Kanzleien · Aufsichtsrechtliche Pflichten, die normale Datenregeln außer Kraft setzen

Freitagnachmittag. Ein Litigation-Partner in einer mittelgroßen Londoner Kanzlei erhält innerhalb einer Stunde drei Dinge: einen Antrag auf Auskunft (Subject Access Request, SAR) von einem ehemaligen Mitarbeiter eines früheren Mandanten, ein Schreiben des Information Commissioner's Office (ICO), das die Offenlegung interner Fallakten innerhalb von 14 Tagen verlangt, und eine E-Mail des Litigation-Teams, die darauf beharrt, dass die Hälfte der angeforderten Dokumente durch litigation privilege geschützt ist und das Haus nicht verlassen darf. Niemand im Raum ist sich einig darüber, was herausgehen muss, was zurückgehalten werden darf und was passiert, wenn die Kanzlei falsch entscheidet.

Das ist kein Ausnahmefall. Für GC-nahe Teams in Kanzleien mit regulierten, streitigen oder grenzüberschreitenden Mandaten ist das ein Dienstag. Diese Lektion gibt Ihnen das Entscheidungsframework, das Partner tatsächlich nutzen.

Warum Kanzleien ein Sonderfall sind

Kanzleien tragen zwei sich überlappende Pflichten, die anderswo selten zusammen auftreten:

• Mandantenvertraulichkeit und legal professional privilege (LPP): ein Schutz aus common law und Gesetz (in den USA „attorney-client privilege" plus „work product doctrine"), der bestimmte Kommunikation und Dokumente vor erzwungener Offenlegung schützt.
• Datenschutzrecht: in der EU/UK die DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → (Datenschutz-Grundverordnung) und die UK GDPR; in den USA ein Flickenteppich, darunter CCPA/CPRA (California Consumer Privacy Act / Privacy Rights Act) und sektorale Regeln.

Normalerweise sagt das Datenschutzrecht, dass Personen fragen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, welche personenbezogenen Daten eine Kanzlei über sie hält (ein SAR nach Artikel 15 DSGVO oder ein „right to know"-Antrag nach CCPA). Das Kernprodukt einer Kanzlei ist aber vertrauliches Fallmaterial. Wenn ein SAR Dokumente verlangt, die zugleich privilegiert sind, kollidieren die beiden Regime, und in der Regel setzt sich das privilege durch, aber nur in eng definierten Grenzen.

Dazu kommen die Aufsichtsbehörden: die Solicitors Regulation Authority (SRA) in England und Wales, das ICO für Datenschutz, die SEC in den USA für Kanzleien mit Bezug zur Offenlegung börsennotierter Unternehmen und die Gerichte selbst, die alle Offenlegung erzwingen können, unabhängig von Vertraulichkeitswünschen.

Das Drei-Körbe-Framework

Partner und die Verantwortlichen für Data GovernanceData GovernanceData Governance umfasst die Regeln, Rollen und Prozesse, die sicherstellen, dass Daten in einer Organisation korrekt, sicher, klar definiert und verantwortungsvoll genutzt werden.Vollständige Definition ansehen → in Kanzleien sortieren jede Anfrage in drei Körbe.

Korb 1: Muss geteilt werden

Gesetzlich vorgeschriebene Offenlegung. Beispiele:

• Ein wirksamer Gerichtsbeschluss oder eine subpoena.
• Eine gesetzliche Auskunftsanordnung einer Aufsichtsbehörde (z. B. eine ICO enforcement notice nach Artikel 58 UK GDPR oder eine SRA production order).
• Meldepflichten zur Geldwäschebekämpfung nach den britischen Money Laundering Regulations 2017 oder dem US-amerikanischen Bank Secrecy Act, die die Vertraulichkeit vollständig überlagern können (ein „suspicious activity report" (SAR, verwirrenderweise dasselbe Akronym wie subject access request) darf dem Mandanten nach den „tipping-off"-Regeln nicht einmal offengelegt werden).

Was in diesem Korb liegt, ist nicht mehr diskutabel. Die einzige offene Frage ist der Umfang: nur das Notwendige teilen, nicht die ganze Akte.

