Die Datenpraktiken Ihrer Kanzlei prüfen, bevor ein Mandant oder eine Aufsichtsbehörde es tut
Drei Wochen bevor ein Fortune-500-Mandant sein Anwaltspanel neu besetzt, schickt dessen Einkaufsabteilung einen Fragebogen zur Datensicherheit mit 40 Fragen. Frage 12 verlangt den Aufbewahrungsplan für Daten nach Mandatstyp. Frage 19 verlangt eine Liste sämtlicher Drittanbieter mit Zugriff auf Mandantendokumente, einschließlich ihrer Unterauftragsverarbeiter. Dem General Counsel der mittelgroßen Kanzlei, die diesen Fragebogen erhält, wird klar, dass das nie jemand schriftlich erfasst hat. Diese Lücke kann den Platz im Panel kosten.
Dieses Szenario ist inzwischen Alltag. Rechtsabteilungen von Unternehmen, besonders in Finanzwesen, Gesundheitswesen und Tech, behandeln externe Kanzleien als Verlängerung ihrer eigenen Angriffsfläche. Wenn Ihre Kanzlei diese Fragen nicht sauber beantworten kann, verlieren Sie das Mandat, bevor eine einzige Konfliktprüfung läuft.
Warum Kanzleien zum Ziel der Data GovernanceData GovernanceData Governance umfasst die Regeln, Rollen und Prozesse, die sicherstellen, dass Daten in einer Organisation korrekt, sicher, klar definiert und verantwortungsvoll genutzt werden.Vollständige Definition ansehen → wurden
Kanzleien halten konzentrierte, hochwertige Daten: M&A-Konditionen vor Bekanntgabe, nicht angemeldete Patente, Prozessstrategien, personenbezogene Daten aus der Discovery. Sie sind häufig kleiner und bei Cybersecurity schlechter ausgestattet als ihre Mandanten, was sie zum attraktiven schwachen Glied macht.
Aufsichtsbehörden haben das registriert. Nach der DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → (Datenschutz-Grundverordnung, das zentrale Datenschutzgesetz der EU) ist eine Kanzlei, die personenbezogene Daten im Auftrag eines Mandanten verarbeitet, in der Regel „Auftragsverarbeiter“ und muss mit diesem Mandanten, dem „Verantwortlichen“, einen Auftragsverarbeitungsvertrag (DPA) schließen. In den USA gibt es kein einheitliches Bundesdatenschutzgesetz, aber Branchenregeln greifen: Mandate mit Gesundheitsbezug lösen Business-Associate-Pflichten nach HIPAA (Health Insurance Portability and Accountability Act) aus, und Landesgesetze wie der California Consumer Privacy Act (CCPA) begründen direkte Pflichten, wenn eine Kanzlei Daten über Kalifornier in ausreichendem Umfang verarbeitet.
Anwaltskammern legen eigene Pflichten obendrauf. ABA Model Rule 1.6 (Verschwiegenheit) und Model Rule 1.1 Kommentar 8 (Pflicht des Anwalts zu technologischer Kompetenz) bedeuten, dass schwache Datenkontrollen heute ein berufsrechtliches Risiko sind, nicht nur ein kommerzielles.
Das Probe-Audit vor der Panel-Vergabe: was geprüft wird
Stellen Sie sich eine Compliance-Verantwortliche vor, die ein Trockenlauf-Audit durchführt, bevor der echte Mandantenfragebogen eintrifft. Sie arbeitet vier Blöcke ab.
1. Zugriffsprotokolle und Berechtigungen
Sie zieht den Berechtigungsreport des Dokumentenmanagementsystems (DMS) für ein laufendes Mandat. Frage: Kann der Summer Associate, der vor drei Monaten von diesem Deal abgezogen wurde, den Ordner noch öffnen?
In den meisten Kanzleien, die Systeme wie iManage oder NetDocuments nutzen, sind Berechtigungen standardmäßig „sticky“, sie bleiben bestehen, solange sie niemand aktiv entfernt. Ein Audit prüft:
- Wer Zugriff auf welches Mandat hat und ob das zur aktuellen Besetzungsliste passt.
- Ob Zugriffe protokolliert werden (mit Zeitstempel, nutzerbezogen) und mindestens 12 Monate aufbewahrt werden, eine gängige Mandantenanforderung.
- Ob „ethical walls“ (Informationsbarrieren zur Trennung konfliktbehafteter Teams) technisch durchgesetzt werden und nicht nur auf Richtlinien beruhen.
