Schutz personenbezogener Daten bei der anwaltlichen Tätigkeit: KVKK-Leitfaden 2026, Berufsgeheimnis und Einsatz künstlicher Intelligenz

Die Verarbeitung personenbezogener Daten durch Rechtsanwälte ist ein natürlicher Bestandteil des Berufs; die Aufgabe der anwaltlichen Interessenvertretung hebt die Anwendung des Gesetzes Nr. 6698 über den Schutz personenbezogener Daten jedoch nicht von selbst auf. Der Anwendungsleitfaden 2026, den die Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu) unter Mitwirkung der Union der türkischen Rechtsanwaltskammern (Türkiye Barolar Birliği) erarbeitet hat, erläutert die Stellung selbständiger Rechtsanwälte, der Anwaltsgesellschaft (avukatlık ortaklığı), unterbevollmächtigter Rechtsanwälte (tevkil) und der Kanzleimitarbeiter und behandelt die Voraussetzungen der Datenverarbeitung, das Berufsgeheimnis, die Beweisbeschaffung, die Informationspflicht, das Register der Verantwortlichen (VERBİS), Aufbewahrung und Vernichtung, Datenschutzverletzungen sowie die Übermittlung von Akten an Werkzeuge generativer künstlicher Intelligenz. Im Kern geht es darum, dass die erforderlichen personenbezogenen Daten auf rechtmäßige Weise erlangt und nur zum Zweck der Rechtsverfolgung, verhältnismäßig und sicher verwendet werden.

Wann wurde der Leitfaden veröffentlicht, welchen Zweck verfolgt er und wie ist er rechtlich zu bewerten?

Die Behörde für den Schutz personenbezogener Daten (KVKK) hat den unter Berücksichtigung der Stellungnahmen und Beiträge der Union der türkischen Rechtsanwaltskammern (TBB) erarbeiteten Anwendungsleitfaden zum Schutz personenbezogener Daten bei der beruflichen Tätigkeit von Rechtsanwälten öffentlich bekannt gegeben. In den Publikationsangaben des als KVKK-Veröffentlichungen Nr. 115 erschienenen Werks ist Juli 2026 angegeben; das Vorstellungsprogramm wurde hingegen am 22. September 2026 angekündigt. Diese beiden Daten betreffen unterschiedliche Phasen: die Druck- bzw. Publikationsangaben des Leitfadens und seine Vorstellung in der Öffentlichkeit.

Der Leitfaden ist nicht nur ein Dokument, das Rechtsanwälten sagt, wie sie Mandantenakten aufbewahren sollen. Er erörtert das Gleichgewicht zwischen dem Recht auf Rechtswahrnehmung (savunma hakkı) und dem Recht, den Schutz personenbezogener Daten zu verlangen, und untersucht zusammen den Kreis der betroffenen Personen, die Unterscheidung zwischen Verantwortlichem und Auftragsverarbeiter, die rechtlichen Verarbeitungsvoraussetzungen, die Übermittlung im Inland und ins Ausland, künstliche Intelligenz, Datensicherheit und Anwendungsbeispiele.

Der Leitfaden ist weder ein Gesetz noch eine Verordnung. Quellen verbindlicher Pflichten sind in erster Linie die Verfassung, das Gesetz Nr. 6698, das Rechtsanwaltsgesetz Nr. 1136 (Avukatlık Kanunu), die einschlägigen Verfahrensgesetze, das untergesetzliche Recht und die anwendbaren Beschlüsse des Rates. Die Auslegungen und Empfehlungen guter Praxis im Leitfaden sind eine wichtige institutionelle Quelle, die zeigt, wie sich diese Normen auf die berufliche Tätigkeit übertragen lassen. Für sich allein schafft er keine neue Ausnahme, keine Sanktion und keine allgemeine Erlaubnis. Diese Unterscheidung ist stets zu wahren, wenn eine Empfehlung des Leitfadens in einer konkreten Akte herangezogen wird.

Volltext des Leitfadens: amtliche PDF-Veröffentlichung der KVKK. Auch die amtliche Mitteilung der Behörde fasst den Anwendungsbereich zusammen.

Sind die prozessbezogenen Tätigkeiten von Rechtsanwälten vollständig vom KVKK ausgenommen?

Nein. Dass ein Rechtsanwalt einem Gericht Beweismittel vorlegt, bedeutet nicht, dass jede von ihm durchgeführte Datenverarbeitung außerhalb des Gesetzes Nr. 6698 liegt. Art. 28 Abs. 1 Buchst. d des Gesetzes Nr. 6698 regelt eine vollständige Ausnahme für die Verarbeitung personenbezogener Daten im Zusammenhang mit Ermittlungs-, Strafverfolgungs-, Gerichts- oder Vollstreckungsverfahren durch Justizbehörden oder Vollstreckungsbehörden. Maßgeblich sind hier sowohl die Art des Vorgangs als auch die Stelle, die ihn vornimmt.

Im Beschluss des Rates für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu) vom 14. Januar 2020, Nr. 2020/26, wurde festgestellt, dass die vom Rechtsanwalt ausgeübte berufliche Tätigkeit nicht mit einem Vorgang einer Justizbehörde gleichgesetzt werden kann. Deshalb sind die allgemeinen Grundsätze des Gesetzes und die anwendbaren Pflichten auch dann zu beachten, wenn der Rechtsanwalt Beweismittel für das Gericht beschafft, Nachforschungen über Dritte anstellt, Schriftsätze verfasst oder eine Vollstreckungsakte betreut.

Auch das Umgekehrte trifft nicht zu: Das KVKK kann nicht als Regel ausgelegt werden, die es abstrakt verbietet, im Rahmen der Rechtswahrnehmung ein erforderliches Beweismittel zu erlangen. Im konkreten Streitfall werden der legitime Zweck der Rechtsverfolgung, die gesetzlichen Befugnisse, Auskünfte und Unterlagen anzufordern, die Erforderlichkeit des Beweismittels, die Art der Erlangung der Daten und die Verwendung eines Mindestmaßes an Daten zusammen bewertet. Zwischen dem Recht auf Rechtswahrnehmung und dem Datenschutz besteht kein automatisches Vorrangverhältnis, sondern eine Prüfung der Rechtmäßigkeit und Verhältnismäßigkeit.

Welche Daten welcher Personen werden bei der anwaltlichen Tätigkeit verarbeitet?

Betroffene Person ist bei der anwaltlichen Tätigkeit nicht nur der Mandant. Auch potenzielle Mandanten, Personen, die um Rechtsberatung ersuchen, die Gegenseite, Schuldner, Zeugen, Arbeitnehmer, Familienangehörige, Vertreter von Unternehmen, Sachverständige und sonstige in Unterlagen genannte natürliche Personen können Inhaber personenbezogener Daten sein. Die Übergabe einer Akte an einen Rechtsanwalt verleiht kein unbeschränktes Recht, sämtliche in der Akte enthaltenen Daten Dritter zu jedem Zweck zu verarbeiten.

