Verpflichtungen zur Datensouveränität für Kanzleien mit internationalen Mandanten

Rechtsanwaltskanzleien nehmen eine besondere Stellung im Bereich der Datensouveränität ein. Sie unterliegen sämtlichen Verpflichtungen, die für regulierte Unternehmen gelten – DSGVO für personenbezogene Daten von EU-Mandanten, nationale Anforderungen an die Datenresidenz, Beschränkungen beim grenzüberschreitenden Datentransfer – und einer zusätzlichen Ebene, die keine andere Berufsgruppe betrifft: das Anwaltsgeheimnis. Die Vertraulichkeit der Kommunikation zwischen Anwalt und Mandant ist keine vertragliche Präferenz. In europäischen Ländern wird sie durch Strafgesetze durchgesetzt; ein Verstoß kann Karrieren beenden und Mandanten irreversiblen Schaden zufügen.

Was viele internationale Kanzleien noch nicht ausreichend berücksichtigt haben, ist, dass die Wahl der Technologie für Speicherung und Übertragung privilegierter Kommunikation den Schutz des Anwaltsgeheimnisses strukturell untergraben kann – unabhängig davon, was in den Mandatsvereinbarungen steht. Der US CLOUD Act kann einen US-basierten Cloud-Anbieter dazu verpflichten, Mandantendaten aus jedem Rechenzentrum weltweit herauszugeben – ohne die Kanzlei zu informieren, ohne europäische richterliche Genehmigung und im direkten Widerspruch zu den berufsrechtlichen Verschwiegenheitspflichten der Kanzlei nach nationalem Recht. Der Vertrag kann dies nicht verhindern. Nur die technische Architektur kann es.

Executive Summary

Hauptaussage: Internationale Kanzleien stehen vor einer mehrschichtigen Compliance-Pflicht in Bezug auf Datensouveränität: Sie müssen die DSGVO und regionale Datenschutzgesetze, nationale Strafgesetze zum Berufsgeheimnis, Ethikregeln der Anwaltskammern mit Anforderungen an IT-Sicherheit sowie die strukturellen Risiken durch US-basierte Cloud-Infrastruktur für privilegierte Kommunikation beachten. Diese Verpflichtungen verstärken sich gegenseitig – ein einzelner architektonischer Fehler kann alle gleichzeitig betreffen. Die 2025er Konvention des Europarats über den Anwaltsberuf macht die Technologiewahl zur berufsrechtlichen Verantwortung, nicht zur IT-Präferenz.

Warum Sie das betrifft: Eine Kanzlei, die privilegierte Mandantenkommunikation auf einer US-Plattform speichert, die dem CLOUD Act unterliegt, verstößt möglicherweise strukturell und dauerhaft gegen ihre Verschwiegenheitspflichten – nicht wegen eines Vorfalls, sondern weil die Architektur selbst einen unautorisierten Zugriffsweg schafft. Wird dem Anbieter eine US-Behördenanfrage zugestellt und werden Mandantenstrategien oder Arbeitsergebnisse ohne Benachrichtigung herausgegeben, sind die berufsrechtlichen und reputationsbezogenen Folgen unumkehrbar.

wichtige Erkenntnisse

1. Das Anwaltsgeheimnis ist eine gesetzliche Pflicht, keine Option. In Deutschland, Frankreich, der Schweiz und allen EU-Mitgliedstaaten ist das Berufsgeheimnis strafrechtlich geschützt. Technologiewahl ist eine berufsrechtliche Entscheidung und unterliegt der Aufsicht der Anwaltskammern.
2. Der CLOUD Act umgeht europäische Schutzmechanismen architektonisch. Ein US-Cloud-Anbieter kann verpflichtet werden, privilegierte Kommunikation einer Kanzlei herauszugeben – ohne Benachrichtigung der Kanzlei, ohne europäische Gerichtsentscheidung und im direkten Widerspruch zum Berufsgeheimnis. Standardvertragsklauseln helfen hier nicht – nur eine vom Kunden verwaltete Verschlüsselung macht den Anbieter technisch unfähig, der Anordnung nachzukommen.
3. DSGVO und Anwaltsgeheimnis gelten gleichzeitig für Mandantendateien. Enthält eine Akte personenbezogene Daten, greifen sowohl die DSGVO als auch das Berufsgeheimnis. Ein Datenschutzverstoß löst nicht nur eine DSGVO-Meldepflicht aus, sondern auch eine Untersuchung wegen Verletzung des Anwaltsgeheimnisses.
4. Grenzüberschreitende Mandate erweitern den regulatorischen Rahmen. Eine Kanzlei, die zu einer Transaktion in mehreren Ländern berät, verwaltet Daten, die gleichzeitig den DSGVO-Kapitel-V-Beschränkungen, UK DSGVO, Schweizer nFADP und den Verschwiegenheitsgesetzen von drei oder mehr Ländern unterliegen – und das alles für dieselbe Akte.
5. Besitzlose Zusammenarbeit löst das Dokumenten-Dilemma bei internationalen Mandaten. Werden Dokumente an Co-Kanzleien gesendet, gehen die Daten – und die Souveränität darüber – in deren Rechtsraum über. Dokumentenbasiertes DRM, das eine Ansicht ohne Transfer ermöglicht, eliminiert diesen Souveränitätswechsel vollständig.

