Rechts-, Buchhaltungs- und Beratungssoftware

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Professional secrecy rules in national law
• Directive (EU) 2015/849 for AML-regulated clients
• Regulation (EU) 2022/2554 — DORA where clients are financial entities

Wer muss benennen

Softwareanbieter außerhalb der Union, die Anwaltskanzleien, Buchhalter und Beratungsunternehmen in der EU bedienen. Kundendaten in diesen Sektoren unterliegen den Regeln der beruflichen Geheimhaltung, die neben der DSGVO bestehen und oft strenger in Bezug auf Offenlegung und Standort sind.

Schwellen und Ausnahmen

Kein Schwellenwert. Die Verpflichtungen zur beruflichen Geheimhaltung gelten unabhängig von der Größe der Kanzlei.

Was auf das Etikett gehört

Nicht physisch. Der Vertreter in der Datenschutzerklärung und in den Verarbeitungskonditionen, zusammen mit den Informationen zum Datenstandort und zu Unterauftragsverarbeitern, die die Kanzlei für ihre eigenen beruflichen Verpflichtungen benötigt.

Marktplatz-Felder

Die Anwaltskammern und Berufsverbände in mehreren Mitgliedstaaten haben Leitlinien herausgegeben, die die Speicherung von Mandantendateien außerhalb der Union einschränken, was als Bedingung für den Marktzugang fungiert.

Unterlagen, die Sie vorhalten müssen

Artikel 30(2) Aufzeichnungen, Artikel 28 Bedingungen, die ausdrücklich die berufliche Geheimhaltung und Vertraulichkeit ansprechen, die Benennung gemäß Artikel 27, Liste der Unterauftragsverarbeiter mit Benachrichtigungsrechten, Folgenabschätzung für Übertragungen, Dokumentation zur Verschlüsselung und Zugriffskontrolle sowie Prüfungsrechte.

Normen und Prüfungen

Sicherheitszertifizierungen und Penetrationstests werden von professionellen Käufern erwartet, und einige Anwaltskammern verlangen spezifische Zusicherungen über den Zugang von Drittländern.

Sprachanforderungen

Dokumentation in der Sprache der Gerichtsbarkeit der Kanzlei.

Ab wann es gilt

Der Vertreter vor Beginn der Verarbeitung.

Aufbewahrungsfristen

Die Aufbewahrung von Mandantendateien folgt beruflichen Regeln, oft zehn Jahre oder mehr, die die Verarbeitungskonditionen berücksichtigen müssen, anstatt sie zu überschreiben.

Was bei Verstößen passiert

DSGVO-Strafen und separat berufliche Sanktionen gegen die Kanzlei wegen Verletzung der Geheimhaltung, was Kanzleien extrem risikoscheu bei der Beschaffung macht.

Wer kontrolliert

Datenschutzbehörden und berufliche Regulierungsbehörden.

Wo die Grenze verläuft

Berufliche Geheimhaltung ist nicht dasselbe wie Datenschutz und kann strenger sein: Einige Anwaltskammern verbieten die Speicherung von Mandantendateien, wenn eine ausländische Behörde zur Offenlegung zwingen könnte, was kein Verarbeitungsvertrag heilen kann.

Häufige Fragen

Ist die berufliche Geheimhaltung durch unseren Verarbeitungsvertrag abgedeckt?

Nicht automatisch. Es ist eine separate Verpflichtung der Kanzlei nach nationalem Recht, und die Bedingungen müssen Vertraulichkeit und Zugang ausdrücklich ansprechen.

Erfüllt EU-Hosting die Leitlinien der Anwaltskammer?

Oft ist es notwendig, aber nicht ausreichend, da die Sorge der erzwungene Zugang durch Behörden im Heimatland des Anbieters ist.