In einer arbeitsrechtlichen Akte können Personalakten, Lohnabrechnungen, Unterlagen der Sozialversicherungsanstalt (SGK), Fehlzeitendaten und betriebliche Korrespondenz; in einer Strafakte Eintragungen über Verurteilungen und Sicherungsmaßregeln; im Familienrecht Angaben über Kinder, Gesundheit, innerfamiliäre Kommunikation und die finanzielle Lage; in einer Erbschaftsakte Personenstands- und Grundbuchunterlagen verarbeitet werden. Je nach Art der Rechtsdienstleistung können sich in der Akte auch besondere Kategorien personenbezogener Daten wie Gewerkschaftszugehörigkeit, Gesundheits-, biometrische oder genetische Daten befinden.

Die praktische Folge dieser Einordnung ist bedeutsam: Bei der Aktenanlage genügt es oft nicht, nur für „Mandantendaten“ eine Aufzeichnung zu führen. Es sollte nach Kategorien nachvollziehbar sein, Daten welcher natürlichen Personen die Vorgänge enthalten, woher sie stammen, auf welcher rechtlichen Voraussetzung ihre Verarbeitung beruht und an wen sie übermittelt werden. Insbesondere muss die Herkunft von Daten, die von Dritten erlangt wurden, später erklärt werden können.

Ist der Rechtsanwalt Verantwortlicher oder Auftragsverarbeiter? Die Stellung ergibt sich aus der tatsächlichen Tätigkeit, nicht aus der Überschrift des Vertrags

Nach Art. 3 des Gesetzes Nr. 6698 ist Verantwortlicher die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Auftragsverarbeiter ist dagegen eine eigenständige natürliche oder juristische Person, die aufgrund der vom Verantwortlichen erteilten Befugnis in dessen Namen Daten verarbeitet. Das Bestehen eines Vertretungsverhältnisses macht den Rechtsanwalt für sich genommen nicht zum Auftragsverarbeiter.

Dass der Rechtsanwalt im Rahmen seiner beruflichen Unabhängigkeit darüber entscheidet, welche Beweismittel benötigt werden, welches Dokument zur Prozessakte gereicht wird, welchen Umfang die rechtliche Recherche hat und wie die Aufbewahrung erfolgt, ist in der Regel ein starkes Indiz für die Stellung als Verantwortlicher. In einer Organisation, in der der Rechtsanwalt unter detaillierten und besonderen Weisungen begrenzte Vorgänge ausführt, ohne Zwecke und Methoden der Datenverarbeitung bestimmen zu können, kann allerdings auch die Stellung als Auftragsverarbeiter in Betracht kommen. Jede Gruppe von Vorgängen ist gesondert einzuordnen.

Im Beschluss des Rates für den Schutz personenbezogener Daten vom 22. März 2023, Nr. 2023/437, wurde angenommen, dass eine Anwaltsgesellschaft Verantwortlicher war, weil sie über die betreffende Datenverarbeitung frei entschied, obwohl sie im Vertrag mit einem Unternehmen als „Auftragsverarbeiter“ bezeichnet worden war. Demgegenüber zeigt der Beschluss vom 9. Februar 2021, Nr. 2021/115, dass der Rechtsanwalt bei bestimmten Vorgängen zur Forderungsverfolgung einer Bank im Rahmen der Weisungen der Mandantin als Auftragsverarbeiter eingeordnet werden kann. Daraus ergibt sich keine einheitliche und unveränderliche Einordnung für sämtliche anwaltlichen Tätigkeiten.

Zusammenarbeitende Rechtsanwälte, Anwaltsgesellschaft und unterbevollmächtigter Rechtsanwalt

Dass selbständige Rechtsanwälte, die sich dieselbe Kanzlei teilen, lediglich die Räumlichkeiten gemeinsam nutzen, bedeutet nicht, dass sie für alle Mandantenakten gemeinsam Verantwortliche sind. Jeder Rechtsanwalt kann eigene Mandanten und eigene Verarbeitungszwecke haben. Dagegen kann die Anwaltsgesellschaft mit Rechtspersönlichkeit bei den im Namen der Gesellschaft geführten Aktenvorgängen Verantwortlicher sein; in diesem Fall lässt sich nicht sagen, dass jeder Gesellschafter für denselben Vorgang zusätzlich und automatisch Verantwortlicher ist.

Handelt ein anderer Rechtsanwalt, den der unterbevollmächtigende Rechtsanwalt für eine bestimmte Verhandlung, Pfändung oder Ortsbesichtigung bevollmächtigt hat, innerhalb der Grenzen des festgelegten Auftrags auf Weisung, ist seine Einordnung als Auftragsverarbeiter möglich. Der Leitfaden behandelt diese Möglichkeit ausdrücklich; für andere Vorgänge, bei denen der unterbevollmächtigte Rechtsanwalt unabhängig eigene Zwecke festlegt oder seine eigenen Berufspflichten erfüllt, ist jedoch eine neue Einordnung vorzunehmen.

Angestellte Rechtsanwälte, Praktikanten und Hilfspersonal

Rechtsanwälte, Praktikanten, Sekretariatskräfte, Kanzleiangestellte und Verwaltungspersonal, die innerhalb der Organisation des anstellenden Rechtsanwalts oder der Anwaltsgesellschaft nach deren festgelegten Zwecken und Methoden arbeiten, sind in der Regel kein eigenständiger „Auftragsverarbeiter“. Diese Personen handeln innerhalb der Organisation des Verantwortlichen im Rahmen ihrer Zugriffsberechtigungen. Der Leitfaden erläutert auch den Sonderfall, dass ein angestellter Rechtsanwalt in einer von ihm selbständig übernommenen Akte, etwa in einem Pflichtverteidigungsmandat, zusätzlich Verantwortlicher sein kann.

Die folgende Tabelle zeigt den allgemeinen Ansatz; er ist anhand des konkreten Ablaufs und der rechtlichen Organisationsunterlagen zu überprüfen.

Rechtliche Voraussetzung der Datenverarbeitung: Eine ausdrückliche Einwilligung ist nicht in jeder Akte erforderlich, und nicht alle Daten dürfen frei verwendet werden

Art. 5 des Gesetzes Nr. 6698 und für besondere Kategorien von Daten Art. 6 legen die rechtlichen Voraussetzungen der Datenverarbeitung fest. Im Zusammenhang mit der Erbringung von Rechtsdienstleistungen durch den Rechtsanwalt sind der Abschluss oder die Erfüllung eines Vertrags, die im Gesetz ausdrücklich vorgesehenen Fälle, die Erfüllung einer rechtlichen Verpflichtung sowie die Erforderlichkeit für die Begründung, Ausübung oder den Schutz eines Rechts häufig herangezogene Grundlagen. Für jede Datenkategorie, Personengruppe und jeden Verarbeitungszweck ist die passende Voraussetzung zu bestimmen.

