Kanzleien · Mandantendaten fließen über Grenzen und Regulierungsregime hinweg

Ein Sorgerechtsstreit rund um eine Frankfurter Produktionstochter landet an einem Montag auf dem Schreibtisch eines Londoner Partners. Bis Mittwoch sind Personalakten, Mitarbeiter-E-Mails und Vorstandsprotokolle von einem deutschen Server in das Dokumentenmanagementsystem eines Londoner Mandatsteams gewandert und von dort weiter an einen E-Discovery-Dienstleister in New York zur Verarbeitung. Niemand in dieser Kette hat zwangsläufig gegen das Gesetz verstoßen. Aber niemand hat es zwangsläufig geprüft, und genau in dieser Lücke entsteht das Risiko für Kanzleien.

Diese Lektion verfolgt genau diesen Datenpfad und zeigt, wo die rechtlichen Übermittlungsmechanismen sitzen, wo sie üblicherweise versagen und worauf ein Daten-Audit an jeder Station achten sollte.

Die Route: drei Jurisdiktionen, drei Regime

Frankfurt (Ursprung): Personenbezogene Daten von Mitarbeitern, Führungskräften oder Kunden unterliegen der EU-Datenschutz-GrundverordnungDatenschutz-GrundverordnungEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → (DSGVO), in Deutschland durchgesetzt von den Datenschutzbehörden der Länder. Die DSGVO behandelt jeden Export personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR) als „eingeschränkte Übermittlung“, die eine Rechtsgrundlage erfordert.

London (Mandatsteam): Seit dem Brexit betreibt das Vereinigte KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önigreich mit der UK GDPR ein eigenes, nahezu identisches Regime, überwacht vom Information Commissioner's Office (ICO). Eine Übermittlung von Deutschland nach London ist EU-nach-UK, also eine internationale Übermittlung nach EU-Recht, auch wenn beide Seiten von der Europäischen Kommission als „angemessen“ anerkannt sind (eine formale Feststellung, dass das britische Recht gleichwertigen Schutz bietet). Diese Angemessenheit besteht derzeit, wurde aber nur mit einer Verfallsklausel verlängert; die Europäische Kommission hat die UK-Angemessenheit bis Juni 2025 und dann erneut verlängert, und Kanzleien sollten sie als Dauerthema behandeln, das man beobachtet, nicht als feste Größe.

New York (E-Discovery-Dienstleister): Der Abschnitt UK-nach-USA ist der gefährliche. Die USA haben kein einheitliches, umfassendes Bundesdatenschutzgesetz. Stattdessen gibt es einen Flickenteppich: Kaliforniens CCPA/CPRA (California Consumer Privacy Act, geändert durch den California Privacy Rights Act), dazu eigene Gesetze in Virginia, Colorado, Connecticut, Utah und einer wachsenden Liste weiterer Staaten, jeweils mit unterschiedlichen Schwellenwerten und Verbraucherrechten. Keines davon verschafft den USA eine „Angemessenheit“ nach DSGVO. Jede Übermittlung von EU- oder UK-Personendaten in die USA braucht ihre eigene rechtliche Rechtfertigung.

Wo der Übermittlungsmechanismus tatsächlich sitzt

Die DSGVO regelt dies in den Artikeln 44 bis 49. In der Praxis sind für Kanzleien drei Mechanismen relevant:

1. Standardvertragsklauseln (SCCs): Von der Europäischen Kommission genehmigte Vertragsvorlagen, die den Datenimporteur (den US-Dienstleister) an EU-Schutzniveau binden. Aktualisierte Fassungen wurden 2021 veröffentlicht. Das ist der Arbeitspferd-Mechanismus.
2. UK International Data Transfer Agreement (IDTA) oder das UK-Addendum zu den EU-SCCs, herausgegeben vom ICO für den UK-Abschnitt.
3. Angemessenheitsbeschlüsse, die vertragliche Konstruktionen vollständig ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →übrigen, aber nur eine kurze Liste von Ländern abdecken (die USA als Ganzes gehören nicht dazu).

Das Schrems-II-Problem

Im Juli 2020 erließ der Gerichtshof der Europäischen Union (EuGH) das *Schrems-II*-Urteil (Rechtssache C-311/18), kippte damit das EU-US-Privacy-Shield-Rahmenwerk und stellte entscheidend fest, dass SCCs allein nicht automatisch ausreichen. Datenexporteure müssen zusätzlich prüfen, ob die Überwachungsgesetze des Zielstaats (in den USA sind das FISA Section 702 und die Executive Order 12333) Behörden unabhängig vom Vertrag Zugriff auf die Daten geben könnten.

Daraus entstand das Transfer Impact Assessment (TIA), heute ein Standarddokument der Due Diligence: Bevor Daten an einen US-Dienstleister gehen, muss der Exporteur das Überwachungsrisiko, die Sensibilität der Daten und alle ergänzenden MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßnahmen (Verschlüsselung, Pseudonymisierung, Zugriffskontrollen) dokumentieren, die es abmildern.

Das EU-US Data Privacy Framework (DPF), im Juli 2023 von der Europäischen Kommission angenommen, hat eine Form der Angemessenheit für US-Unternehmen wiederhergestellt, die sich beim US-Handelsministerium selbst zertifizieren. Es steht bereits unter rechtlichem Angriff, der an Schrems I und II erinnert. Kanzleien, die sich auf DPF-zertifizierte Dienstleister stützen, sollten den Zertifizierungsstatus direkt im Data Privacy Framework registry prüfen statt dem Wort des Anbieters zu vertrauen, und dennoch einen SCC-Rückfall im Vertrag behalten.

