Inhaltsverzeichnis
Eine Kanzlei verarbeitet täglich personenbezogene Daten – von Mandanten, Mitarbeitern und Partnern. Mit der DSGVO (Datenschutz-Grundverordnung) gelten dabei strenge Anforderungen an Transparenz, Sicherheit und Informationspflichten. Wer diese Regeln nicht beachtet, riskiert Bußgelder und Abmahnungen.
In diesem Leitfaden erfahren Sie, wie Sie Ihre Datenschutzerklärung, Ihre Datenverarbeitung und Ihre gesamte Datenschutzorganisation DSGVO-konform gestalten – praxisnah, rechtssicher und ohne juristisches Kauderwelsch.
Was bedeutet DSGVO für Kanzleien?
Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018 in der gesamten EU. Sie regelt, wie personenbezogene Daten verarbeitet werden dürfen – also Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Für Kanzleien ist sie besonders relevant, weil sie in fast allen Tätigkeiten mit sensiblen personenbezogenen Daten umgehen – von Mandantendaten über E-Mails bis zu digitalen Akten.
Die Verarbeitung darf nur erfolgen, wenn sie auf einer rechtmäßigen Grundlage beruht (gemäß Art. 6 Abs. 1 DSGVO). Dazu gehören etwa vertraglich notwendige Vorgänge, gesetzliche Pflichten oder die Einwilligung des Betroffenen. Kanzleien müssen daher dokumentieren, welche Datenverarbeitung auf welcher Grundlage erfolgt und wer als Verantwortlicher agiert.
Warum ist Datenschutz für Kanzleien so sensibel?
Rechtsanwälte, Steuerberater und Notare genießen besonderes Vertrauen. Dieses Vertrauen beruht auch darauf, dass personenbezogene Daten sicher behandelt werden.
Ein Verstoß gegen die DSGVO kann nicht nur zu Bußgeldern von bis zu 20 Millionen Euro führen, sondern auch den guten Ruf einer Kanzlei nachhaltig beschädigen.
Weiterhin gelten für viele Berufsträger noch strengere Verschwiegenheitspflichten als im allgemeinen Datenschutzrecht. Es ist daher notwendig, technische und organisatorische Maßnahmen zu treffen, um den Schutz der Daten sicherzustellen – vom verschlüsselten E-Mail-Versand bis zur Zugriffsbeschränkung in der Kanzleisoftware.
Was gehört in eine vollständige Datenschutzerklärung?
Die Datenschutzerklärung ist das Herzstück der Informationspflichten nach Art. 13 und 14 DSGVO. Sie muss transparent, verständlich und zugänglich formuliert sein.
Wichtige Inhalte sind:
- Name und Kontaktdaten des Verantwortlichen (z. B. der Kanzleiinhaber oder die Gesellschaft)
- Name und Kontaktdaten des Datenschutzbeauftragten (falls erforderlich)
- Zwecke und Rechtsgrundlagen der Datenverarbeitung
- Kategorien der personenbezogenen Daten
- Empfänger oder Kategorien von Empfängern (z. B. externe Dienstleister)
- Dauer der Speicherung oder Kriterien für deren Festlegung
- Rechte der betroffenen Person (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung etc.)
- Hinweis auf das Beschwerderecht bei der Aufsichtsbehörde
Fehlt einer dieser Punkte, liegt ein Verstoß gegen Art. 13 DSGVO vor – mit möglichen Abmahnungen oder Bußgeldern.
Wann benötigt eine Kanzlei einen Datenschutzbeauftragten?
Ein Datenschutzbeauftragter ist zu benennen, wenn in der Kanzlei mindestens zehn Personen regelmäßig mit der Verarbeitung personenbezogener Daten beschäftigt sind.
Auch unabhängig von der Mitarbeiterzahl kann eine Benennung sinnvoll sein, wenn besonders sensible Daten – etwa über Straftaten, Gesundheitszustände oder finanzielle Verhältnisse – verarbeitet werden.
Der Datenschutzbeauftragte überwacht die Einhaltung der DSGVO, schult Mitarbeiter und dient als Ansprechpartner für Betroffene und die zuständige Aufsichtsbehörde. Kanzleien sollten klar regeln, ob diese Rolle intern oder extern besetzt wird.