Eine einfache Abfrage auf die Audit-Tabellen der meisten DMS sieht so aus:
SELECT user_id, matter_id, access_timestamp, action
FROM dms_access_log
WHERE matter_id = 'M-2026-0417'
AND access_timestamp > staffing_end_date
ORDER BY access_timestamp DESC;Jede hier zurückgegebene Zeile ist ein Finding: ehemalige Teammitglieder, die nach dem Abzug noch auf eine Datei zugegriffen haben.
2. Aufbewahrungsfristen
Aufbewahrung ist der Abschnitt, an dem Kanzleien am häufigsten scheitern. Mandanten fragen heute: Wie lange behalten Sie unsere Daten nach Mandatsende, und kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Sie die Löschung nachweisen?
Gute Praxis, wie sie sich in den Leitlinien der International Legal Technology Association (ILTA) findet, koppelt Aufbewahrungsfristen an den Mandatstyp:
| Mandatstyp | Typische Aufbewahrung (nach Abschluss) | Treiber |
|---|---|---|
| Allgemeines Gesellschaftsrecht/M&A | 7 bis 10 Jahre | Verjährungsfristen, steuerliches Risiko |
| Litigation | 7 bis 10 Jahre, teils länger | Rechtsmittelfristen, Haftungsrisiko |
| Regulatorik/Ermittlungen | Nach Vorgabe der Behörde, oft 6+ Jahre | Aufbewahrungsvorschriften der Behörden |
| Personenbezogene Daten nach DSGVO | Nicht länger als für den Zweck erforderlich | Grundsatz der Speicherbegrenzung der DSGVO |
Das Audit prüft drei Dinge: Gibt es einen schriftlichen Aufbewahrungsplan, wird ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → vom DMS tatsächlich durchgesetzt (automatische Löschung oder Legal-Hold-Kennzeichnung), und kann die Kanzlei einen Löschnachweis vorlegen, wenn ein Mandant ein Vernichtungszertifikat verlangt.
3. Verträge mit Drittanbietern
Das ist der am schnellsten wachsende Punkt auf der Checkliste. Moderne Kanzleien laufen auf einem Stack von Anbietern: cloudbasierte E-Discovery-Plattformen, KI-gestützte Tools zur Vertragsprüfung, Transkriptionsdienste, cloud-gehostete DMS. Jeder davon, der Mandantendaten berührt, ist ein Unterauftragsverarbeiter.
Einkaufsabteilungen verlangen inzwischen ein Register der Unterauftragsverarbeiter: eine Liste jedes Anbieters, welcher Daten er berührt, wo gehostet wird und ob ein DPA unterzeichnet ist. Nach Art. 28 DSGVO muss die Kanzlei (als Auftragsverarbeiter) die Zustimmung des Mandanten (des Verantwortlichen) einholen, bevor sie einen neuen Unterauftragsverarbeiter hinzuzieht, und gleichwertige Datenschutzpflichten weiterreichen.
Ein generatives KI-Tool zur Texterstellung ist das aktuelle Beispiel 2026. Wenn eine Kanzlei Vertragstexte von Mandanten in ein Large Language ModelLarge Language ModelEin Large Language Model ist ein KI-System, das auf riesigen Textmengen trainiert wurde, um Sprache vorherzusagen und zu erzeugen. Damit sind Aufgaben wie Schreiben, Zusammenfassen und Beantworten von Fragen möglich.Vollständige Definition ansehen → eines Drittanbieters einspeist, ohne eine belastbare Unternehmensvereinbarung, die ein Training auf diesen Daten ausschließt, verletzt sie möglicherweise gleichzeitig Verschwiegenheitspflichten und Mandanten-DPAs. Kanzleien sollten schriftlich bestätigen lassen, dass jeder KI-Anbieter Mandanteneingaben vertraglich vom Modelltraining ausschließt und die DatenresidenzDatenresidenzDie Anforderung, Daten physisch in einem bestimmten Land oder einer Region zu speichern und zu verarbeiten, oft aus rechtlichen oder vertraglichen Gründen.Vollständige Definition ansehen → festlegt.
4. Bereitschaft zur Meldung von Datenschutzverletzungen
Das Audit endet mit einem Test des Incident-Response-Plans: Wer wird intern innerhalb der ersten Stunde informiert, und verpflichten sich die Verträge der Kanzlei, betroffene Mandanten innerhalb eines bestimmten Zeitfensters zu benachrichtigen (üblich sind 24 bis 72 Stunden, analog zur 72-Stunden-Frist der DSGVO für die Meldung an Aufsichtsbehörden nach Art. 33).
Im US-Kontext verlangen die meisten Landesgesetze zur Meldung von Datenschutzverletzungen eine Benachrichtigung der Betroffenen „ohne unangemessene Verzögerung“, wobei einige Bundesstaaten (etwa Colorado) eine harte 30-Tage-Grenze setzen, eine Angabe, die man gegen den aktuellen Gesetzestext prüfen sollte, da diese häufig geändert werden.