Die ausdrückliche Einwilligung ist keine allgemeine Ermächtigung, die allen anderen Voraussetzungen übergeordnet ist. Der Leitfaden weist auf Praktiken hin, die er als irreführend ansehen kann, bei denen neben dem Anwaltsvertrag ein standardisiertes Formular zur ausdrücklichen Einwilligung verwendet wird, obwohl bereits eine andere Verarbeitungsvoraussetzung vorliegt. Die anwaltliche Dienstleistung bei Vorgängen, die tatsächlich keine Einwilligung erfordern, von einer zwingenden ausdrücklichen Einwilligung abhängig zu machen, kann Probleme verursachen. Demgegenüber kann bei einem gesonderten Vorgang, für den keine andere rechtliche Voraussetzung als die Einwilligung besteht, eine wirksame, freiwillig erteilte und bestimmte ausdrückliche Einwilligung erforderlich sein.

Die Verarbeitung der Identitäts- und Kontaktdaten des Mandanten für ein konkretes Verfahren ist nicht derselbe Vorgang wie die Veröffentlichung eines Fotos des Mandanten in der Werbung der Kanzlei oder die Übertragung der Streitakte in einen Datensatz zu Schulungszwecken. In der zweiten Gruppe sind zusätzlich Zweck, rechtliche Verarbeitungsvoraussetzung, Vertraulichkeit und Berufsregeln zu bewerten. Dass der Mandant eine Akte eröffnet hat, bedeutet nicht, dass er im Voraus jeder Art neuer Nutzung zugestimmt hat.

Zusätzlicher Schutz bei besonderen Kategorien personenbezogener Daten

Für Angaben wie Gewerkschaftszugehörigkeit, Gesundheit, strafrechtliche Verurteilungen und Sicherungsmaßregeln, biometrische und genetische Daten sind die geltenden Voraussetzungen des Art. 6 und die Beschlüsse des Rates über angemessene Maßnahmen zusammen anzuwenden. Während der rechtlichen Vertretung kann die Erforderlichkeit für die Begründung, Ausübung oder den Schutz eines Rechts im konkreten Fall auch für besondere Kategorien von Daten eine rechtliche Verarbeitungsvoraussetzung bilden. Das Vorliegen einer Verarbeitungsvoraussetzung macht die Erhebung unnötiger Daten oder einen unbefugten Zugriff jedoch nicht rechtmäßig.

Im Beschluss des Rates vom 16. September 2021, Nr. 2021/925, wurde in einer Klage auf Wiedereinstellung, die auf die Behauptung einer gewerkschaftsbedingten Kündigung gestützt war, der Zusammenhang einer Angabe über die Gewerkschaftszugehörigkeit eines anderen Arbeitnehmers mit dem Streitgegenstand und dem Beweisbedürfnis bewertet. Das Ergebnis ist nicht, dass gewerkschaftsbezogene Daten in allen Verfahren unbegrenzt offengelegt werden dürfen, sondern dass relevante und erforderliche Beweismittel im Rahmen eines rechtlichen Vorgangs verwendet werden können.

Anwaltliches Berufsgeheimnis und Datenschutzpflicht ergänzen sich

Art. 36 des Rechtsanwaltsgesetzes regelt die berufliche Verschwiegenheitspflicht der Rechtsanwälte hinsichtlich der Offenbarung von Angelegenheiten, die ihnen anvertraut wurden oder die sie aufgrund ihres Berufs erfahren haben. Diese Pflicht ist ein wesentliches Element des Vertrauens zwischen Rechtsanwalt und Mandant. Das Datenschutzrecht erfasst dagegen nicht nur Informationen mit Geheimnischarakter, sondern auch die rechtmäßige Erlangung, Verwendung, Übermittlung, Aufbewahrung und Vernichtung von Daten, die sich auf eine identifizierbare natürliche Person beziehen.

Dass sich Daten in einem öffentlich zugänglichen Register befinden oder aus einer anderen Quelle bekannt geworden sind, erlaubt nicht ihre unbegrenzte Verwendung zu jedem Zweck. Ebenso berechtigt der Wunsch des Mandanten, ein Dokument dem Gericht vorzulegen, nicht dazu, darin enthaltene sachfremde Gesundheits-, Familien- oder Finanzangaben unnötig zu vervielfältigen. Während das Berufsgeheimnis die ethische und berufliche Grundlage der Datensicherheit bildet, unterwirft das KVKK Zwecke und Mittel der Verarbeitung zusätzlich einer Rechtmäßigkeitsprüfung.

Auch der Informationsaustausch innerhalb der Kanzlei ist in diesem Maße zu begrenzen. Dass nur das zuständige Team Zugriff auf die Einzelheiten eines strafrechtlichen Ermittlungsverfahrens hat, dass Lohnabrechnungen des Personals, Zahlungsangaben und die Kommunikation mit Mandanten nur in befugten Rollen einsehbar sind und dass in Arbeitsräumen, Besprechungen oder bei der Bildschirmfreigabe eine unnötige Offenlegung von Dokumenten vermieden wird, sind praktische Folgen dieser Pflicht.

Beweis- und Informationsbeschaffung: Art. 2 des Rechtsanwaltsgesetzes gewährt keinen unbegrenzten Datenzugriff

Art. 2 des Rechtsanwaltsgesetzes regelt die Pflichten der genannten öffentlichen und privaten Einrichtungen, vorbehaltlich besonderer gesetzlicher Bestimmungen den Rechtsanwalt bei der Erfüllung seiner Aufgaben zu unterstützen und ihm die erforderlichen Informationen und Unterlagen zur Einsicht vorzulegen. Die Anfertigung von Abschriften kann hingegen an gesetzliche Voraussetzungen wie die Vorlage einer Vollmacht gebunden sein. So wenig es richtig ist, dass die betreffende Einrichtung jedes Ersuchen unter Berufung auf den Datenschutz ablehnt, so wenig kann es als rechtmäßig angesehen werden, dass der Rechtsanwalt einen gesamten Datenbestand ohne Bezug zur konkreten Akte anfordert.

Bei einem Auskunfts- und Unterlagenersuchen sind die Akte, auf die sich das Ersuchen bezieht, der Auftrag und die Erforderlichkeit klar darzulegen. Soll Klage erhoben werden, ist zu prüfen, welche Information Behauptung und Beweislast erfordern; wird in der Vollstreckung eine Beitreibung und Pfändung betrieben, welche Abfrage die einschlägigen Vorschriften ermöglichen; geht es um eine Gesundheitsakte, was die Sonderregelungen verlangen. Der Leitfaden nennt im Zusammenhang mit dem Kriterium der „Erforderlichkeit“ beim Auskunftsersuchen den Beschluss der Ersten Kammer des Staatsrats (Danıştay 1. Dairesi) vom 10. April 2002, E. 2002/26, K. 2002/52. Da der vollständige Text dieser Entscheidung nicht gesondert beschafft wurde, wurden keine weitreichenden Schlussfolgerungen oder längeren Zitate daraus in diesen Beitrag übernommen.

