Source: https://www.ram-sued.de/Service/Datenschutz.html
Timestamp: 2018-11-13 05:34:38+00:00

Document:
Datenschutz und IT-Sicherheit für die Anwaltskanzlei gewinnen immer mehr an Bedeutung. Insbesondere die rechtlichen Anforderungen, die an Unternehmen gestellt werden, die DSGVO (Anpassung des Datenschutzes an europäisches Recht und Reformierung des BDSG im BDSG-neu) und die nach Art. 32 DS-GVO einhergendene Verpflichtung "Technische und Organisatorische Maßnahmen" (TOM) zum Schutz personenbezogender Daten vorzuhalten, stellen für viele kleinere Unternehmen eine große Herausforderung dar.
Hierbei unterstützen wir Sie mit unseren kompetenten Mitarbeitern, die seit vielen Jahren ein umfangreiches Spektrum des technischen Datenschutzes bei einer Vielzahl zufriedener Kunden abdecken.
IT-Sicherheit nach Art. 32 im Kontext mit Art. 39 DSGVO (Aufgaben eines Datenschutzbeauftragten). Genau das ist unsere Stärke.
Datenschutz mit einer 30-jährigen Erfahrung im IT-Umfeld. Das wichtigste der Zusammenarbeit mit einem externen Datenschutzbeauftragten ist Vertrauen. Genau das schenken uns unsere langjährigen Kunde.
Vereinbarung_Auftragsverarbeitung.pdf
Hinweise_Informationspflicht_Art13DSGVO
Datenschutzmanagement/Datenschutzorganisation
Ist ein Datenschutzmanagementsystem sinnvoll?
Sofern man einer Aufsichtsbehörde sämtliche Dokumente zur Rechtmäßigkeit der Verarbeitung nach Art. 5 DSGVO personenbezogener Daten darlegen möchte, macht es durchaus Sinn sich mit der Einführung eines DSMS zu beschäftigten. Hierzu zählt ein sog. Datenschutzhandbuch.
Hierzu sollte ein Team mit Personen zusammengestellt werden, die sich mit dem Datenschutz beschäftigen. Man nennt das dann "Aufbauorganisation".
Stand im alten BDSG: Hohe Hürden für eine Meldung
Bereits früher (BDSG Alt) waren unbefugten Datenzugriffe, umgangssprachlich "Datenpannen" genannt, meldepflichtig.
Nach § 42a BDSG (Alt) mussten dafür allerdings zwei Voraussetzungen erfüllt sein:
1. Die personenbezogenen Daten müssen als sehr sensibel gelten, was z. B. bei Bank- und Gesundheitsdaten der Fall war.
2. Zusätzlich musste davon auszugehen sein, dass im konkreten Vorfall ein hohes Risiko für den Betroffenen gegeben ist, d. h. schwerwiegende Beeinträchtigungen drohen.
Diese Voraussetzungen führten bis zum 25.05.2018 dazu, dass nur vereinzelt Meldungen an die zuständige Aufsichtsbehörde gemacht wurden. Die jährliche Gesamtzahl solcher Meldungen bewegte sich daher meist nur in einem zweistelligen Bereich. Eine sehr große Dunkelziffer bezüglich nicht erkannter und nicht gemeldeter (Hacking-) Vorfälle konnte durchaus vermutet werden. Sofern jedoch eine meldepflichtige Datenpanne vorlag, war auch der Betroffene zu informieren.
Stand heute: Deutlich abgesenkte Hürden
1. Eine Meldung an die Aufsichtsbehörde hat immer zu erfolgen, es sei denn, dass die Datenpanne „voraussichtlich nicht zu einem Risiko“ für den Betroffenen führt.
