegen ihrer Widerruflichkeit auch keine tragfähige Grundlage. Sinnvoll kann sie für Zusatzleistungen sein, etwa einen Newsletter.

Besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten im Arzthaftungs- oder Sozialrecht, dürfen nur unter den Voraussetzungen von Art. 9 DSGVO verarbeitet werden. Für Kanzleien ist vor allem die Ausnahme für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen relevant (Art. 9 Abs. 2 lit. f DSGVO).

Informationspflichten gegenüber Mandanten und Gegnern

Gegenüber Mandanten erfüllen Sie die Informationspflicht nach Art. 13 DSGVO bei der Datenerhebung, meist mit einem Datenschutzhinweis bei Mandatsannahme. Er nennt unter anderem den Verantwortlichen, Zwecke und Rechtsgrundlagen, Empfänger, Speicherdauer und die Rechte der betroffenen Person.

Bei Gegnern und Dritten, deren Daten Sie nicht direkt bei diesen erheben, gilt grundsätzlich Art. 14 DSGVO. Die Informationspflicht entfällt nach Art. 14 Abs. 5 Buchst. d DSGVO, soweit personenbezogene Daten aufgrund eines Berufsgeheimnisses vertraulich bleiben müssen. Ergänzend nimmt § 29 Abs. 1 Satz 1 BDSG die Information aus, soweit dadurch Informationen offenbart würden, die ihrem Wesen nach, insbesondere wegen überwiegender berechtigter Interessen Dritter, geheim bleiben müssen. Eine pauschale Ausnahme für sämtliche Daten von Gegnern besteht nicht.

Praktisch ist deshalb bei Daten von Gegnern im Einzelfall zu prüfen, ob die Information über die Verarbeitung berufsrechtliche Geheimnisse oder überwiegende Geheimhaltungsinteressen Dritter offenbaren würde. Auskunftsersuchen nach Art. 15 DSGVO sind ebenfalls fallbezogen zu prüfen; § 29 Abs. 1 Satz 2 BDSG beschränkt die Auskunft nur, soweit dadurch gesetzlich oder ihrem Wesen nach geheimhaltungsbedürftige Informationen offenbart würden.

Speicherdauer und Löschung

Mandanten- und Beteiligtendaten dürfen nur so lange gespeichert werden, wie es für die Zwecke und gesetzliche Pflichten erforderlich ist (Art. 5 Abs. 1 Buchst. e DSGVO). Die Handakte ist nach § 50 Abs. 1 BRAO grundsätzlich sechs Jahre ab Ablauf des Kalenderjahres nach Mandatsende aufzubewahren. Für Buchhaltungsunterlagen gelten nach § 147 Abs. 3 AO je nach Dokument grundsätzlich zehn, acht oder sechs Jahre; die geltenden Ausnahmen und Ablaufhemmungen sind zu berücksichtigen.

Danach sind die Daten zu löschen, soweit keine Ausnahme greift (Art. 17 DSGVO). Eine Ausnahme besteht, solange die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind (Art. 17 Abs. 3 lit. e DSGVO), etwa bei einem angekündigten Haftungsanspruch.

Für die Kollisionsprüfung kann es erforderlich sein, bestimmte Basisangaben zu früheren Mandaten, Beteiligten und Gegnern auch nach Aussonderung der übrigen Handakte weiter vorzuhalten. Das ist keine pauschale Erlaubnis für eine unbegrenzte Speicherung. Erforderlich sind ein festgelegter Zweck, eine tragfähige Rechtsgrundlage (je nach Fall insbesondere Art. 6 Abs. 1 Buchst. c oder f DSGVO), Datenminimierung, eingeschränkte Zugriffsrechte sowie eine dokumentierte, regelmäßig überprüfte Aufbewahrungs- und Löschentscheidung. Eine gesetzliche einheitliche Speicherfrist ausschließlich für Kollisionsdaten besteht nicht. Halten Sie die Entscheidung im Löschkonzept und im Verzeichnis der Verarbeitungstätigkeiten fest.

Häufige Fragen kurz beantwortet

Rechtsgrundlagen und Quellen

• Art. 6 DSGVO – Rechtmäßigkeit der Verarbeitung
• Art. 13 DSGVO – Informationspflicht bei Erhebung bei der betroffenen Person
• Art. 14 DSGVO – Informationspflicht bei Dritterhebung
• Art. 17 DSGVO – Recht auf Löschung
• § 29 BDSG – Rechte der betroffenen Person bei Geheimhaltungspflichten
• § 50 BRAO – Handakten

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.