Grenzüberschreitende Transfers bei Dokumenten-Tools

Ein Browser-Upload fühlt sich lokal an. Technisch kann die Verarbeitung in einer anderen Rechtsordnung laufen, mit Unterauftragsverarbeitern und Supportzugriffen, die im Marketingtext nicht stehen. Für Kanzleien mit Mandatsgeheimnis ist das keine IT-Fußnote, sondern Teil der beruflichen Verantwortung.

Grenzüberschreitende Transfers sind nicht per se verboten. Sie verlangen aber Transparenz: Standort der Verarbeitung, Rechtsgrundlage, Garantien, realistische Supportwege.

Typische blinde Flecken

Kostenlose Consumer-Scanner-Apps, „KI“-Demos mit Upload in Drittstaaten, E-Mail-Weiterleitungen an private Cloud-Postfächer, Screenshots in internationalen Chat-Tools. Jeder Pfad kann personenbezogene und mandatsbezogene Daten exportieren, ohne dass die Akte das abbildet.

Fragen Sie konkret: Werden Dateien nur in der EU/EWR verarbeitet? Gibt es US-Support mit Fernzugriff? Werden Trainingsdaten aus Mandatsinhalten gebildet? Unklare Antworten sind Antworten.

Was in der Auswahl von Legaltech zählt

Auftragsverarbeitung, TOMs, Löschkonzepte und Standortangaben müssen zur Kanzleipraxis passen - nicht nur zur Demo. Hosting in Deutschland oder der EU ist für viele Mandate ein nachvollziehbares Auswahlkriterium, besonders bei sensiblen Streitigkeiten.

LexLogik ist auf Verarbeitung mit Blick auf DSGVO und berufliche Verschwiegenheit ausgelegt; dennoch bleibt die Kanzlei verantwortlich für Zweck, Freigabe und das, was Mitarbeitende zusätzlich in andere Kanäle legen.

Praktische Prüfschritte

• AV-Vertrag und Unterauftragsliste lesen, nicht nur ankreuzen.
• Support- und Ticketwege: können Inhalte Mandatsdaten enthalten?
• Export- und Löschfristen testen oder zumindest schriftlich fixieren.
• Interne Regel: keine Mandats-PDFs in Privat-Accounts oder unbekannten Web-OCR-Seiten.

Kommunikation mit dem Mandanten

Bei erkennbaren Drittlandbezügen lohnt eine klare interne Linie, wann Mandanten informiert oder Einwilligungen / Vertragsklauseln geprüft werden. Überraschungen nach einem Vorfall sind schlechter als eine kurze Erklärung bei Mandatsannahme.

Wer Transferrisiken ernst nimmt, reduziert nicht Innovation - er hält die Innovationspfade dort, wo Geheimnis und Datenschutz mithalten.

Interne Freigabeliste statt spontaner Web-Tools

Führen Sie eine kurze Whitelist erlaubter Dokumenten-Dienste mit Standort, AV-Status und Ansprechperson. Alles andere ist für Mandatsdaten gesperrt - auch wenn die Oberfläche „kostenlos und praktisch“ wirkt. Office Management prüft die Liste halbjährlich; Partner bestätigen Ausnahmen schriftlich mit Frist.

Schulungen sollten ein reales Fehlbeispiel zeigen: Screenshot einer Rechnung in einem internationalen Chat, Upload in eine unbekannte OCR-Website. Konkrete Fälle prägen besser als abstrakte Richtlinien. So wird Transferkontrolle Alltag, nicht Audit-Theater.

Eskalation bei unklaren Anbieterantworten

Bleibt unklar, wo verarbeitet wird, stoppt Office Management den Produktivupload und eskaliert an Datenschutz und mandatsführende Partner. Bis zur Klärung gilt: lokale oder freigegebene EU-Pfade. Chat-Screenshots von Mandatsseiten zählen dabei genauso wie formelle Tool-Uploads.

Für fristkritische Mandate gilt: Assistenz stoppt den nächsten Schritt, wenn Checkliste oder Freigabe fehlen. Partner entscheiden Ausnahmen schriftlich in der Akte - nicht nur mündlich im Flur.

Nehmen Sie in die Whitelist nur Dienste auf, für die AV-Vertrag und Standortliste aktuell sind. Ein abgelaufener Vertrag setzt den Dienst automatisch auf „gesperrt“, bis Office Management nachzieht.

Private Smartphone-Galerien und Verbraucher-Clouds sind für Mandatsseiten tabu - auch bei „nur einem Foto“. Die Feldregel gilt identisch für Partner und Assistenz.

Bei Mandaten mit ausdrücklichem Drittlandverbot im Mandatsvertrag prüft die mandatsführende Person jeden neuen Tool-Pfad vor dem ersten Upload. Die Prüfung wird mit Datum in der Akte vermerkt.

Zur Praxis von Grenzüberschreitende Transfers bei Dokumenten-Tools: die Assistenz hält den kritischen Schritt in einer Aktenzeile fest; Abweichungen gibt die mandatsführende Person mit Datum frei.

Grenzüberschreitende Tool-Pfade werden beherrschbar, wenn Whitelist, Freigabe und Eskalation schriftlich sitzen. Spontane Web-OCR unter Fristdruck ist dann kein grauer Alltag mehr, sondern ein dokumentierter Ausnahmefall - oder untersagt.