1. Status quo
Ich wage die Behauptung, dass die Umstellung auf die Vorgaben der DSGVO für denjenigen, der auch vorher nach deutschen Recht schon die datenschutzrechtlichen Vorgaben pflichtgemäß umgesetzt hatte, fristgerecht zu bewältigen gewesen ist. Zumal jedenfalls die essentiellen Inhalte der DSGVO schon ausreichend vor ihrem Inkrafttreten im Mai 2016, die finale Fassung immerhin zwei Jahre vor endgültigem Wirksamwerden, bekannt waren. Allerdings war im Bereich Datenschutz der "Leidensdruck" für Unternehmens- bzw. Kanzleiverantwortliche wohl nicht allzu hoch, denn bis zum Inkrafttreten der DSGVO haben sich die wenigsten Unternehmen Gedanken darum gemacht, wie sie mit personenbezogenen Daten ihrer Mitarbeiter, Kunden etc. umgehen; der Anwaltssektor war da keine Ausnahme. Zumeist gab es eine – mehr oder weniger aussagekräftige – Datenschutzerklärung auf der Website (oft noch nicht einmal das), das war es dann aber auch schon. Begriffe, wie Vorabkontrolle oder Verfahrensverzeichnis, waren für eine Mehrheit nichtssagende Vokabeln. Somit hat der DSGVO-Hype zumindest dazu beigetragen, dass das Thema Datenschutz in den Köpfen der Menschen einen größeren Platz einnimmt als vorher.
Natürlich bedarf es umso mehr an organisatorischem, personellem und finanziellem Aufwand, je größer eine Kanzlei ist. Allerdings steigen mit ihrer Größe in aller Regel auch die personellen und finanziellen Ressourcen, so dass die Umsetzung von Datenschutzmaßnahmen in einer Kanzlei mit 100 Mitarbeitern vermutlich besser zu realisieren ist, als in einer Kanzlei mit nur 15 Mitarbeitern oder einer kleinen zwei oder drei Berufsträger umfassende Kanzlei. Fakt ist jedoch: Seit dem 25.5.2018 ist die DSGVO voll umfänglich zu beachten, flankierend hierzu auch die neue Fassung des Bundesdatenschutzgesetzes (BDSG).
Die Erfahrung zeigt, dass längst nicht alle Behörden oder Unternehmen vollständige Compliance erlangt haben. Dies dürfte auch für die Anwaltschaft gelten, denn "Datenschutz" erfordert nicht nur angemessene Grundkenntnisse in diesem Rechtsgebiet, sondern auch die richtige Umsetzung in die Praxis. Nachfolgende Hinweise können helfen, die Kanzlei datenschutzkonform auszurichten.
2. Maßnahmenplan zur Erreichung der DSGVO-Konformität
Mit einem Maßnahmenplan, dessen einzelne Bereiche durch unterschiedliche Prioritäten untergliedert sind, können die größten "Baustellen" identifiziert und – möglichst zeitnah – der Weg zur DSGVO-Konformität beschritten werden. Auch wenn es derzeit noch so aussieht, dass von Seiten der Aufsichtsbehörden keine große Gefahr droht, weil diese einerseits schlichtweg nicht genügend "Man-Power" haben und andererseits bei Anwälten eingeschränkte Befugnisse vorliegen. So ist der Zutritt zu Kanzleiräumlichkeiten oder auch der Zugriff auf Mandatsdaten durch die Datenschutz-Aufsichtsbehörden beschränkt (vgl. § 29 Abs. 3 BDSG).
Allerdings ist nicht ausgeschlossen, dass durch andere Anwälte eventuell Unterlassungsansprüche geltend gemacht werden, etwa wegen einer fehlenden oder fehlerhaften Datenschutzerklärung auf der eigenen Kanzlei-Website. Es gibt zzt. eine große Diskussion darüber, ob Verstöße gegen das Datenschutzrecht, wie nach alter Rechtslage, zugleich regelmäßig auch Verstöße gegen das Wettbewerbsrecht darstellen und somit abmahnbar sind.
Praxishinweis:
Eine erste Entscheidung des LG Würzburg (Beschl. v. 13.9.2018 – 11 O 1741/18 UWG) spricht sich dafür aus. Gewichtige Stimmen der Literatur sind hingegen der Ansicht, dass die DSGVO insoweit abschließende Regelungen enthalte (z.B. Köhler/Bornkamm/Feddersen/Köhler, UWG, 36. Aufl. 2018, § 3a Rn 1.40a). Bis zur endgültigen Klärung dieses Streits dürfte noch einige Zeit vergehen – bis dahin besteht zumindest ein gewisses Abmahnpotenzial.
a) Priorität 1: Grundlagen bilden die Basis des Fundaments
Es ist ratsam, sich in einem ersten Schritt – sofern noch nicht geschehen – zumindest das essentielle Basiswissen im Bereich Datenschutz anzueignen oder alternativ jemanden zu engagieren, der dies bereits vorweisen kann. Daher ist ein externer Datenschutz-Berater oder gar ein unter Umständen (bei Kanzleien mit mehr als neun Mitarbeitern) ohnehin verpflichtender, alternativ auf freiwilliger Basis (bei kleineren Kanzleien) bestellter Datenschutzbeauftragter (DSB) eine Überlegung wert. Denn an dieser Stelle kann nur ein Überblick über die wichtigsten Grundlagen in komprimierter Form erfolgen. Das Datenschutzrecht dient dem Schutz bei der Verarbeitung von Daten mit Personenbezug. Die entscheidenden Begriffe, nämlich "personenbezogen" und "verarbeiten", werden sehr weitgehend verstanden. Ein Personenbezug besteht bereits dann, wenn eine natürliche Person identifizierbar ist. Folgende Faustregel sollte man sich merken: Im Zweifel sollte davon ausgegangen werden, dass die Daten, die typischerweise in einer Anwaltskanzlei anfallen, Personenbezug haben. Lediglich reine Statistik- bzw. Maschinendaten sollen ausgeschlossen sein. Zu den personenbezogenen Daten gehören also u.a.:
- persönliche Daten (Name, Anschrift, Geburtsdatum usw.),
- Kontaktdaten (Telefonnummer, Faxnummer, E-Mail-Adresse usw.),
- Finanzdaten (Bankverbindung, Ge...