Korb 2: Kann geteilt werden (mit Ermessen)

Datenschutzrechtliche Betroffenenanfragen, die wirksam sind, deren Umfang aber verhandelbar ist. Der SAR ist der klassische Fall: Der Antragsteller hat ein Recht auf seine personenbezogenen Daten, aber die Kanzlei kann Ausnahmen anwenden.

Zentrale Ausnahme nach UK GDPR/Data Protection Act 2018, Schedule 2, Paragraph 19: Personenbezogene Daten, die durch legal professional privilege geschützt sind, sind vom Auskunftsrecht ausgenommen. Die entsprechende Logik in den USA steckt in der privilege-Doktrin selbst und nicht in einem Datenschutzgesetz, da es kein einheitliches Bundesdatenschutzgesetz gibt.

Eine Kanzlei kann also privilegierte Inhalte rechtmäßig redigieren oder zurückhalten, selbst innerhalb einer ansonsten wirksamen SAR-Antwort. Hier findet die eigentliche Arbeit statt: eine zeilenweise privilege-Prüfung jedes Dokuments, das zum SAR passt.

Korb 3: Darf nicht geteilt werden

Durch privilege geschützt, keine wirksame rechtliche Verpflichtung, und keine Ausnahme erzwingt die Herausgabe. Dazu gehören:

• Kommunikation zur Rechtsberatung zwischen Anwalt und Mandant (advice privilege).
• Dokumente, die überwiegend zum Zweck eines Rechtsstreits erstellt wurden, sobald ein Verfahren realistisch in Betracht kommt (litigation privilege).
• Internes Arbeitsmaterial der Kanzlei, das zu keiner wirksamen Anfrage passt.

Aus diesem Korb ohne wirksame Anordnung zu teilen, ist ein Verstoß gegen das Berufsrecht und kann selbst eine SRA-Untersuchung oder, in den USA, ein Disziplinarverfahren der Anwaltskammer auslösen.

Anwendung auf das Szenario

Zurück zum Freitagnachmittag:

1. Der SAR geht in Korb 2. Die Kanzlei muss alle Systeme (Dokumentenmanagement, E-Mail, Case-Management-Software) nach personenbezogenen Daten des Antragstellers durchsuchen, dann die privilege-Ausnahme anwenden, um geschütztes Material zu redigieren, und für jede Redaktion eine dokumentierte Begründung festhalten.
2. Das ICO-Schreiben geht in Korb 1, aber nur wenn es eine echte gesetzliche Anordnung ist und keine vorbereitende Anfrage. Der Datenschutzbeauftragte der Kanzlei (DPO, für viele Kanzleien nach Artikel 37 DSGVO eine Pflichtrolle) prüft die Rechtsgrundlage der Anordnung, bevor geantwortet wird.
3. Der Einwand des Litigation-Teams fließt direkt in die Redaktionsarbeit von Korb 2 ein. Litigation privilege blockiert den SAR nicht pauschal, es rechtfertigt konkrete Redaktionen, Dokument für Dokument.

Das Ergebnis ist nie „alles teilen" oder „nichts teilen". Es ist ein Redaktionslog, in der Regel gemeinsam von einem aufsichtführenden Partner und dem DPO geprüft, mit einer Begründung, die einem ICO-Audit oder einer gerichtlichen Anfechtung der Redaktionen standhält.

Praktische Datenchecks für Kanzleien

• Data Mapping: wissen, wo personenbezogene Daten physisch liegen (DMS wie iManage oder NetDocuments, E-Mail-Server, E-Discovery-Plattformen). Sie können einen SAR nicht innerhalb der gesetzlichen Frist beantworten (ein Monat nach UK GDPR, verlängerbar auf drei), wenn Sie nicht wissen, wo die Daten sind.
• Privilege-Tagging bei der Erfassung: viele Kanzleien markieren Dokumente heute schon beim Erstellen oder Hochladen als privilegiert, statt in einer hektischen Prüfung unter Fristdruck.
• Zugriffsprotokolle und Audit Trails: wer hat wann und warum auf eine Datei zugegriffen. Nach dem Rechenschaftsprinzip der DSGVO (Artikel 5(2)) muss die Kanzlei Compliance nachweisen können, nicht nur behaupten.
• Konflikt- und Aufbewahrungsprüfungen: Daten, die über ihren rechtmäßigen Zweck hinaus aufbewahrt werden, sind selbst ein DSGVO-Verstoß (Grundsatz der Speicherbegrenzung, Artikel 5(1)(e)), und alte Akten enthalten oft Material, das für einen laufenden SAR relevant ist und Jahre früher gelöscht hätte werden müssen.

