Mit einem Maßnahmenplan, dessen einzelne Bereiche durch unterschiedliche Prioritäten untergliedert sind, können die größten "Baustellen" identifiziert und – möglichst zeitnah – der Weg zur DSGVO-Konformität beschritten werden. Auch wenn es derzeit noch so aussieht, dass von Seiten der Aufsichtsbehörden keine große Gefahr droht, weil diese einerseits schlichtweg nicht genügend "Man-Power" haben und andererseits bei Anwälten eingeschränkte Befugnisse vorliegen. So ist der Zutritt zu Kanzleiräumlichkeiten oder auch der Zugriff auf Mandatsdaten durch die Datenschutz-Aufsichtsbehörden beschränkt (vgl. § 29 Abs. 3 BDSG).
Allerdings ist nicht ausgeschlossen, dass durch andere Anwälte eventuell Unterlassungsansprüche geltend gemacht werden, etwa wegen einer fehlenden oder fehlerhaften Datenschutzerklärung auf der eigenen Kanzlei-Website. Es gibt zzt. eine große Diskussion darüber, ob Verstöße gegen das Datenschutzrecht, wie nach alter Rechtslage, zugleich regelmäßig auch Verstöße gegen das Wettbewerbsrecht darstellen und somit abmahnbar sind.
Praxishinweis:
Eine erste Entscheidung des LG Würzburg (Beschl. v. 13.9.2018 – 11 O 1741/18 UWG) spricht sich dafür aus. Gewichtige Stimmen der Literatur sind hingegen der Ansicht, dass die DSGVO insoweit abschließende Regelungen enthalte (z.B. Köhler/Bornkamm/Feddersen/Köhler, UWG, 36. Aufl. 2018, § 3a Rn 1.40a). Bis zur endgültigen Klärung dieses Streits dürfte noch einige Zeit vergehen – bis dahin besteht zumindest ein gewisses Abmahnpotenzial.
a) Priorität 1: Grundlagen bilden die Basis des Fundaments
Es ist ratsam, sich in einem ersten Schritt – sofern noch nicht geschehen – zumindest das essentielle Basiswissen im Bereich Datenschutz anzueignen oder alternativ jemanden zu engagieren, der dies bereits vorweisen kann. Daher ist ein externer Datenschutz-Berater oder gar ein unter Umständen (bei Kanzleien mit mehr als neun Mitarbeitern) ohnehin verpflichtender, alternativ auf freiwilliger Basis (bei kleineren Kanzleien) bestellter Datenschutzbeauftragter (DSB) eine Überlegung wert. Denn an dieser Stelle kann nur ein Überblick über die wichtigsten Grundlagen in komprimierter Form erfolgen. Das Datenschutzrecht dient dem Schutz bei der Verarbeitung von Daten mit Personenbezug. Die entscheidenden Begriffe, nämlich "personenbezogen" und "verarbeiten", werden sehr weitgehend verstanden. Ein Personenbezug besteht bereits dann, wenn eine natürliche Person identifizierbar ist. Folgende Faustregel sollte man sich merken: Im Zweifel sollte davon ausgegangen werden, dass die Daten, die typischerweise in einer Anwaltskanzlei anfallen, Personenbezug haben. Lediglich reine Statistik- bzw. Maschinendaten sollen ausgeschlossen sein. Zu den personenbezogenen Daten gehören also u.a.:
- persönliche Daten (Name, Anschrift, Geburtsdatum usw.),
- Kontaktdaten (Telefonnummer, Faxnummer, E-Mail-Adresse usw.),
- Finanzdaten (Bankverbindung, Gehaltsabrechnung usw.),
- Gesundheitsdaten (Krankmeldung, Diagnose, Überweisung usw.),
- Fotos mit einer erkennbar abgebildeten Person,
- Kfz-Kennzeichen,
- IP-Adressen.
Während im BDSG a.F. sprachlich noch nach einzelnen Verarbeitungsvorgängen differenziert wurde, muss dies nun nicht mehr erfolgen. Denn gemäß der DSGVO meint der Begriff "Verarbeitung" jeden mit oder ohne Hilfe eines automatisierten Verfahrens ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie beispielsweise das Erheben, das Ordnen, die Speicherung, die Veränderung, die Verwendung, die Übertragung oder auch das Löschen. Im Zeitalter der Digitalisierung, in dem niemand mehr – auch in einer vergleichsweisen konservativen Branche – mit Schreibmaschine und Karteikarten arbeitet, wird somit im Grunde jeder einzelne Datenverarbeitungsvorgang von der ersten Erhebung bis hin zur endgültigen Löschung durch das Datenschutzrecht erfasst. Also sollte im Zweifel diesbezüglich davon ausgegangen werden, dass ein Verarbeiten in Sinne der DSGVO vorliegt.
Nur rein private Tätigkeiten, wie etwa die Geburtstagsliste in Excel für Familie und Freunde, unterfällt nicht dem Anwendungsbereich der DSGVO. Aber schon bei einer "gemischten" Geburtstagsliste für Familie, Freunde und Kollegen kann die DSGVO zur Anwendung kommen.
Hinweis:
Neben den beiden wirklich zentralen Begriffen "personenbezogen" und "verarbeiten" enthält Art. 4 DSGVO noch über 20 weitere Definitionen, die es sich lohnt, einmal näher zu betrachten.
Hat man sich die wichtigsten Vokabeln angeeignet, sollten auch die wesentlichen Grundsätze bekannt sein. So ist das Datenschutzrecht, wie zuvor unter dem BDSG a.F. auch, als Verbot mit Erlaubnisvorbehalt ausgestaltet. Das bedeutet, dass jegliche Verarbeitung personenbezogener Daten in der Anwaltskanzlei verboten ist, es sei denn, sie ist ausnahmsweise gestattet. Es gibt drei Kategorien von Erlaubnistatbeständen.
aa) Einwilligung der Person, deren Daten verarbeitet werden
Eine Einwilligungserklärung hat den "Pferdefuß", dass sie jederzeit widerrufbar ist, wodurch ab dann die Rechtsgrundlage für die weitere Verarbeitung der betreffenden Daten entfällt.
bb) Überwiegende berechtigte Interessen
Als "berechtigte Interessen" nennt die DSGVO z.B. Ve...