DSGVO-konforme Mandantenakten als PDF: Leitfaden für Rechtsanwälte
Rechtsanwälte verarbeiten täglich hochsensible personenbezogene Daten ihrer Mandanten – von Vertragsdetails über Schriftsätze bis hin zu medizinischen Gutachten oder Finanzinformationen. Die Datenschutz-Grundverordnung (DSGVO) stellt dabei klare Anforderungen: Personenbezogene Daten müssen durch geeignete technische und organisatorische Maßnahmen geschützt werden (Art. 32 DSGVO). PDF hat sich in deutschen Anwaltskanzleien als Standard-Format für die digitale Aktenführung durchgesetzt. Es ist gerichtstauglich, lässt sich verschlüsseln und bleibt über Jahrzehnte lesbar. Dennoch genügt es nicht, Dokumente einfach als PDF zu speichern. Die DSGVO verlangt ein durchdachtes Konzept: Wer hat Zugriff? Wie werden Dateien übertragen? Wie lange werden sie aufbewahrt? Wer ist im Löschkonzept verantwortlich? Dieser Leitfaden zeigt Rechtsanwälten in Deutschland, wie sie Mandantenakten mit einfachen Mitteln DSGVO-konform als PDF aufbereiten, schützen und verwalten – ohne teure Spezialsoftware und ohne umfangreiche IT-Kenntnisse. LazyPDF.com bietet dabei kostenlose Tools, die den gesamten Prozess erheblich vereinfachen.
DSGVO-Anforderungen für digitale Mandantenakten im Überblick
Art. 32 DSGVO verpflichtet Verantwortliche zu „geeigneten technischen und organisatorischen Maßnahmen" zum Schutz personenbezogener Daten. Für Anwaltskanzleien bedeutet das konkret: Mandantendaten in digitalen PDFs müssen vor unbefugtem Zugriff geschützt sein. Das gilt sowohl für die Speicherung (z. B. Passwortschutz, Verschlüsselung) als auch für die Übertragung (z. B. verschlüsselte E-Mail oder sichere Dateiübertragungsplattformen). Zusätzlich gilt das Prinzip der Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO): Es dürfen nur so viele Daten gespeichert werden, wie für den jeweiligen Zweck notwendig. Beim Digitalisieren von Papierakten bedeutet das: Nicht relevante Seiten (z. B. Werbung, leere Seiten) sollten nicht mitarchiviert werden. LazyPDF Split hilft dabei, PDFs auf die notwendigen Seiten zu reduzieren. Wichtig ist auch das Löschkonzept: Nach § 50 Abs. 1 BRAO müssen Handakten mindestens fünf Jahre nach Abschluss des Auftrags aufbewahrt werden. Danach müssen die Daten gelöscht oder vernichtet werden. Ein strukturiertes digitales Ablagesystem mit klaren Löschfristen ist daher unerlässlich.
Mandantenakte als DSGVO-konformes PDF erstellen und schützen
Die Erstellung einer DSGVO-konformen digitalen Mandantenakte folgt einem klaren Prozess. Zunächst werden alle relevanten Dokumente – Verträge, Schriftsätze, Korrespondenz, Urteile – gesammelt und in ein einziges strukturiertes PDF zusammengeführt. Anschließend wird dieses PDF mit einem starken Passwort verschlüsselt und das Passwort separat und sicher dokumentiert. Für die Übertragung an den Mandanten oder das Gericht empfiehlt sich entweder das beA (besonderes elektronisches Anwaltspostfach) oder eine verschlüsselte Dateiübertragung. Die Zugangsdaten zum beA oder zum Dateiübertragungsportal werden separat kommuniziert. Besonders wichtig ist die Trennung: Passwort und Datei sollten niemals im selben E-Mail gesendet werden. Senden Sie zuerst die verschlüsselte PDF-Datei, dann das Passwort über einen anderen Kanal (z. B. SMS oder telefonisch).
