DSGVO für Kanzleien und Büros: die wirklich wichtigen Pflichten

Die DSGVO wird in Kanzleien und Büros oft als lästig empfunden: ein Stapel hastig unterschriebener Formulare aus dem Jahr 2018, die nie wieder geöffnet wurden. Das ist der falsche Ansatz. Steuerberater, Rechtsanwälte und Arbeitsrechtsberater verarbeiten täglich Steuer-, Gerichts-, Gesundheits- und Gehaltsdaten von Mandanten und deren Mitarbeitern. Werden diese Daten schlecht verwaltet, setzen sie die Kanzlei oder das Büro Sanktionen, Rechtsstreitigkeiten und Reputationsschäden aus. Die EU-Verordnung 2016/679 ist keine Bürokratie; sie ist Datenmanagement. Wir sehen uns die wirklich wichtigen Pflichten an.

Zuerst: die Rollen klären

Der häufigste Fehler in Kanzleien und Büros ist die Unkenntnis, in welcher Rolle Daten verarbeitet werden. Die Kanzlei ist immer Verantwortlicher für die Daten ihrer eigenen Mitarbeiter, Kooperationspartner und direkten Mandanten. Wenn jedoch der Arbeitsrechtsberater Lohnabrechnungen für ein Kundenunternehmen erstellt, verarbeitet er die Daten der Mitarbeiter dieses Unternehmens im Auftrag des Kunden. In diesem Fall handelt er in der Regel als Auftragsverarbeiter gemäß Art. 28 der Verordnung, und es ist ein schriftlicher Auftragsverarbeitungsvertrag erforderlich. Ein Anwalt, der vor Gericht verteidigt, agiert hingegen typischerweise als eigenständiger Verantwortlicher, da er Mittel und Zwecke im Rahmen des beruflichen Mandats selbstständig festlegt. Diese Rollen zu verwechseln bedeutet, die gesamte Datenschutzdokumentation auf falschen Grundlagen aufzubauen.

Das Verzeichnis von Verarbeitungstätigkeiten: die Kanzlei-Landkarte

Art. 30 der DSGVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten. Viele Kanzleien und Büros berufen sich auf die vermeintliche Ausnahme für Organisationen mit weniger als 250 Mitarbeitern. Diese Ausnahme gilt jedoch nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Kategorien von Daten betrifft – Bedingungen, die in einer professionellen Kanzlei oder einem Büro praktisch immer gegeben sind. Das Verzeichnis muss daher geführt werden, und es empfiehlt sich, es sorgfältig zu erstellen: Es ist ein Abbild davon, welche Daten in die Kanzlei gelangen, wo sie gespeichert werden, wer darauf zugreift und wann sie gelöscht werden. Es ist ein Kontrollinstrument, kein Formular zum Vorzeigen.

E-Mails, PEC und Akten: das tägliche Risiko

Die meisten Vorfälle in Kanzleien und Büros entstehen nicht durch ausgeklügelte Angriffe, sondern durch die alltägliche Verwaltung: der Anhang mit den Gehaltsabrechnungen, der an den falschen Empfänger gesendet wurde, die PEC, die mit dem gesamten Fallverlauf weitergeleitet wurde, die auf einer persönlichen Cloud geteilte Akte, die Zugangsdaten der Finanzsoftware, die von der gesamten Kanzlei genutzt werden. Jede fehlgeleitete E-Mail mit personenbezogenen Daten ist eine potenzielle Verletzung, die gemäß Art. 33 und 34 der Verordnung zu bewerten ist. Es braucht einfache und schriftliche Regeln: doppelte Überprüfung der Empfänger beim Versand sensibler Daten, Verschlüsselung oder Schutz kritischer Anhänge, persönliche Konten, Aufbewahrungsrichtlinien für abgeschlossene Akten.

Die wirklich wichtigen Pflichten

Aus risikobasierter Sicht sind dies die Maßnahmen, auf die man Zeit und Aufmerksamkeit konzentrieren sollte:

• klare Rollen: Festlegung, wann die Kanzlei Verantwortlicher, Auftragsverarbeiter oder eigenständiger Verantwortlicher ist, mit den gemäß Art. 28 unterzeichneten Verträgen in beide Richtungen (von den Mandanten und an die eigenen Lieferanten);
• ein gemäß Art. 30 aktualisiertes und der operativen Realität entsprechendes Verzeichnis von Verarbeitungstätigkeiten;
• wirklich lesbare Informationen für Mandanten und Mitarbeiter, keine Kopien allgemeiner Vorlagen;
• verhältnismäßige Sicherheitsmaßnahmen: überprüfte Backups, Multi-Faktor-Authentifizierung, Zugangsverwaltung zu Verwaltungssoftware;
• eine Verfahrensweise für den Umgang mit Datenpannen, mit klar definierten Verantwortlichkeiten und Zeitrahmen, bevor der Vorfall eintritt;
• regelmäßige Schulung derjenigen, die mit Daten arbeiten, denn das schwächste Glied ist fast immer der Mensch.

Alles andere – redundante Formulare, aus Gewohnheit gesammelte Unterschriften – ist wenig wert, wenn diese sechs Maßnahmen nicht funktionieren.

Wo anfangen?

Eine letzte Überlegung zur Berufsgeheimnispflicht: Viele Berufsleute glauben, dass die Berufsgeheimnispflicht auch den Datenschutz umfasst. Das ist nicht der Fall. Berufsgeheimnispflicht und DSGVO wirken auf verschiedenen, sich ergänzenden Ebenen: Erstere schützt die Vertraulichkeit des Vertrauensverhältnisses, Letztere regelt, wie Daten erhoben, gespeichert, mit Dienstleistern geteilt und technisch geschützt werden. Die Einhaltung der einen ersetzt nicht die Einhaltung der anderen.

Ein realistischer Ausgangspunkt ist eine ehrliche Bestandsaufnahme des aktuellen Zustands: Was existiert, was ist aktuell, was ist nur Papier. Darauf aufbauend wird ein Anpassungsplan erstellt, der der Größe der Kanzlei angemessen ist, ohne unnötige Überstrukturen. PL Consulting unterstützt Kanzleien und Büros in ganz Italien mit einem konkreten und risikobasierten Ansatz: Entdecken Sie den Service der DSGVO-Beratung und kontaktieren Sie uns für eine erste Einschätzung der Situation Ihrer Kanzlei.