Cloud-Software in der Anwaltskanzlei

Dieser Beitrag gehört zum Ratgeber Berufsrecht und Kanzlei-IT. Verwandte Themen: § 43e BRAO: IT-Dienstleister in der Kanzlei und Verschwiegenheit und § 203 StGB in der digitalen Kanzlei.

Ist Cloud-Software berufsrechtlich zulässig?

Ja, Cloud-Software ist berufsrechtlich zulässig, sofern Sie die Vorgaben des § 43e BRAO einhalten. Die Vorschrift wurde 2017 gerade geschaffen, um die Einbindung externer Dienstleister, einschließlich Cloud-Anbietern, rechtssicher zu ermöglichen.

Voraussetzung ist, dass Sie den Anbieter sorgfältig auswählen, den Vertrag in Textform mit Verschwiegenheitsverpflichtung schließen und dem Anbieter nur den erforderlichen Zugang gewähren. Strafrechtlich ist die Weitergabe dann nach § 203 Abs. 3 StGB nicht unbefugt.

Bei allgemeiner Kanzleisoftware ist eine mandatsbezogene Einwilligung nach § 43e Abs. 5 BRAO nicht allein wegen der Nutzung eines externen IT-Dienstleisters erforderlich. Absatz 5 betrifft Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen. Bei allgemeinen IT-Dienstleistungen müssen die übrigen Anforderungen des § 43e BRAO, insbesondere notwendiger Geheimniszugang, sorgfältige Auswahl und der Vertrag in Textform, erfüllt sein. Das Datenschutzrecht bleibt unabhängig davon anwendbar.

Worauf es beim Anbieter ankommt

Beim Anbieter kommt es vor allem darauf an, dass er Vertraulichkeit, Verfügbarkeit und Integrität der Kanzleidaten nachvollziehbar gewährleistet. Maßstab sind die sorgfältige Auswahl nach § 43e Abs. 2 BRAO und die Sicherheit der Verarbeitung nach Art. 32 DSGVO.

Prüfen Sie Serverstandorte, tatsächliche Erbringungsorte und Unterauftragnehmer. Nach § 43e Abs. 4 BRAO darf Zugang zu Mandatsgeheimnissen bei im Ausland erbrachten Dienstleistungen grundsätzlich nur eröffnet werden, wenn der dortige Geheimnisschutz mit dem inländischen vergleichbar ist; das Gesetz lässt eine Ausnahme zu, soweit der Schutz der Geheimnisse dies nicht gebietet. Bei Drittlandtransfers personenbezogener Daten sind zusätzlich Art. 44 ff. DSGVO zu beachten.

Aussagekräftig sind Sicherheitszertifizierungen, eine Verschlüsselung der Daten bei Übertragung und Speicherung sowie klare Regeln zum Export Ihrer Daten bei Vertragsende. Achten Sie darauf, dass Sie Ihre Akten jederzeit in einem gängigen Format herausbekommen. Lassen Sie sich außerdem erläutern, wer beim Anbieter technisch auf Ihre Daten zugreifen kann und wie diese Zugriffe protokolliert werden.

Checkliste für die Auswahl

Für die Auswahl eines Cloud-Anbieters hilft eine feste Checkliste, die Berufsrecht, Datenschutz und Betrieb abdeckt. Arbeiten Sie die Punkte vor Vertragsschluss ab und dokumentieren Sie das Ergebnis.

Die Dokumentation belegt die sorgfältige Auswahl nach § 43e Abs. 2 BRAO. Wiederholen Sie die Prüfung, wenn sich beim Anbieter Wesentliches ändert, etwa Standort, Unterauftragnehmer oder Eigentümerstruktur.

Bewerten Sie außerdem, wie Sie weiterarbeiten, wenn der Dienst ausfällt. Fristen laufen auch bei einer Störung weiter, deshalb gehört ein Notfallplan mit lokalem Zugriff auf Fristen und Kontaktdaten zur Auswahlentscheidung.

Beziehen Sie auch die Mitarbeitenden ein, die täglich mit der Software arbeiten. Sie erkennen früh, ob Abläufe wie Posteingang, Fristenkontrolle und Dokumentenablage im neuen System praktikabel abgebildet werden, und können Schwachstellen vor der Umstellung benennen. Halten Sie auch deren Rückmeldungen in der Dokumentation fest.

• Vertrag in Textform mit Verpflichtung nach § 43e BRAO
• Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
• Serverstandort und Liste der Unterauftragnehmer
• Verschlüsselung, Zwei-Faktor-Anmeldung, Sicherheitsnachweise
• Datenexport und Löschung bei Vertragsende
• Verfügbarkeit, Backups und Notfallplan

Häufige Fragen kurz beantwortet

So erfüllt RA-Flow diese Kriterien

Angaben des Anbieters, Stand 31.10.2026. Details auf den Seiten Funktionen und Preise.

Kriterium	RA-Flow
Vertrag nach § 43e BRAO und AVV	Verschwiegenheitsvereinbarung nach § 43e BRAO und Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, abgeschlossen vor der ersten Akte; Vertragspartner ist die HQ Professional Services GmbH (Deutschland)
Serverstandort	Server der HQ GmbH in einem TÜV-zertifizierten Rechenzentrum in Deutschland (TÜV Saarland, tekPlus Stufe 2, Zertifikat-Nr. 46311); eigene Datenbank je Kanzlei
KI-Dienste	Nur wenn Sie sie zuschalten, pseudonymisiert und nach Ihrer Freigabe; die lokale Intelligenz arbeitet ohne externen KI-Anbieter
Sicherheit	Zwei-Faktor-Anmeldung (Authenticator-App), automatische GPG-verschlüsselte Datenbank-Backups mit dokumentiertem Wiederherstellungsprozess
Datenexport und Löschung	Akten als ZIP-Archiv mit Protokoll und SHA-256-Prüfsummenliste, verschlüsselt mit AES-256; Auswertungen als CSV, Buchhaltung als DATEV-Buchungsstapel; Löschung auf Wunsch
Kündigung	Mit 30 Tagen zum Abrechnungsende kündbar: bei monatlicher Abrechnung zum Monatsende, bei jährlicher zum Ende des Abrechnungsjahres

Rechtsgrundlagen und Quellen

• § 43e BRAO – Inanspruchnahme von Dienstleistungen
• § 203 StGB – Verletzung von Privatgeheimnissen
• Art. 28 DSGVO – Auftragsverarbeiter
• Art. 32 DSGVO – Sicherheit der Verarbeitung
• Art. 44 DSGVO – Allgemeine Grundsätze der Datenübermittlung

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.