BRAO und DSGVO für die Kanzlei-Website: Was für Anwälte anders ist

Wenn der Datenschutzhinweis stimmt, aber trotzdem etwas fehlt

Viele Kanzlei-Websites haben inzwischen eine ordentliche Datenschutzerklärung, ein funktionierendes Cookie-Banner, ein Impressum, das den Vorgaben entspricht. Auf den ersten Blick wirkt das solide. Und für die meisten Branchen wäre das auch ausreichend.

Für eine Anwaltskanzlei ist es das nicht ganz. Denn neben der DSGVO gilt für Sie als Anwältin oder Anwalt noch eine zweite Ebene: die Berufsordnung, allen voran die Verschwiegenheitspflicht. Die betrifft nicht nur, was Sie in der Kanzlei besprechen oder wie Sie Akten aufbewahren. Sie betrifft auch die eigene Website – und zwar an Stellen, die bei einer generischen DSGVO-Prüfung gar nicht auffallen.

Warum BRAO und DSGVO bei der Kanzlei-Website zusammen gehören

Die DSGVO fragt: Ist die Verarbeitung personenbezogener Daten rechtmäßig, dokumentiert, technisch abgesichert? Das ist für jede Branche gleich, vom Handwerksbetrieb bis zur Steuerkanzlei.

Die BRAO fragt zusätzlich: „Ist das, was hier verarbeitet wird, möglicherweise schon ein Mandatsgeheimnis? Und wenn ja: Reicht ein normales DSGVO-Schutzniveau überhaupt aus?

Das ist der Unterschied. Eine Marketingagentur, die für einen Handwerksbetrieb ein DSGVO-konformes Kontaktformular einrichtet, hat ihre Pflicht erfüllt, wenn die Einwilligung sauber eingeholt wird und die Daten verschlüsselt übertragen werden. Bei einer Kanzlei kommt eine Frage dazu, die eine Generalagentur in der Regel gar nicht stellt: Was steht eigentlich in diesem Formularfeld – und darf ein Dritter, der dieses Formular technisch betreibt, das überhaupt lesen können?

Kontaktformulare: der Moment, in dem das Mandat anfängt

Das Kontaktformular ist bei den meisten Kanzlei-Websites die einzige Stelle, an der ein potenzieller Mandant von sich aus etwas preisgibt, bevor überhaupt ein persönlicher Kontakt stattgefunden hat. Und in der Praxis stehen dort oft mehr Informationen, als das Formular eigentlich abfragt: Name, Telefonnummer – und dann, im Freitextfeld, schon die ersten Zeilen zum Fall. “Es geht um eine Kündigung”, “mein Ex-Partner verweigert den Umgang”, “ich werde beschuldigt, obwohl ich unschuldig bin”. Das ist keine harmlose Kontaktanfrage mehr, das ist der erste Satz eines Mandats.

Wenn dieses Formular technisch nicht sauber abgesichert ist – etwa weil die Übertragung nicht durchgängig verschlüsselt ist, weil die eingegangenen Nachrichten unbegrenzt in einer Datenbank liegen bleiben, oder weil ein externer Dienstleister im Hintergrund technisch mitliest, ohne dass dafür eine saubere vertragliche Grundlage besteht –, dann ist die Verschwiegenheitspflicht in diesem Moment schon berührt. Nicht erst, wenn Sie später zurückrufen.

Auftragsverarbeiter: Wer darf mitlesen, und worüber?

Jede Website läuft über mehrere Dienstleister im Hintergrund: Hosting, oft ein Formular-Tool, häufig ein Analyse-Dienst, manchmal ein externer E-Mail-Versand. Für all diese Anbieter braucht es datenschutzrechtlich einen Auftragsverarbeitungsvertrag. Das ist erst mal reine DSGVO, nichts Anwaltsspezifisches.

Anwaltsspezifisch wird es bei der Frage, wie genau dieser Dienstleister an Ihre Daten kommt und was er technisch davon sehen kann. Bei den meisten Branchen ist das eine Frage von Compliance-Papier. Bei einer Kanzlei ist es zusätzlich eine Frage der Verschwiegenheitspflicht gegenüber einem Dritten.

Das heißt in der Praxis: Es reicht nicht, einen Vertrag unterschrieben zu haben. Es lohnt sich, konkret zu prüfen, welcher Anbieter im Hintergrund tatsächlich Zugriff auf Formulardaten oder Nutzerverhalten hat – und ob dieser Zugriff für den eigentlichen Zweck (Website betreiben) überhaupt nötig ist oder nur mitläuft, weil ein Standard-Werkzeug ihn standardmäßig mitbringt.

Serverstandort und Anbieter außerhalb der EU

Ein Punkt, der bei generischen DSGVO-Checklisten überwiegend mit “Serverstandort EU prüfen” abgehakt wird, verdient bei einer Kanzlei eine genauere Betrachtung. Es geht nicht nur darum, ob ein Server formal in der EU steht. Es geht darum, ob ein US-amerikanischer Mutterkonzern im Hintergrund theoretisch Zugriff auf die Daten bekommen könnte, etwa über behördliche Anfragen nach US‑Recht. Für die DSGVO ist das eine Frage von Angemessenheitsbeschluss und Standardvertragsklauseln. Für die anwaltliche Verschwiegenheitspflicht ist es eine Frage, die man sich als Kanzlei eigentlich vor jeder anderen Branche zuerst stellen sollte – weil hier nicht Kundendaten eines Onlineshops betroffen sind, sondern potenziell strafrechtlich, familienrechtlich oder wirtschaftlich hochsensible Fallschilderungen.

Was das für die Praxis bedeutet

Ich will hier keine technische Bauanleitung liefern, das würde auch nicht weiterhelfen, weil jede Website anders aufgebaut ist. Aber die Fragen, die Sie sich stellen sollten, lassen sich klar benennen:

• Welche Dienstleister haben technisch Zugriff auf das, was über meine Website eingeht – und brauchen sie diesen Zugriff wirklich?
• Ist mit jedem dieser Dienstleister ein Auftragsverarbeitungsvertrag geschlossen, der auch die anwaltliche Verschwiegenheitspflicht mitdenkt, nicht nur DSGVO-Standardklauseln?
• Was passiert mit Formulardaten, nachdem eine Anfrage bearbeitet wurde – liegen sie unbegrenzt weiter, oder gibt es eine Löschregel?
• Wo genau stehen die Daten physisch, und wer könnte theoretisch Zugriff bekommen, auch ohne dass jemand aktiv “mitliest”?

Das ist kein Thema, das man einmal abhakt und dann vergisst. Es ist eher vergleichbar mit der Aktenführung in der Kanzlei selbst: Auch da überprüft man ja nicht einmal im Jahr den Aktenschrank und ist dann für immer fertig.

Häufige Fragen

Die folgenden Antworten bieten Orientierung zu BRAO und DSGVO für die Kanzlei-Website: Was für Anwälte anders ist und angrenzenden Aspekten.