Das Privilegienproblem, das die DSGVO nicht löst

Die meisten Diskussionen zur Datensouveränität in Kanzleien konzentrieren sich auf die DSGVO – und die DSGVO ist real und relevant. Wer sich jedoch nur auf die DSGVO fokussiert, übersieht das eigentliche Problem für Kanzleien: Die DSGVO regelt personenbezogene Daten. Das Berufsgeheimnis regelt privilegierte Kommunikation. Sie überschneiden sich, sind aber nicht identisch, und das Berufsgeheimnis schafft zusätzliche Pflichten, die die DSGVO nicht abdeckt.

Nach §203 StGB in Deutschland ist die unbefugte Offenbarung von Mandantengeheimnissen durch Anwälte eine Straftat. In Frankreich ist das Berufsgeheimnis – secret professionnel – eine Frage der öffentlichen Ordnung. In der Schweiz führen die berufsrechtlichen Verschwiegenheitspflichten nach BGFA zu kantonaler Durchsetzung und können Karrieren beenden. Die Niederlande, Österreich, Belgien und Irland haben vergleichbare straf- oder quasi-strafrechtliche Regelungen. Die Europaratskonvention zum Anwaltsberuf 2025 betont, dass der Schutz des Berufsgeheimnisses auch die technische Infrastruktur umfasst, über die privilegierte Kommunikation übertragen und gespeichert wird.

Diese Pflichten verlangen nicht nur, dass Kommunikation vertraulich bleibt – sie erfordern aktive technische Maßnahmen, um unbefugten Zugriff zu verhindern. Das gilt auch für Cloud-Anbieter und Kollaborationsplattformen. Die Wahl einer Infrastruktur, die einen Zugriffsweg für ausländische Behörden schafft, bedeutet nicht Risikoverlagerung, sondern Risikoübernahme.

Wie der CLOUD Act den Schutz des Anwaltsgeheimnisses strukturell untergräbt

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) aus dem Jahr 2018 verpflichtet US-Unternehmen, auf Anforderung der US-Behörden alle von ihnen kontrollierten Daten herauszugeben – unabhängig davon, wo diese gespeichert sind. Nutzt eine europäische Kanzlei Microsoft 365, Google Workspace oder eine andere US-basierte Plattform für Filesharing oder Dokumentenmanagement, unterliegen sämtliche privilegierten Kommunikationen dem potenziellen Zugriff durch den CLOUD Act.

Eine CLOUD-Act-Anfrage erfordert keinen europäischen Gerichtsbeschluss. Es gibt keine Benachrichtigungspflicht gegenüber der Kanzlei oder dem Mandanten. Häufig ist eine Geheimhaltungsanordnung enthalten, die dem Anbieter verbietet, die Kanzlei über den Zugriff zu informieren. Die Kanzlei erfährt womöglich nie, dass Mandantenstrategien, Entwürfe oder vertrauliche Kommunikation US-Ermittlern offengelegt wurden – und der Mandant erfährt es erst, wenn es in einem späteren Verfahren auftaucht.

Standardvertragsklauseln, Auftragsverarbeitungsverträge und Zusagen zu EU-Rechenzentren bieten hier keinen Schutz. Der CLOUD Act folgt der Kontrolle des Anbieters, nicht dem Speicherort der Daten. Ein Frankfurter Rechenzentrum eines US-Unternehmens ist aus Sicht einer US-Behördenanfrage genauso wenig souverän wie ein US-Rechenzentrum. Die EDPB-Leitlinien nach Schrems II sind eindeutig: Nur eine vom Kunden verwaltete Verschlüsselung mit Schlüsseln außerhalb der Anbieterinfrastruktur schließt diese Lücke. Wenn der Anbieter keinen Zugriff auf die Schlüssel hat, kann er keine lesbaren Inhalte herausgeben – unabhängig von der rechtlichen Anordnung. Er ist dann technisch nicht in der Lage, der Anordnung nachzukommen.