UYAP, TAKPAS, amtliche Register und Daten Dritter

Abfragen über UYAP und TAKPAS unterliegen nicht nur der technischen Zugänglichkeit des Systems, sondern den Grenzen der Vorgänge und Befugnisse, die die einschlägigen Vorschriften vorsehen. Dass in einer Vollstreckungsakte eine Abfrage zum Vermögen des Schuldners vorgenommen werden darf, rechtfertigt nicht von selbst, das Abfrageergebnis in eine andere Akte, einen Marketing-Pool oder ein persönliches Archiv zu kopieren. Ebenso sind bei der Beschaffung von Personenstands-, Gesundheits- oder Bankunterlagen die besonderen Vorschriften der betreffenden Einrichtung und die rechtliche Befugnis zur Anforderung zu prüfen.

Im Grundsatzbeschluss des Rates vom 18. Oktober 2019, Nr. 2019/308, wurde die Nutzung von Programmen, mit denen Identitäts- und Kontaktdaten von Bürgern auf der Grundlage rechtswidrig erlangter Daten abgefragt werden können, als eindeutiger Risikobereich festgestellt. Die Nutzung solcher Dienste kann neben einer Verwaltungssanktion Folgen haben, die Gegenstand eines strafrechtlichen Ermittlungsverfahrens werden können. Dass ein solches Programm „leicht zugänglich“ oder ein „kostenpflichtiger Dienst“ ist, macht es nicht zu einer legitimen Datenquelle.

Verhältnismäßigkeit bei der Vorlage von Daten in Schriftsätzen, Gerichtsakten und Vollstreckungsverfahren

Die Vorlage eines Beweismittels oder Dokuments bei einer Justizbehörde stellt eine Übermittlung personenbezogener Daten und in den meisten Fällen zugleich eine weitere Verarbeitung dar. Selbst wenn die Vorlage eines für die Rechtswahrnehmung erforderlichen Dokuments rechtlich möglich ist, sind der Bezug der offengelegten Angaben zum Streitgegenstand, die Art der Erlangung des Dokuments und die Reduzierung von Anlagen mit unnötigen Daten zu bewerten. Die Zugriffsbefugnis der Justizbehörde ist nicht dasselbe wie das Risiko eines Zugriffs durch die Gegenseite oder die Öffentlichkeit.

In einem Scheidungsverfahren kann die Verarbeitung von Gesundheitsunterlagen der Kinder, in einem arbeitsrechtlichen Verfahren von gewerkschaftsbezogenen Angaben anderer Arbeitnehmer, in einer Handelsstreitigkeit von privaten Telefonnummern der Vertreter des gegnerischen Unternehmens und in einer Strafakte von privater Korrespondenz Dritter erforderlich sein. Die Verbreitung von Teilen, die nicht zum Beweis der konkreten Behauptung beitragen, oder ihre unkontrollierte Übermittlung in eine Umgebung außerhalb der Akte lässt sich jedoch nicht mit dem legitimen Zweck der Rechtsverfolgung erklären. Wege wie der Antrag an das Gericht, das Dokument beizuziehen, der Antrag auf Vertraulichkeit oder Zugriffsbeschränkung oder die Vorlage nur der relevanten Seiten werden bei Bedarf nach den Besonderheiten der Akte geprüft.

Sowohl die Behauptung, personenbezogene Daten der Gegenseite dürften ohne ausdrückliche Einwilligung niemals verarbeitet werden, als auch die Behauptung, der Rechtsanwalt dürfe alle Daten der Gegenseite erheben, die er möchte, ist falsch. Die sachgerechte Methode besteht darin, für jede Akte das Recht oder die gesetzliche Bestimmung, die den Vorgang rechtfertigt, die Erforderlichkeit der Daten und die Datenquelle darlegen zu können.

Die Informationspflicht ist ab dem ersten Mandantenkontakt zu gestalten

Nach Art. 10 des Gesetzes Nr. 6698 und der Mitteilung über die Informationspflicht (Aydınlatma Tebliği) ist die betroffene Person über die Identität des Verantwortlichen, die Verarbeitungszwecke, die Empfänger und Zwecke von Übermittlungen, die Methode der Erhebung, den Rechtsgrund und die Rechte der betroffenen Person zu informieren. Die Information ist nicht derselbe Vorgang wie die ausdrückliche Einwilligung. Auch der Grundsatzbeschluss des Rates vom 18. Februar 2026, Nr. 2026/347, betont, dass Datenschutzhinweise und Texte zur ausdrücklichen Einwilligung getrennt zu gestalten sind, für die Information keine „Einwilligung“ verlangt werden darf und eine der konkreten Datenverarbeitung entsprechende, klare und einfache Information zu erteilen ist. Sind in den Vorschriften bestimmte Ausnahmen geregelt, sind diese je Ereignis und Vorgang gesondert zu prüfen; es kann nicht angenommen werden, dass für sämtliche Tätigkeiten des Rechtsanwalts eine allgemeine Ausnahme besteht.

Beim ersten Telefonat, Webformular oder E-Mail-Kontakt, in einem Stadium, in dem die Rechtsdienstleistung noch nicht übernommen wurde, sollten die erhobenen Daten begrenzt bleiben. Wenn grundlegende Kontakt- und Termindaten ausreichen, kann es unter dem Gesichtspunkt der Datenminimierung problematisch sein, automatisch die Übersendung eines Ausweisdokuments, eines ärztlichen Berichts, von Strafakten oder der gesamten privaten Korrespondenz der Gegenseite zu verlangen. Welche Unterlagen auf welchem sicheren Weg angefordert werden, kann nach der Vorprüfung der Akte und der Mandatsannahme gesondert festgelegt werden.

Wurden die Daten nicht vom Mandanten, sondern aus einer dritten Quelle erlangt, sind die Zeitvorgaben des Art. 6 der Mitteilung über die Informationspflicht von Bedeutung: Geregelt sind unterschiedliche Fälle, etwa die erste Kontaktaufnahme bei Daten, die zur Kommunikation mit der betroffenen Person verwendet werden, und spätestens die erste Übermittlung, wenn eine Übermittlung erfolgen soll. Diese Zeitvorgaben sind zusammen mit den Ausnahmen, der Verschwiegenheitspflicht, dem konkreten Streitfall und den Besonderheiten der Rechtsverfolgung zu prüfen.

