E-Mail-Kommunikation mit Mandanten

Dieser Beitrag gehört zum Ratgeber Posteingang, beA und elektronischer Rechtsverkehr. Verwandte Themen: Posteingang in der Kanzlei organisieren und beA: Nutzungspflichten für Anwälte.

Ist unverschlüsselte E-Mail zulässig?

Unverschlüsselte E-Mail kann nach § 2 Abs. 2 BORA mit Zustimmung des Mandanten berufsrechtlich zulässig sein. Der Mandant kann sie ausdrücklich erlauben; von Zustimmung kann auch ausgegangen werden, wenn er diesen Kommunikationsweg selbst beginnt oder vorschlägt und ihn nach einem zumindest pauschalen Hinweis auf Vertraulichkeitsrisiken fortsetzt. Die datenschutzrechtlichen Anforderungen aus Art. 32 DSGVO bleiben daneben zu beachten.

Von einer Zustimmung ist nach der BORA auszugehen, wenn der Mandant diesen Kommunikationsweg vorschlägt oder beginnt und ihn fortsetzt, nachdem Sie ihn zumindest pauschal auf die Risiken hingewiesen haben. Dokumentieren Sie Hinweis und Zustimmung, am besten bereits bei der Mandatsannahme.

Die berufsrechtliche Zustimmung des Mandanten zur Nutzung gewöhnlicher E-Mail nach § 2 Abs. 2 BORA ersetzt die datenschutzrechtliche Risikoprüfung nicht. Art. 32 DSGVO verlangt technische und organisatorische Schutzmaßnahmen entsprechend dem konkreten Risiko. Auch bei einverstandenen Mandanten müssen Verschlüsselung, Zugangsschutz und die Vertraulichkeit besonders sensibler Inhalte angemessen berücksichtigt werden. Bei Gesundheitsdaten, Strafakten oder anderen hochsensiblen Informationen empfiehlt sich regelmäßig eine Ende-zu-Ende-Verschlüsselung oder ein gut abgesichertes Portal; eine allgemeine Absenkung sämtlicher DSGVO-Sicherheitsanforderungen durch Einwilligung lässt sich nicht annehmen.

Wann Verschlüsselung nötig ist

Verschlüsselung ist nötig, wenn der Mandant sie verlangt oder die Inhalte ein hohes Risiko für die Betroffenen bergen. Das gilt etwa für Gesundheitsdaten, Strafsachen, Familiensachen oder Geschäftsgeheimnisse, bei denen Art. 9 und Art. 32 DSGVO ein hohes Schutzniveau nahelegen.

Eine Transportverschlüsselung per TLS zwischen den Mailservern ist heute Standard und sollte auf Ihrer Seite stets aktiviert sein. Sie schützt die Nachricht aber nicht auf den beteiligten Servern; dafür ist eine Ende-zu-Ende-Verschlüsselung erforderlich.

Auch Dritte geraten in den Blick: Schreiben Sie an Gegner, Behörden oder Sachverständige, können deren Daten betroffen sein, ohne dass eine Zustimmung vorliegt. Prüfen Sie deshalb je Empfänger und Inhalt, welcher Weg angemessen ist. Legen Sie in einer Kanzleirichtlinie fest, welche Inhalte grundsätzlich verschlüsselt versandt werden. Das schafft einheitliche Abläufe im gesamten Team.

• Mandant verlangt Verschlüsselung
• Besondere Kategorien personenbezogener Daten
• Straf- und Familiensachen
• Geschäftsgeheimnisse
• Kommunikation mit Dritten ohne Zustimmung

Sichere Alternativen

Sichere Alternativen zur unverschlüsselten E-Mail sind Ende-zu-Ende-Verschlüsselung, verschlüsselte Mandantenportale und passwortgeschützte Dokumente mit getrennt übermitteltem Passwort. Welche Lösung passt, hängt von Ihren Mandanten und deren technischer Ausstattung ab.

Ende-zu-Ende-Verschlüsselung mit S/MIME oder PGP ist sicher, setzt aber voraus, dass auch der Mandant sie einrichtet. Mandantenportale sind für Mandanten meist einfacher, weil sie nur einen Browser benötigen; hier ist der Anbieter als Dienstleister nach § 43e BRAO einzubinden.

Für die anwaltliche Kommunikation mit Gerichten und sonstigen Beteiligten des elektronischen Rechtsverkehrs steht das beA zur Verfügung. Bürger und Organisationen können nach Registrierung ein eBO nutzen und damit auch Nachrichten an beA-Postfächer senden. Die beA-eBO-Kommunikation ist seit Juni 2022 technisch freigeschaltet; eine Nutzung setzt auf Mandantenseite ein betriebsbereites eBO voraus. eBO-Postfächer können untereinander grundsätzlich nicht kommunizieren.

Welche Alternative Sie wählen, sollten Sie im Mandatsvertrag oder bei der Mandatsannahme festhalten. So wissen alle Beteiligten, auf welchem Weg vertrauliche Unterlagen ausgetauscht werden, und Sie vermeiden Rückfragen im laufenden Mandat.

• Ende-zu-Ende-Verschlüsselung mit S/MIME oder PGP
• Verschlüsseltes Mandantenportal
• Verschlüsselte Dateien mit getrenntem Passwort
• beA für Gerichte und Kollegen

Häufige Fragen kurz beantwortet

Rechtsgrundlagen und Quellen

• § 2 BORA – Verschwiegenheit
• § 43a BRAO – Grundpflichten
• Art. 32 DSGVO – Sicherheit der Verarbeitung
• Art. 9 DSGVO – Verarbeitung besonderer Kategorien personenbezogener Daten
• § 43e BRAO – Inanspruchnahme von Dienstleistungen

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.