Dokumente sicher mit Mandanten austauschen

Dieser Beitrag gehört zum Ratgeber Mandantenportal und digitale Mandantenkommunikation. Verwandte Themen: Mandantenportal: Nutzen für Kanzlei und Mandanten und Zwei-Faktor-Anmeldung für Mandanten.

Warum E-Mail oft nicht genügt

Normale E-Mail genügt oft nicht, weil sie zwar meist verschlüsselt übertragen wird, auf den beteiligten Servern aber im Klartext liegen kann und leicht an falsche Empfänger geht. Für Mandatsgeheimnisse ist das ein erhebliches Risiko.

Berufsrechtlich ist E-Mail nicht grundsätzlich verboten. § 2 Abs. 2 BORA erlaubt einen Kommunikationsweg mit Risiken für die Vertraulichkeit jedenfalls dann, wenn der Mandant zustimmt. Eine Zustimmung wird angenommen, wenn der Mandant diesen Weg vorschlägt oder beginnt und ihn fortsetzt, nachdem der Anwalt zumindest pauschal und ohne technische Einzelheiten auf die Risiken hingewiesen hat. Die Anforderungen aus Art. 32 DSGVO an die Sicherheit der Datenübermittlung sind davon getrennt zu prüfen.

Datenschutzrechtlich verlangt Art. 32 DSGVO weiterhin angemessene technische und organisatorische Maßnahmen für die Übermittlung von Mandantendaten. Bei besonders sensiblen Inhalten, etwa Gesundheitsdaten in Arzthaftungs- oder Sozialrechtsmandaten, kann die einfache unverschlüsselte E-Mail im konkreten Fall unzureichend sein. Die berufsrechtlich mögliche Zustimmung zur E-Mail-Kommunikation nach § 2 Abs. 2 BORA bedeutet nicht, dass der Anwalt sämtliche Vorgaben des Datenschutzrechts abbedingen kann. Die Wahl des Übermittlungswegs sollte sich nach Schutzbedarf, Kommunikationssituation und verfügbaren sicheren Alternativen richten.

• Inhalte liegen auf Servern oft im Klartext
• Fehladressierung durch automatische Adressvorschläge
• Weiterleitung ohne Kontrolle der Kanzlei
• Zugriff Dritter auf Postfächer, etwa beim Arbeitgeber des Mandanten

Wege des sicheren Austauschs im Vergleich

Für den sicheren Austausch stehen vor allem vier Wege zur Verfügung: ein Mandantenportal, Ende-zu-Ende-verschlüsselte E-Mail, verschlüsselte Anhänge und passwortgeschützte Freigabelinks. Sie unterscheiden sich im Aufwand für Mandanten und im erreichbaren Schutzniveau.

Ende-zu-Ende-verschlüsselte E-Mail, etwa mit S/MIME oder OpenPGP, bietet hohen Schutz, setzt aber voraus, dass auch Mandanten Schlüssel oder Zertifikate einrichten. Bei Privatpersonen scheitert das häufig. Verschlüsselte PDF- oder ZIP-Anhänge sind einfacher; das Passwort muss dann über einen anderen Kanal übermittelt werden, etwa telefonisch.

Ein Portal verlagert den Schutz auf die Anmeldung: Dokumente verlassen den geschützten Bereich nicht, Mandanten brauchen nur Zugangsdaten und idealerweise einen zweiten Faktor. Freigabelinks sind bequem, aber wer den Link kennt, hat Zugriff, wenn kein Passwort gesetzt ist. Für die Kommunikation mit Gerichten und anderen Anwälten steht das besondere elektronische Anwaltspostfach nach § 31a BRAO zur Verfügung.

• Portal: hoher Schutz, einmalige Einrichtung für Mandanten
• Ende-zu-Ende-verschlüsselte E-Mail: sehr hoher Schutz, hoher Einrichtungsaufwand
• verschlüsselter Anhang: mittlerer Aufwand, Passwort über zweiten Kanal
• Freigabelink: bequem, Schutz abhängig von Passwort und Ablaufdatum

Freigaben gezielt steuern

Gezielt steuern heißt: Jede Freigabe gilt nur für die Person, das Dokument und den Zeitraum, für die sie gebraucht wird. Pauschale Freigaben ganzer Akten sind selten nötig und erhöhen das Risiko, dass Unbefugte Einblick erhalten.

Besondere Sorgfalt verlangen Mandate mit mehreren Beteiligten, etwa Erbengemeinschaften, Eheleute oder Gesellschafter. Nicht jeder Beteiligte darf jedes Dokument sehen. Klären Sie zu Beginn, wer Auftraggeber ist und wem gegenüber Sie von der Verschwiegenheit nach § 43a Abs. 2 BRAO entbunden sind. Halten Sie diese Klärung in der Akte fest.

Setzen Sie Ablaufdaten für Links und entziehen Sie Freigaben nach Mandatsende. Ein Protokoll, wer wann welches Dokument abgerufen hat, hilft bei Rückfragen und bei der Frage, ob eine Information tatsächlich angekommen ist. Prüfen Sie offene Freigaben regelmäßig, zum Beispiel beim Abschluss der Akte.

• Empfänger konkret benennen
• Ablaufdatum setzen
• zwischen Ansehen und Herunterladen unterscheiden
• Abrufe protokollieren
• Freigaben bei Mandatsende entziehen

Häufige Fragen kurz beantwortet

Rechtsgrundlagen und Quellen

• § 2 BORA – Verschwiegenheit
• § 43a BRAO – Grundpflichten, Verschwiegenheit
• § 31a BRAO – Besonderes elektronisches Anwaltspostfach
• § 203 StGB – Verletzung von Privatgeheimnissen
• Art. 32 DSGVO – Sicherheit der Verarbeitung

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.