Datenschutz für IhreKanzlei — Schweige-pflicht inklusive.

Externer Datenschutzbeauftragter für Anwaltskanzleien — was übernimmt der DSB?

Eine Anwaltskanzlei verarbeitet täglich höchst sensible personenbezogene Daten: Mandantenakten, Honorardaten, Gegnerdaten, Zeugendaten, Sozialdaten in arbeits- und familienrechtlichen Mandaten, Gesundheitsdaten im Medizinrecht, Vorstrafen-Auskünfte in Strafverfahren. Gleichzeitig gilt für jeden in der Kanzlei tätigen Berufsträger die anwaltliche Schweigepflicht aus § 43a Abs. 2 BRAO und das strafbewehrte Berufsgeheimnis aus § 203 StGB. Wer als Kanzlei einen externen Datenschutzbeauftragten bestellt, bekommt damit nicht nur eine DSGVO-Compliance-Funktion, sondern einen Partner, der den Konflikt zwischen Mandatsgeheimnis und Datenschutzrecht professionell auflöst.

Ein externer Datenschutzbeauftragter für Anwaltskanzleien übernimmt nach Art. 39 DSGVO:

• Überwachung der DSGVO-Konformität in allen Mandats- und Verwaltungsprozessen — vom Mandantenkontakt über die Aktenführung bis zur Aufbewahrung und Löschung
• Beratung bei Datenschutz-Folgenabschätzungen (DSFA — Datenschutz-Folgenabschätzung nach Art. 35 DSGVO), etwa wenn die Kanzlei neue Legal-Tech-Tools einführt, KI-gestützte Dokumentenanalyse einsetzt oder in die Cloud migriert
• Schulung Ihrer Mitarbeiter zu kanzleispezifischen Datenschutz-Themen — differenziert für Anwälte, Referendare, Paralegals und Sekretariat
• Ansprechpartner für betroffene Personen (Mandanten, Gegner, Zeugen) und für die zuständige Landesdatenschutzbehörde
• Erstellung und Pflege aller datenschutzrelevanten Dokumente: Verzeichnis der Verarbeitungstätigkeiten (VVT), AVV (Auftragsverarbeitungsverträge nach Art. 28 DSGVO) mit Kanzlei-IT-Dienstleistern, TOMs (Technische und Organisatorische Maßnahmen), Löschkonzept, Mandanten-Datenschutzhinweise nach Art. 13 DSGVO
• Begleitung bei Behördenkommunikation — und das ist im Kanzlei-Kontext besonders heikel: Ein DSB muss die Aufsichtsbehörde unterrichten können, ohne die Schweigepflicht zu verletzen

Bei frag.hugo kombinieren wir persönliche Beratung durch Nils Oehmichen (TÜV-zertifizierter Datenschutzberater, Mitglied im BVMID) mit einer digitalen Plattform für Ihr komplettes Datenschutz-Management. Wir verstehen, dass eine Kanzlei nicht „irgendein Unternehmen” ist, sondern ein Berufsstand mit eigener Berufsordnung und eigenen strafrechtlichen Pflichten.

Anwaltsgeheimnis vs. DSGVO — der zentrale Konflikt

Der wichtigste rechtliche Knoten in jeder Anwaltskanzlei ist der Schnittpunkt von Berufsrecht und Datenschutzrecht. Drei Normen stehen im Spannungsfeld:

1. § 43a Abs. 2 BRAO verpflichtet jeden Rechtsanwalt zur Verschwiegenheit über alles, was ihm in Ausübung seines Berufs anvertraut oder bekannt geworden ist
2. § 203 StGB stellt die unbefugte Offenbarung fremder Geheimnisse unter Strafe — bis zu einem Jahr Freiheitsstrafe
3. Art. 15 DSGVO gibt jeder betroffenen Person das Recht, Auskunft über die zu ihrer Person gespeicherten Daten zu erhalten

Was passiert, wenn ein Mandant — oder ein Gegner — ein Auskunftsersuchen nach Art. 15 DSGVO an die Kanzlei stellt? Die Antwort liegt in Art. 15 Abs. 4 DSGVO: Das Auskunftsrecht darf eingeschränkt werden, soweit es die Rechte und Freiheiten anderer Personen beeinträchtigt. Die anwaltliche Schweigepflicht gegenüber anderen Mandanten ist genau ein solches Recht. Aber: Die Einschränkung muss dokumentiert begründet sein, denn die Aufsichtsbehörde kann die Begründung jederzeit prüfen.

