Dokumente sicher mit Mandanten austauschen: Was Berufsgeheimnisträger beachten sollten

Hinweis: Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Maßgeblich sind die Gesetze, Ihre Berufsordnung und gegebenenfalls die Auskunft Ihrer Kammer oder Datenschutzaufsicht. Die Quellen finden Sie am Ende des Artikels.

Steuerbescheide, Arbeitsverträge, Kontoauszüge, Arztrechnungen: Wer berät, bekommt täglich vertrauliche Unterlagen. Meist kommen sie per E-Mail-Anhang oder Messenger, weil das für alle bequem ist. Für Berufsgeheimnisträger stellt sich dabei eine doppelte Frage: Was verlangt das Berufsrecht – und was der Datenschutz?

Wer ist Berufsgeheimnisträger?

§ 203 StGB stellt das unbefugte Offenbaren fremder Geheimnisse unter Strafe, wenn sie jemandem in bestimmten Berufen anvertraut wurden. Dazu gehören unter anderem Rechtsanwälte, Notare, Patentanwälte, Wirtschaftsprüfer, vereidigte Buchprüfer, Steuerberater und Steuerbevollmächtigte, außerdem Ärzte und weitere Heilberufe.

Viele andere Berater – etwa Versicherungsmakler, Finanzierungsberater oder Hausverwaltungen – fallen in der Regel nicht unter diese Vorschrift. Für sie gilt aber genauso die Datenschutz-Grundverordnung (DSGVO). Und wer zum Beispiel Gesundheitsdaten verarbeitet, etwa in der Kranken- oder Berufsunfähigkeitsversicherung, hat es mit besonders geschützten Daten nach Art. 9 DSGVO zu tun.

Dienstleister einbinden: erlaubt, aber mit Pflichten

Seit 2017 erlaubt § 203 Abs. 3 StGB Berufsgeheimnisträgern ausdrücklich, Geheimnisse auch gegenüber „sonstigen mitwirkenden Personen“ zu offenbaren, soweit das für deren Tätigkeit erforderlich ist – also etwa gegenüber einem IT-Dienstleister oder dem Anbieter eines Kundenportals. Im Gegenzug muss der Berufsgeheimnisträger dafür sorgen, dass diese Personen zur Geheimhaltung verpflichtet werden; sonst kann er sich nach § 203 Abs. 4 StGB selbst strafbar machen, wenn der Dienstleister das Geheimnis unbefugt offenbart.

Das Berufsrecht konkretisiert das:

Steuerberater: § 62a StBerG verlangt unter anderem, den Dienstleister sorgfältig auszuwählen, einen Vertrag in Textform zu schließen und den Dienstleister darin zur Verschwiegenheit zu verpflichten – unter Belehrung über die strafrechtlichen Folgen. Für Dienstleistungen im Ausland gelten zusätzliche Voraussetzungen.
Rechtsanwälte: § 43e BRAO enthält eine vergleichbare Regelung für die Inanspruchnahme von Dienstleistungen.

Datenschutzrechtlich kommt bei einem Portal oder Cloud-Dienst in aller Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO hinzu. In der Praxis lassen sich beide Anforderungen in einem Vertrag zusammenfassen.

Ist die E-Mail erlaubt?

Hier muss man zwischen Berufsrecht und Datenschutz unterscheiden.

Berufsrecht: Für Rechtsanwälte regelt § 2 Abs. 2 der Berufsordnung (BORA) seit 2020, dass ein Kommunikationsweg mit Risiken für die Vertraulichkeit – etwa die unverschlüsselte E-Mail – erlaubt ist, wenn der Mandant zustimmt. Die Zustimmung wird vermutet, wenn der Mandant diesen Weg selbst vorschlägt oder beginnt und ihn nach einem zumindest pauschalen Hinweis auf die Risiken fortsetzt. Ob und wie Ihre eigene Berufsordnung das regelt, sollten Sie für Ihren Beruf gesondert prüfen.

Datenschutz: Unabhängig vom Berufsrecht verlangt Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau. Die Datenschutzkonferenz (DSK) hat dazu eine Orientierungshilfe zum E-Mail-Versand veröffentlicht (Stand: Juni 2021). Danach soll bei hohem Risiko grundsätzlich sowohl eine Ende-zu-Ende-Verschlüsselung als auch eine qualifizierte Transportverschlüsselung eingesetzt werden; für Berufsgeheimnisträger verweist die Orientierungshilfe je nach Risiko auf diese Anforderungen. Abweichungen sind nach der Orientierungshilfe nur in begründeten Fällen möglich. Ob die Einwilligung des Mandanten die datenschutzrechtlichen Anforderungen ersetzen kann, ist umstritten.

Die gewöhnliche E-Mail ist zwar auf dem Transportweg zwischen vielen Anbietern verschlüsselt, liegt aber bei den beteiligten E-Mail-Anbietern lesbar im Postfach. Eine echte Ende-zu-Ende-Verschlüsselung (S/MIME oder PGP) setzt voraus, dass auch der Mandant sie einrichtet – in der Praxis scheitert das oft.

Und Messenger?

Ein Foto vom Beleg per Messenger ist für Mandanten besonders bequem. Bei verbreiteten Verbraucher-Messengern bleiben aber Fragen offen: Wo werden Daten und Metadaten verarbeitet, mit welchem Vertrag, und landen die Unterlagen auf privaten Geräten von Mitarbeitern? Für vertrauliche Unterlagen von Mandanten ist ein Verbraucher-Messenger deshalb in der Regel keine gute Wahl.

Die Alternative: ein Portal

Bei einem Kundenportal verlassen die Unterlagen das gesicherte System nicht: Der Mandant lädt sie über eine verschlüsselte Verbindung hoch, Sie rufen sie dort ab, und per E-Mail geht nur ein Hinweis ohne Inhalt („Es liegt eine neue Nachricht für Sie bereit“). Damit entfällt das Problem, dass vertrauliche Inhalte in E-Mail-Postfächern liegen – und der Mandant muss keine Verschlüsselung einrichten.

Worauf Sie bei der Auswahl achten sollten:

Vertrag: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Verschwiegenheitsverpflichtung und Belehrung über § 203 StGB, passend zu den Anforderungen Ihres Berufsrechts
Standort: Speicherung in Deutschland bzw. der EU, Unterauftragnehmer offen benannt
Verschlüsselung: Übertragung ausschließlich per HTTPS, verschlüsselte Datensicherung
Zugriff: strikte Trennung zwischen Mandanten, Zwei-Faktor-Anmeldung für das Team, Rollen und Rechte
Nachvollziehbarkeit: Protokoll über Uploads, Abrufe und Änderungen
Benachrichtigungen ohne Inhalte: E-Mails enthalten nur einen Hinweis, nicht die Unterlage
Keine Weitergabe an KI-Dienste: Werden Dokumente automatisch ausgewertet, sollte klar sein, wo und von wem
Export und Löschung: Daten jederzeit vollständig mitnehmen und löschen können

Weitere Kriterien finden Sie im Artikel Mandantenportal auswählen: 10 Fragen.

Fazit

Berufsgeheimnisträger dürfen Dienstleister einbinden, müssen sie aber sorgfältig auswählen und vertraglich zur Verschwiegenheit verpflichten. Für den täglichen Austausch mit Mandanten ist die unverschlüsselte E-Mail berufsrechtlich teils mit Zustimmung möglich, datenschutzrechtlich aber umstritten – gerade bei sensiblen Unterlagen. Ein Portal mit passendem Vertrag löst beide Probleme auf einmal und ist für Mandanten oft sogar einfacher als eine verschlüsselte E-Mail.