Kanzleisoftware in der Cloud: was § 43e BRAO verlangt und wie Sie den Anbieter prüfen

Die anwaltliche Verschwiegenheit bezieht sich nach § 43a Abs. 2 BRAO auf alles, was der Anwältin oder dem Anwalt in Ausübung des Berufes bekannt geworden ist. Strafrechtlich schützt § 203 StGB fremde Geheimnisse vor unbefugter Offenbarung.

Nach § 203 Abs. 3 Satz 2 StGB dürfen Berufsgeheimnisträger fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen Tätigkeit mitwirken, soweit dies für deren Tätigkeit erforderlich ist. Dazu können externe IT-Dienstleister gehören, etwa der Anbieter, der die Kanzleisoftware betreibt und sichert.

Die Erlaubnis hat eine Kehrseite: Nach § 203 Abs. 4 Satz 2 Nr. 1 StGB macht sich auch strafbar, wer nicht dafür Sorge getragen hat, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde, wenn diese ein Geheimnis unbefugt offenbart. Wie diese Verpflichtung für Anwältinnen und Anwälte aussehen muss, regelt § 43e BRAO.

§ 43e BRAO erlaubt es, Dienstleistern den Zugang zu Tatsachen zu eröffnen, die der Verschwiegenheit unterliegen. Dienstleister ist nach Abs. 1 Satz 2 eine andere Person oder Stelle, die im Rahmen der Berufsausübung mit Dienstleistungen beauftragt wird. Die Erlaubnis ist an Bedingungen geknüpft:

1. Erforderlichkeit: Zugang nur, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist (Abs. 1).
2. Sorgfältige Auswahl des Dienstleisters (Abs. 2 Satz 1).
3. Vertrag in Textform mit festgelegten Inhalten (Abs. 3), dazu mehr im nächsten Abschnitt.
4. Ausland: Wird die Leistung im Ausland erbracht, nur bei einem Geheimnisschutz, der dem Schutz im Inland vergleichbar ist, es sei denn, der Schutz der Geheimnisse gebietet dies nicht (Abs. 4).
5. Einzelnes Mandat: Dient eine Dienstleistung unmittelbar einem einzelnen Mandat, braucht es die Einwilligung des Mandanten (Abs. 5). Die Hanseatische Rechtsanwaltskammer Hamburg nennt als Beispiele Sachverständige und Detektive. Eine Kanzleisoftware dient dagegen in der Regel der ganzen Kanzlei.
6. Laufende Kontrolle: Ist die Einhaltung der Vorgaben nicht gewährleistet, ist die Zusammenarbeit unverzüglich zu beenden (Abs. 2 Satz 2).

Die Vorschriften zum Schutz personenbezogener Daten bleiben daneben unberührt (Abs. 8). Für eine Kanzleisoftware in der Cloud brauchen Sie also beides: die Verpflichtung nach § 43e BRAO und den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Der Vertrag mit dem Dienstleister bedarf der Textform (§ 43e Abs. 3 Satz 1 BRAO). Textform heißt nach § 126b BGB: eine lesbare Erklärung, in der die Person des Erklärenden genannt ist, auf einem dauerhaften Datenträger. Eine eigenhändige Unterschrift ist dafür nicht vorgeschrieben.

In dem Vertrag ist nach § 43e Abs. 3 Satz 2 BRAO

• der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten,
• der Dienstleister zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist, und
• festzulegen, ob der Dienstleister weitere Personen zur Erfüllung des Vertrags heranziehen darf; für diesen Fall ist ihm aufzuerlegen, diese Personen in Textform zur Verschwiegenheit zu verpflichten.

Bei einer Cloud-Software ist der dritte Punkt praktisch wichtig: Oft betreibt nicht der Softwareanbieter selbst das Rechenzentrum. Lassen Sie sich zeigen, welche weiteren Stellen beteiligt sind und wie die Verpflichtung an sie weitergegeben wird.

Die Pflichtinhalte nach Abs. 3 Satz 2 entfallen nur, soweit der Dienstleister für die zu erbringende Leistung bereits gesetzlich zur Verschwiegenheit verpflichtet ist (Abs. 7 Satz 2). Fragen Sie im Zweifel nach, auf welche Vorschrift sich ein Anbieter beruft, der keine Verpflichtung abgeben will.