In der Praxis bauen wir für jede Kanzlei einen Auskunftsprozess auf, der drei Stufen kennt:

• Stufe 1 — Identifikation des Ersuchenden: Bin ich verpflichtet, einer fremden Person Auskunft über meine Mandanten zu geben? Nein. Aber wer ist der Ersuchende? Eigener Mandant? Gegner? Dritter?
• Stufe 2 — Datenkategorisierung: Welche Daten betreffen ausschließlich den Ersuchenden, welche zugleich andere Personen?
• Stufe 3 — Antwortschreiben: Auskunft über die eigenen Daten des Ersuchenden, dokumentierte Einschränkung mit Verweis auf § 43a BRAO und § 203 StGB für alle Daten, die Dritte betreffen — formuliert so, dass die Aufsichtsbehörde die Argumentation nachvollziehen kann

Zitat Nils Oehmichen, TÜV-zertifizierter Datenschutzberater: „Wir haben es einmal erlebt: Ein ehemaliger Mandant verlangte Auskunft, und seine Daten waren untrennbar mit einem Strafverfahren gegen einen anderen Mandanten verwoben. Innerhalb von 24 Stunden hatten wir gemeinsam mit der Kanzlei ein Antwortschreiben formuliert, das beide Regime erfüllte. Die Aufsichtsbehörde hat nie nachgefragt — und genau das ist der Idealzustand.”

beA, DATEV, Advoware, RA-Micro — Cloud-Lösungen für Kanzleien

Die digitale Kanzlei arbeitet selten ausschließlich on-premise. DATEV Anwalt classic für Buchhaltung und Honorarabrechnung, RA-Micro oder Advoware für Aktenführung und Fristen, beA für die elektronische Kommunikation mit Gerichten, dazu Microsoft 365 für E-Mail, Kalender und Office. Jedes dieser Tools verarbeitet personenbezogene Daten — und für jedes braucht die Kanzlei einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.

beA — besonderes elektronisches Anwaltspostfach: Verpflichtend seit 2018 nach § 31a BRAO. Datenschutzrechtlich besonders, weil die Bundesrechtsanwaltskammer (BRAK) als Betreiber die Daten verarbeitet und gleichzeitig die Verschlüsselung Ende-zu-Ende erfolgen sollte. Wir prüfen mit Ihnen: Vertretungsregelungen (wer darf bei Abwesenheit zugreifen?), Zugriffsrechte des Sekretariats, Aufbewahrung empfangener und gesendeter Schriftsätze, Logging der Postfach-Zugriffe.

DATEV, RA-Micro, Advoware: Alle drei Anbieter stellen standardisierte AVVs bereit. Aber die TOMs sind selten gleich gut, die Subprozessor-Listen verändern sich und in den Drittland-Transfer-Klauseln verstecken sich Fallstricke. Im Standard-Tarif prüfen wir Ihre AVVs einmal pro Jahr — und immer dann, wenn der Anbieter eine neue Version vorlegt.

Microsoft 365 — der Sonderfall: Die Frage, ob eine Anwaltskanzlei Microsoft 365 nutzen darf, ohne die Schweigepflicht zu verletzen, ist seit Jahren diskutiert. Die herrschende Meinung — und unsere Praxis — sagt: Ja, mit folgenden Voraussetzungen:

• Microsoft Online Services Data Protection Addendum (DPA) als AVV unterzeichnet
• EU Data Boundary aktiviert (Daten bleiben in EU-Rechenzentren)
• Standardvertragsklauseln für unvermeidbaren US-Datenfluss (z. B. Support-Zugriff aus Redmond)
• Customer Lockbox aktiviert (jeder Microsoft-Mitarbeiter-Zugriff im Support-Fall erfordert Genehmigung der Kanzlei)
• DSFA dokumentiert (Risiko, Schutzmaßnahmen, Schlussfolgerung)
• Sozien-Beschluss oder dokumentierte Geschäftsleitungs-Entscheidung, dass technische Hilfspersonen im Sinne von § 203 Abs. 3 StGB zugezogen werden

Mit diesem Setup ist Microsoft 365 für Kanzleien rechtmäßig nutzbar. Wir liefern Ihnen die DSFA-Vorlage und prüfen Ihre Tenant-Konfiguration.