- 1Alle Aktenbestandteile sammeln und als PDF vorliegen haben – Word und Excel-Dokumente mit LazyPDF Word-zu-PDF konvertieren
- 2Einzeldokumente mit LazyPDF Merge in die richtige Reihenfolge bringen und zu einer vollständigen Mandantenakte zusammenführen
- 3Mit LazyPDF Protect ein starkes Passwort setzen (mind. 12 Zeichen, Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen) – Bearbeitungssperre aktivieren
- 4Passwort in Passwortmanager oder separates verschlüsseltes Dokument notieren; PDF und Passwort stets getrennt übermitteln
Bestandsakten digitalisieren und DSGVO-konform überführen
Viele Kanzleien stehen vor der Aufgabe, papierbasierte Altakten zu digitalisieren. Dabei müssen nicht nur die Dokumente gescannt werden – der gesamte Prozess muss DSGVO-konform sein. Das bedeutet: Wer scannt? Wo werden die Scans gespeichert? Werden die Papieroriginale nach dem Scannen vernichtet, und wenn ja, wie (DSGVO-konformes Shredding)? Gescannte PDFs sind oft sehr groß und können mit LazyPDF Compress erheblich verkleinert werden, ohne an Lesbarkeit zu verlieren. Für die Texterkennbarkeit (wichtig für die maschinelle Auswertbarkeit nach GoBD, die auch für Kanzleien relevant sein kann) empfiehlt sich LazyPDF OCR – damit wird aus einem gescannten Bild ein durchsuchbares PDF. Nach der Digitalisierung empfiehlt sich eine Klassifizierung aller Akten: Welche Fristen gelten? Wann ist zu löschen? Ein einfaches Excel-Register mit Mandantennummer, Aktenzeichen und Löschdatum schafft hier Überblick und hilft bei der DSGVO-Compliance.
Datenpannen verhindern: Sicherer Umgang mit Mandanten-PDFs
Art. 33 DSGVO verpflichtet zur Meldung von Datenpannen an die zuständige Datenschutzbehörde innerhalb von 72 Stunden. Für Anwaltskanzleien sind Datenpannen besonders kritisch, da sie neben dem Datenschutzrecht auch das anwaltliche Berufsgeheimnis (§ 43a Abs. 2 BRAO) verletzen können. Die häufigsten Ursachen für Datenpannen in Kanzleien sind: Versand eines unverschlüsselten PDFs an die falsche E-Mail-Adresse, Verlust eines Laptops oder USB-Sticks mit unverschlüsselten Akten, sowie Hacker-Angriffe auf ungesicherte Cloud-Speicher. Alle drei Risiken lassen sich durch konsequente PDF-Verschlüsselung erheblich reduzieren. Praktische Empfehlung: Erstellen Sie eine kanzleiinterne Richtlinie, die festlegt, dass jede Mandanten-PDF vor dem Verlassen der Kanzlei – ob per E-Mail, USB oder Cloud – mit einem Passwort geschützt sein muss. Schulen Sie alle Mitarbeiter entsprechend. Diese einfache Maßnahme kann im Schadensfall beweisen, dass Sie die DSGVO-Anforderungen erfüllt haben.
Häufig gestellte Fragen
Wie lange müssen Anwälte Mandantenakten aufbewahren?
Nach § 50 Abs. 1 der Bundesrechtsanwaltsordnung (BRAO) sind Rechtsanwälte verpflichtet, Handakten für die Dauer von fünf Jahren nach Beendigung des Auftrags aufzubewahren. Diese Frist kann durch Vereinbarung verlängert werden. Bei steuerrechtlich relevanten Unterlagen gilt zudem die zehnjährige Aufbewahrungspflicht nach § 147 AO. Nach Ablauf der Fristen sind die Daten DSGVO-konform zu löschen – digitale PDFs müssen unwiderruflich vernichtet werden.
Darf ich Mandantenakten in einer Cloud speichern?
Ja, Cloud-Speicherung ist zulässig, wenn der Cloud-Anbieter in der EU oder einem Land mit angemessenem Datenschutzniveau sitzt, ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgeschlossen wurde, und die gespeicherten Dateien verschlüsselt sind. Empfehlenswert sind EU-basierte Anbieter wie Nextcloud (selbst gehostet), Strato HiDrive oder DATEV DUO. US-amerikanische Dienste wie Google Drive oder Dropbox sind nur mit zusätzlichen Schutzmaßnahmen und einem gültigen Datentransferrahmen nutzbar.
Reicht ein einfaches PDF-Passwort für DSGVO-Konformität?
Ein PDF-Passwort ist eine wichtige technische Maßnahme, aber es genügt allein nicht für vollständige DSGVO-Konformität. Zusätzlich brauchen Sie: eine Dokumentation der Sicherheitsmaßnahmen (Verarbeitungsverzeichnis nach Art. 30 DSGVO), ein Löschkonzept mit klaren Fristen, sichere Übertragungswege für PDFs (kein unverschlüsseltes E-Mail ohne Passwortschutz), und Mitarbeiterschulungen. Der Passwortschutz ist aber der einfachste und wichtigste erste Schritt.