Die DSGVO in der Anwaltskanzlei: Verzeichnis, Hinweise, Anträge und Verletzungen

Das Wichtigste

• Immer ein Verzeichnis. Jede Kanzlei führt ein schriftliches Verzeichnis ihrer Verarbeitungstätigkeiten (Art. 30 DSGVO). Die Ausnahme für Einrichtungen mit weniger als 250 Personen gilt nicht: Die Verarbeitungen einer Kanzlei erfolgen nicht nur gelegentlich und betreffen sensible und strafrechtliche Daten.
• Bei der Mandatsannahme informieren. Mandanten erhalten Datenschutzhinweise bei der Erhebung ihrer Daten, mit der Mandatsvereinbarung (Art. 13). Gegenparteien und andere Dritte fallen unter Art. 14 und seine mit dem Berufsgeheimnis verbundenen Ausnahmen.
• Innerhalb eines Monats antworten. Ein Auskunftsersuchen oder ein Antrag zu einem anderen Recht wird spätestens einen Monat nach Eingang beantwortet, mit einer möglichen Verlängerung um zwei Monate (Art. 12 Abs. 3).
• 72 Stunden für eine Verletzung. Eine Verletzung des Schutzes personenbezogener Daten wird der Datenschutzbehörde binnen 72 Stunden gemeldet, Wochenende eingeschlossen, es sei denn, sie führt voraussichtlich zu keinem Risiko (Art. 33). Jede Verletzung kommt in das Verletzungsverzeichnis.
• KI verlangt eine Abschätzung. Vor der Nutzung eines generativen KI-Werkzeugs für Akten ist in der Praxis eine Folgenabschätzung nötig.

Das Verzeichnis von Verarbeitungstätigkeiten geht von den üblichen Verarbeitungen einer Kanzlei aus, vorausgefüllt mit Rechtsgrundlage und Quelle.

Das Verzeichnis von Verarbeitungstätigkeiten

Das Verzeichnis nennt den Verantwortlichen und seine Kontaktdaten, die Zwecke, die Kategorien betroffener Personen und Daten, die Empfänger, die Übermittlungen außerhalb des Europäischen Wirtschaftsraums, die Speicherfristen und eine Beschreibung der Sicherheitsmaßnahmen (Art. 30 Abs. 1). Es wird schriftlich geführt, auch in elektronischer Form, und der Datenschutzbehörde auf Anfrage zur Verfügung gestellt.

Für eine Kanzlei sind die typischen Tätigkeiten die Mandantenakten, die Gegenparteien und Dritten in den Akten, die Mandatsannahme und die Prüfung von Interessenkonflikten, die Geldwäscheprävention, die Rechnungsstellung und Buchhaltung, das Personal, die Website und die IT. Je nach Kanzlei kommen der Newsletter, die Videoüberwachung, die KI-Werkzeuge, der weiterführende juristische Beistand oder Aufträge als Konkursverwalter und Mediator hinzu.

Zwei belgische Regeln ergänzen die DSGVO. Für Gesundheits- und strafrechtliche Daten führt die Kanzlei eine Liste der Kategorien von Personen mit Zugriff, mit ihrer Funktion und der Grundlage ihrer Vertraulichkeit (Gesetz vom 30. Juli 2018, Art. 9 und 10 § 2). Und Anwälte dürfen strafrechtliche Daten verarbeiten, soweit die Verteidigung ihrer Mandanten es erfordert (Art. 10 § 1 Nr. 2).

Jede Speicherfrist hat ihre Quelle. Die Mandantenakte wird fünf Jahre nach Ende des Mandats aufbewahrt: Das alte Zivilgesetzbuch entlastet den Anwalt dann von der Haftung und von der Aufbewahrung der Unterlagen (Art. 2276bis). Für die Geldwäscheprävention erhobene Daten werden zehn Jahre ab Ende der Geschäftsbeziehung aufbewahrt und dann gelöscht (Gesetz vom 18. September 2017, Art. 60 und 62). Die Buchhaltung wird sieben Jahre aufbewahrt (Wirtschaftsgesetzbuch, Art. III.86 und III.88), Kamerabilder höchstens einen Monat. Für Personalauswahl, Protokolle oder Kontaktformular wurde keine gesetzliche Regel gefunden: Die Kanzlei legt die Frist fest und hält sie fest.