DSGVO- und Datenschutzpflichten für Kanzleien

Über das Berufsgeheimnis hinaus unterliegen Kanzleien, die personenbezogene Daten von EU-Bürgern verarbeiten, sämtlichen DSGVO-Compliance-Pflichten. Mandantendaten – Kontaktdaten, Finanzinformationen, Ausweisdokumente für KYC, persönliche Umstände in Akten – unterliegen den Prinzipien der Datenminimierung, Zweckbindung und Sicherheit der DSGVO. Kapitel-V-Beschränkungen greifen, wenn diese Daten die EU verlassen: etwa zu Co-Kanzleien in den USA, zu Sachverständigen in nicht angemessenen Ländern oder zu Dokumentenmanagement-Plattformen außerhalb der EU.

Das Zusammentreffen von DSGVO und Berufsgeheimnis führt zu einer kumulierten Verpflichtung. Eine Akte mit personenbezogenen Daten von EU-Mandanten unterliegt gleichzeitig den Sicherheitsanforderungen der DSGVO und den Verschwiegenheitspflichten der Kanzlei. Ein Verstoß gegen diese Akte löst nicht nur die 72-Stunden-Meldepflicht der DSGVO aus, sondern auch eine Untersuchung wegen Verletzung des Berufsgeheimnisses und potenzielle strafrechtliche Konsequenzen. Dass eine Schwachstelle beim Cloud-Anbieter den Vorfall verursacht hat, entbindet die Kanzlei nicht von ihrer Verantwortung.

Für Kanzleien mit mehreren Standorten verschärfen sich die Anforderungen an die Datenresidenz zusätzlich. EU-Personendaten müssen in Infrastruktur mit EU-Jurisdiktion verbleiben. Mandanten aus Großbritannien unterliegen nach dem Brexit der UK DSGVO, die unabhängig von der EU DSGVO gilt. Schweizer Mandate fallen unter das revidierte nFADP mit eigenem Transferregime. Eine Kanzlei mit Büros in London, Frankfurt, Genf, Singapur und New York arbeitet für ein multinationales Mandat unter fünf Datenschutzregimen gleichzeitig.

Berufsrechtliche Regeln und die Anforderung an technische Kompetenz

Anwaltskammern erkennen zunehmend, dass technische Kompetenz eine ethische Pflicht ist. Die ABA Model Rule 1.6 verlangt angemessene Maßnahmen, um die unbefugte Offenlegung von Mandantendaten zu verhindern – Formal Opinion 477R stellt klar, dass dies auch für Cloud-Dienste und elektronische Kommunikation gilt. Die Anforderung an die technische Kompetenz nach Model Rule 1.1 wird von mehreren US-Bundesstaaten so ausgelegt, dass auch die Sicherheitsimplikationen der eingesetzten Technologie verstanden werden müssen.

Der europäische CCBE hat Leitlinien veröffentlicht, die speziell die Auswirkungen von US-gehosteten Diensten auf das Berufsgeheimnis adressieren. Diese Leitlinien benennen die strukturelle Unvereinbarkeit zwischen US-Überwachungsgesetzen und europäischen Verschwiegenheitspflichten und empfehlen explizit eine vom Kunden kontrollierte Verschlüsselung als technische Lösung. Für EU-Kanzleien ist die Einhaltung der CCBE-Empfehlungen zur Cloud-Infrastruktur nicht nur Best Practice – sie ist der berufsrechtliche Standard, an dem das Verhalten im Disziplinarverfahren gemessen wird.

Die praktische Konsequenz: Die Technologiewahl einer Kanzlei ist eine berufsrechtliche Entscheidung und unterliegt der Aufsicht der Anwaltskammern. Eine Kanzlei, die eine US-Cloud-Plattform für privilegierte Kommunikation auswählt, ohne CLOUD-Act-Due-Diligence durchzuführen und ohne technische Kompensationsmaßnahmen zu implementieren, handelt berufsrechtlich unzureichend – unabhängig davon, ob es zu einem Vorfall kommt.

