§ 43e BRAO und Cloud-Tools: praktische Prüfpunkte für Kanzleien

Für Rechtsanwältinnen und Rechtsanwälte in Deutschland ist die Einschaltung Dritter bei Mandatsdaten kein Nebenthema. § 43e BRAO rahmt den Einsatz von Dienstleistern ein - ergänzend zu DSGVO und beruflicher Verschwiegenheit. Cloud-OCR oder PDF-Tools fallen in diese Betrachtung, sobald Mandatsinhalte verarbeitet werden.

Kern der Prüfung

Es geht darum, ob der Dienstleister sorgfältig ausgewählt wurde, ob er ausreichend verpflichtet ist und ob die Kanzlei die erforderlichen Einblicke und Steuerungen behält. „Kostenlos und praktisch“ ersetzt diese Prüfung nicht. Ebenso wenig genügt ein reines Marketingversprechen ohne vertragliche und technische Substanz.

Praktisch helfen kurze interne Vermerke: Zweck des Tools, Art der Daten, Speicherort, AV-Vertrag vorhanden, Supportzugriff, Löschung, wer freigegeben hat. Das ist keine Bürokratie um ihrer selbst willen - es ist die Spur, die man bei Nachfragen braucht.

Prüfpunkte vor dem Rollout

• Zweck eng: welche Schritte, welche Mandatsarten?
• Vertragliche Absicherung (AV, Verschwiegenheit, Unteraufträge).
• Technische und organisatorische Maßnahmen verständlich beschrieben?
• Weisungs- und Kontrollmöglichkeiten im Alltag realistisch?
• Exit: Datenexport und Löschung klar?
• Schulung: wer darf was hochladen?

Verhältnis zur DSGVO

BRAO-Pflichten und Datenschutz laufen parallel. Ein sauberer AV-Vertrag ist notwendig, aber nicht automatisch hinreichend für die berufsrechtliche Bewertung. Umgekehrt ersetzt berufsrechtliche Sorgfalt keine Rechtsgrundlage und keine TOMs. Teams sollten beide Perspektiven in einer Entscheidung zusammenführen - idealerweise mit einer verantwortlichen Person (Compliance / IT / Partner).

LexLogik richtet sich an Kanzleien mit Hosting in Deutschland und kurzen Verarbeitungsfenstern; die berufsrechtliche Freigabe bleibt Aufgabe der jeweiligen Kanzlei und ihrer Beratung.

Verhältnis zu interner IT und Externen

§ 43e BRAO betrifft nicht nur SaaS. Auch klassische IT-Dienstleister, Hosting und Supportzugriffe gehören in dieselbe Sorgfaltslogik. Eine einheitliche Checkliste für fremde IT mit Mandatsbezug verhindert Doppelstandards.

Bei Zweifeln lohnt ein Blick in Kammer-Informationen oder berufsrechtliche Beratung - besser vor dem Rollout. Dokumentation darf kurz sein; entscheidend ist, dass sie existiert und auffindbar ist.

Schatten-IT vermeiden

Verbote ohne Alternative führen zu privaten Cloud-Konten. Besser: wenige freigegebene Werkzeuge mit klaren Grenzen - keine Dauerablage, keine Mandatschat-Uploads.

Alltagstauglichkeit

Verbote ohne Alternative führen zu Schatten-IT (private Cloud-Konten, Messenger-Umwandlungen). Besser: wenige freigegebene Werkzeuge mit klaren Grenzen („keine Dauerablage“, „keine Mandatschat-Uploads“). So bleibt § 43e BRAO handhabbar statt abstrakt drohend.

Freigabenotiz vor dem Rollout

Bevor ein Cloud-Tool Mandate berührt, halten Sie Zweck, Datentypen, Standort, AV-Vertrag und wer freigegeben hat auf einer Seite fest. Bei Rückfragen von Mandant oder Kammer haben Sie dann Spuren - nicht nur mündliche Zusicherungen.

Unterauftragsverarbeiter mitdenken

Prüfen Sie nicht nur den Hauptvertrag, sondern die Liste der Unterauftragsverarbeiter und Änderungsmitteilungen. Ein Tool kann in Deutschland hosten und dennoch kritische Verarbeitungsschritte auslagern. Legen Sie fest, wer in der Kanzlei solche Listen jährlich sichtet. Die BRAO-Prüfung bleibt sonst bei der Broschüre stehen und greift in der Praxis zu kurz.

Halten Sie fest, welche Mandatstypen das Tool überhaupt berühren darf - und welche ausgeschlossen bleiben. Eine Negativliste (hochsensible Mandate zuerst lokal) ist oft die klarste Steuerungsentscheidung unter § 43e BRAO.

§ 43e BRAO verlangt sorgfältige Auswahl und Steuerung von Dienstleistern - auch bei OCR- und PDF-Tools mit Mandatsinhalt. Wer Zweck eng fasst, Verträge prüft und Supportzugriff regelt, erfüllt die Pflicht praktisch. „Praktisch und günstig“ ersetzt diese Prüfung nicht.