Ein für die Kanzlei anwendbares Modell ist die gestufte Information: bei der ersten Anfrage ein kurzer und klarer Hinweis; vor der Übernahme der Leistung ein auf die rechtliche Prüfung und die Kommunikationsabläufe zugeschnittener Text; bei Übermittlungen zu besonderen Zwecken oder an zusätzliche Dienstleister die erforderliche ergänzende Information. Die Beispiele im Leitfaden betonen besonders, dass personenbezogene Daten beim ersten Kontakt nicht über das Erforderliche hinaus erhoben werden sollten.

Die Befreiung von der Eintragung in das Register der Verantwortlichen befreit Rechtsanwälte nicht von den Pflichten nach dem KVKK

Der Beschluss des Rates vom 2. April 2018, Nr. 2018/32, hat Rechtsanwälte, die im Rahmen des Rechtsanwaltsgesetzes tätig sind, von der Pflicht zur Eintragung in das Register der Verantwortlichen ausgenommen. Diese Ausnahme hebt Pflichten wie die Information, die Verarbeitung im Einklang mit den allgemeinen Grundsätzen, die Datensicherheit, Anträge betroffener Personen, Aufbewahrung und Vernichtung sowie die Meldung von Verletzungen nicht auf.

Dass die Eintragung in das Register nicht verpflichtend ist, bedeutet auch nicht, dass innerhalb der Kanzlei kein Datenverzeichnis benötigt wird. Auch ohne Eintragung in ein amtliches Register ist eine interne Aufzeichnung, die die Aktenkategorien, die zugriffsberechtigten Mitarbeiter, die Gruppen betroffener Personen, die eingesetzten Dienstleister, die Aufbewahrungsgründe und die Übermittlungsstellen zeigt, ein starkes Compliance-Instrument. Die Grenzen der Registerausnahme für Anwaltsgesellschaften mit Rechtspersönlichkeit sind im Hinblick auf den betreffenden Beschluss und die rechtliche Natur der Organisation gesondert zu prüfen; es lässt sich nicht sagen, „alle Gesellschaften sind automatisch befreit“.

Aufbewahrung und Vernichtung: Mit dem Abschluss einer Akte wird nicht alles gelöscht, und eine unbefristete Aufbewahrung erfolgt auch nicht automatisch

Art. 7 des Gesetzes Nr. 6698 regelt die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten, wenn die Gründe für ihre Verarbeitung entfallen sind. Art. 39 des Rechtsanwaltsgesetzes bestimmt dagegen, dass der Rechtsanwalt die ihm anvertrauten Unterlagen ab Beendigung des Mandats drei Jahre lang aufzubewahren hat; ist ihre Rücknahme schriftlich mitgeteilt worden, endet die Pflicht nach Ablauf von drei Monaten ab der Mitteilung. Dies ist nicht als einheitliche und unveränderliche Gesamtarchivfrist für alle in einer Akte verarbeiteten Datenkategorien anzusehen.

Im Hinblick auf Mandantenforderungen, Berufshaftung, Steuern, Buchhaltung, elektronische Dokumente und mögliche Streitigkeiten können unterschiedliche Regelungen greifen. So wenig der Vernichtungsantrag der betroffenen Person die sofortige Löschung der gesamten Akte erzwingt, so wenig rechtfertigt die Möglichkeit eines Rechtsstreits die unbefristete Aufbewahrung aller Unterlagen. Eine Aufbewahrungsmatrix sollte je Aktenart und Datenkategorie Rechtsgrundlage, auslösendes Ereignis, Frist, Zugriff und Vernichtungsmethode festlegen.

Soll ein Löschungsantrag der betroffenen Person aus einem rechtmäßigen Grund ganz oder teilweise abgelehnt werden, sind die Begründung der Ablehnung sowie der Rechtsgrund und der Rahmen, in dem die Daten aufbewahrt werden, klar darzulegen. Die Aufbewahrung der ursprünglichen Form eines Beweismittels in einer Streitigkeit über ein Dokument kann von der Löschung nicht mehr benötigter Kopien der Kommunikation unterschieden werden.

Anträge betroffener Personen, Antwortfrist und Grenze des Berufsgeheimnisses

Der Mandant, die Gegenseite oder eine andere betroffene natürliche Person kann sich zur Ausübung ihrer Rechte nach Art. 11 des Gesetzes Nr. 6698 ordnungsgemäß an den Verantwortlichen wenden. Der Verantwortliche hat die Anträge so schnell wie möglich und spätestens innerhalb von 30 Tagen abzuschließen. Das Beschwerdeverfahren unterliegt zusätzlich den Verfahrens- und Fristbestimmungen des Gesetzes.

Bei der Prüfung eines Antrags sind Identitätsprüfung, das Antragsrecht des Antragstellers hinsichtlich seiner eigenen Daten, der Umfang des Antrags, gesetzliche Ausnahmen, das Berufsgeheimnis und die Rechte anderer Personen zusammen zu bewerten. So kann etwa der Schuldner fragen, welche seiner personenbezogenen Daten in dem gegen ihn geführten Vollstreckungsverfahren aus welcher Quelle stammen; wichtig ist, anhand von Aufzeichnungen zeigen zu können, dass die Daten vom Mandanten, aus einem amtlichen Register oder aus der Vollstreckungsakte stammen. Ein Antrag darf jedoch nicht zu einer unbegrenzten Offenlegung der Strategie des Mandanten, der Geheimnisse Dritter oder anderer schutzbedürftiger Daten werden.

Daher ist es angebracht, dass jede Anwaltskanzlei über einen Ablauf verfügt, der Anträge betroffener Personen entgegennimmt, prüft, an den für die Akte zuständigen Rechtsanwalt weiterleitet, die gesetzliche Frist überwacht und die Antwort dokumentiert. Die Aktualität der Kontaktadressen auf der Website und im Anwaltsverzeichnis der Kammer ist für einen wirksamen Abschluss der Anträge wichtig.

Datenübermittlung ins Ausland: Die Nutzung ausländischer Cloud- und E-Mail-Dienste ist gesondert zu prüfen

Das im Jahr 2024 geänderte System des Art. 9 des Gesetzes Nr. 6698 verlangt, die geeigneten Mechanismen für Übermittlungen ins Ausland einzeln zu prüfen. In Fällen, in denen es im Gesetz oder in einem anwendbaren internationalen Abkommen keine Sonderbestimmung gibt, kommen zusammen mit der betreffenden Verarbeitungsvoraussetzung ein Angemessenheitsbeschluss, wenn ein solcher fehlt, geeignete Schutzvorkehrungen und, wenn auch diese nicht gewährleistet werden können, nur begrenzte Fälle der gelegentlichen Übermittlung in Betracht. Eine tägliche und systematische Cloud-Nutzung kann nicht automatisch als „gelegentlich“ angesehen werden, nur weil geltend gemacht wird, die Einwilligung des Nutzers sei eingeholt worden.

