Ivana Bugarin, Michael Brunner
Rz. 249
Die Europäischen Datenschutzrichtlinie (DSGVO) ist seit dem 24.5.2016 in Kraft und soll in allen Staaten der EU für gleiche Standards in der elektronischen Datenverarbeitung sorgen. Die zweijährige Übergangsfrist ist am 24.5.2018 ausgelaufen und sorgte Anfang 2018 in vielen Kanzleien "überraschend" für Aufregung.
I. Allgemeines
Rz. 250
Die DSGVO wirkt ab dem 25.5.2018 unmittelbar und vorrangig in allen EU-Mitgliedsstaaten. Daneben gibt es jedoch auch weiterhin das Bundesdatenschutzgesetz (BDSG), das neu gefasst wurde und zum gleichen Zeitpunkt in Kraft tritt. Im BDSG-neu wurden dabei einige Spielräume genutzt, die sich aus der Öffnungsklausel des DSGVO ergeben.
Die DSGVO sieht bei einem Verstoß gegen die ordnungsgemäße Datenverarbeitung Bußgelder bis zu einer maximalen Höhe von 20 Millionen EUR vor.
In der Vergangenheit hat sich die Anwaltschaft, sobald es um das Bundesdatenschutzgesetz ging, immer auf das Anwaltsgeheimnis berufen. Nach neuem Recht gibt es jedoch keinen Zweifel mehr daran, dass das Datenschutzrecht auch für Mandats- und Mandantendaten gilt.
Die DSGVO gilt dabei für jede Form der Datenverarbeitung, also für das Erheben, Speichern, Weitergeben und Löschen von Daten (Art. 4 Nr. 2 DSGVO).
In einer Anwaltskanzlei werden dabei vielfältig Daten verarbeitet, zum einen über das Abspeichern von Adressdaten in den Datenbanken und zum anderen beim Betreiben einer Website (hier werden Besucherdaten im Hintergrund gespeichert) oder dem Einrichten eines Newsletters.
In den Datenbanken befinden sich die Namen und Anschriften unterschiedlicher Personengruppen:
▪ |
Mitarbeiter, |
▪ |
Lieferanten und sonstige Dienstleister, |
▪ |
Mandanten, |
▪ |
Prozessgegner, |
▪ |
Drittbeteiligte. |
Rz. 251
Hinweis:
Alle Personengruppen fallen zunächst unter den Schutz der DSGVO. Deutschland hat jedoch die Öffnungsklauseln genutzt, um das Anwaltsgeheimnis weitestgehend zu schützen. Insbesondere wäre es für die Bearbeitung eines Falls nicht sinnvoll, beim Gegner erst die Zustimmung zur Datenverarbeitung einzuholen, bevor man die Akte im Computer anlegen kann.
▪ |
§ 29 Abs. 3 BDSG-neu: Die Aufsichtsbehörde hat kein Recht auf Zugang zu den Kanzleiräumen und hat auch kein Recht zur Einsichtnahme in die anwaltliche Datenverarbeitung. |
▪ |
§ 29 Abs. 1 BDSG-neu: Die Betroffenenrechte (Information, Auskunft, Benachrichtigung) gelten nicht für Prozessgegner und andere Außenstehende, so dass dadurch das Anwaltsgeheimnis geschützt wird. |
II. Pflichten im Umgang mit Daten
Rz. 252
Für die Daten von Mandanten, Lieferanten und Mitarbeitern gilt jedoch der Grundsatz, dass die Erhebung, Verarbeitung und Nutzung personenbezogener Daten verboten ist, es sei denn
▪ |
es ist durch eine Rechtsvorschrift ausdrücklich erlaubt oder angeordnet oder |
▪ |
der Betroffene hat seine Einwilligung erklärt. Die Einwilligung muss dabei insbesondere freiwillig und in Schriftform erfolgen. |
Rz. 253
Die Einwilligung des Mandanten zur Verarbeitung seiner Daten reicht jedoch nicht aus, um alle Anforderungen der DSGVO zu erfüllen, da diese grundliegende organisatorische Sicherungsmaßnahmen vorsieht.
Die Umsetzung erfolgt dabei in fünf Schritten:
1. Betrieblicher Datenschutzbeauftragter
Rz. 254
Sind in einer Kanzlei mehr als zehn Personen mit der Datenverarbeitung beschäftigt, so ist zwingend ein betrieblicher Datenschutzbeauftragter nach Art. 37 Abs. 4 DSGVO i.V.m. § 38 BDSG-neu zu bestellen. Hierbei ist zu beachten, dass es auf die Kopfzahl der Personen ankommt und sowohl die Kanzleiinhaber als auch die Angestellten und freien Mitarbeiter "als eine Person" zählen, egal ob diese in Voll- oder Teilzeit arbeiten.
Der Datenschutzbeauftragte ist unmittelbar der Geschäftsführung unterstellt und in der Ausübung seiner Datenschutz-Aufgaben weisungsfrei. Er sollte zumal die nötige Fachkunde und Zuverlässigkeit besitzen und ggf. an entsprechenden Fortbildungen teilnehmen.
Hinweis:
Der Datenschutzbeauftragte genießt zudem besonderen Kündigungsschutz. Während der Bestellung und ein Jahr danach darf ihm nur aus wichtigem Grund (z.B. Arbeitsverweigerung, Diebstahl aus der Handkasse) gekündigt werden.
Die DSGVO regelt zwar nicht ausdrücklich diesen Kündigungsschutz. Art. 38 Abs. 3 S. 2 DSGVO enthält jedoch die Regelung, dass "der Datenschutzbeauftragte wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden darf". Der Kündigungsschutz wurde jedoch – wie oben dargestellt – in § 6 Abs. 4 BDSG-neu konkretisiert.
Dieser Kündigungsschutz gilt natürlich nur für Arbeitsverhältnisse. Für externe Datenschutzbeauftragte, die auch zulässiger Weise bestellt werden können, gibt es einen solchen Schutz nicht.
Die Geschäftsführung einer Kanzlei ist übrigens nicht an das Votum des Datenschutzbeauftragten gebunden, die Letztverantwortung bleibt dabei beim Kanzleiinhaber.
2. Erstellung eines Datenverarbeitungsverzeichnisses
Rz. 255
Gem. Art. 30 DSGVO muss ein Verzeichnis über alle Datenverarbeitungen der Kanzlei erstellt werden, hierzu gehören insbesondere
▪ |
die elektronische Akte, |
▪ |
die Kanzleisoftware inkl. Buchhaltung, |
▪ |
die Lohnbuchhaltungssoftware und elektronische Personalakten, |
▪ |
die Kanzleisoftware und |
▪ |
Social Media-Profile der Kanzlei (Facebook &... |