Wie sichern Kanzleien personenbezogene Daten technisch ab?
Technische Sicherheit ist die Basis des Datenschutzes. Dazu gehören SSL-Verschlüsselung, Firewalls, regelmäßige Updates und ein sicheres Backup-System.
Auch Passwörter und Zugriffsrechte sollten nach dem „Need-to-know“-Prinzip vergeben werden: Jeder Mitarbeiter darf nur auf die Daten zugreifen, die er tatsächlich benötigt.
Eine gute Kanzlei-Website sollte ausschließlich über HTTPS laufen, sichere Plug-ins nutzen und ein aktuelles CMS enthalten. Zusätzlich empfiehlt sich eine Vereinbarung zur Auftragsverarbeitung mit Hosting- oder IT-Dienstleistern, um die Verantwortlichkeiten klar zu regeln.
Was gilt für Tools von Drittanbietern?
Viele Kanzleien binden auf ihrer Website Tools von Drittanbietern ein – etwa Google Analytics, YouTube, Kartenmaterial oder Newsletter-Systeme.
Solche Tools übertragen häufig personenbezogene Daten an Dritte, teilweise sogar außerhalb der EU. Daher müssen sie in der Datenschutzerklärung detailliert genannt und rechtlich bewertet werden.
Wenn Daten in Drittländer übermittelt werden, ist gemäß Art. 46 DSGVO ein Verweis auf geeignete oder angemessene Garantien erforderlich. Ein Verstoß kann schnell zu Beschwerden bei der Aufsichtsbehörde führen.
Tipp: Verwenden Sie Tools nur, wenn sie wirklich nötig sind – und informieren Sie Ihre Besucher klar über die Datenverarbeitung.
Technische Kontrolle über eingesetzte Dienste ist dabei ein zentraler Bestandteil von technischem SEO für Kanzleien.
Was muss im Cookie-Banner stehen?
Das Cookie-Banner ist ein zentrales Element des Datenschutzes. Es muss die Einwilligung der Betroffenen einholen, bevor nicht technisch notwendige Cookies gesetzt werden.
Kanzleien sollten Tools wie „Real Cookie Banner“ nutzen, um diese Einwilligungen DSGVO-konform zu gestalten.
Das Banner muss die Kategorien der Cookies, ihre Zwecke und Anbieter nennen. Außerdem muss der Nutzer die Möglichkeit haben, seine Einwilligung jederzeit zu widerrufen.
Ohne eine korrekte Einbindung drohen Bußgelder und wettbewerbsrechtliche Abmahnungen.
Welche Informationspflichten bestehen gegenüber Mandanten?
Gemäß Art. 13 und 14 DSGVO müssen Mandanten bereits zum Zeitpunkt der Erhebung darüber informiert werden, welche Daten zu welchem Zweck verarbeitet werden.
Diese Informationspflichten gelten sowohl online (z. B. bei Nutzung eines Kontaktformulars) als auch offline (bei Vertragsabschluss oder Mandatsaufnahme).
Die Datenschutzhinweise müssen leicht auffindbar und in verständlicher Sprache formuliert sein. Sie dienen dazu, Betroffene über ihre Rechte zu unterrichten – etwa über Auskunft, Löschung oder Einschränkung der Verarbeitung.
Welche Rechte haben Betroffene?
Jede betroffene Person hat das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung ihrer Daten. Zusätzlich kann sie der weiteren Verarbeitung widersprechen oder die Übertragung ihrer Daten verlangen.
Kanzleien müssen sicherstellen, dass diese Rechte zeitnah erfüllt werden. Nach Eingang eines Antrags hat der Verantwortliche in der Regel einen Monat Zeit zur Antwort.
Auch die Speicherdauer personenbezogener Daten muss begründet und dokumentiert werden. Ohne klaren Nachweis drohen Beanstandungen durch die Aufsichtsbehörde.
Was passiert bei einem DSGVO-Verstoß?
Ein Verstoß gegen die DSGVO kann teuer werden. Neben Bußgeldern bis zu 20 Millionen Euro drohen auch erhebliche Reputationsschäden.
