Kanzleien · Eine Datenschutz-Folgenabschätzung für ein neues Matter-System durchführen
Eine mittelgroße Prozesskanzlei unterzeichnet an einem Freitag einen Vertrag mit einem Anbieter für KI-gestützte Vertragsprüfung. Am Montag hat ein Associate 400 NDAs von Mandanten in das Tool geladen, um es zu testen, kein Mandant wurde informiert, und die Nutzungsbedingungen des Anbieters sagen, dass hochgeladene Dokumente zur „Verbesserung der Modell-Performance" verwendet werden dürfen. Niemand hat vorher eine DPIA durchgeführt. So landen Kanzleien in Breach-Notification-Schreiben, nicht in Schlagzeilen über Effizienzgewinne.
Eine DPIA (Data Protection Impact Assessment, Datenschutz-Folgenabschätzung) ist ein strukturierter, dokumentierter Prozess, der Datenschutzrisiken identifiziert und reduziert, bevor ein neues System personenbezogene Daten berührt. Nach der EU-/UK-Datenschutz-GrundverordnungDatenschutz-GrundverordnungEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → (DSGVO) ist eine DPIA rechtlich vorgeschrieben, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko" für Personen zur Folge hat, Artikel 35. US-Kanzleien haben kein bundesweites Äquivalent, aber Landesgesetze wie der California Consumer Privacy Act (CCPA, durchgesetzt von der California Privacy Protection Agency) und branchenspezifische Erwartungen aus den ABA Model Rules of Professional Conduct (Rule 1.6 zur Vertraulichkeit) schaffen dieselbe praktische Pflicht: Wissen, was das Tool mit Mandantendaten macht, bevor Sie es ausrollen.
Warum das speziell für Kanzleien wichtig ist
Kanzleidaten sind keine gewöhnlichen Unternehmensdaten. Mandantendokumente enthalten regelmäßig:
- Personenbezogene Daten Dritter (in HR-Streitigkeiten genannte Mitarbeiter, Patienten in Arzthaftungsakten)
- Privilegiertes und vertrauliches Material, geschützt durch das Anwaltsgeheimnis
- Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO (Gesundheitsakten, Vorstrafen, Gewerkschaftszugehörigkeit)
Ein KI-Tool zur Vertragsprüfung, das diese Dokumente einliest, ist Auftragsverarbeiter, und die Kanzlei bleibt Verantwortlicher für das, was mit diesen Daten passiert, auch wenn der Anbieter sie falsch behandelt. Artikel 28 DSGVO verlangt einen schriftlichen Vertrag (einen Auftragsverarbeitungsvertrag, DPA), der genau dieses Verhältnis regelt.
Der DPIA-Durchlauf: sechs Schritte
Schritt 1: Die Verarbeitung beschreiben
Erfassen Sie, was tatsächlich passiert: welche Dokumente hineingehen, wo sie gespeichert werden, ob das Modell des Anbieters in der EU, den USA oder anderswo gehostet wird, und ob beim Anbieter jemals ein menschlicher Prüfer rohen Mandantentext sieht. Fragen Sie den Anbieter direkt: Berührt das ein Large Language ModelLarge Language ModelEin Large Language Model ist ein KI-System, das auf riesigen Textmengen trainiert wurde, um Sprache vorherzusagen und zu erzeugen. Damit sind Aufgaben wie Schreiben, Zusammenfassen und Beantworten von Fragen möglich.Vollständige Definition ansehen → (LLM), das Prompts loggt, und werden diese Logs für Modelltraining verwendet?
Schritt 2: Erforderlichkeit und Verhältnismäßigkeit bewerten
Liesse sich dieselbe Vertragsprüfung mit geringerer Datenexposition erledigen, redigierte Dokumente, ein Pilot in der Sandbox, anonymisierte Stichproben? Wenn der Anbieter für einen kostenlosen Test vollständige Dokumentenbestände verlangt, ist das ein Warnsignal, keine Bequemlichkeit.
