Digitale Mandatsakte DSGVO-konform als PDF führen

Die DSGVO legt in Art. 5 die Grundsätze der Datenverarbeitung fest: Zweckbindung, Datensparsamkeit, Richtigkeit, Speicherbegrenzung und Integrität. Für die digitale Mandatsakte bedeutet das konkret: Sie dürfen nur Daten erheben, die für die Mandatsbearbeitung notwendig sind, müssen sie nach Abschluss des Mandats löschen oder anonymisieren (sofern keine gesetzliche Aufbewahrungspflicht besteht) und müssen technisch sicherstellen, dass kein Unbefugter Zugriff auf die Akten erhält. Art. 32 DSGVO verlangt angemessene technisch-organisatorische Maßnahmen. Für PDF-Mandatsakten bedeutet das: Verschlüsselung der gespeicherten Dateien (mindestens AES-256), Zugangskontrolle (Passwörter, Zwei-Faktor-Authentifizierung), Protokollierung von Zugriffen und ein Backup-Konzept. Außerdem müssen Sie ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO führen, das die Mandantenakten als Verarbeitungsvorgang dokumentiert.

1. 1Erstellen Sie für jeden Mandanten eine eigene PDF-Mandatsakte mit eindeutigem Dateinamen (z. B. Mandantennummer + Jahr).
2. 2Schützen Sie jede Mandatsakte mit einem starken Passwort über das LazyPDF-Protect-Tool.
3. 3Speichern Sie die Akten auf einem verschlüsselten Laufwerk oder in einem DSGVO-konformen Kanzlei-DMS.
4. 4Führen Sie ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 DSGVO.
5. 5Definieren Sie Löschfristen: In der Regel 6 Jahre nach Mandatsende (§ 195 BGB analog).
6. 6Schulen Sie alle Mitarbeiter im Umgang mit vertraulichen Mandatsakten.

Eine vollständige digitale Mandatsakte besteht aus mehreren Dokumenten: dem Mandatsauftrag, der Vollmacht, dem Schriftwechsel mit dem Mandanten, Gerichtsschreiben, Verträgen, Gutachten und abschließenden Urteilen oder Vergleichen. Diese Dokumente kommen häufig aus unterschiedlichen Quellen – manche sind bereits digital, andere werden eingescannt. Mit dem LazyPDF-Merge-Tool können Sie alle Einzeldokumente einer Mandatsakte in einer einzigen, durchsuchbaren PDF-Datei zusammenführen. Das hat erhebliche Vorteile: Eine einzige Datei ist einfacher zu schützen, einfacher zu übermitteln und reduziert das Risiko, dass einzelne Dokumente verloren gehen oder nicht zugeordnet werden können. Für die Strukturierung empfiehlt sich eine feste Kapitelreihenfolge: 1. Stammdaten und Vollmacht, 2. Schriftwechsel (chronologisch), 3. Gegnerische Schriftsätze, 4. Gerichtliche Dokumente, 5. Verträge und Anlagen. Diese Struktur erleichtert sowohl die eigene Bearbeitung als auch die Übergabe an einen Vertretungsanwalt oder bei Kanzleiwechsel.

Die Übermittlung von Mandatsakten per E-Mail ist einer der häufigsten Datenschutzfehler in Anwaltskanzleien. Unverschlüsselte E-Mails sind wie Postkarten – der Inhalt kann unterwegs gelesen werden. Die DSGVO verlangt für den Transfer personenbezogener Daten geeignete Schutzmaßnahmen, insbesondere bei sensiblen Daten wie Gesundheitsinformationen oder strafrechtlichen Sachverhalten. Die beA (besonderes elektronisches Anwaltspostfach) ist für die Kommunikation mit Gerichten und anderen Anwälten verpflichtend und Ende-zu-Ende-verschlüsselt. Für die Kommunikation mit Mandanten selbst empfiehlt sich entweder ein verschlüsseltes Mandantenportal oder zumindest ein passwortgeschütztes PDF, dessen Passwort auf einem anderen Kanal übermittelt wird. LazyPDF ermöglicht es, PDF-Dokumente mit einem Öffnungspasswort zu versehen, bevor sie per E-Mail versendet werden. Das ist zwar kein vollwertiger Ersatz für Ende-zu-Ende-Verschlüsselung, bietet aber einen zusätzlichen Schutzlayer für den Routinebetrieb. Dokumentieren Sie diese Maßnahme in Ihren TOMs.

Nach Abschluss eines Mandats stellt sich die Frage der Aufbewahrung. Die Bundesrechtsanwaltskammer empfiehlt eine Aufbewahrungsfrist von mindestens fünf, besser zehn Jahren. Hintergrund sind die zivilrechtlichen Verjährungsfristen: Manche Ansprüche verjähren erst nach zehn Jahren (§ 197 BGB), und im Fall von Regressansprüchen müssen Sie die Akte vorlegen können. Gleichzeitig gebietet die DSGVO die Speicherbegrenzung: Daten dürfen nicht länger aufbewahrt werden, als es der Zweck erfordert. Das scheinbare Spannungsverhältnis löst sich auf, wenn Sie klare Aufbewahrungsfristen dokumentieren und nach deren Ablauf eine geordnete Löschung durchführen. Erstellen Sie dafür ein Löschkonzept und automatisieren Sie – soweit möglich – die Löschungserinnerungen in Ihrem DMS. PDF-Mandatsakten, die aus dem System gelöscht werden, sollten auch aus allen Backups restlos entfernt werden. Achten Sie daher darauf, dass Ihr Backup-System selektive Löschungen unterstützt.