Künstliche Intelligenz · Datenschutz · Kanzlei-IT
KI und Datenschutz in der Kanzlei
auf erforderliche Informationen begrenzen.
Mandantendaten richtig anonymisieren
Wenn Sie einen Schriftsatz mit KI zusammenfassen möchten,
beginnt die Arbeit vor der ersten Eingabe. Sie entscheiden,
welche Informationen das System für die Aufgabe tatsächlich
benötigt. Namen und Adressen zu ersetzen kann den Personenbezug
verringern. Aus weiteren Angaben können Personen jedoch
weiterhin erkennbar sein.
Bei KI und Datenschutz in der Kanzlei kommt es deshalb auf den
gesamten Verarbeitungsvorgang an. Sie müssen den Inhalt der
Eingabe, die Nutzung beim Anbieter und die technischen
Schutzmaßnahmen betrachten. Dieser Beitrag erklärt den
Unterschied zwischen Anonymisierung und Pseudonymisierung und
zeigt, wie Sie einen nachvollziehbaren Ablauf für Ihr Team
entwickeln.
Warum Mandatsdaten auch ohne Namen personenbezogen bleiben
Personenbezogene Daten beziehen sich auf eine identifizierte
oder identifizierbare natürliche Person. Ein Name ist dafür
nicht zwingend erforderlich. Auch mehrere Angaben, die erst
zusammen eine Zuordnung ermöglichen, können einen
Personenbezug herstellen.
Für die Prüfung eines Schriftsatzes bedeutet das:
Betrachten Sie den gesamten Kontext. Eine besondere berufliche
Funktion, ein genauer Ort und ein öffentlich bekannter Vorgang
können eine Person erkennbar machen. Prüfen Sie deshalb neben
Namen und Kontaktdaten auch die Kombination der übrigen
Informationen. Die relevante Frage ist, ob sich die betroffene
Person unter Berücksichtigung der vernünftigerweise einsetzbaren
Mittel identifizieren lässt.
Anonymisierung und Pseudonymisierung im Kanzleialltag
Bei einer Pseudonymisierung verarbeiten Sie Daten so, dass die
Zuordnung zu einer Person zusätzliche Informationen erfordert.
Diese Zusatzinformationen müssen getrennt aufbewahrt und
geschützt werden. Verwendet Ihre Kanzlei beispielsweise
Kennungen und hält die passende Zuordnung separat vor, bleibt
der Personenbezug für sie grundsätzlich herstellbar.
Entsprechend bleibt die DSGVO für ihre Verarbeitung relevant.
Eine tatsächlich anonymisierte Fassung lässt unter
Berücksichtigung der vernünftigerweise einsetzbaren Mittel
keine Identifizierung mehr zu. Auf die Verarbeitung dieser
anonymen Inhalte findet die DSGVO grundsätzlich keine Anwendung.
Die Verarbeitung der personenbezogenen Ausgangsdaten sowie
mögliche Konto- und Nutzungsdaten des KI-Dienstes müssen Sie
gesondert betrachten.
Für einen externen Empfänger kann die Bewertung
pseudonymisierter Daten abhängig von seinen
Identifizierungsmöglichkeiten anders ausfallen. Darauf verweist
auch die Rechtsprechung des EuGH. Für Ihre Kanzlei als
übermittelnde Stelle bleibt die eigene Verarbeitung zu
beurteilen. Eine pauschale Freigabe für den KI-Einsatz lässt
sich daraus nicht ableiten.
Rechtsgrundlage und anwaltliche Verschwiegenheit prüfen
Sobald personenbezogene Mandatsdaten mit KI verarbeitet werden,
braucht die Verarbeitung eine passende Rechtsgrundlage.
Welche Grundlage aus Artikel 6 DSGVO trägt, hängt vom konkreten
Zweck und der Ausgestaltung ab. Stützen Sie die Verarbeitung
auf berechtigte Interessen nach Artikel 6 Absatz 1 Buchstabe f
DSGVO, müssen Sie die Erforderlichkeit und die Interessen der
betroffenen Personen sorgfältig prüfen und die Abwägung
dokumentieren.
Bei besonderen Kategorien personenbezogener Daten, etwa
Gesundheitsdaten, gelten zusätzliche Anforderungen aus
Artikel 9 DSGVO. Dafür benötigen Sie einen einschlägigen
Ausnahmetatbestand. Die Interessenabwägung nach Artikel 6
Absatz 1 Buchstabe f genügt für diese Daten allein nicht.
Zusätzlich schützt die anwaltliche Verschwiegenheit nach
§ 43a Absatz 2 BRAO Mandatsinformationen. Auch Inhalte ohne
Personenbezug können vertrauliche Geheimnisse enthalten.
Sollen externe Dienstleister Zugang zu solchen Informationen
erhalten, sind insbesondere die Anforderungen des § 43e BRAO
zu prüfen. Dazu gehören die Erforderlichkeit des Zugangs,
die sorgfältige Auswahl und die vertragliche Einbindung des
Dienstleisters. Die unbefugte Offenbarung von
Mandatsgeheimnissen kann außerdem § 203 StGB berühren.
Mandantendaten für die KI-Verarbeitung vorbereiten
Beginnen Sie mit einer klar beschriebenen Aufgabe.
Für eine abstrakte Formulierungshilfe kann eine allgemeine
Beschreibung ausreichen. Für die Zusammenfassung eines
bestimmten Dokuments ist zu prüfen, welche Inhalte dafür
erforderlich sind. Begrenzen Sie die Eingabe auf die für diese
Aufgabe erforderlichen Informationen.
Bereiten Sie anschließend eine Arbeitsfassung vor.