Mandanten und Dritte informieren

Der Mandant wird bei der Erhebung informiert, also bei der Mandatsannahme (Art. 13): Identität der Kanzlei, Ansprechperson für den Datenschutz, Zwecke und Rechtsgrundlagen, Empfänger, Übermittlungen, Speicherung, Rechte und Beschwerde bei der Datenschutzbehörde. Für eine Kanzlei, die Angelegenheiten nach dem Geldwäschegesetz bearbeitet, enthalten die Hinweise auch den allgemeinen Hinweis, der vor der Geschäftsbeziehung geschuldet ist (Gesetz vom 18. September 2017, Art. 64 § 3), und die Angabe, dass die Rechte für diese Verarbeitungen beschränkt sind (Art. 65). Bewahren Sie den Nachweis auf: Eine Klausel in der Mandatsvereinbarung verweist auf die beigefügten Hinweise und ihre Fassung.

Für Gegenparteien und andere in einer Akte genannte Personen gilt Art. 14. Die Kanzlei informiert sie nicht einzeln, wenn ein Gesetz die Erlangung der Daten vorsieht oder die Daten nach dem Berufsgeheimnis vertraulich bleiben müssen (Art. 14 Abs. 5 lit. c und d); auf ihrer Website veröffentlichte Hinweise machen die Informationen dann öffentlich. Die OVB empfiehlt eigene Hinweise je Zielgruppe, von jeder Seite der Website aus verlinkt. Das Berufsgeheimnis steht seit dem 1. September 2026 in Art. 352 des neuen Strafgesetzbuchs (vormals Art. 458).

Die Datenschutzhinweise entstehen aus Ihren Antworten, für Mandanten, Dritte und die Website, in der Sprache Ihrer Wahl.

Anträge betroffener Personen beantworten

Die Frist läuft ab dem Tag, an dem der Antrag die Kanzlei erreicht, auch wenn ihn noch niemand gelesen hat. Sie wird nach der Verordnung 1182/71 berechnet: Der Tag des Eingangs zählt nicht mit, die Frist endet am selben Datum des folgenden Monats oder andernfalls am letzten Tag des Monats, und ein letzter Tag an einem Samstag, Sonntag oder belgischen gesetzlichen Feiertag verschiebt sich auf den nächsten Werktag. Ein am Samstag, 31. Januar 2026, eingegangener Antrag ist also spätestens am Montag, 2. März 2026, zu beantworten.

Drei Regeln kehren oft wieder. Ein Zweifel an der Identität erlaubt, Angaben zu verlangen, nie, ohne Nachfrage abzulehnen (Art. 12 Abs. 6). Die erste Kopie ist unentgeltlich, auch wenn der Antrag einem Rechtsstreit dient (EuGH, C-307/22). Und das Berufsgeheimnis kann einem Mandanten, der seine eigenen Daten verlangt, nicht entgegengehalten werden. Gegenüber einer Gegenpartei lässt die OVB eine Ablehnung für vom Mandanten stammende Daten zu, ohne ihr Vorhandensein zu bestätigen; eine Entscheidung der Datenschutzbehörde zu diesem Fall wurde nicht gefunden, es bleibt eine Entscheidung des Anwalts. Für Geldwäscheakten sind die Rechte gesetzlich vollständig beschränkt.

Die Anträge betroffener Personen ergeben die Frist, jeden Schritt der Berechnung und die Antwortschreiben.

Datenschutzverletzungen: 72 Stunden

Die 72 Stunden laufen ab dem Zeitpunkt, zu dem die Kanzlei hinreichende Gewissheit hat, dass personenbezogene Daten betroffen sind. Sie umfassen Wochenenden und Feiertage, ohne Verschiebung auf den nächsten Werktag, und zählen echte Stunden, auch über die Zeitumstellung hinweg. Der Verlust der Vertraulichkeit von Daten unter dem Berufsgeheimnis ist ein Schaden, den die DSGVO ausdrücklich nennt: Der Verlust eines unverschlüsselten Laptops mit Akten führt grundsätzlich zu einer Meldung und zur Benachrichtigung der Mandanten. Ein stark verschlüsseltes Gerät, dessen Schlüssel sicher blieb, erfordert grundsätzlich nur einen Eintrag im Verzeichnis.