Mandantenakten DSGVO-konform — BRAO, AO und DSGVO unter einem Hut

Drei Aufbewahrungspflichten überlagern sich in einer Kanzlei:

Datenkategorie	Aufbewahrungspflicht	Rechtsgrundlage
Handakte (Mandantenakte)	6 Jahre nach Mandatsende	§ 50 BRAO
Honorarrechnungen, Buchhaltung	10 Jahre nach Geschäftsjahresende	§ 147 AO, § 257 HGB
Vergütungsstreitigkeiten	bis Verjährungsende	§ 195 BGB (3 Jahre)
Mandantenkontakt ohne Mandatserteilung	so kurz wie möglich, ca. 3 Jahre	Art. 5 Abs. 1 lit. e DSGVO

Das Spannungsfeld liegt im DSGVO-Grundsatz „Speicherbegrenzung” (Art. 5 Abs. 1 lit. e DSGVO) — Daten dürfen nicht länger als nötig gespeichert werden. „Nötig” ist im Kanzlei-Kontext definiert durch BRAO und AO. Nach Ablauf der jeweiligen Frist muss aktiv gelöscht werden — sonst verstößt die Kanzlei gegen die DSGVO.

Wir liefern ein rolliertes Löschkonzept, das pro Aktentyp eine eigene Frist definiert, mit halbjährlichem Lösch-Lauf, dokumentierten Lösch-Protokollen und Ausnahmeregelungen für Aktentypen mit besonderer Bedeutung (z. B. Massenverfahren mit erwarteter Folgemandatierung, Strafrechtsmandate mit Rehabilitationsverfahren).

Hugo Learn Kanzlei-Paket — Schulungen für Anwälte, Referendare und Sekretariat

Eine DSGVO-Schulung für die gesamte Kanzlei nach dem Gießkannenprinzip funktioniert nicht. Anwälte brauchen andere Inhalte als das Sekretariat — und Referendare bringen schon BRAO-Wissen mit, sind aber technisch oft unsicher. Im Standard-, Pro- und Premium-Tarif ist unser Hugo Learn Kanzlei-Paket inklusive, mit differenzierten E-Learning-Spuren:

• Sekretariat & Empfang: E-Mail-Hygiene, Phishing-Erkennung, beA-Bedienung, Telefon-Identitätsprüfung (Mandanten-Anrufe ohne Authentifizierung sind heikel), Akteneinsicht-Protokoll
• Referendare & Paralegals: BRAO-Schweigepflicht für nicht-anwaltliche Mitarbeiter, Aktenmitnahme bei Stationswechsel, Cloud-Nutzung außerhalb der Kanzlei (private Geräte), Verhalten bei Datenpannen
• Anwälte & Partner: Mandanten-Datenschutzhinweis bei Mandatserteilung, Art.-15-Auskunftsersuchen-Handling, AVV-Prüfung bei neuen Cloud-Tools, DSFA-Pflichten, NIS2-Auswirkungen auf große Kanzleien

Im Pro- und Premium-Tarif ergänzt durch Phishing-Simulation: regelmäßig versandte Test-Phishing-Mails an Ihre Mitarbeiter, dokumentierte Klickraten, gezieltes Nachtraining bei wiederholten Klicks. Kanzleien sind ein bevorzugtes Phishing-Ziel, weil Anwälte zeitkritisch arbeiten und Mandantenmails oft im Sekunden-Takt öffnen.

Was kostet ein externer Datenschutzbeauftragter für Ihre Kanzlei?