Die Multi-Jurisdiktions-Akte: Wo Souveränitätspflichten kumulieren

Gerade internationale Mandate führen zu einer massiven Kumulation von Souveränitätspflichten. Ein grenzüberschreitender M&A-Deal – ein europäischer Käufer übernimmt ein US-Zielunternehmen mit asiatischen Niederlassungen – erzeugt Dokumente, die gleichzeitig der EU DSGVO, US-Datenschutzvorgaben, APAC-Datenschutzrahmen, CLOUD-Act-Risiken für US-gehostete Infrastruktur und den Verschwiegenheitsgesetzen aller beteiligten Jurisdiktionen unterliegen. Ein einziges virtuelles Datenraum-Hosting für die Due-Diligence-Materialien unterliegt all diesen Pflichten gleichzeitig.

Das gleiche gilt für grenzüberschreitende Kartell- und Streitverfahren. Die strategische Bewertung eines Mandanten durch eine Kartellrechtskanzlei – etwa für eine Fusionsanmeldung bei der Europäischen Kommission und US-Kartellbehörden – ist privilegiertes Arbeitsergebnis. Wird dieses auf US-basierter Infrastruktur gespeichert, könnten US-Kartellbehörden darauf über eine CLOUD-Act-Anfrage an den Anbieter zugreifen und hätten so Einblick in die Strategie des Mandanten – ohne jedes Discovery-Verfahren.

Die Sicherheitsfrage beim virtuellen Datenraum für internationale Deal-Teams ist daher nicht nur eine Frage der IT-Hygiene. Sie ist eine Frage des Schutzes des Berufsgeheimnisses: Schafft die Infrastruktur, auf der die sensibelsten Transaktionsdokumente liegen, Zugriffswege, die das Berufsgeheimnis eigentlich verhindern soll?

Was Datensouveränitäts-Compliance für Kanzleien tatsächlich verlangt

Architektur, die die CLOUD-Act-Lücke für privilegierte Kommunikation schließt. Nur eine vom Kunden verwaltete Verschlüsselung mit Schlüsseln außerhalb der Anbieterinfrastruktur verhindert die Herausgabe nach dem CLOUD Act. Kanzleien müssen prüfen, ob ihre Filesharing-, E-Mail- und Aktenverwaltungslösungen echte kundengesteuerte Verschlüsselung bieten – nicht Anbieter-Verschlüsselung mit einem „kundengesteuerten Schlüssel“-Label, bei dem die Schlüssel dennoch im System des Anbieters liegen.

Jurisdiktionsbewusste Datenresidenz für personenbezogene Daten in Mandantendateien. EU-Mandantendaten müssen in Infrastruktur mit EU-Jurisdiktion gespeichert und verarbeitet werden. Kanzleien mit Büros in mehreren Regionen benötigen Infrastruktur, die die geografische Residenz nach Mandat und Mandant durchsetzt – nicht eine Ein-Region-Lösung, die alle Mandantendaten unabhängig vom Standort unter ein Souveränitätsregime stellt.

Besitzlose Zusammenarbeit für grenzüberschreitende Dokumentenprüfung. Werden Dokumente an Co-Kanzleien in anderen Jurisdiktionen gesendet, gehen die Daten und die Souveränität darüber in deren Infrastruktur über. SafeEDIT DRM ermöglicht die Ansicht und Kommentierung von Dokumenten in einer kontrollierten Rendering-Umgebung, ohne dass die Dateien das Souveränitätsperimeter der Ursprungs-Kanzlei verlassen. Bei Mandaten mit Beteiligten aus mehreren Ländern bleiben so das Berufsgeheimnis und die Datenresidenz bei jedem Kollaborationsschritt gewahrt.

Unveränderliche Audit-Trails über alle Kanäle für Berufsgeheimnis, eDiscovery und DSGVO-Nachweis. Alle drei Regelwerke verlangen den Nachweis, was, wann, an wen offengelegt wurde und dass privilegierte oder personenbezogene Daten nicht von Unbefugten eingesehen wurden. Fälschungssichere, umfassende Protokollierung jedes Dokumentenzugriffs, Dateitransfers und jeder Kommunikation – kanalübergreifend – erfüllt alle drei Anforderungen gleichzeitig.