Eine vereinfachte Version eines internen Triage-Skripts, mit dem Kanzleien SAR-relevante Dokumente zur Prüfung markieren, könnte so aussehen:

# Pseudocode: Dokumente für privilege-Prüfung in einer SAR-Antwort markieren
for doc in matter_documents:
    if requester_name in doc.metadata["parties"]:
        if doc.tags.get("privilege_status") == "privileged":
            queue_for_partner_review(doc)
        else:
            queue_for_redaction_check(doc)  # kann weiterhin personenbezogene Daten Dritter enthalten

Das ersetzt keine juristische Bewertung, es stellt nur sicher, dass nichts Relevantes ungeprüft durchrutscht.

Zum zugrunde liegenden britischen Rechtstext veröffentlicht das ICO einen klaren Praktikerleitfaden: ICO-Leitfaden zum Auskunftsrecht.

Wenn Aufsichtsbehörden und privilege wirklich kollidieren

Die härtesten Fälle sind die, in denen die Befugnis einer Aufsichtsbehörde zur Erzwingung von Offenlegung frontal auf das privilege trifft. Britische Gerichte haben wiederholt entschieden, dass legal advice privilege nahezu absolut ist und nur durch ausdrückliche gesetzliche Regelung überlagert werden kann (siehe die House-of-Lords-Entscheidung *R (Morgan Grenfell) v Special Commissioner*, 2002, bis heute eine Leitentscheidung). Die SRA kann privilegiertes Material nicht einfach ohne wirksame Rechtsgrundlage verlangen; ebenso kann die SEC eine US-Kanzlei nicht zur Herausgabe von attorney work product zwingen, ohne einen bestimmten rechtlichen Test zu erfüllen.

Das heißt: Die Aufgabe der Kanzlei in einem echten Konflikt ist nicht, einseitig zu entscheiden. Sie besteht darin, das privilege formell geltend zu machen, die Aufsichtsbehörde zur Begründung der Rechtsgrundlage für eine Überlagerung zu zwingen und den Streit, wenn nötig, von einem Gericht klären zu lassen. Data-Governance-Teams unterstützen das, indem sie schnell saubere, gut dokumentierte privilege logs erstellen, denn Verzögerung allein kann wie Obstruktion aussehen.

🎬 [VIDEO: „GDPR and Legal Professional Privilege Explained" — youtube.com — suchen Sie nach aktuellen Compliance-Webinaren britischer Kanzleien zum Zusammenspiel von SAR und privilege, mehrere Anwaltskammern und Law Societies stellen kostenlose Aufzeichnungen online]

Wichtigste Erkenntnisse

• Kanzleien arbeiten unter zwei Systemen gleichzeitig: Datenschutzrecht (DSGVO, CCPA) und legal professional privilege. Wenn sie kollidieren, begrenzt das privilege die Offenlegungspflichten in der Regel, beseitigt sie aber nicht.
• Nutzen Sie das Drei-Körbe-Framework: muss geteilt werden (wirksamer Gerichtsbeschluss, gesetzliche Anordnung), kann geteilt werden (SAR und ähnliche Betroffenenanfragen, mit privilege-Redaktionen), darf nicht geteilt werden (privilegiertes Material ohne wirksame Verpflichtung).
• Eine SAR-Antwort erfordert eine privilege-Prüfung Dokument für Dokument, keine pauschale Ablehnung und keine pauschale Herausgabe, und Kanzleien müssen die Begründung jeder Redaktion protokollieren.
• Gute Data Governance (Data Mapping, privilege-Tagging, Zugriffsprotokolle, Aufbewahrungsdisziplin) macht eine rechtmäßige, fristgerechte Antwort unter realen Fristen wie dem Ein-Monats-Fenster der DSGVO überhaupt erst möglich.
• Echte Konflikte zwischen einem Offenlegungsverlangen der Aufsicht und dem privilege sollten gelöst werden, indem das privilege formell geltend gemacht und, wenn nötig, ein Gericht entscheiden gelassen wird, nicht durch die einseitige Entscheidung eines einzelnen Partners.