Entfernen oder verallgemeinern Sie Angaben, die für die Aufgabe
entbehrlich sind. Betrachten Sie dabei auch Anlagen, Dateinamen,
Kommentare und Dokumenteigenschaften. Prüfen Sie nach der
Bearbeitung erneut, ob der verbleibende Inhalt Rückschlüsse
auf Personen oder ein vertrauliches Mandat erlaubt.
Wenn Sie eine Zuordnung für die weitere Bearbeitung benötigen,
behandeln Sie die Fassung entsprechend als pseudonymisiert.
Bewahren Sie die zusätzlichen Zuordnungsinformationen getrennt
und geschützt auf. Legen Sie außerdem fest, wer die
vorbereiteten Inhalte für den jeweiligen KI-Dienst freigibt
und wie die fachliche Kontrolle der Ergebnisse erfolgt.
So erhält Ihr Team einen nachvollziehbaren Ablauf von der
Datenauswahl bis zur weiteren Verwendung.
KI-Dienste vor dem Einsatz in der Kanzlei prüfen
Zur Freigabe einer Anwendung gehört ein Verständnis ihrer
Datenverwendung. Klären Sie, ob Eingaben und Ausgaben gespeichert
oder für das Training genutzt werden, welche
Zugriffsmöglichkeiten bestehen und welche Löschmöglichkeiten
vorgesehen sind. Prüfen Sie die konkrete Vertrags- und
Produktkonfiguration. Auch eine abgeschaltete Trainingsnutzung
lässt weitere Fragen zur Speicherung und Verarbeitung offen.
Die Rollen des Anbieters und mögliche Übermittlungen in
Drittländer sind gesondert zu bewerten. Liegt eine
Auftragsverarbeitung vor, müssen Sie insbesondere die
Anforderungen aus Artikel 28 DSGVO berücksichtigen.
Halten Sie die freigegebenen Anwendungen und Nutzungsregeln
für Ihr Team fest. So schaffen Sie Orientierung darüber,
welche Inhalte in welchem Dienst verarbeitet werden dürfen.
Sichere Kanzlei-IT als Grundlage für digitale Arbeit
Der bewusste Umgang mit Mandatsdaten betrifft auch Ihre eigene
IT. Vertrauliche Dokumente müssen kontrolliert gespeichert,
vor unbefugtem Zugriff geschützt und bei Bedarf wiederhergestellt
werden können. Das betrifft die Arbeit im Büro ebenso wie den
Zugriff aus dem Homeoffice oder von einem weiteren Standort.
Für Ihre Planung sind daher sowohl die Regeln für einzelne
KI-Dienste als auch der Betrieb der Kanzlei-IT relevant.
Ein geschützter Arbeitsplatz und eine verschlüsselte Verbindung
unterstützen den sicheren Umgang mit Daten. Wird ein Dokument
an einen externen KI-Dienst übergeben, müssen Sie dessen
Verarbeitung zusätzlich prüfen. Die technische Umgebung der
Kanzlei und die Freigabe der jeweiligen Anwendung erfüllen
dabei unterschiedliche Aufgaben.
Die vCloud als technische Grundlage für Ihre Kanzlei
RA-MICRO vCloud
bietet Cloud-Arbeitsplätze für Kanzleien in einem deutschen,
TÜV-zertifizierten Rechenzentrum. Der Zugriff erfolgt
verschlüsselt, Daten werden regelmäßig gesichert.
Zum Leistungsumfang gehören außerdem Betrieb, Updates,
Monitoring und Support.
Damit lässt sich die technische Grundlage Ihrer digitalen
Kanzleiarbeit zentral betreiben. Sie greifen auf Ihren
RA-MICRO-Arbeitsplatz im Büro, im Homeoffice oder unterwegs zu.
So verbinden Sie ortsunabhängiges Arbeiten mit einem
betreuten IT-Betrieb.
Häufige Fragen zu KI und Mandantendaten
Wann Mandantendaten tatsächlich anonym sind
Eine Textfassung ist erst dann anonym, wenn sich Personen
unter Berücksichtigung der vernünftigerweise einsetzbaren
Mittel nicht mehr identifizieren lassen. Das Ersetzen von
Namen allein genügt dafür häufig nicht. Auch der
Zusammenhang und verbleibende Angaben müssen geprüft
werden.
Welche Bedeutung eine Einwilligung für den KI-Einsatz hat
Eine Einwilligung ist eine mögliche Rechtsgrundlage.
Ob sie erforderlich und geeignet ist oder eine andere
Grundlage greift, hängt von der konkreten Verarbeitung ab.
Die Prüfung der anwaltlichen Verschwiegenheit,
der technischen Schutzmaßnahmen und gegebenenfalls
besonderer Datenkategorien bleibt zusätzlich erforderlich.
Wie eine Kanzlei-Cloud den Umgang mit Daten unterstützt
Eine Kanzlei-Cloud kann den Betrieb der Arbeitsplätze,
den geschützten Zugriff und die Datensicherung bündeln.
Für einen zusätzlich genutzten KI-Dienst müssen Sie
dessen Datenverwendung und die Zulässigkeit der konkreten
Verarbeitung beurteilen. Beides sollte in der IT- und
Nutzungsplanung Ihrer Kanzlei zusammenpassen.
Den nächsten Schritt für Ihre Kanzlei klären
Wenn Sie die technische Grundlage Ihrer Kanzlei weiterentwickeln
möchten, betrachten wir mit Ihnen Arbeitsplätze, Zugriffswege und
individuelle Anforderungen. In einem kostenlosen,
unverbindlichen Erstgespräch klären wir, ob und wie
RA-MICRO vCloud zu Ihrer Kanzlei passt.
Prüfen Sie jetzt, wie sich Ihre Kanzlei-IT mit der
RA-MICRO vCloud aufstellen lässt.