DSGVO-konforme PDF-Verwaltung von Mandantenakten für Rechtsanwälte

Die DSGVO unterscheidet zwischen verschiedenen Kategorien personenbezogener Daten. Mandantendaten in Rechtsanwaltskanzleien umfassen häufig besonders schützenswerte Kategorien: Gesundheitsdaten (bei medizinrechtlichen Mandaten), strafrechtliche Daten (bei Strafverteidigung), politische Überzeugungen (bei Verwaltungsrecht) und sexuelle Orientierung (bei Familienrecht). Diese sensiblen Daten verlangen nach erhöhten Schutzmaßnahmen gemäß Art. 9 DSGVO. Die Pflicht zur Datensicherheit nach Art. 32 DSGVO verpflichtet Anwälte, geeignete technische und organisatorische Maßnahmen zu ergreifen. Für PDFs bedeutet dies: Verschlüsselung bei der Speicherung (Encryption at Rest), Verschlüsselung bei der Übertragung (Encryption in Transit) und Zugriffskontrollen. Als Verantwortlicher nach DSGVO müssen Sie ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO führen. Darin sind alle Verarbeitungen von Mandantendaten zu dokumentieren, einschließlich der digitalen Dokumentenverwaltung. Beachten Sie auch das Löschkonzept: Mandantendaten dürfen nicht unbegrenzt aufbewahrt werden. Nach Abschluss eines Mandats und Ablauf der berufsrechtlichen Aufbewahrungsfristen müssen PDFs datenschutzkonform gelöscht werden.

1. 1Erstellen Sie ein Verzeichnis aller Verarbeitungstätigkeiten gemäß DSGVO Art. 30, das auch die digitale Mandantenaktenverwaltung erfasst.
2. 2Verschlüsseln Sie alle PDFs mit Mandantendaten mit AES-256-Verschlüsselung — sowohl bei der Speicherung als auch bei der Übertragung per E-Mail oder Cloud.
3. 3Implementieren Sie ein Zugriffsberechtigungskonzept: Nur befugte Kanzleimitarbeiter dürfen auf bestimmte Mandantenakten zugreifen.
4. 4Erstellen Sie ein Löschkonzept, das festlegt, wann Mandantenakten nach Abschluss des Mandats zu löschen sind, und setzen Sie dies konsequent um.
5. 5Schulen Sie alle Mitarbeiter regelmäßig in datenschutzkonformer Dokumentenverwaltung und dokumentieren Sie die Schulungen.

Eine durchdachte Struktur der digitalen Mandantenakten ist die Grundlage für effiziente und datenschutzkonforme Arbeit. Für jedes Mandat sollte ein eigener verschlüsselter Ordner angelegt werden, der alle relevanten PDFs enthält: Vollmachten, Schriftverkehr, Gerichtsdokumente, Gutachten und interne Notizen. Die Benennung der Dateien sollte einem einheitlichen Schema folgen, das eine schnelle Navigation ermöglicht, ohne personenbezogene Daten im Dateinamen preiszugeben. Beim Versand von Mandantendokumenten per E-Mail ist besondere Vorsicht geboten. Verschlüsselte E-Mails (S/MIME oder PGP) sind zwar das sicherste Mittel, in der Praxis aber oft nicht durchsetzbar. Eine praktikable Alternative ist das Versenden von passwortgeschützten PDFs, wobei das Passwort über einen separaten Kanal (Telefon, SMS) mitgeteilt wird. Das Zusammenführen zusammengehörender Dokumente zu einer strukturierten PDF-Akte mit Lesezeichen und Inhaltsverzeichnis verbessert die Übersichtlichkeit erheblich. Bei der Übergabe vollständiger Mandantenakten an den Mandanten oder an andere Anwälte ist ein komprimiertes, passwortgeschütztes PDF-Bundle die empfohlene Lösung.