Die Kosten für einen Datenschutzbeauftragten nach der DSGVO variieren je nach Kanzleigröße, Fachgebieten und Cloud-Einsatz. Bei frag.hugo starten die Kosten ab 79 € pro Monat (948 € pro Jahr) im Lite-Tarif — geeignet für Kanzleien bis 15 Mitarbeiter, die die Plattform überwiegend selbst betreiben. Ein interner DSB kostet durchschnittlich rund 25.000 € pro Jahr, wenn man Gehalt, Fortbildungen und Arbeitszeit berücksichtigt. Hinzu kommt: Ein interner DSB in einer Kanzlei hat regelmäßig einen Interessenkonflikt — wer kontrolliert die Mandatsführung seiner eigenen Partner objektiv?

Wir bieten vier transparente Tarife — Lite (79 €) für Self-Service bis 15 Mitarbeiter, Standard (149 €) mit 12 Stunden persönlicher DSB-Beratung pro Jahr inklusive aller kanzleispezifischen Vorlagen, Pro (299 €) für Kanzleien mit NIS2-/AI-Act-Bedarf inkl. KI-Schulungen und Phishing-Simulation und Premium (499 €) mit 48 Stunden Beratung, 4h-SLA und Vor-Ort-Terminen bundesweit. Alle Pakete beinhalten ein persönliches Onboarding und 50.000 € bis 500.000 € Berufshaftpflicht — gestaffelt nach Tarif.

Alle Features und Preise von Hugo DSB ansehen →

Tieferer Marktvergleich: Was ein externer DSB jenseits unserer Pakete branchentypisch kostet — und wie sich Monatspauschale, Stundensatz und interne Lösung wirklich rechnen — haben wir im Detail-Artikel Externer Datenschutzbeauftragter Kosten durchgerechnet.

Honorarabrechnung, RAVPV und der Kunden-Lebenszyklus

Die Vergütung anwaltlicher Tätigkeit ist im Rechtsanwaltsvergütungsgesetz (RVG) und in der Rechtsanwaltsvergütungsverordnung (RAVPV) geregelt. Jede Honorarabrechnung enthält dabei eine ungewöhnliche Menge personenbezogener Daten — und nicht nur die des Mandanten:

• Mandanten-Stammdaten (Name, Anschrift, Geburtsdatum, ggf. Bankverbindung)
• Gegenstandswert (oft direkt Rückschluss auf wirtschaftliche Verhältnisse)
• Tätigkeitsbeschreibung (kann Aufschluss über das konkrete Mandat geben — Strafverteidigung, Familienrecht, Insolvenz)
• Korrespondenz mit Dritten (Gegner, Gericht, Versicherung) als Zeitaufwand-Nachweis

Wer die Honorarabrechnung digital im Buchhaltungssystem führt — DATEV Anwalt classic, lexoffice, sevdesk — schickt diese sensiblen Daten regelmäßig durch externe Systeme. Auch hier braucht es einen AVV, eine dokumentierte Drittland-Risikobewertung und ein abgestimmtes Lösch-Regime. Wir haben das Lösch-Regime so gebaut, dass die 10-jährige steuerliche Aufbewahrung nach § 147 AO erfüllt ist, gleichzeitig die DSGVO-Begrenzung berücksichtigt wird: Daten im aktiven Buchhaltungssystem werden nach Mandatsende in ein revisionssicheres Archiv überführt, der Zugriff im Tagesgeschäft wird eingeschränkt und nach 10 Jahren wird automatisch gelöscht.

Ein häufig übersehenes Thema ist der Inkasso-Fall: Wenn ein Mandant die Honorarrechnung nicht bezahlt und die Kanzlei das Inkasso an einen externen Dienstleister abgibt, werden Mandantendaten an einen Dritten weitergegeben. Hier kollidieren zwei Regime: Die Schweigepflicht aus § 43a BRAO verlangt grundsätzlich Verschwiegenheit, gleichzeitig erlaubt § 49b Abs. 4 BRAO die Honorarabtretung an einen anderen Rechtsanwalt — aber nicht an ein gewöhnliches Inkasso-Büro. Wir prüfen mit Ihnen, welcher Inkasso-Weg datenschutz- und berufsrechtlich zulässig ist und liefern den passenden AVV.