Zudem kann die zuständige Aufsichtsbehörde Maßnahmen wie Verwarnungen, Einschränkungen der Verarbeitung oder Veröffentlichungen verhängen.
Auch Betroffene können Schadenersatz fordern, wenn ihre personenbezogenen Daten unrechtmäßig verarbeitet wurden. Eine regelmäßige Überprüfung der Datenschutzorganisation ist daher unerlässlich.
Wie unterstützen spezialisierte Tools Kanzleien beim Datenschutz?
Für Kanzleien gibt es zahlreiche Lösungen, die helfen, die DSGVO praktisch umzusetzen – von der automatisierten Erstellung der Datenschutzerklärung über Tools wie eRecht24 bis zu Plug-ins für Cookie-Banner oder Verzeichnissen der Verarbeitungstätigkeiten.
Solche Systeme erleichtern die Dokumentation, reduzieren Lücken und sorgen für Nachvollziehbarkeit bei internen Audits.
Achten Sie jedoch darauf, dass jedes Tool selbst datenschutzkonform arbeitet und regelmäßig aktualisiert wird. Nur so lässt sich der hohe Standard des Datenschutzrechts dauerhaft sicherstellen.
Datenschutz ist Pflicht, kein „Nice to Have“
Datenschutz ist für Kanzleien nicht nur eine gesetzliche Pflicht, sondern auch ein Wettbewerbsvorteil. Eine sauber aufgesetzte Datenschutzerklärung, sichere Datenverarbeitung und klare Informationspflichten stärken das Vertrauen von Mandanten.
Mit professioneller Umsetzung vermeiden Sie Verstöße, schützen sich vor Bußgeldern und zeigen, dass Ihre Kanzlei verantwortungsvoll mit sensiblen Informationen umgeht.
Wichtigste Punkte im Überblick
- DSGVO gilt für alle Kanzleien, die personenbezogene Daten verarbeiten.
- Eine vollständige Datenschutzerklärung ist Pflicht und muss regelmäßig aktualisiert werden.
- Technische Maßnahmen wie SSL, Firewalls und Backups sind unverzichtbar.
- Cookie-Banner müssen echte Einwilligungen einholen.
- Betroffene haben umfassende Rechte, über die sie informiert werden müssen.
- Verstöße können Bußgelder bis zu 20 Millionen Euro nach sich ziehen.
- Tools wie eRecht24 oder Real Cookie Banner erleichtern die Umsetzung.
Häufige Fragen
Die folgenden Antworten bieten Orientierung zu Datenschutzerklärung für Kanzlei-Websites nach DSGVO und angrenzenden Aspekten.
Wann muss eine Kanzlei einen Datenschutzbeauftragten benennen?
Sobald regelmäßig mindestens zehn Personen personenbezogene Daten verarbeiten oder besonders sensible Daten betroffen sind, ist ein Datenschutzbeauftragter Pflicht.
Muss die Datenschutzerklärung auf jeder Unterseite sichtbar sein?
Ja. Der Link zur Datenschutzerklärung sollte dauerhaft im Footer jeder Seite platziert werden, damit Besucher jederzeit Zugriff haben.
Welche Strafen drohen bei DSGVO-Verstößen?
Je nach Schwere des Verstoßes bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – plus mögliche Reputationsschäden.
Wie oft sollte die Datenschutzerklärung überprüft werden?
Mindestens einmal im Quartal oder bei jeder Änderung der eingesetzten Tools, z. B. bei neuen Plug-ins oder externen Dienstleistern.
Ist der Datenschutz Ihrer Kanzlei-Website technisch sauber umgesetzt?
Eine korrekte Datenschutzerklärung allein reicht nicht aus. Entscheidend ist, ob technische Umsetzung, eingesetzte Tools und Einwilligungsmechanismen tatsächlich DSGVO-konform arbeiten. Eine technische Prüfung zeigt, ob Ihre Kanzlei-Website datenschutzrechtlich sauber aufgestellt ist oder vermeidbare Risiken bestehen.
Datenschutz & Technik prüfen lassen