Die Verarbeitung von Daten über einen ausländischen Dateispeicherdienst, eine im Ausland betriebene E-Mail-Infrastruktur, einen Anbieter von Videokonferenzen, ein automatisches Transkriptionssystem, eine ausländische Plattform für das Kundenbeziehungsmanagement oder einen Supportdienst Dritter kann je nach Datenfluss eine grenzüberschreitende Übermittlung darstellen. Der Name oder die Marketingbeschreibung des Dienstleisters reicht für sich allein nicht aus; zusammen zu prüfen sind, wo die Daten verarbeitet werden, Unterauftragnehmer, Zugriffsberechtigungen, Aufbewahrungsrichtlinie und vertragliche Schutzvorkehrungen.

In einer Anwaltskanzlei, die auf Türkisch, Englisch, Deutsch und Russisch arbeitet, sind auch Übersetzungen und der Austausch von Dokumenten mit ausländischen Fachleuten in diesem Rahmen zu behandeln. Allein die Tatsache, dass ein Text in einer Fremdsprache verfasst ist, bedeutet keine Übermittlung ins Ausland; maßgeblich ist der technische und organisatorische Datenfluss. Ebenso erfordert auch eine Übermittlung an einen inländischen Anbieter eine Prüfung der rechtlichen Voraussetzungen und der Verhältnismäßigkeit im Rahmen des Art. 8 des Gesetzes Nr. 6698.

Das Hochladen einer Prozessakte in eine künstliche Intelligenz ist nicht bloß ein Recherchevorgang

Einer der für die aktuelle Praxis wichtigsten Abschnitte des Leitfadens ist die Untersuchung des Hochladens von Dokumenten mit personenbezogenen Daten in Werkzeuge generativer künstlicher Intelligenz als gesonderte Datenverarbeitung und mögliche Übermittlung. Die Übermittlung einer Prozessakte, von WhatsApp-Korrespondenz, eines Ausweisdokuments, eines Sachverständigengutachtens, einer Gesundheitsakte oder eines Verhandlungsprotokolls an ChatGPT, Claude, Gemini oder ein anderes System kann je nach Infrastruktur des Dienstleisters eine Datenübermittlung im Inland oder ins Ausland bewirken.

Deshalb sind vor der Auswahl eines KI-Werkzeugs die Nutzungsbedingungen, der Ort der Datenverarbeitung und -speicherung, Unterauftragnehmer, Protokollierungs- und Zugriffsberechtigungen, die Einstellungen zur Nutzung für Training oder andere Zwecke, die rechtlichen Übermittlungsvoraussetzungen der Einrichtung und gegebenenfalls die Bearbeitung von Vernichtungs- und Zugriffsanträgen anhand des konkreten Produkts und Vertrags zu prüfen. Das Vorhandensein einer Sicherheitsfunktion in einem Werkzeug bedeutet nicht, dass die Datenübermittlung rechtmäßig ist; ebenso verbietet der Umstand, dass es sich um ein KI-Produkt handelt, nicht für sich allein jede Nutzung.

Praxistaugliche KI-Prüfung für Anwaltskanzleien

• Der Zweck der Arbeit und ob der Einsatz künstlicher Intelligenz tatsächlich erforderlich ist, sollte je Akte festgelegt werden.
• Soweit möglich sollten identifizierende Daten einschließlich direkter und indirekter Kennungen entfernt werden; dabei sollte nicht vergessen werden, dass das bloße Löschen von Namen nicht in jedem Fall eine Anonymisierung bewirkt.
• Es sollte dokumentiert werden, welche Arten von Daten die verwendete Anwendung verarbeitet, wer darauf zugreifen kann und in welchen Ländern die Verarbeitung erfolgt.
• Die vom generativen Werkzeug erzeugten rechtlichen Auslegungen, Normen, Entscheidungen, Zitate und Aktenzusammenfassungen sollten einer unabhängigen Prüfung durch einen Juristen unterzogen werden.
• Für die Mitarbeiter sollte in einer gesonderten internen Richtlinie festgelegt werden, welche Datenklassen in welchem Dienst verwendet werden dürfen, in welchen Fällen eine schriftliche Erlaubnis oder fachliche Prüfung erforderlich ist und welche Nutzungen verboten sind.
• Das Vorgehen bei Verdacht auf eine Verletzung, also Zugriff sperren, Vorgang anhalten, Aufzeichnungen führen und zur Prüfung der Meldepflicht übergehen, sollte im Voraus festgelegt werden.

Diese Prüfpunkte sind Empfehlungen für die Praxis; sie sollten nicht als eigenständige Liste verpflichtender Dokumente dargestellt werden, die sich automatisch aus dem Leitfaden 2026 der Behörde ergibt. Bei jeder Nutzung sind die gesetzlichen Verarbeitungs- und Übermittlungsvoraussetzungen zusätzlich zu prüfen.

Datensicherheit und Verwaltung der Zugriffsberechtigungen in der Anwaltskanzlei

Art. 12 des Gesetzes Nr. 6698 verlangt geeignete technische und organisatorische Maßnahmen, um eine rechtswidrige Verarbeitung und unbefugten Zugriff zu verhindern und die Aufbewahrung der Daten sicherzustellen. In Anwaltskanzleien stellt eine einzelne, abstrakte „Vertraulichkeitserklärung“ kein ausreichendes Kontrollsystem dar. Aktenbezogene Berechtigungen, rollenbasierter Zugriff des Personals, starke Authentifizierung, aktuelle Software, sichere Datensicherung, Schlösser für das physische Archiv, eine Richtlinie für private Geräte und sichere Kanäle für die Dokumentenübermittlung können zu den anzuwendenden Maßnahmen gezählt werden.

Bei Akten mit besonderen Kategorien personenbezogener Daten ist der Beschluss des Rates über angemessene Maßnahmen vom 31. Januar 2018, Nr. 2018/10, zu beachten. Soll technischen Dienstleistern, Übersetzern, unabhängigen Sachverständigen, Helfern bei der elektronischen Signatur oder externen Supportdienstleistern Zugriff gewährt werden, sollten Befugnis- und Zeitgrenzen festgelegt werden; unnötige Sammelfreigaben von Akten sind zu vermeiden. Schulungen sollten nicht nur Rechtsanwälten, sondern in angemessenem Umfang allen erteilt werden, die tatsächlich Daten verarbeiten, etwa Sekretariat, Buchhaltung, IT und befristet Beschäftigten.

Eine Verletzung der Datensicherheit ist nicht nur ein Cyberangriff. Eine an den falschen Empfänger gesendete E-Mail, der Verlust einer Mandantenakte, ein geteilter Link, den jeder öffnen kann, eine Ordnerberechtigung für unbefugtes Personal oder die Nutzung eines böswilligen Datenabfrageprogramms können unterschiedliche Risiken begründen. Für jeden Vorfall werden technische Feststellung, Personen- und Datengruppen und die rechtliche Meldepflicht gesondert bewertet.

