Kurz gesagt
Nach § 2 BORA dürfen Rechtsanwältinnen und Rechtsanwälte mit Mandanten über Wege kommunizieren, die Risiken für die Vertraulichkeit bergen, also auch per unverschlüsselter E-Mail, wenn der Mandant zustimmt. Die Zustimmung gilt als erteilt, wenn er diesen Weg selbst vorschlägt oder beginnt und nach einem allgemeinen Hinweis auf die Risiken dabei bleibt. Ob das die Pflichten aus der DSGVO vollständig abdeckt, ist umstritten. Transportverschlüsselung ist in jedem Fall das Minimum.
Was die Berufsordnung sagt
§ 2 BORA regelt die Verschwiegenheit und verlangt die technischen und organisatorischen Maßnahmen, die risikoadäquat und für den Anwaltsberuf zumutbar sind. Für die Kommunikation mit Mandanten enthält er eine ausdrückliche Erleichterung: Ein Kommunikationsweg mit Risiken für die Vertraulichkeit ist jedenfalls dann erlaubt, wenn der Mandant zustimmt.
Von einer Zustimmung ist nach der Regelung auszugehen, wenn der Mandant den Weg selbst vorschlägt oder beginnt und ihn fortsetzt, nachdem die Kanzlei zumindest pauschal und ohne technische Details auf die Risiken hingewiesen hat. Wer also von sich aus per Mail schreibt und nach einem kurzen Hinweis weiter mailt, hat zugestimmt.
Und die DSGVO?
Hier wird es unübersichtlicher. Die DSGVO verlangt nach Art. 32 angemessene Sicherheitsmaßnahmen, und ob eine Einwilligung des Mandanten diese Pflicht ersetzen kann, ist unter Datenschutzfachleuten umstritten. Unstreitig ist: Eine Transportverschlüsselung zwischen den Mailservern ist heute Stand der Technik und sollte nicht fehlen.
- Transportverschlüsselung (TLS): schützt die Mail auf dem Weg zwischen den Servern. Muss Ihr Mailserver können, und zwar möglichst erzwungen, nicht nur gelegentlich. Wie das geht, steht in MTA-STS und DANE.
- Ende-zu-Ende-Verschlüsselung (PGP, S/MIME): schützt den Inhalt selbst, auch auf den Servern. Funktioniert nur, wenn der Mandant mitmacht.
- Sichere Übergabe per Link: Schriftsätze und Unterlagen nicht als Anhang, sondern als Link mit Passwort aus der Kanzleiablage. Siehe Dateien sicher an Kunden schicken.
Ein praktikabler Ablauf
- Im Mandatsvertrag oder in der ersten Antwort einen kurzen Hinweis auf die Risiken unverschlüsselter E-Mail aufnehmen.
- Den Mandanten fragen, ob er per E-Mail kommunizieren möchte, und die Antwort in der Akte festhalten.
- Für besonders sensible Inhalte einen sichereren Weg anbieten: verschlüsselte Mail oder Freigabe-Link mit Passwort.
- Den eigenen Mailserver so einrichten, dass er Transportverschlüsselung erzwingt, wo die Gegenseite sie kann.
- Phishing und gefälschte Absender abfangen. Mandantenmails mit geänderter Kontoverbindung sind ein bekannter Trick, siehe Gefälschte Rechnungen und CEO-Fraud.
Was E-Mail nicht ersetzt
Für die Kommunikation mit Gerichten gibt es das besondere elektronische Anwaltspostfach (beA). Es ersetzt die normale E-Mail mit Mandanten nicht, und normale E-Mail ersetzt umgekehrt nicht das beA.
Wie Shield Mail die Kanzleipost prüft und welche Pflichten für Dienstleister von Kanzleien gelten, steht auf der Seite für Anwaltskanzleien und im Beitrag IT-Dienstleister für Berufsgeheimnisträger. Diese Übersicht ist keine Rechtsberatung.
Häufige Fragen
- Muss ich die Zustimmung des Mandanten schriftlich haben?
- Die BORA verlangt keine bestimmte Form. Zur eigenen Absicherung lohnt es sich aber, den Hinweis auf die Risiken und die Reaktion des Mandanten in der Akte festzuhalten.
- Reicht Transportverschlüsselung für Schriftsätze?
- Berufsrechtlich ist unverschlüsselte E-Mail mit Zustimmung erlaubt. Für besonders sensible Inhalte ist ein Freigabe-Link mit Passwort oder eine Ende-zu-Ende-verschlüsselte Mail der sicherere Weg.
- Darf ich mit der Gegenseite unverschlüsselt mailen?
- § 2 BORA regelt die Kommunikation mit dem eigenen Mandanten. Für die Kommunikation mit Dritten gelten die allgemeinen Pflichten zur Verschwiegenheit und zum Datenschutz.