2. Eine Benachrichtigung der betroffenen Person muss dagegen nur dann erfolgen, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht. Auch ist eine Information des Betroffenen nicht (mehr) erforderlich, wenn geeignete technische und organisatorische Maßnahmen vorhanden sind, die den Unbefugten Zugang auf die personenbezogenen Daten praktisch nicht ermöglichen – als explizites Beispiel ist die Verschlüsselung genannt. Ebenso kann auf eine Benachrichtigung des Betroffenen verzichtet werden, wenn wirk-same Maßnahmen zur Schadensbegrenzung ergriffen wurden und diese das hohe Risiko, das zum Zeitpunkt der Datenpanne bestand, eliminiert haben. Wie dieses Szenario in der Praxis ablaufen kann, muss insbesondere von Seiten der Aufsichtsbehörden noch geklärt werden.
Ist eine Anwaltskanzlei zur Verschlüsselten e-mail Kommunikation verpflichtet
Eine Transportverschlüsselung stellt derzeit wohl den Stand der Technik dar. Sie ist im Hinblick auf die datenschutzrechtlichen Anforderungen wohl das Mittel der Wahl für sämtliche Adressaten des Datenschutzrechts und somit auch für die Anwaltschaft.
Anders sieht es bei der Ende-zu-Ende-Verschlüsselung aus. Bei dem derzeitigen Stand der Technik und angesichts der aktuellen Rechtslage sprechen gute Argumente gegen das Bestehen einer Pflicht zur Verwendung einer Ende-zu-Ende-Verschlüsselung für Rechtsanwälte als Berufsgeheimnisträger. Ohne die Mitwirkung des Mandanten ist eine Ende-zu-Ende-Verschlüsselung momentan nicht möglich, einen einheitlichen Standard gibt es nicht. Darüber hinaus ist der Sicherheitsgewinn bei der Anwendung von Ende-zu-Ende-Verschlüsselung gering. Denn der Client-Rechner, auf welchem die E-Mail unverschlüsselt vorliegt, ist im Fall eines Angriffs das lohnendste und damit das wahrscheinlichste Angriffsziel. Damit ist die Ende-zu-Ende-Verschlüsselung nur so sicher wie die Client-Rechner von Anwalt und Mandant – letztere sind das schwächste Glied in der Kette.
In der Nutzung oder der Angabe der E-Mail-Adresse zur Kontaktaufnahme durch den Mandanten ist eine konkludente Einwilligung in die Nutzung dieses Kommunikationswegs durch den Mandanten zu sehen, zumindest dann, wenn der Anwalt eine Transportverschlüsselung anbietet. Eine Aufklärung über die Risiken der E-Mail-Kommunikation ist angesichts der weiten Verbreitung der E-Mail nur dann erforderlich, wenn der Anwalt konkrete Anhaltspunkte dafür hat, dass der Mandant im konkreten Fall die Sicherheitsrisiken der E-Mail-Kommunikation nicht richtig einzuschätzen vermag.
Quelle: https://www.brak.de/w/files/02_fuer_anwaelte/berufsrecht/schoettle-brak-mitt.-2018-118.pdf
Unabhängig von der Zahl der Beschäftigten muss ein Datenschutzbeauftragter bestellt werden, wenn
Daten aus den besonderen Kategorien aus Art. 9/Art. 10 DSGVO - Daten über Beschuldigte, Angeklagte und Verurteilte („Daten über strafrechtliche Verurteilungen und Straftaten“) - verarbeitet werden, die Kerntätigkeit des Verantwortlichen daraus besteht und diese Datenverarbeitung umfangreich ist.
Um eine Kerntätigkeit des Verantwortlichen handelt es sich dann, wenn die Datenverarbeitung dem Geschäftszweck unmittelbar dient. Geschäftszweck einer Anwaltskanzlei ist die Beratung und Vertretung von Mandanten. Die Verarbeitung von Daten im Rahmen dieser Beratung und Vertretung dürfte also stets Kerntätigkeit sein. Von einer Nebentätigkeit dürfte demgegenüber auszugehen sein bei Verwaltungsaufgaben oder den Geschäftsprozess begleitenden Maßnahmen, wie zum Beispiel der Auswertung von Google Analytics. Als Faustregel kann gelten: Alles was in die Mandatsakte aufgenommen wird, um Grundlage der anwaltlichen Beratung oder eventuellen Sachvortrags zu sein, ist der Kerntätigkeit zuzurechnen.
