Beweislast beim Datenschutz: Warum Ihre Kanzlei dokumentieren muss, was sie technisch leistet

Die meisten Kanzleien haben eine ordentliche IT-Sicherheit. Was die meisten Kanzleien nicht haben, ist ein Nachweis darüber. Solange nichts passiert, fällt der Unterschied nicht auf. Nach einem Vorfall ist er entscheidend – denn die Rechtsprechung hat die Beweislast in eine Richtung verschoben, die viele unterschätzen.

Der Europäische Gerichtshof hat klargestellt, dass sich die verantwortliche Stelle nach einem Angriff nicht mit dem Hinweis entlasten kann, sie sei eben Opfer geworden. Sie muss darlegen und beweisen, dass ihre technischen und organisatorischen Maßnahmen dem Stand der Technik entsprachen (EuGH, Urt. v. 14.12.2023 – C-340/21). Der Bundesgerichtshof hat die Anspruchsseite zusätzlich gestärkt: Schon der reine Verlust der Kontrolle über personenbezogene Daten ist ein ersatzfähiger immaterieller Schaden, ein konkreter Missbrauch muss nicht nachgewiesen werden (BGH, Urt. v. 18.11.2024 – VI ZR 10/24).

Für Sie als Kanzlei gilt das doppelt. Sie beraten Mandanten zu dieser Rechtslage – und Sie unterliegen ihr selbst, mit besonders sensiblen Daten und zusätzlich der Verschwiegenheitspflicht aus § 43a BRAO.

Das Problem: „Wir haben eine Firewall“ ist kein Nachweis

Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind, und Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung nachweisen können. In der Praxis kippt diese Nachweispflicht regelmäßig an derselben Stelle: Die Maßnahme existiert, aber niemand kann sagen, seit wann, in welcher Konfiguration und wer sie zuletzt geprüft hat.

Typische Beispiele aus unseren Bestandsaufnahmen: Die Datensicherung läuft seit Jahren zuverlässig – aber der letzte dokumentierte Rückspieltest liegt nicht vor oder hat nie stattgefunden. Die Zugriffsrechte in RA-MICRO sind vernünftig gesetzt – aber es gibt keine Liste, wer auf welche Aktenbereiche zugreifen darf, und die Konten ausgeschiedener Mitarbeiter sind noch aktiv. Der Server wird gepatcht – aber nicht nachvollziehbar protokolliert. Es gibt eine Verschlüsselung auf Notebooks – aber keinen Beleg, dass sie auf allen Geräten aktiv ist.

Jede dieser Lücken ist im Alltag belanglos. Im Ernstfall ist sie der Punkt, an dem Sie den Stand der Technik nicht belegen können – und zwar gegenüber drei Adressaten gleichzeitig: der Aufsichtsbehörde, dem Cyberversicherer und möglicherweise einem Mandanten, dessen Daten betroffen sind.

Die Lösung: ein TOM-Verzeichnis, das gepflegt wird

Was Sie brauchen, ist kein Datenschutzgutachten, sondern ein lebendes Verzeichnis Ihrer technischen und organisatorischen Maßnahmen. Entscheidend sind vier Eigenschaften: Es benennt die Maßnahme konkret, es nennt einen Verantwortlichen, es nennt ein Prüfintervall, und es hält jede Prüfung mit Datum fest.

In der Praxis bewährt sich eine Gliederung nach Schutzzielen. Zutritt und Zugang: Serverraum, Bildschirmsperre, Anmeldeverfahren, Mehr-Faktor-Authentisierung bei Fernzugriffen. Zugriff: Rollen- und Rechtekonzept in RA-MICRO, Trennung von Benutzer- und Administratorkonten, dokumentierter Prozess für Ein- und Austritte. Weitergabe: Verschlüsselung bei beA-Versand und E-Mail, Umgang mit mobilen Datenträgern, Auftragsverarbeitungsverträge mit Dienstleistern. Verfügbarkeit: Datensicherung mit Aufbewahrungsfristen, Rückspieltest mit Protokoll, Notfallplan, unterbrechungsfreie Stromversorgung. Nachvollziehbarkeit: Protokollierung in RA-MICRO, Patchstand, Schulungsnachweise.

Der Aufwand liegt nicht im Erstellen, sondern im Pflegen. Deshalb sollte das Verzeichnis so kurz sein, dass eine jährliche Durchsicht in einer Stunde möglich ist – und so konkret, dass daraus hervorgeht, welche Software in welcher Version welche Aufgabe erfüllt.

Ein praktischer Hinweis dazu: Das Verzeichnis sollte außerhalb der Systeme liegen, die es beschreibt. Ein TOM-Verzeichnis, das ausschließlich auf dem verschlüsselten Server gespeichert ist, steht Ihnen genau dann nicht zur Verfügung, wenn Sie es brauchen – nämlich nach einem Vorfall, wenn Aufsichtsbehörde und Versicherer innerhalb von Tagen Auskunft erwarten. Ein ausgedruckter Stand im Kanzleisafe oder eine Kopie an einem getrennten Ort kostet nichts und erspart im Ernstfall eine unangenehme Erklärung.

Was RA-MICRO dabei bereits mitbringt

Ein guter Teil der Nachweise lässt sich aus Systemen ziehen, die in Ihrer Kanzlei längst laufen. Die Benutzerverwaltung in RA-MICRO dokumentiert, welche Rechte vergeben sind, und ist damit gleichzeitig Maßnahme und Nachweis. Die Protokollfunktionen zeigen Zugriffe auf Akten. Der Versionsstand belegt, dass Sie gepflegte, vom Hersteller unterstützte Software einsetzen – ein Punkt, den Aufsichtsbehörden regelmäßig zuerst ansprechen. Bei DictaNet und Dragon NaturallySpeaking ist relevant, dass Diktat und Spracherkennung lokal in Ihrer Infrastruktur arbeiten; dass Mandantendaten Ihr Netz nicht verlassen, ist eine dokumentierbare Maßnahme und bei KI-gestützten Werkzeugen ein echtes Argument.

Der Rest kommt aus der Infrastruktur: Sicherungsprotokolle, Patchberichte, Firewall-Konfiguration, Netzwerkdokumentation. Wer diese Unterlagen einmal an einer Stelle zusammengeführt hat, beantwortet eine Anfrage der Aufsichtsbehörde in Stunden statt in Wochen.

Wir erstellen Ihr Verzeichnis gemeinsam mit Ihnen

Weil wir Ihre Infrastruktur betreuen, können wir den technischen Teil Ihres TOM-Verzeichnisses aus Erstanalyse und Dokumentation direkt befüllen – Netzwerk, Server, Sicherung, Rechte, RA-MICRO Versionsstand. Sie ergänzen den organisatorischen Teil, und am Ende steht ein Dokument, das Sie einem Prüfer vorlegen können.

Rufen Sie uns an unter 0511 / 999 88 40 oder schreiben Sie an frank.pelaccia@ius-systemhaus.de. Wir sagen Ihnen zuerst, was in Ihrer Kanzlei schon nachweisbar ist – und dann, was noch fehlt.