Was ist bei einer Datenschutzverletzung zu tun? Wie werden die 72 Stunden berechnet?

Nach Art. 12 Abs. 5 des Gesetzes Nr. 6698 kommt eine Meldung an die betroffene Person und an den Rat in Betracht, wenn personenbezogene Daten auf rechtswidrigem Wege von anderen erlangt werden. Im Rahmen des Beschlusses des Rates vom 24. Januar 2019, Nr. 2019/10, wird der Ausdruck „so schnell wie möglich“ für die Meldung an den Rat in der Regel als spätestens 72 Stunden ab Kenntniserlangung von dem Vorfall ausgelegt; gegenüber den betroffenen Personen ist eine Benachrichtigung in angemessener kürzester Zeit nach Feststellung der Lage vorgesehen. Ob der Vorfall nur auf der Ebene eines Verdachts liegt, ob ein unbefugter Zugriff stattgefunden hat und welche Personen betroffen sind, ist zügig zu untersuchen.

Wird eine Datenschutzverletzung bemerkt, besteht der erste Schritt nicht darin, Dokumente zu löschen oder Aufzeichnungen zu verbergen. Der Zugriff auf das betroffene System wird beschränkt, die erforderlichen Beweise werden gesichert, Umfang und Datenkategorien werden festgestellt; Abhilfemaßnahmen und die Meldepflicht werden dokumentiert bewertet. Der Leitfaden verwendet den Verlust einer physischen Prozessakte als Beispiel: Die verlorene Akte kann Gesundheits-, Finanz- oder Identitätsdaten enthalten, und die Möglichkeit eines Zugriffs Dritter ist zu berücksichtigen.

Die Meldung an den Rat und die Information der betroffenen Personen sind zusammen mit der Verschwiegenheitspflicht aus dem Berufsgeheimnis und den Besonderheiten des Vorfalls zu planen. Es ist weder ein sicherer Ansatz, die gesetzliche Meldung über das Erforderliche hinaus öffentlich zu machen, noch die Meldepflicht unter Berufung auf das „Mandantengeheimnis“ von vornherein abzulehnen.

Die Haftung des Rechtsanwalts: verwaltungsrechtliche Sanktion, Schadensersatz, Disziplinar- und Strafrecht

Eine gesetzwidrige Verarbeitung personenbezogener Daten oder die Verletzung von Pflichten zur Datensicherheit kann im Rahmen des Art. 18 des Gesetzes Nr. 6698 zu Verwaltungssanktionen führen. Der Leitfaden betont auch, dass die Geldbeträge bei Verletzungen der Datensicherheit nach den jährlichen Neubewertungssätzen angepasst werden. Die Folgen der Verwendung unrichtiger Daten, der Offenlegung von Daten aus rechtswidriger Quelle oder der Preisgabe eines Mandantengeheimnisses beschränken sich jedoch möglicherweise nicht auf eine Geldbuße.

Im Hinblick auf den Anwaltsvertrag kann die Verletzung der schützenden Nebenpflicht bei Vorliegen der Voraussetzungen zu Fragen der vertraglichen Haftung und des Schadensersatzes führen. Die disziplinarische Verantwortlichkeit nach dem Rechtsanwaltsgesetz und den Berufsregeln sowie Straftaten im Zusammenhang mit personenbezogenen Daten nach dem TCK werden ebenfalls je nach den Umständen des Einzelfalls gesondert bewertet. Nicht jeder Sicherheitsvorfall bedeutet automatisch eine strafrechtliche Verurteilung oder automatisch Schadensersatz; Handlung, Verschulden, Rechtswidrigkeit, Schaden, Kausalität und die einschlägigen verfahrensrechtlichen Voraussetzungen werden gesondert geprüft.

Deshalb muss eine Anwaltskanzlei ihre Maßnahmen zur Datensicherheit nicht nur zur Vorbereitung auf KVKK-Prüfungen entwickeln, sondern auch zur institutionellen Erfüllung der Sorgfalts- und Verschwiegenheitspflicht, die die anwaltliche Aufgabe erfordert.

Umsetzungs-Prüftabelle für Anwaltskanzleien: Verantwortung in 12 Arbeitsabläufen

Die folgende Tabelle ist eine auf Grundlage der Erläuterungen im Leitfaden und des Gesetzes Nr. 6698 erstellte redaktionelle Umsetzungsempfehlung. Sie ist keine amtliche zwölfteilige Checkliste, die in den Vorschriften wörtlich aufgeführt oder für jede Kanzlei verbindlich vorgeschrieben wäre.

In der Praxis kommt es nicht auf die Länge der Checkliste an, sondern darauf, dass sie für jede Aktenart tatsächlich funktioniert. Insbesondere potenzielle Mandanten, Straf- und Gesundheitsangaben, das digitale Archiv, das Ausscheiden von Mitarbeitern, Untervollmachten, Fernzugriff und KI-Dienste begründen unterschiedliche Risiken. Deshalb ist statt einer allgemeinen Richtlinie in einem einzigen Text ein System sinnvoll, das durch Prozessverantwortung, eine zuständige Person, Schulung, Aufzeichnungen und regelmäßige Überprüfung gestützt wird.

Verwandte Beiträge: Achtung des Privatlebens und Schutz personenbezogener Daten: Rechtsbehelfe; Die Straftat der rechtswidrigen Erlangung, Weitergabe oder Verbreitung personenbezogener Daten (TCK 136); Grenzen des Vertrauens im Anwalt-Mandanten-Verhältnis und Berufsethik.

Fazit

Die zentrale Botschaft des KVKK-Anwendungsleitfadens 2026 an die Anwaltschaft lautet, dass der Schutz personenbezogener Daten und das Recht auf Rechtswahrnehmung keine einander ausschließenden Tätigkeiten sind. Wesentlich ist, dass der Rechtsanwalt auf die erforderlichen Informationen zugreifen, Daten zur Begründung und zum Schutz eines Rechts verarbeiten und seine berufliche Unabhängigkeit ausüben kann; im Gegenzug müssen Rechtsgrundlage, Erforderlichkeit und Herkunft der erlangten Daten, die Frage, mit wem sie geteilt werden, sowie ihre Aufbewahrung und Vernichtung erklärbar sein.

Die falsche Bestimmung der Rolle als Verantwortlicher oder Auftragsverarbeiter, die Verwendung allgemeiner Formulare zur ausdrücklichen Einwilligung bei jedem Vorgang, die Verwechslung der Registerausnahme mit einer Ausnahme vom Anwendungsbereich, die unverhältnismäßige Weitergabe von Daten Dritter und die unkontrollierte Übermittlung von Prozessunterlagen an Cloud- oder KI-Systeme sind die wichtigsten Bereiche, auf die Anwaltskanzleien achten müssen. Der institutionelle Ansatz besteht darin, Entscheidungen über Datenverarbeitung und Sicherheit, die den Bedürfnissen der konkreten Akte entsprechen, zu dokumentieren.