Zuletzt tritt die Pflicht zur Bestellung eines Datenschutzbeauftragten unabhängig von der Zahl der Beschäftigten auch dann ein, wenn die Kerntätigkeit des Verantwortlichen in der Verarbeitung besonderer Kategorien von Daten besteht und diese Verarbeitung umfangreich ist.
Eine verlässliche Definition des Begriffs „umfangreich“ wird erst in einigen Jahren vorliegen, wenn die ersten Gerichte darüber entschieden haben. In der Literatur wird zum Beispiel vertreten, umfangreich bedeute „viele Personen oder große Mengen von Daten betreffend“ (BeckOK Datenschutzrecht, Wolff/Brink, DS-GVO Artikel 37, Rn. 8). Diese Definition ist natürlich unbrauchbar.
Eine andere Meinung vertritt, umfangreich bedeute „das übliche Maß bei Weitem übersteigend“ (Paal/Pauly, DS-GVO Art. 37, Rn. 9). Diese Ansicht, die die Norm als Ausnahmevorschrift behandelt, wird jedoch mit guten Argumenten kritisiert (vgl. Sydow, Europäische Datenschutzgrundverordnung, Art. 37, Rn. 84 ff.). Die dortige Ansicht geht davon aus, dass eine Datenverarbeitung dann umfangreich ist, wenn sie im Sinne des Schutzzwecks des Datenschutzrechts „relevant“ wird. Relevanz wird gesehen, wenn die Verarbeitung kein Einzelfall ist.
Quelle: Fachinfo-Broschüre von Dr. Astrid Auer-Reinsdorff /Kjell Vogelsang DSGVO: Die fünf wichtigsten Sofortmaßnahmen für Anwaltskanzleien
Was nun, wenn weniger als 10 Beschäftige, aber Art. 9/Art. 10 Verarbeitung stattfindet?
Viele Kanzleien haben einen bis drei Berufsträger und bleiben auch inklusive Büropersonal und Referendaren unter der 10-Personen- Grenze. Gleichzeitig bearbeiten häufig kleine Anwaltskanzleien Mandate aus den oben genannten Bereichen und verarbeiten demgemäß auch Daten aus den besonderen Kategorien nach Art. 9 und 10 DSGVO. Die Frage des Umfangs der Datenverarbeitung und der rechtlichen Beurteilung der Kategorie „umfangreich“ ist für diese Kanzleien also relevant für die Bestellung eines Datenschutzbeauftragten. Für die meisten der kleinen Anwaltskanzleien dürfte nur ein externer Datenschutzbeauftragter in Betracht kommen, sodass aus der Bedeutung des Wortes „umfangreich“ entweder ein Kostenfaktor durch Bestellung eines externen Datenschutzbeauftragten oder ein erhebliches rechtliches Risiko durch die Nicht-Benennung erwächst.
Es ist davon auszugehen, dass diese Frage in den nächsten Jahren gerichtlich geklärt wird. Aus jetziger Sicht ist anzuraten, sich der Ansicht anzuschließen, die eine umfangreiche Verarbeitung dann annimmt, wenn sie über den Einzelfall hinausgeht. Mit anderen Worten: Es sind all diejenigen Kanzleien betroffen, die regelmäßig Mandate aus den genannten Rechtsgebieten bearbeiten. Nicht betroffen dürften diejenigen Kanzleien sein, die zum Beispiel hauptsächlich Baurecht oder gewerblichen Rechtsschutz bearbeiten und „alle Jubeljahre“ einen Verkehrsunfall mit strafrechtlicher Relevanz für einen Studienfreund übernehmen.

References: Art. 32
 Art. 32
 Art. 39
 Art. 5
 § 42
 Art. 9
 Art. 37
 Art. 37
 Art. 9
 Art. 9