Warum E-Discovery-Dienstleister die riskanteste Station sind

E-Discovery (die Identifizierung, Erhebung und Durchsicht elektronischer Dokumente für Rechtsstreitigkeiten) umfasst regelmäßig die Massenübermittlung ungeprüfter Daten. Das heißt: privilegiertes Material, besondere Kategorien personenbezogener Daten (Gesundheit, Gewerkschaftszugehörigkeit, biometrische Daten nach DSGVO Artikel 9) und irrelevante personenbezogene Daten wandern gemeinsam, bevor irgendjemand filtert.

Praktische Schwachstellen:

• Subprozessoren des Dienstleisters: Der New Yorker Anbieter hostet möglicherweise auf Cloud-Infrastruktur mit Rechenzentren in mehreren Regionen oder nutzt Offshore-Review-Teams in einem vierten Land, das im ursprünglichen Vertrag nie erwähnt wurde.
• Kein TIA in der Akte: Kanzleien nehmen an, die SCCs des Anbieters deckten sie ab, ohne die Schrems-II-Überwachungsbewertung zu dokumentieren.
• Datenminimierung übersprungen: DSGVO Artikel 5 Abs. 1 lit. c verlangt, nur das Notwendige zu übermitteln. Das komplette Frankfurter HR-Laufwerk statt einer gefilterten, relevanzmarkierten Teilmenge zu schicken, vervielfacht das Risiko.
• Retention Drift: Nach Abschluss des Verfahrens liegen die Daten unbegrenzt auf den Servern des Anbieters, weil niemand für die Löschanweisung zuständig ist.

Eine minimale Checkliste für das Transfer-Audit

For each cross-border data flow, verify:
[ ] Legal basis for processing (GDPR Art. 6, plus Art. 9 if special category)
[ ] Transfer mechanism identified (SCCs / IDTA / adequacy / DPF)
[ ] Transfer Impact Assessment on file, dated, and matter-specific
[ ] Subprocessor list obtained and geographic locations confirmed
[ ] Data minimization applied before export (filter, not full dump)
[ ] Retention/deletion schedule agreed and calendared
[ ] US state law scope check (does CCPA/CPRA or another state law apply
    to the vendor's handling, independent of GDPR?)

Das ist kein einmaliges Formular. Mandatsteams sollten es pro Mandat durchlaufen, weil Datensatz, Dienstleister und Jurisdiktionen jedes Mal wechseln.

US-Bundesstaatsgesetze fügen eine zweite, separate Ebene hinzu

Selbst wenn die DSGVO-Übermittlungsmechanik geklärt ist, kann der Umgang des New Yorker Dienstleisters mit den Daten eigenständig Pflichten nach US-Bundesstaatsrecht auslösen, weil CCPA/CPRA an die personenbezogenen Daten kalifornischer Einwohner anknüpft, unabhängig davon, wo verarbeitet wird. Ein New Yorker Anbieter, der Daten US-ansässiger Mitarbeiter einer Frankfurter Tochter für eine mit Kalifornien verbundene Konzernmutter verarbeitet, kann in den Anwendungsbereich der CCPA fallen, obwohl sich die gesamte „Übermittlungs“-Diskussion um die DSGVO drehte.

Das heißt, Kanzleien brauchen zwei parallele Compliance-Stränge, nicht einen: Rechtmäßigkeit der Übermittlung nach DSGVO/UK GDPR und Anwendbarkeit des US-Bundesstaatsdatenschutzrechts. US-Datenschutz als „keine DSGVO, also kein Problem“ zu behandeln, ist in dieser ganzen Kette das häufigste stille Verstoßrisiko.

Für einen kanzleiweiten Blick auf Durchsetzungstrends veröffentlicht die International Association of Privacy Professionals (IAPP) kostenlose Tracking-Ressourcen sowohl zu EU-Durchsetzungsmaßnahmen als auch zur wachsenden Landkarte der US-Bundesstaatsgesetze, nützlich für einen regelmäßigen Scan statt für eine einmalige Lektüre.

🎬 [VIDEO: „Schrems II Explained: EU-US Data Transfers“ — youtube.com — eine kurze Erklärung des EuGH-Urteils und seiner praktischen Wirkung auf Standardvertragsklauseln, nützlich als Einstieg in klarer Sprache vor der Lektüre des vollständigen Urteils]

Wichtigste Erkenntnisse

• Jede Station in einem grenzüberschreitenden Mandat (Frankfurt nach London nach New York) ist unter der DSGVO ein eigenes rechtliches Übermittlungsereignis und braucht jeweils einen eigenen Mechanismus (SCCs, UK IDTA, Angemessenheit oder DPF), nicht eine Pauschalannahme für die ganze Kette.
• Schrems II (2020) bedeutet, dass SCCs allein für EU-nach-USA-Übermittlungen nicht genügen; ein dokumentiertes Transfer Impact Assessment zum Risiko aus dem US-Überwachungsrecht ist heute erwartete Praxis.
• E-Discovery-Dienstleister sind das riskanteste Glied, weil sie personenbezogene Daten in Masse, ungefiltert und ungeprüft erhalten, häufig einschließlich besonderer Kategorien, noch vor jeder Minimierung.
• US-Bundesstaatsdatenschutzgesetze (CCPA/CPRA und andere) gelten nach eigenen Maßstäben und können unabhängig von jeder DSGVO-Übermittlungsfrage Risiken erzeugen, deshalb brauchen beide Stränge getrennte Prüfungen.
• Führen Sie das Transfer-Audit pro Mandat durch (Rechtsgrundlage, Mechanismus, TIA, Subprozessorliste, Minimierung, Aufbewahrung), statt sich auf ein kanzleiweites Policy-Dokument zu verlassen, das niemand wieder anschaut.