Auftragsverarbeitung in der Kanzlei (Art. 28 DSGVO)

Dieser Beitrag gehört zum Ratgeber Berufsrecht und Kanzlei-IT. Verwandte Themen: § 43e BRAO: IT-Dienstleister in der Kanzlei und Verschwiegenheit und § 203 StGB in der digitalen Kanzlei.

Wann liegt Auftragsverarbeitung vor?

Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag der Kanzlei verarbeitet und dabei an deren Weisungen gebunden ist. Die Kanzlei bleibt Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO und entscheidet über Zweck und Mittel.

Typische Auftragsverarbeiter sind Anbieter von Cloud-Software und Hosting, externe Rechenzentren, E-Mail-Dienste, Fernwartungsdienstleister und Anbieter von Backup-Lösungen. Entscheidend ist die weisungsgebundene Verarbeitung, nicht die Bezeichnung im Vertrag.

Ein Dienstleister ist nur dann Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO, wenn er personenbezogene Daten im Auftrag und nach den maßgeblichen Weisungen eines Verantwortlichen verarbeitet. Berufsrechtlich selbstständig beratende Stellen – etwa eine eigenständig mandatierte Rechtsanwaltskanzlei oder Steuerberatung – sind für ihre fachliche Leistung regelmäßig selbst Verantwortliche, nicht bloß Auftragsverarbeiter ihrer Auftraggeber. Das ist anhand der konkreten Tätigkeit zu beurteilen; für gesonderte technische Hilfsleistungen kann eine Auftragsverarbeitung vorliegen. Die anwaltliche Eigenverantwortung und Unabhängigkeit sprechen daher bei der eigentlichen Mandatsbearbeitung grundsätzlich gegen die Einordnung der Kanzlei als Auftragsverarbeiterin des Mandanten.

Ist die Einordnung unklar, hilft ein Blick auf die tatsächliche Entscheidungsbefugnis: Wer bestimmt, welche Daten wofür verarbeitet werden? Liegt diese Befugnis allein bei der Kanzlei, spricht viel für Auftragsverarbeitung.

Pflichtinhalte des Vertrags

Die Pflichtinhalte des Vertrags ergeben sich aus Art. 28 Abs. 3 DSGVO. Zunächst müssen Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Rechte und Pflichten der Kanzlei festgelegt werden.

Hinzu kommen die in Art. 28 Abs. 3 Satz 2 DSGVO aufgezählten Pflichten des Auftragsverarbeiters. Achten Sie besonders auf die Regelungen zu Unterauftragsverarbeitern und zur Löschung, denn hier weichen Standardverträge von Anbietern häufig voneinander ab.

Der Vertrag ist nach Art. 28 Abs. 9 DSGVO schriftlich abzuschließen; ein elektronisches Format genügt. Prüfen Sie außerdem, ob der Anbieter Daten in Drittländer übermittelt, denn dann gelten zusätzlich die Art. 44 ff. DSGVO. Legen Sie Anlagen wie die Beschreibung der technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter zum Vertrag.

• Verarbeitung nur auf dokumentierte Weisung
• Vertraulichkeitsverpflichtung der eingesetzten Personen
• Maßnahmen nach Art. 32 DSGVO
• Bedingungen für Unterauftragsverarbeiter
• Unterstützung bei Betroffenenrechten und Meldepflichten
• Löschung oder Rückgabe nach Vertragsende sowie Kontrollrechte

AVV und § 43e BRAO zusammen denken

Der Auftragsverarbeitungsvertrag und die Verpflichtung nach § 43e BRAO verfolgen unterschiedliche Ziele und ersetzen einander nicht. Der AVV schützt personenbezogene Daten, § 43e BRAO schützt alle der Verschwiegenheit unterliegenden Tatsachen, auch solche ohne Personenbezug.

§ 43e Abs. 8 BRAO stellt ausdrücklich klar, dass datenschutzrechtliche Vorschriften trotz der anwaltlichen Regeln für externe Dienstleister unberührt bleiben. Soweit ein IT-Dienstleister personenbezogene Daten als Auftragsverarbeiter verarbeitet, benötigen Kanzleien deshalb neben den Anforderungen des § 43e BRAO auch einen Vertrag nach Art. 28 DSGVO.

Praktisch bietet es sich an, beide Anforderungen in einem Vertragswerk abzubilden. Wichtig ist, dass die Belehrung über die strafrechtlichen Folgen nach § 43e Abs. 3 BRAO und die Kettenverpflichtung bei Unterauftragnehmern ausdrücklich enthalten sind, denn Standard-AVV sehen das oft nicht vor.

Führen Sie die Verträge in einer zentralen Übersicht zusammen mit dem Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO. So behalten Sie den Überblick über Laufzeiten, Kündigungsfristen und angekündigte Änderungen bei Unterauftragnehmern.

1. Prüfen, ob Auftragsverarbeitung vorliegt
2. AVV nach Art. 28 DSGVO abschließen
3. Verschwiegenheitsklauseln nach § 43e BRAO ergänzen
4. Unterauftragnehmer in beiden Regelwerken abdecken

Häufige Fragen kurz beantwortet

Rechtsgrundlagen und Quellen

• Art. 28 DSGVO – Auftragsverarbeiter
• Art. 4 DSGVO – Begriffsbestimmungen
• Art. 32 DSGVO – Sicherheit der Verarbeitung
• § 43e BRAO – Inanspruchnahme von Dienstleistungen

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.