Schritt 3: Risiken für Personen identifizieren, nicht nur für die Kanzlei
Hier unterscheiden sich DPIAs von gewöhnlichen IT-Sicherheitsprüfungen. Die Frage ist nicht „kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnten wir gehackt werden", sondern „was passiert mit den in diesen Dokumenten genannten Personen, wenn etwas schiefgeht". Eine geleakte Abfindungsvereinbarung legt die Konditionen eines ehemaligen Mitarbeiters offen, nicht nur die Reputation der Kanzlei.
Schritt 4: Stakeholder konsultieren
Best Practice, und oft vorgeschrieben, ist, den Datenschutzbeauftragten (DPO) der Kanzlei, sofern vorhanden, IT-Sicherheit und General Counsel vor der Unterzeichnung einzubeziehen. Das UK Information Commissioner's Office (ICO) veröffentlicht eine praxistaugliche DPIA-Vorlage mit Leitfaden, die Kanzleien direkt übernehmen können.
Schritt 5: MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßnahmen zur Risikominderung festlegen
Übliche Maßnahmen bei KI-Tools zur Vertragsprüfung:
- Vertragsklausel, die die Nutzung von Mandantendaten für Modelltraining untersagt
- Garantie zur Data ResidencyData ResidencyDie Anforderung, Daten physisch in einem bestimmten Land oder einer Region zu speichern und zu verarbeiten, oft aus rechtlichen oder vertraglichen Gründen.Vollständige Definition ansehen → (EU-Daten bleiben auf EU-Servern, relevant nach den Beschränkungen für internationale Übermittlungen in Kapitel V DSGVO)
- Aufbewahrungsgrenzen (Dokumente werden nach 30 oder 90 Tagen automatisch gelöscht)
- Rollenbasierte Zugriffskontrollen, die begrenzen, welche Associates hochladen dürfen
Schritt 6: Freigabe und Restrisiko
Dokumentieren Sie das Restrisiko und wer es akzeptiert hat. Bleibt das Risiko nach den Maßnahmen hoch, verlangt Artikel 36 DSGVO eine vorherige Konsultation der Aufsichtsbehörde, bevor die Verarbeitung beginnt.
Risikosignale, die die Beschaffung sofort stoppen sollten
Das sind die Signale, die einen Deal aufhalten sollten, bevor ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → auf dem Schreibtisch des General Counsel landet, denn wenn GC einen unterschriebenen Vertrag prüft, ist der Hebel weg.
| Signal | Warum es wichtig ist |
|---|---|
| Die Bedingungen des Anbieters erlauben die Nutzung hochgeladener Daten zur „Verbesserung" oder zum „Training" von Modellen | Mandantendokumente könnten Outputs prägen, die andere Kunden sehen, ein Vertraulichkeitsbruch |
| Keine klare Antwort zu Data Residency oder Subauftragsverarbeitern | Sie können das DSGVO-Übermittlungsrisiko nicht bewerten, wenn Sie nicht wissen, wo die Daten liegen |
| Kein Auftragsverarbeitungsvertrag als Standard angeboten | Zeichen einer unreifen Compliance-Infrastruktur |
| Anbieter kann Verschlüsselung at rest und in transit nicht bestätigen | Grundlegende Sicherheitshygiene fehlt |
| Kein Audit-Logging, wer auf welches Dokument zugegriffen hat | Verstößt gegen das Grundprinzip der Rechenschaftspflicht (Artikel 5 Abs. 2 DSGVO) |
| Testphase erfordert das Hochladen echter Mandantenakten ohne Redaktionsoption | Macht aus einem „Test" eine echte Verarbeitung ohne Einwilligung |
Ein nützlicher Bauchtest: Wenn der Vertriebsmitarbeiter des Anbieters „wohin gehen diese Daten und wer kann sie sehen" nicht in einem Satz beantworten kann, eskalieren Sie vor dem Piloten, nicht danach.
Eine praktische technische Prüfung
Lassen Sie sich vor dem Rollout von der IT oder dem Anbieter die Antworten auf eine kurze Checkliste schriftlich bestätigen. Auch nicht-technische Prüfer können das durchziehen:
DPIA Technical Intake Checklist:
[ ] Data residency confirmed (country/region)
[ ] Subprocessors listed (e.g., cloud host, model provider)
[ ] Training data exclusion clause in contract (Y/N)
[ ] Retention period specified (days)
[ ] Encryption: at rest (Y/N), in transit (Y/N)
[ ] Access logs available for audit (Y/N)
[ ] Deletion/export process on contract terminationBleiben mehr als zwei Kästchen leer, sollte die DPIA den Status „hohes Risiko, nicht fortfahren" markieren.