Das Formular der Datenschutzbehörde hat zwei Teile: Teil 1 binnen 72 Stunden, auch ohne Unternehmenskonto möglich, und Teil 2 binnen 21 Kalendertagen. Das Werkzeug Datenschutzverletzung berechnet das Ende der 72 Stunden, schlägt ein Risikoniveau vor und bereitet den Verzeichniseintrag und die Entwürfe der Meldung vor.

KI-Werkzeuge und die Folgenabschätzung

Jedes für Akten genutzte KI-Werkzeug ist eine Tätigkeit im Verzeichnis, mit Anbieter, Hosting und Speichereinstellungen, und die Datenschutzhinweise erwähnen es. Generative KI gilt als innovative Nutzung; bei sensiblen Daten erfüllt sie meist zwei Kriterien der WP248-Liste, die die Datenschutzbehörde anwendet, was eine Folgenabschätzung erfordert. Die Folgenabschätzung für ein KI-Werkzeug bereitet dieses Dokument vor.

Ein Datenschutzbeauftragter ist für einen Einzelanwalt oder eine kleine oder mittlere Kanzlei grundsätzlich nicht verpflichtend: Erwägungsgrund 91 DSGVO stellt klar, dass die Mandantendaten eines einzelnen Anwalts nicht umfangreich verarbeitet werden.

Was die Entscheidung 99/2026 lehrt

Am 8. Mai 2026 entschied die Streitsachenkammer der Datenschutzbehörde über eine Anwaltskanzlei. Sie stellte fest, dass die Kanzlei ihre Mandanten nie informiert hatte und ihre Mandatsvereinbarung keine Datenschutzklausel enthielt. Sie stellte auch fest, dass das Auskunftsersuchen einer früheren Mandantin wegen einer „nicht nachgewiesenen“ Identität ohne Bitte um einen Nachweis abgewiesen worden war, dass für einen nicht missbräuchlichen Antrag ein Entgelt verlangt worden war und dass das Berufsgeheimnis gegenüber der Mandantin selbst geltend gemacht worden war. Die Kanzlei musste den Antrag innerhalb eines Monats beantworten. Die Werkzeuge von Normalex ziehen daraus die Lehren: Hinweise bei der Mandatsannahme mit ihrer Fassung, eine Bitte um Identifizierung vor jeder Ablehnung, eine unentgeltliche erste Kopie und die Erinnerung, dass das Berufsgeheimnis den Mandanten schützt.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Art. 5, 9, 10, 12 bis 22, 30, 33 bis 35. Geprüft am 7. Oktober 2026.
• Verordnung 1182/71 zur Festlegung der Regeln für die Fristen, Daten und Termine, Art. 3. Geprüft am 7. Oktober 2026.
• Gesetz vom 30. Juli 2018, Art. 9, 10 und 10/2; Gesetz vom 18. September 2017, Art. 60 bis 65; altes Zivilgesetzbuch, Art. 2276bis. Geprüft am 7. Oktober 2026.
• Datenschutzbehörde, Entscheidung 99/2026 vom 8. Mai 2026; Handbuch zur Meldung einer Verletzung, v2.0; Musterverzeichnis. Geprüft am 7. Oktober 2026.
• EDSA, Leitlinien 01/2022 zum Auskunftsrecht und 9/2022 zur Meldung von Verletzungen; EuGH, C-307/22 vom 26. Oktober 2023. Geprüft am 7. Oktober 2026.
• OVB, GDPR-wijzer: Verzeichnis, Rechte der betroffenen Personen, Informationspflicht und Berufsgeheimnis, Datenpannen. Geprüft am 7. Oktober 2026.
• FÖD Justiz, neues Strafgesetzbuch in Kraft seit dem 1. September 2026. Geprüft am 7. Oktober 2026.