Von wahrscheinlich fast jedem gehasst, aber deswegen leider nicht weniger relevant, scheint Datenschutz für viele wie ein Gegner auszusehen. Man hofft, dass Datenschutz einen selber in Ruhe lässt, damit man ihn im Gegenzug ignorieren kann und sich nicht damit beschäftigen muss. Auch durch die Berichterstattung in den Medien bezüglich der Einführung der DSGVO hat sich Datenschutz zu einem richtigen Angstfaktor entwickelt und man hat das Gefühl, man müsste schon sehr viel Langeweile haben, um sich mit soetwas auseinander zu setzen. Doch ist das Thema nur so prominent, weil es wichtig ist und das gerade auch im Rechtsbereich. In diesem Beitrag finden Sie daher die „essentials“ des Datenschutzes – nicht trocken, sondern auf das Wichtigste fokussiert und wie immer direkt aus der Praxis.
Der folgende Artikel ist entnommen aus meinem Buch „Legal Tech – Die digitale Transformation in der Anwaltskanzlei“ (2018 erschienen im Rheinwerk Verlag, zu erwerben beim Rheinwerk Verlag oder auf Amazon). Nach der Einführung, haben wir uns im zweiten Beitrag mit Kanzlei-Software, im dritten Beitrag mit Cloud-Computing, im vierten Beitrag mit der Digitalisierung des Sekretariats beschäftigt und im letzten Teil mit einem Praxisleitfaden zur Digitalisierung der Kanzlei. Heute also der Angst-Gegner Datenschutz:
1. Datenschutz im Netz
Wir ersparen an dieser Stelle eine allgemeine Einführung in Datenschutz. Die Thematik ist seit Jahren aus jeglichen Bereichen nicht wegzudenken und man will es kaum noch hören. Ganz kurz wollen wir einen Blick auf die digitale Seite der Datenerhebung und -verarbeitung werfen. Nahezu alle relevanten Probleme in diesem Bereich sind im Internet angesiedelt. Wie Sie Ihre Kanzlei-Website datenschutzrechtlich sicher gestalten, welche Anforderungen an Seiten bzw. Profile in sozialen Netzwerken zu stellensind und wie eine korrekte Datenschutzerklärung aussieht, können wir unmöglich zufriedenstellend in diesem Artikel erklären.
Darüber hinaus werden an Sie als Anwalt hier keine besonderen Anforderungen gestellt, sondern Sie treffen die gleichen Rechte und Pflichten wie alle anderen Internetnutzer und Diensteanbieter auch. Aus diesem Grund begnügen wir uns damit, Ihnen ein paar Quellen zu nennen, über die Sie sich im Detail mit diesbezüglichen Fragestellungen auseinandersetzen können.
2. Mandatsverhältnis und Kanzleiorganisation
Abgesehen von der digitalen Welt erheben und verarbeiten Sie allerdings auch Daten in der analogen Welt, vorrangig im Mandatsverhältnis. Mit dem ersten Kontakt zu einem potenziellen Mandanten erlangen Sie personenbezogene Daten wie Name, Adresse oder Telefonnummer. Greifen wir auf allgemein bekannte Grundlagen zurück, werden wir schnell zu dem Ergebnis kommen, dass das eigentlich nur mit der Einwilligung des Betroffenen möglich ist. Da Sie derjenige sind, der kontaktiert wird, sollte das aber kein Problem darstellen. Alternativ können Sie sich zudem auf eine Datenverarbeitung zur Erfüllung eines Vertrags berufen.
Vor Abschluss eines Mandatsverhältnisses sollten Sie Ihrem neuen Mandanten eine schriftliche Datenschutzerklärung aushändigen. Auf diese Weise wahren Sie Transparenz und werden der Informationspflicht aus Art. 13 DSGVO gerecht. Wir empfehlen Ihnen, eine umfangreiche Datenschutzerklärung individuell für Ihre Kanzlei auszuarbeiten und ähnlich wie andere standardisierte Vertragstexte jedem neuen Mandanten noch vor Vertragsschluss mit den anderen Unterlagen zur Verfügung zu stellen. Ferner können Sie eine Version der Datenschutzerklärung als herunterladbares PDF-Dokument auf Ihrer Website bereithalten. Der Inhalt sollte aus zwei wesentlichen Elementen bestehen: Zum einen informieren Sie über alle datenschutzrechtlich relevanten Abläufe in Ihrer Kanzlei. Zum anderen empfiehlt es sich, gleichzeitig alle nötigen Einwilligungserklärungen einzuholen. Daher sollten Sie Ihre Datenschutzerklärung auch mindestens zweifach ausgeben und eine vom Mandanten ausgefüllte und unterschriebene Version zu Ihren eigenen Akten nehmen.
3. Verzeichnis von Verarbeitungstätigkeiten
Eine wohlüberlegte Datenschutzerklärung ist der erste Schritt zu einem gelungenen
Datenschutzkonzept. Denn ohne ein solches Konzept werden Sie in Schwierigkeiten
kommen. Spätestens dann, wenn einer Ihrer Mandanten von seinem Auskunftsrecht
Gebrauch macht und Sie mühevoll sämtliche Datenverarbeitungsvorgänge betreffend die individuellen Daten Ihres Mandanten nachvollziehen und aufbereiten müssen, werden Sie sich wünschen, von Anfang an ein Konzept gehabt zu haben.
Ein gewisses Maß an Konzept ist sogar gesetzlich vorgeschrieben. Die Rede ist vom
sogenannten »Verzeichnis von Verarbeitungstätigkeiten«. Nach Art. 30 DSGVO hat
jeder, der personenbezogene Daten verarbeitet, ein solches Verzeichnis zu führen.
Das klingt nach viel Aufwand, ist aber – wie die Datenschutzerklärung auch – eine
einmalige Sache, die zukünftig ein wertvoller Bestandteil Ihrer Kanzleiorganisation
sein wird.
Der Inhalt des Verzeichnisses ist gesetzlich vorgeschrieben, die konkrete Ausgestaltung aber jedem selbst überlassen. Unverzichtbar sind die persönlichen Angaben zur Kanzlei und den verantwortlichen Personen. Darüber hinaus müssen alle Verarbeitungstätigkeiten erläutert und aufgeschlüsselt werden. Der Zweck, die erforderliche Rechtsgrundlage und die davon betroffenen Personen müssen für jede einzelne Datenverarbeitung genannt werden. Daher bietet es sich an, das Verzeichnis als Tabelle aufzubauen und die Verarbeitungstätigkeiten in Kategorien wie »Personalwesen«, »Buchhaltung« und »Online-Aktivitäten« zu gliedern. Auf diese Weise sind nachträgliche Anpassungen ebenso wie das Hinzufügen neuer Verarbeitungstätigkeiten unproblematisch.
Schließlich müssen auch die technischen und organisatorischen Maßnahmen (TOM)
im Verarbeitungsverzeichnis aufgeführt werden. So sind Sie als Datenverarbeiter
gemäß Art. 32 DSGVO im zumutbaren Rahmen zu einer sicheren Datenverarbeitung
unter Berücksichtigung des jeweiligen Stands der Technik verpflichtet. Im Verarbeitungsverzeichnis müssen Sie dann über die von Ihnen getroffenen Maßnahmen zum Schutz der Daten vor Verlust, Zerstörung sowie vor dem unbefugten Zugriff durch Dritte informieren.
Teil 2 folgt…