Anwaltsrechtliche Werbung — § 43b BRAO trifft DSGVO-Direktwerbungs-Verbot

Anwaltliche Werbung ist seit der Reform der BRAO grundsätzlich erlaubt, aber durch § 43b BRAO eingeschränkt: Sie darf „nicht auf die Erteilung eines Auftrags im Einzelfall gerichtet” sein. Damit ist das klassische Direkt-Mailing an konkrete potenzielle Mandanten verboten. Die DSGVO ergänzt das: Direktwerbung ohne Einwilligung ist im B2C-Bereich grundsätzlich unzulässig (Art. 6 DSGVO i. V. m. § 7 UWG).

Für Kanzleien heißt das in der Praxis:

• Newsletter an bestehende Mandanten: zulässig bei berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO), wenn das Mandatsverhältnis frisch genug ist und der Mandant widersprechen kann
• Newsletter an Interessenten: nur mit ausdrücklicher Einwilligung (Double-Opt-In, dokumentiert, Widerruf jederzeit möglich)
• LinkedIn-Sponsoring oder Google Ads: datenschutzrechtlich grundsätzlich möglich, berufsrechtlich kritisch — wir prüfen die Anzeigentexte vorab gemeinsam mit Ihrer Kammer-Compliance
• Bewertungsplattformen (anwalt.de, Anwalt-Suchservice, Google Business): Hier hat die Kanzlei nur eingeschränkte Kontrolle über die Datenverarbeitung — wir liefern das passende Impressum-und-Datenschutz-Setup
• Veranstaltungen und Webinare: Die Teilnehmerdaten unterliegen DSGVO, die Inhalte der Veranstaltung — wenn echte Mandanten als Beispiele genannt werden — der Schweigepflicht

Wir bauen Ihnen ein Marketing-Compliance-Konzept, das BRAO, DSGVO und UWG sauber zusammenführt — inklusive Cookie-Banner für die Kanzlei-Website, das den TTDSG (Telekommunikation-Telemedien-Datenschutzgesetz) erfüllt, und einem Newsletter-System mit Double-Opt-In.

Bußgeld-Pattern bei Kanzleien — was wir aus den Aufsichtsbehörden gelernt haben

Anwaltskanzlei-Bußgelder werden selten öffentlich. Die Aufsichtsbehörden geben nur in Ausnahmefällen Pressemeldungen heraus, und die Anwaltskammern berichten nicht über Datenschutzverfahren. Trotzdem gibt es Muster, die wir aus unserer Beratungspraxis kennen:

• LDI NRW 2022, mittelgroße Kanzlei: Bußgeld wegen unzureichender Technischer und Organisatorischer Maßnahmen — konkret war die Aktenführung in einem öffentlich zugänglichen Verzeichnis erreichbar, fehlende Zugriffskontrolle, kein Berechtigungskonzept. Lehre: Auch in kleineren Strukturen muss das Zugriffsregime dokumentiert sein
• BayLDA, Strafrechtskanzlei: Verfahren wegen unverschlüsselter E-Mail-Korrespondenz mit Mandanten, in der Vorstrafenauskünfte enthalten waren. Bußgeld letztlich abgewendet, weil die Kanzlei nachweisen konnte, dass der Mandant die unverschlüsselte Kommunikation ausdrücklich gewünscht hatte. Lehre: Mandanten-Einwilligung in unverschlüsselte Kommunikation muss schriftlich dokumentiert sein, sonst trägt die Kanzlei das Risiko
• HmbBfDI, Wirtschaftskanzlei: Nachfrage nach einem Datenleck im Cloud-Dienst eines AVV-Subprozessors. Die Kanzlei hatte keinen Überblick, welche Subprozessoren der Hauptanbieter eingesetzt hatte. Verfahren ohne Bußgeld eingestellt, aber mit Auflage zur Sub-AVV-Dokumentation. Lehre: Subprozessor-Listen müssen aktiv verfolgt werden, nicht nur einmal bei Vertragsschluss

