Das Wichtigste in Kürze
- Zugriffsrechte sollten dem Grundsatz folgen, dass jede Person nur die Daten sieht, die sie für ihre Aufgaben braucht (Art. 5 Abs. 1 lit. c und Art. 25 Abs. 2 DSGVO).
- Aktenbezogene Rechte helfen, besonders vertrauliche Mandate abzuschirmen und Vorkehrungen bei widerstreitenden Interessen nach § 43a Abs. 4 BRAO technisch umzusetzen.
- Rechte müssen regelmäßig überprüft werden, insbesondere bei Eintritt, Wechsel und Austritt von Mitarbeitenden (Art. 32 Abs. 1 lit. d DSGVO).
Dieser Beitrag gehört zum Ratgeber Kanzleiorganisation und Kanzleisoftware. Verwandte Themen: Kanzleisoftware auswählen: die wichtigsten Kriterien und Kanzleisoftware wechseln: Ablauf und Datenübernahme.
Welche Rollen es braucht
Die meisten Kanzleien kommen mit wenigen Rollen aus: Berufsträger, Sachbearbeitung, Sekretariat, Buchhaltung und Administration. Eine Rolle bündelt die Rechte, die für eine Aufgabe typisch sind, damit sie nicht für jede Person einzeln vergeben werden müssen.
Beschreiben Sie Rollen nach Tätigkeiten, nicht nach Personen. Die Buchhaltung braucht Zugriff auf Rechnungen und Zahlungen, aber nicht zwingend auf alle Schriftsätze. Das Sekretariat braucht Posteingang, Fristen und Termine. Die Administration verwaltet Benutzer, sollte aber nicht automatisch alle Akteninhalte lesen dürfen.
Rechtlicher Maßstab ist vor allem das Datenschutzrecht. Art. 25 Abs. 2 DSGVO verlangt datensparsame Voreinstellungen. Die bei dem Rechtsanwalt beschäftigten Personen sind nach § 43a Abs. 2 Satz 4 BRAO in Textform zur Verschwiegenheit zu verpflichten und über die strafrechtlichen Folgen zu belehren.
- Berufsträger
- Sachbearbeitung
- Sekretariat und Empfang
- Buchhaltung
- Administration
- Auszubildende und Praktikanten
Zugriff je Akte regeln
Zugriff je Akte regeln Sie, indem Sie neben den Rollen ein Aktenteam festlegen oder einzelne Akten besonders schützen. So sehen etwa nur die beteiligten Personen ein Mandat aus dem persönlichen Umfeld eines Mitarbeitenden oder eine Akte mit Gesundheitsdaten.
Ein wichtiger Anwendungsfall sind widerstreitende Interessen nach § 43a Abs. 4 BRAO. Für die Erstreckung eines Tätigkeitsverbots auf gemeinsam tätige Rechtsanwälte kann § 43a Abs. 4 Satz 4 BRAO eine Ausnahme eröffnen, wenn die betroffenen Mandanten nach umfassender Information in Textform zugestimmt haben und geeignete Vorkehrungen die Verschwiegenheit sichern. Technisch getrennte Aktenteams können helfen, ersetzen aber nicht die Voraussetzungen der gesetzlichen Ausnahme.
Vermeiden Sie zu viele Ausnahmen. Wenn jede zweite Akte gesperrt ist, leidet die Vertretung bei Urlaub und Krankheit. Legen Sie deshalb fest, wer in dringenden Fällen Zugriff erhält, und protokollieren Sie diesen Zugriff.
- Standard: Zugriff nach Rolle
- Aktenteam für einzelne Mandate
- gesperrte Akte mit namentlich berechtigten Personen
- Notfallzugriff mit Protokoll
Rechte regelmäßig prüfen
Prüfen Sie Rechte bei jedem Eintritt, Wechsel und Austritt von Personen sowie zusätzlich in einem festen Rhythmus, etwa jährlich. Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen.
Beim Austritt sperren Sie Zugänge spätestens am letzten Arbeitstag, einschließlich Fernzugriff, Mobilgeräten und beA-Berechtigungen. Beim Wechsel in ein anderes Referat entziehen Sie alte Rechte, statt nur neue zu ergänzen. Sonst sammeln langjährige Mitarbeitende nach und nach Zugriff auf fast alles.
Eine Übersicht, wer welche Rolle und welche Sonderrechte hat, erleichtert die Prüfung erheblich. Halten Sie das Ergebnis jeder Prüfung kurz schriftlich fest. Das dient zugleich der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, nach der Sie die Einhaltung der Datenschutzgrundsätze nachweisen können müssen.
- Übersicht der Benutzer und Rollen erstellen
- mit der aktuellen Personalliste abgleichen
- Sonderrechte und gesperrte Akten prüfen
- Änderungen umsetzen
- Ergebnis dokumentieren
Häufige Fragen kurz beantwortet
Welche Rollen braucht eine Kanzlei im Rechtekonzept?
Die meisten Kanzleien kommen mit wenigen Rollen aus: Berufsträger, Sachbearbeitung, Sekretariat, Buchhaltung und Administration. Eine Rolle bündelt die Rechte, die für eine Aufgabe typisch sind, damit sie nicht für jede Person einzeln vergeben werden müssen.
Wie regle ich den Zugriff je Akte?
Zugriff je Akte regeln Sie, indem Sie neben den Rollen ein Aktenteam festlegen oder einzelne Akten besonders schützen. So sehen etwa nur die beteiligten Personen ein Mandat aus dem persönlichen Umfeld eines Mitarbeitenden oder eine Akte mit Gesundheitsdaten.
Wann sollte die Kanzlei Rechte in der Software prüfen?
Prüfen Sie Rechte bei jedem Eintritt, Wechsel und Austritt von Personen sowie zusätzlich in einem festen Rhythmus, etwa jährlich. Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen.
Rechtsgrundlagen und Quellen
- § 43a BRAO – Grundpflichten, Verschwiegenheit, widerstreitende Interessen
- Art. 5 DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten
- Art. 25 DSGVO – Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
- Art. 32 DSGVO – Sicherheit der Verarbeitung
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.