1. 1Legen Sie für jedes Mandat einen strukturierten Ordner an: Unterordner für Korrespondenz, Gerichtsdokumente, Vollmachten, Gutachten, Rechnungen.
2. 2Schützen Sie alle PDFs mit Mandantendaten mit einem starken Passwort (mindestens 12 Zeichen, Kombination aus Groß-, Kleinbuchstaben, Zahlen, Sonderzeichen).
3. 3Führen Sie ein Aktenverzeichnis, das für jedes Mandat dokumentiert, welche Dokumente als PDF vorliegen, wo sie gespeichert sind und wer Zugriff hat.
4. 4Komprimieren Sie fertige Akten-PDFs für eine effiziente Langzeitarchivierung ohne Qualitätsverlust.

In der anwaltlichen Praxis werden täglich zahlreiche Schriftsätze, Verträge und Urkunden erstellt und verarbeitet. Die Digitalisierung dieser Dokumente als PDFs bietet Vorteile in der Archivierung, im Schriftverkehr mit Gerichten und bei der Mandantenkommunikation. Für die elektronische Kommunikation mit Gerichten sind in Deutschland seit dem beA (Besonderes elektronisches Anwaltspostfach) spezifische PDF-Standards vorgeschrieben. Schriftsätze müssen als PDF/A oder als reguläres PDF in bestimmter Qualität eingereicht werden. Vor dem Einreichen über das beA sollte jedes Dokument auf Vollständigkeit, korrekte Seitenzahlen und Lesbarkeit geprüft werden. Verträge, die Mandanten zur Unterschrift vorgelegt werden, sollten als schreibgeschützte PDFs gespeichert werden, um nachträgliche Änderungen zu verhindern. Nach der Unterzeichnung (analog oder digital) sollte das signierte Dokument sofort archiviert werden. Urkunden und notarielle Dokumente, die im Rahmen von Mandaten anfallen, sollten in ihrer originalen Qualität digitalisiert werden — hochauflösend und mit OCR-Texterkennung für die spätere Durchsuchbarkeit.

1. 1Erstellen Sie Schriftsätze als PDF/A für die Einreichung über das beA — überprüfen Sie die Einhaltung der Formatvorgaben des zuständigen Gerichts.
2. 2Versehen Sie Vertragsvorlagen mit einem Schreibschutz, um versehentliche Änderungen zu verhindern.
3. 3Digitalisieren Sie erhaltene Urkunden mit mindestens 300 DPI und aktivieren Sie OCR-Texterkennung für die Durchsuchbarkeit.
4. 4Führen Sie ein digitales Dokumentenregister, das den Status jedes wichtigen Dokuments (Entwurf, zur Unterschrift, unterzeichnet, archiviert) nachverfolgt.

Ein oft vernachlässigter Aspekt der DSGVO-Compliance in Rechtsanwaltskanzleien ist das Löschkonzept. Nach Abschluss eines Mandats und Ablauf der berufsrechtlichen Aufbewahrungsfristen müssen personenbezogene Daten — also auch Mandantenakten als PDFs — datenschutzkonform gelöscht werden. Die Bundesrechtsanwaltsordnung (BRAO) und die BORA sehen keine einheitliche Aufbewahrungsfrist vor. Orientieren Sie sich an den verjährungsrechtlichen Fristen: Für Schadensersatzansprüche gegen Anwälte gilt die dreijährige Regelverjährungsfrist, weshalb Akten häufig fünf bis sieben Jahre aufbewahrt werden. Danach sind PDFs vollständig und unwiederbringlich zu löschen — ein einfaches Löschen aus dem Dateisystem reicht nicht aus, da gelöschte Dateien oft wiederherstellbar sind. Verwenden Sie sichere Löschmethoden (Überschreiben mit Zufallsdaten) oder nutzen Sie verschlüsselte Speicherlösungen, bei denen das Löschen des Verschlüsselungsschlüssels einem sicheren Datenlöschen entspricht. Dokumentieren Sie alle Löschvorgänge in Ihrem Datenschutzmanagement und informieren Sie Mandanten über Ihre Aufbewahrungs- und Löschpolitik.