Das paradoxe Behördenproblem: Wenn die Aufsichtsbehörde im Verfahren konkret nachfragt — „Welche Mandanten waren von dem Datenleck betroffen?” — gerät die Kanzlei in eine Zwickmühle. Wahrheitsgemäße Antwort offenbart Mandantenidentitäten, was § 203 StGB verletzen kann. Verweigerung der Antwort verletzt die DSGVO-Mitwirkungspflicht. Die Lösung liegt in der abstrahierenden Antwort: Anzahl der Betroffenen, Datenkategorien, Risikoabschätzung — ohne konkrete Namen, mit Verweis auf die Berufsverschwiegenheit. Wir formulieren solche Antworten gemeinsam mit Ihnen, und auf Wunsch stimmen wir vorab mit Ihrer Rechtsanwaltskammer ab, welche Offenbarungen zulässig sind.

Spezial-Konstellationen: Notariat, Insolvenzverwaltung, Steuerberater-Anwalts-Sozietät

Nicht jede „Kanzlei” ist eine klassische Anwaltskanzlei. Wir betreuen auch:

• Notariate — zusätzlich zur BRAO gelten die Bundesnotarordnung (BNotO) und die Dienstordnung für Notarinnen und Notare (DONot). Spezialthemen: Urkundenregister, Verwahrgeschäft, beN (besonderes elektronisches Notarpostfach), Identitätsfeststellung nach Geldwäschegesetz mit langer Aufbewahrungspflicht (10 Jahre nach § 8 GwG)
• Insolvenzverwalter-Kanzleien — verarbeiten Daten der Insolvenzmasse, also Gläubigerdaten, Schuldnerdaten und teils komplette Buchhaltungen dritter Unternehmen. Die Insolvenzordnung verlangt Aufbewahrung über das Insolvenzverfahren hinaus, die DSGVO begrenzt. Wir bauen ein Trennungs-Konzept zwischen Kanzlei-Daten und Massendaten
• Steuerberater-Anwalts-Sozietäten — Doppelregime aus BRAO und StBerG (Steuerberatungsgesetz), plus die strengen Aufbewahrungspflichten aus AO und HGB. Wir bauen ein Löschkonzept, das beide Berufsordnungen sauber abbildet
• Großkanzleien und mittlere Wirtschaftskanzleien — typischerweise mit eigener IT-Abteilung. Hier ergänzt der externe DSB nicht den fehlenden IT-Leiter, sondern bringt die juristische Datenschutz-Expertise an die Seite der internen Tech-Kompetenz
• Boutique-Kanzleien mit besonderen Fachgebieten — Medizinrecht (Patientendaten = Gesundheitsdaten = Art. 9 DSGVO), Arbeitsrecht (Beschäftigtendaten = besonderer Schutz nach § 26 BDSG), Strafrecht (Daten zu Straftaten = Art. 10 DSGVO), Familienrecht (Sozialdaten, Daten Minderjähriger)

Internationale Mandate, Drittland-Transfers und der Schrems-II-Effekt

Jede Wirtschaftskanzlei mit grenzüberschreitenden Mandaten — und das sind in einer globalisierten Wirtschaft fast alle mittelgroßen und großen Kanzleien — übermittelt regelmäßig personenbezogene Daten in Länder außerhalb der EU. Schrems II (EuGH C-311/18) und das Urteil zur Trans-Atlantic Data Privacy Framework (TADPF) haben den rechtlichen Rahmen für US-Übermittlungen neu definiert.

Konkret stellen sich für Kanzleien folgende Fragen:

• Mandant sitzt in den USA: Honorarrechnung und Korrespondenz gehen direkt in die USA. Übermittlung an die betroffene Person selbst ist unkritisch (Art. 49 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags). Aber wenn die Daten dabei durch US-Cloud-Dienste (Microsoft 365 mit US-Backbone, Dropbox) gehen, gilt das volle Drittland-Regime
• Mandant beauftragt US-Kanzlei als Partner: Mandantendaten werden an die US-Partnerkanzlei weitergegeben. Das ist keine reine Übermittlung an die betroffene Person, sondern eine Datenweitergabe an einen Dritten. Standardvertragsklauseln, Drittland-Transfer-Folgenabschätzung (TIA — Transfer Impact Assessment) und ggf. zusätzliche Schutzmaßnahmen wie End-to-End-Verschlüsselung sind erforderlich
• Internationale Anwalts-Netzwerke (Lex Mundi, Multilaw, World Services Group): Die gemeinsame Plattform für Mandantenkommunikation und Knowledge-Sharing muss DSGVO-konform aufgesetzt sein. Wir prüfen den Netzwerk-Verteiler und liefern, wo nötig, ergänzende Vereinbarungen
• TADPF und das DPF-Zertifikat: Seit Juli 2023 ist die Übermittlung an TADPF-zertifizierte US-Unternehmen auf Basis eines Angemessenheitsbeschlusses erlaubt. Microsoft, Google, AWS sind zertifiziert. Aber: Das DPF ist politisch fragil. Wir bauen Verträge so, dass bei einem Wegfall des DPF die Standardvertragsklauseln nahtlos einspringen

Für Kanzleien mit Schweigepflicht ist das Drittland-Thema besonders sensibel: Wenn ein US-Cloud-Anbieter — selbst mit DPF-Zertifizierung — auf US-Recht zugreifen muss (FISA 702, CLOUD Act), kann das einen Konflikt mit § 203 StGB auslösen. Unsere Lösung: Verschlüsselung mit kanzleieigenen Schlüsseln (BYOK — Bring Your Own Key bei Microsoft Azure, Customer-Managed Keys bei Google Cloud), so dass der Cloud-Anbieter im technischen Sinn keinen Zugriff auf die Klartextdaten hat.

NIS2 und die Kanzlei — wann sind Sie betroffen?

Die NIS2-Richtlinie (Network and Information Security Directive 2) bringt erstmals Cyber-Sicherheits-Pflichten für mittlere und große Unternehmen — und sie kann auch Kanzleien treffen. Maßgeblich ist die Größenklasse:

• Wesentliche Einrichtungen (essential entities): Unternehmen mit mindestens 250 Mitarbeitern oder Jahresumsatz > 50 Mio. €. Wenige Kanzleien fallen in diese Klasse — Großkanzleien wie Hengeler Mueller, Freshfields Bruckhaus Deringer, Linklaters in Deutschland möglicherweise
• Wichtige Einrichtungen (important entities): Mindestens 50 Mitarbeiter oder Jahresumsatz > 10 Mio. €. Hier landen mittlere bis größere Wirtschaftskanzleien
• Sektor-Zugehörigkeit: Kanzleien sind nicht selbst in einem NIS2-Sektor — aber wenn die Kanzlei einen Mandanten in einem NIS2-Sektor (Energie, Finanzen, Gesundheit, IT-Infrastruktur) betreut und dabei kritische Datenverarbeitung übernimmt, kann sie als Zulieferer betroffen sein

Selbst wenn NIS2 direkt nicht greift: Die Pflichten aus NIS2 — Risikomanagement, Incident-Reporting, Lieferketten-Sicherheit — werden vertraglich oft an Kanzleien durchgereicht, wenn Mandanten ihren eigenen NIS2-Pflichten nachkommen müssen. Das heißt: Lieferanten-Audits durch große Mandanten werden zunehmen.

Im Pro- und Premium-Tarif ist das NIS2-Modul inklusive: Betroffenheits-Analyse, Lieferanten-Mapping, Risikomanagement-Konzept und Incident-Response-Plan. Im Schwesterprodukt Hugo Shield decken wir zusätzlich die NIS2-Lieferketten-Compliance ab — relevant für Kanzleien, die selbst Mandanten in NIS2-Sektoren betreuen.