Wissenscheck
1. Im Szenario, in dem ein Associate 400 NDAs von Mandanten ohne DPIA in ein neues KI-Tool zur Vertragsprüfung hochgeladen hat: Was war das grundlegendste Prozessversagen?
2. Wann ist eine Kanzlei nach der DSGVO rechtlich verpflichtet, vor dem Rollout eines neuen Systems eine DPIA durchzuführen?
3. Warum bleibt eine Kanzlei für Mandantendaten verantwortlich, auch nachdem sie diese an einen Drittanbieter mit KI zur Verarbeitung übergeben hat?
4. Wählen Sie ALLE richtigen Antworten dazu, warum Kanzleidaten im Vergleich zu gewöhnlichen Unternehmensdaten besondere Datenschutzrisiken bergen.
Wählen Sie alle richtigen Antworten aus.
5. Wählen Sie ALLE richtigen Antworten zu den praktischen Pflichten, die US-Kanzleien bei neuen datenverarbeitenden Tools haben, auch ohne ein einheitliches bundesweites DPIA-Gebot.
Wählen Sie alle richtigen Antworten aus.
Wo das in die laufende Governance passt
Eine DPIA ist kein einmaliges Gate. Sie sollte erneut aufgegriffen werden, wenn:
- Der Anbieter seine Subauftragsverarbeiter oder das Hosting ändert (häufig bei KI-Anbietern, die den zugrunde liegenden LLM-Provider wechseln, etwa von einem Foundation-Model-Anbieter zu einem anderen)
- Die Kanzlei die Nutzung von einer Praxisgruppe auf die gesamte Kanzlei ausweitet
- Dokumente von Mandanten aus einer neuen Jurisdiktion verarbeitet werden (was neue Regulierungsregime auslöst, etwa Brasiliens LGPD oder Chinas PIPL)
Kanzleien, die die DPIA als lebendes Dokument behandeln, jährlich oder bei Vertragsverlängerung geprüft, erkennen Drift früher als Aufsichtsbehörden oder Mandanten. Das AI Risk Management Framework des US National Institute of Standards and Technology (NIST) bietet eine ergänzende, nicht EU-spezifische Struktur für die laufende Risikoprüfung von KI-Systemen, nützlich für US-Kanzleien ohne formale DSGVO-Pflicht, die aber dieselbe Disziplin wollen: NIST AI RMF.
🎬 [VIDEO: „What is a DPIA? Data Protection Impact Assessment Explained" — youtube.com — ein kurzer Erklärfilm, der den DSGVO-DPIA-Prozess Schritt für Schritt durchgeht, als visuelle Ergänzung zu dieser Lektion]
Wichtigste Erkenntnisse
- Eine DPIA muss vor dem Rollout stattfinden, nicht nach der Vertragsunterzeichnung; sie erst nach Vertragsschluss durchzuführen bedeutet, den Verhandlungshebel bei den Datenklauseln zu verlieren.
- Die Kernfrage ist das Risiko für die in den Dokumenten genannten Personen, nicht nur die Sicherheit der Kanzlei, das ist der Denkwechsel von der IT-Prüfung zur Datenschutzprüfung.
- Sechs Red Flags (Weiterverwendung als Trainingsdaten, unklare Residency, kein DPA, schwache Verschlüsselung, keine Audit-Logs, unredigierte Test-Uploads) sollten die Beschaffung stoppen, bevor der General Counsel den Vertrag überhaupt prüft.
- Behandeln Sie die DPIA als lebende Dokumentation: erneut prüfen bei Wechsel von Subauftragsverarbeitern, Ausweitung auf neue Jurisdiktionen oder bei der jährlichen Verlängerung.
- Kostenlose Ressourcen der Aufsichtsbehörden (DPIA-Vorlage des ICO, NIST AI RMF) geben auch fachfremden Prüfern einen strukturierten, belastbaren Prozess, ohne für jeden Piloten externe Anwälte einschalten zu müssen.