Wissenscheck
1. Welche Rolle nimmt eine Kanzlei nach DSGVO typischerweise ein, wenn sie personenbezogene Daten im Auftrag eines Mandanten verarbeitet?
2. Warum sind Kanzleien für Mandanten und Aufsichtsbehörden zu attraktiven Zielen der Data-Governance-Prüfung geworden?
3. Eine mittelgroße Kanzlei erhält einen detaillierten Fragebogen zur Datensicherheit von einem potenziellen Fortune-500-Mandanten. Was zeigt dieses Szenario vor allem?
4. Wählen Sie ALLE zutreffenden Antworten zu den Quellen der Data-Governance-Pflichten einer US-Kanzlei.
Wählen Sie alle richtigen Antworten aus.
5. Wählen Sie ALLE zutreffenden Antworten dazu, was eine Kanzlei nachweisen können sollte, um den Datensicherheitsfragebogen eines anspruchsvollen Mandanten zu erfüllen.
Wählen Sie alle richtigen Antworten aus.
Die Checkliste bauen, die Ihre Kanzlei tatsächlich abarbeiten kann
Machen Sie aus dem Probe-Audit eine wiederkehrende interne Kontrolle statt einer einmaligen Hektik. Eine praktikable Quartals-Checkliste:
- Zugriffsprüfung: DMS-Berechtigungsreports für alle im letzten Quartal abgeschlossenen Mandate ziehen; bestätigen, dass Zugriffe innerhalb von 30 Tagen nach Mandatsende entzogen wurden.
- Aufbewahrungs-Audit: 10 abgeschlossene Mandate stichprobenartig prüfen; bestätigen, dass jedes eine Aufbewahrungskennzeichnung passend zum schriftlichen Plan hat.
- Aktualisierung des Anbieterregisters: bestätigen, dass für jeden aktiven Anbieter ein unterzeichneter DPA vorliegt, datiert innerhalb der letzten 12 bis 24 Monate, und dass neue KI-Tools, die eine Practice Group einführt, erfasst sind.
- Tabletop-Übung zum Datenleck: einmal jährlich einen 60-minütigen simulierten Vorfall durchspielen, gemessen an Ihren Meldezusagen.
- Dokumentationsspur: Nachweise aufbewahren (Screenshots, Logs, unterzeichnete Zertifikate), denn Einkaufsabteilungen wie Aufsichtsbehörden wollen Belege, keine Behauptungen.
Als praktische externe Referenz für die Strukturierung veröffentlicht das britische Information Commissioner's Office ein kostenloses Accountability Framework mit Self-Assessment-Tool, das sich sauber auf die Auftragsverarbeiterpflichten von Kanzleien abbilden lässt, auch für Kanzleien mit US-Hauptsitz und EU-Bezug in Mandaten.
🎬 [VIDEO: "GDPR Explained: Processors, Controllers, and Data Processing Agreements" — youtube.com — eine verständliche Erläuterung der Rollen von Auftragsverarbeiter und Verantwortlichem sowie der DPA-Anforderungen, direkt anwendbar darauf, wie Kanzleien mit Mandantendaten umgehen]
Wichtigste Erkenntnisse
- Einkaufsabteilungen von Mandanten setzen vor der Panel-Verlängerung formale Fragebögen zur Datensicherheit ein; Kanzleien, die Zugriffskontrollen, Aufbewahrung und Anbieterverträge nicht dokumentieren können, riskieren den Verlust von Mandaten, unabhängig von der rechtlichen Haftung.
- Kanzleien sind nach DSGVO typischerweise „Auftragsverarbeiter“ und brauchen unterzeichnete DPAs mit Mandanten (Verantwortlichen) sowie weitergereichte Vereinbarungen mit ihren eigenen Unterauftragsverarbeitern, einschließlich KI-Anbietern.
- Aufbewahrungspläne müssen schriftlich vorliegen, an den Mandatstyp gekoppelt, technisch im DMS durchgesetzt und auf Anfrage durch Löschzertifikate belegt sein.
- Ein Register der Unterauftragsverarbeiter (Anbietername, berührte Daten, Hosting-Standort, DPA-Status) ist heute ein Basis-Deliverable, das Mandanten erwarten, kein optionales Extra.
- Führen Sie das Audit quartalsweise durch, nicht reaktiv: Zugriffsprüfung, Aufbewahrungsstichproben, Aktualisierung des Anbieterregisters und eine jährliche Tabletop-Übung zum Datenleck, mit Dokumentation als Nachweis der Kontrolle.