So starten Sie mit Ihrem externen Datenschutzbeauftragten

1. Erstgespräch: Wir lernen Ihre Kanzlei kennen — Größe, Fachgebiete, eingesetzte Kanzlei-IT, Mandantenstruktur — und klären die datenschutzrechtlichen Pflichten. Kostenlos und unverbindlich, 15 Minuten online.
2. Onboarding: Innerhalb weniger Tage erhalten Sie Plattformzugang. Wir bauen mit Ihnen das Verzeichnis der Verarbeitungstätigkeiten auf, prüfen Ihre bestehenden AVVs (DATEV, RA-Micro, Advoware, beA, M365) und legen das Löschkonzept fest.
3. Offizielle Benennung: Wir melden uns als Ihr DSB bei der zuständigen Landesdatenschutzbehörde an — Hamburg (HmbBfDI), Berlin (BlnBDI), Düsseldorf (LDI NRW), München (BayLDA), Stuttgart (LfDI BW) etc., je nach Kanzleisitz.
4. Laufende Betreuung: Schulungen für Ihre Mitarbeiter, AVV-Reviews bei jedem neuen Tool, persönlicher Support bei Behördenkommunikation, Datenpannen und Auskunftsersuchen. Reaktionszeit unter 24 Stunden, im Premium-Tarif 4h-SLA.

Testen Sie zuerst Ihren IST-Zustand: Mit dem Hugo Check prüfen Sie Ihre Kanzlei-Website in 60 Sekunden auf 29 DSGVO-Punkte — kostenlos und unverbindlich. Anschließend wissen wir gemeinsam, wo Ihre Kanzlei steht — und welche Tarifstufe für Sie passt.

Sitzt Ihre Kanzlei in einem der klassischen deutschen Großkanzlei-Hubs? Dann beraten wir Sie zusätzlich aus der Standort-Perspektive: Wirtschaftskanzleien mit Schwerpunkt M&A und Finance betreuen wir typischerweise über unseren externen Datenschutzbeauftragten in Frankfurt — das Bankenviertel mit seinen Schwesterkanzleien internationaler Magic-Circle-Firmen ist ein dichter Compliance-Mikrokosmos. Für Düsseldorfer Großkanzleien (BBDO-Sozietäten, Patent-/IP-Kanzleien rund um die LDI NRW-Aufsicht) ist unser Datenschutzbeauftragter für Düsseldorf der Einstieg, für Münchner Großkanzleien unser DSB in München.

Warum frag.hugo für Anwaltskanzleien?

Wir betreuen über 23 KMU bundesweit, darunter mehrere Anwaltskanzleien, Steuerberater-Anwalts-Sozietäten und Insolvenzverwalter. Nils Oehmichen ist TÜV-zertifizierter Datenschutzberater und Mitglied im BVMID (Bundesverband mittelständische Wirtschaft). Sein Hintergrund: Wirtschaftsinformatik an der TH Lübeck, mehrere Jahre als interner DSB in der Industrie, seit 2021 spezialisiert auf externe DSB-Mandate für KMU.

Gemeinsam mit dem Co-Gründer Jens Hagel — 21 Jahre IT-Unternehmer, Microsoft Partner, WatchGuard Gold Partner über die Schwestergesellschaft hagel IT — bringen wir die seltene Kombination aus juristischer Datenschutz-Tiefe und technischer Umsetzungskompetenz an Ihre Kanzlei. Das ist relevant, weil Datenschutz in einer modernen Kanzlei nicht mehr nur „Vertrag und Schulung” ist, sondern Verschlüsselungs-Konfiguration, AVV-Subprozessor-Tracking und Phishing-Awareness im selben Atemzug.

Unsere digitale Plattform ist seit 2024 produktiv und wurde mit konkreten Kanzlei-Use-Cases mitentwickelt — kein generisches DSGVO-Tool, sondern eines, das die Besonderheiten der anwaltlichen Berufsausübung kennt: Schweigepflicht-Markierung pro Datenkategorie, Auskunfts-Workflow mit Stufen-Schwärzung, Löschkonzept-Vorlagen für BRAO + AO + DSGVO, beA-Verarbeitungsvorgang vorgefertigt.

Mehr zum externen Datenschutzbeauftragten finden Sie in unserer bundesweiten Übersicht. Mehr zu unserem Team, unseren Werten und unserer Methodik auf der Seite Über uns sowie auf den Autoren-Profilen von Nils Oehmichen und Jens Hagel.