DSGVO-konforme Kanzleisoftware mit Hosting in Deutschland

Wenn eine Kanzlei einen Software- oder Hosting-Anbieter einsetzt, verarbeitet dieser personenbezogene Daten im Auftrag der Kanzlei. Dafür verlangt Art. 28 DSGVO einen schriftlichen oder elektronischen Auftragsverarbeitungsvertrag (AV-Vertrag). Er regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Pflichten beider Seiten.

Ein belastbarer AV-Vertrag deckt typischerweise ab:

• Weisungsbindung des Auftragsverarbeiters und Dokumentation der Weisungen
• Technische und organisatorische Maßnahmen (TOM) zum Schutz der Daten
• Regeln für den Einsatz von Unterauftragsverarbeitern
• Unterstützung bei Betroffenenrechten und bei Datenschutzvorfällen
• Löschung oder Rückgabe der Daten nach Vertragsende

Die Kanzlei bleibt als Verantwortliche in der Pflicht, den Anbieter sorgfältig auszuwählen und die Einhaltung nachzuhalten.

Ein Serverstandort in Deutschland vereinfacht die datenschutzrechtliche Bewertung erheblich. Bleiben die Daten innerhalb des Geltungsbereichs der DSGVO, entfällt die aufwändige Prüfung von Drittlandtransfers nach Kapitel V DSGVO samt zusätzlicher Garantien und Transfer-Folgenabschätzungen.

Sinnvoll ist es, keinen Drittland-Transfer als Standard vorzusehen. Daten, Backups und Verarbeitung sollten in Deutschland verbleiben. Sollten dennoch Dienste mit Bezug außerhalb des EWR genutzt werden, muss das transparent gemacht und gesondert abgesichert werden. Fragen Sie konkret nach dem physischen Speicherort, dem Backup-Standort und etwaigen Zugriffen aus Drittländern.

Die anwaltliche Verschwiegenheit nach Paragraf 43a BRAO wirkt unmittelbar auf die Softwarearchitektur. Mandantendaten dürfen nicht für Unbefugte zugänglich sein, und das gilt auch innerhalb der Kanzlei. Bei möglichen Interessenkonflikten muss der Zugriff auf bestimmte Akten gezielt eingeschränkt werden können.

Technisch wird das über eine Mandatstrennung (Ethical Wall) umgesetzt: einzelne Mandate oder Aktengruppen lassen sich so abschotten, dass nur berechtigte Personen Einblick erhalten. Wichtig sind dabei ein rollenbasiertes Rechtekonzept, eine eindeutige Mandantentrennung und die Protokollierung, wer wann auf welche Akte zugegriffen hat.

Hinweis: Dieser Beitrag gibt allgemeine Informationen und stellt keine Rechtsberatung dar. Die konkrete Bewertung hängt vom Einzelfall ab.

Weiterlesen: Anwaltliche Verschwiegenheit und Ethical Wall: BRAO §43a in der Kanzleisoftware umsetzen

Neben Datenschutz und Berufsrecht spielt die GoBD-Nachvollziehbarkeit eine Rolle, sobald steuerlich relevante Aufzeichnungen wie Rechnungen oder Zeiterfassung betroffen sind. Gefordert sind insbesondere Unveränderbarkeit, Nachvollziehbarkeit und Vollständigkeit der Aufzeichnungen.

In der Praxis stützen diese Anforderungen mehrere konkrete Maßnahmen:

• Zwei-Faktor-Authentifizierung (2FA) als zusätzliche Hürde gegen unbefugte Anmeldungen
• Audit-Log, das sicherheits- und datenschutzrelevante Vorgänge protokolliert
• Nachvollziehbare Änderungshistorie statt stillem Überschreiben von Daten
• Klare Aufbewahrungs- und Löschkonzepte

Diese Vorkehrungen sind überprüfbar und aussagekräftiger als ein bloßes Siegel.

Weiterlesen: GoBD und Nachvollziehbarkeit für Kanzleien und Unternehmen

Ein Zertifikat allein sagt wenig darüber aus, wie Daten im Alltag geschützt werden. Aussagekräftiger ist die Frage nach konkreten, prüfbaren Maßnahmen. Lassen Sie sich daher beschreiben, welche Vorkehrungen tatsächlich umgesetzt sind und wie sie dokumentiert werden.

Eine pragmatische Checkliste für die Anbieterauswahl:

• Liegt ein AV-Vertrag nach Art. 28 DSGVO vor und ist er aktuell?
• Wo stehen die Server und die Backups physisch?
• Gibt es eine technische Mandatstrennung und ein rollenbasiertes Rechtekonzept?
• Sind 2FA und ein Audit-Log verfügbar und aktivierbar?
• Wie werden Aufbewahrung, Löschung und Datenrückgabe geregelt?

Wer diese Punkte sauber beantworten kann, schafft eine belastbare Grundlage für den Einsatz in der Kanzlei.

Web4Data bündelt drei Fachanwendungen: JuristData für Anwaltskanzleien, ClockData für Zeiterfassung und HR sowie NotData für das Notariat. Die Plattform ist auf die genannten Anforderungen ausgerichtet.

Konkret unterstützen die Produkte unter anderem:

• Hosting in Deutschland und ein AV-Vertrag für die Auftragsverarbeitung
• Mandatstrennung (Ethical Wall) und ein rollenbasiertes Rechtekonzept
• Zwei-Faktor-Authentifizierung und ein Audit-Log zur Nachvollziehbarkeit
• Funktionen mit Blick auf GoBD-Nachvollziehbarkeit

Einzelne Schnittstellen befinden sich in Entwicklung: Die beA-Anbindung ist geplant, eine DATEV-Anbindung ist vorbereitet. Der Funktionsumfang sollte vor dem Einsatz für den konkreten Bedarf geprüft werden.