Was „sorgfältig“ im Einzelnen heißt, lässt das Gesetz offen. Für eine Kanzleisoftware in der Cloud lassen sich die Anforderungen in konkrete Fragen an den Anbieter übersetzen:

• Wer beim Anbieter kann technisch auf Akten und Dokumente zugreifen, und in welchen Fällen? Gibt es Supportzugriffe nur nach Freigabe durch die Kanzlei, und werden sie protokolliert?
• Welche weiteren Dienstleister sind beteiligt, etwa das Rechenzentrum, und sind sie in Textform zur Verschwiegenheit verpflichtet?
• In welchem Land stehen Server und Datensicherungen, und wird ein Teil der Leistung, zum Beispiel Wartung oder Support, aus dem Ausland erbracht?
• Sind die Daten der Kanzlei von denen anderer Kunden getrennt?
• Wie werden Daten bei der Übertragung und in den Sicherungen geschützt?
• Wie erhalten Sie bei Vertragsende Ihre Daten vollständig zurück, und wann werden sie beim Anbieter gelöscht?

Halten Sie die Antworten schriftlich fest. Sie dokumentieren Ihre Auswahl und sind der Maßstab, an dem Sie die Zusammenarbeit später messen. Wie ein Datenexport beim Anbieterwechsel aussehen sollte, beschreibt der Ratgeber Anbieterwechsel und Datenexport.

Cloud-Leistungen werden nicht immer an einem Ort erbracht: Die Daten liegen in einem Rechenzentrum, Wartung oder Support kommen womöglich von anderswo. Die Hanseatische Rechtsanwaltskammer Hamburg weist darauf hin, dass im Ausland erbrachte Dienstleistungen gerade im IT-Bereich häufig sind. Nach der Gesetzesbegründung (BT-Drs. 18/11936, S. 35), auf die die Kammer verweist, könne für die anderen Mitgliedstaaten der Europäischen Union in der Regel von einem vergleichbaren Schutz ausgegangen werden. Bei einer Auslagerung in andere Staaten müsse im Einzelfall geprüft werden, ob der erforderliche Schutz gewährleistet ist.

Am einfachsten wird diese Prüfung, wenn Daten, Sicherungen und Support in Deutschland bleiben. Fragen Sie deshalb nicht nur nach dem Serverstandort, sondern auch danach, von wo aus Personal auf das System zugreifen kann.

JuristData läuft im Browser, ein eigener Server ist nicht nötig. Kanzleidaten werden ausschließlich in Rechenzentren in Deutschland verarbeitet und gesichert; eine Übermittlung in Drittländer findet für diese Daten nicht statt. Jede Kanzlei hat eine eigene Datenbank. Unser Support sieht Akten nur nach Freigabe durch die Kanzlei, im Vier-Augen-Prinzip, zeitlich begrenzt und protokolliert. Die Daten werden täglich verschlüsselt gesichert, mit einer Kopie auf einem separaten Server. KI-Funktionen laufen auf unseren Servern in Deutschland; die Weitergabe an externe KI-Anbieter ist für Kanzleien gesperrt.

Verträge und die Verarbeitung echter Kanzleidaten beginnen mit dem Pilot im Januar 2027. Dann schließen wir den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und die Verpflichtung nach § 43e BRAO. Die Unterauftragsverarbeiter stehen mit Datum und Änderungshistorie auf unserer Seite Vertrauen und Sicherheit.

In eigener Sache: Für Rechtsanwaltskanzleien, die JuristData von Anfang an mitgestalten möchten, gibt es den JuristData-Pilot 2027: 3 bis 5 Plätze, drei Monate kostenlos, Einrichtung durch uns, Start Mitte Januar 2027.

Weiterlesen: DSGVO-Kanzleisoftware mit Hosting in Deutschland · KI in der Kanzleisoftware: Verschwiegenheit und Datenschutz · Verschwiegenheit und Ethical Wall in der Kanzleisoftware