Vendor- und Drittparteien-Risikomanagement für Co-Kanzleien und Legal-Tech-Anbieter. Nach DSGVO ist die Kanzlei für die Compliance ihrer Auftragsverarbeiter verantwortlich. Nach Berufsgeheimnisrecht muss sie sicherstellen, dass Partner, die privilegiertes Material bearbeiten, angemessenen Schutz bieten. Die Bewertung von Drittanbietern muss nachweisen, dass diese souveräne Architektur implementieren – nicht nur vertragliche Zusicherungen geben.

Wie Kiteworks Kanzleien bei der Datensouveränität unterstützt

Für internationale Kanzleien ist Datensouveränitäts-Compliance keine zusätzliche Schicht über den Berufsregeln – sie ist deren Kern in einer Welt, in der privilegierte Kommunikation Cloud-Infrastruktur durchläuft, die ausländischem Zugriffsrecht unterliegt. DSGVO, Strafgesetze zum Berufsgeheimnis, CCBE-Cloud-Leitlinien und ABA-Ethikregeln führen zum gleichen Ergebnis: Die Kanzlei muss technische Maßnahmen implementieren, die unbefugten Zugriff auf Mandantendaten verhindern – auch Zugriff, der durch den Infrastruktur-Anbieter erzwungen wird. Vertragliche Zusicherungen reichen nicht. Die Architektur muss es leisten.

Kanzleien, die Technologiewahl als berufsrechtliche Entscheidung begreifen – nicht als IT-Beschaffung –, schaffen die souveräne Architektur, die der Schutz des Berufsgeheimnisses heute verlangt. Das Private Data Network von Kiteworks bietet Verschlüsselung, Residenzsteuerung, besitzlose Zusammenarbeit und einen unveränderlichen Audit-Trail, die diese Architektur für internationale Kanzleien praktisch umsetzbar machen.

Das Private Data Network von Kiteworks ist für die Kombination aus Schutz des Berufsgeheimnisses, DSGVO-Compliance und grenzüberschreitender Zusammenarbeit konzipiert, wie sie internationale Kanzleien benötigen.

Kundengesteuerte Verschlüsselung (BYOK/BYOE) mit FIPS 140-3 Level 1-validierter Verschlüsselung, AES-256 im ruhenden Zustand und TLS 1.3 während der Übertragung stellt sicher, dass selbst bei einer Behördenanfrage an Kiteworks keine Möglichkeit besteht, lesbare Mandantendaten bereitzustellen – die CLOUD-Act-Lücke wird so auf Architekturebene geschlossen. Jurisdiktionskonfigurierbare Bereitstellung – On-Premises im eigenen Rechenzentrum der Kanzlei, Private Cloud in einer gewählten EU-Jurisdiktion oder regionale Cloud – erzwingt Datenresidenz nach Mandat und Mandantengeografie und erfüllt so gleichzeitig die Anforderungen aus DSGVO Kapitel V und nationalen Residenzpflichten. Zero trust-Sicherheitskontrollen gewährleisten bedarfsgerechten Zugriff im Mandatsteam, jeder Zugriff wird protokolliert.

Für grenzüberschreitende Dokumentenzusammenarbeit ermöglicht SafeEDIT besitzloses Bearbeiten, sodass internationale Co-Kanzleien und Gegenparteien Dokumente prüfen und kommentieren können, ohne dass diese jemals das Souveränitätsperimeter der Kanzlei verlassen – das schützt Berufsgeheimnis und Datenresidenz an jedem Kollaborationspunkt. Sichere E-Mail, verschlüsselter Managed File Transfer für große Dokumentenproduktionen und gesteuertes Filesharing ersetzen unkontrollierte E-Mail-Anhänge durch auditierbare, privilegiengeschützte Kanäle. Das einheitliche, unveränderliche Audit-Log umfasst alle Kanäle, ist über das CISO Dashboard mit vorkonfiguriertem Compliance-Reporting für DSGVO, ISO 27001 und eDiscovery-Workflows einsehbar – und liefert die Chain-of-Custody-Dokumentation, die für Privilegiennachweise und regulatorische Untersuchungen erforderlich ist.

Erfahren Sie mehr über Datensouveränitäts-Compliance für Kanzleien und vereinbaren Sie noch heute eine individuelle Demo.

Weitere Ressourcen

• Blog Post
  Datensouveränität: Best Practice oder regulatorische Pflicht?
• eBook 
  Datensouveränität und DSGVO
• Blog Post 
  Vermeiden Sie diese Fallstricke bei der Datensouveränität
• Blog Post 
  Best Practices für Datensouveränität
• Blog Post 
  Datensouveränität und DSGVO [Verständnis von Datensicherheit]