Häufig gestellte Fragen

Unterliegen Rechtsanwälte dem KVKK?

Ja. Die Verbindung des Anwaltsberufs mit dem Justizsystem nimmt nicht alle vom Rechtsanwalt durchgeführten Vorgänge aus dem Gesetz Nr. 6698 heraus. Die Voraussetzungen der für Justizbehörden geltenden Ausnahme nach Art. 28 gelten nicht von selbst für jeden beruflichen Vorgang des Rechtsanwalts.

Ist der Rechtsanwalt Verantwortlicher oder Auftragsverarbeiter?

Der selbständige Rechtsanwalt ist bei den meisten beruflichen Vorgängen Verantwortlicher. Bei einem begrenzten Vorgang, der auf detaillierte Weisung des Mandanten ohne Bestimmung von Zwecken und Methoden durchgeführt wird, kann die Rolle als Auftragsverarbeiter in Betracht kommen. Die Stellung bestimmt sich nicht nach der Bezeichnung im Vertrag, sondern nach der tatsächlichen Arbeitsweise.

Werden alle in derselben Kanzlei tätigen Rechtsanwälte gemeinsam Verantwortliche?

Nein. In einer gemeinsamen Kanzlei ohne Rechtspersönlichkeit können verschiedene Rechtsanwälte eigene Mandanten und eigene Entscheidungen über Vorgänge haben. Die Rolle einer Anwaltsgesellschaft mit Rechtspersönlichkeit wird gesondert bewertet.

Muss der Rechtsanwalt eine ausdrückliche Einwilligung einholen?

Nicht bei jedem Vorgang. Liegt eine geeignete gesetzliche Verarbeitungsvoraussetzung wie Vertrag, rechtliche Verpflichtung oder Schutz eines Rechts vor, ist eine zusätzliche ausdrückliche Einwilligung möglicherweise nicht erforderlich. Die Informationspflicht ist davon zu unterscheiden.

Dürfen Daten der Gegenseite des Mandanten ohne Einwilligung verarbeitet werden?

Das kann möglich sein, wenn eine geeignete gesetzliche Verarbeitungsvoraussetzung vorliegt und die Daten für die Rechtsverfolgung erforderlich, zweckgebunden und verhältnismäßig sind. Daraus lässt sich nicht ableiten, dass sämtliche Daten Dritter bedingungslos verarbeitet werden dürfen.

Dürfen Gesundheits- oder Gewerkschaftsangaben in einer Klageschrift verwendet werden?

Das kann möglich sein, wenn ein Zusammenhang mit der konkreten Behauptung, der Beweislast und der geeigneten Verarbeitungsvoraussetzung nach Art. 6 besteht. Für besondere Kategorien von Daten sind zusätzliche Sicherheitsmaßnahmen und Verhältnismäßigkeit erforderlich.

Müssen sich Anwaltskanzleien in das Register der Verantwortlichen eintragen lassen?

Der Beschluss des Rates Nr. 2018/32 gewährt Rechtsanwälten, die im Rahmen des Rechtsanwaltsgesetzes tätig sind, eine Ausnahme von der Registerpflicht. Dies bedeutet jedoch keine Befreiung von den übrigen Pflichten nach dem KVKK; die rechtliche Natur der Organisation wird gesondert geprüft.

Wie lange wird eine Prozessakte aufbewahrt?

Art. 39 des Rechtsanwaltsgesetzes regelt für anvertraute Unterlagen in der Regel eine dreijährige Aufbewahrungspflicht ab Beendigung des Mandats; für die schriftliche Mitteilung der Rücknahme gilt zudem eine gesonderte dreimonatige Bestimmung. Für andere Rechtsgründe und Datenarten ist eine Einzelfallprüfung vorzunehmen.

Kann der Mandant verlangen, dass alle Daten sofort gelöscht werden?

Er kann den Antrag stellen; das bedeutet jedoch nicht, dass der Antrag zwingend sofort und in vollem Umfang angenommen wird. Bestehen ein laufendes Verfahren, eine gesetzliche Aufbewahrungspflicht oder ein Beweisbedürfnis, wird nach Prüfung der Grundlagen eine begründete Antwort erteilt.

Innerhalb wie vieler Tage wird der KVKK-Antrag einer betroffenen Person beantwortet?

Nach Art. 13 des Gesetzes Nr. 6698 wird der Antrag so schnell wie möglich und spätestens innerhalb von 30 Tagen abgeschlossen. Identitätsprüfung und die Geheimnisse anderer Personen werden berücksichtigt.

Darf ein Rechtsanwalt eine Prozessakte in ChatGPT oder eine andere künstliche Intelligenz hochladen?

Ohne Prüfung der Verarbeitungs- und Übermittlungsvoraussetzungen je nach Produkt und Akte lässt sich weder „immer ja“ noch „immer nein“ sagen. Die Übermittlung einer identifizierbaren Akte in die Cloud kann als Datenübermittlung im Inland oder ins Ausland gelten und erfordert zusätzlich eine Rechtsgrundlage.

Ist die Speicherung einer Akte auf einem ausländischen Server in jedem Fall verboten?

Nein. Die geeigneten Übermittlungsvoraussetzungen und Schutzvorkehrungen des Art. 9 des Gesetzes Nr. 6698 sowie die Verarbeitungsgrundlage sind jedoch nach dem konkreten technischen Datenfluss zu bewerten. Die bloße Behauptung, der Server sei sicher, genügt nicht.

Ist bei Verlust einer physischen Prozessakte eine Meldung an den Rat erforderlich?

Es ist zu untersuchen, ob die Akte von unbefugten Dritten erlangt wurde oder ob hierfür ein konkretes Risiko besteht. Liegen die Voraussetzungen der gesetzlichen Meldung einer Verletzung vor, kommt eine Meldung an den Rat unverzüglich, in der Regel innerhalb von 72 Stunden ab Kenntniserlangung, in Betracht.

Darf rechtswidrige Software zur Telefon- oder Identitätsabfrage verwendet werden?

Nein. Der Grundsatzbeschluss des Rates Nr. 2019/308 legt die verwaltungsrechtlichen und justiziellen Folgen gegenüber Anwendungen, die Abfragen aus rechtswidrig erlangten Daten vornehmen, ausdrücklich dar. Ein Beweisbedürfnis legitimiert keine rechtswidrige Datenquelle.

Beschränken sich die Folgen einer Datenschutzverletzung auf eine Geldbuße nach dem KVKK?

Nein. Je nach den Voraussetzungen können neben der verwaltungsrechtlichen Sanktion nach dem KVKK zusätzlich vertraglicher Schadensersatz, die disziplinarische Verantwortlichkeit als Rechtsanwalt und strafrechtliche Folgen in Betracht kommen. In jedem Fall werden die konkrete Handlung und die rechtlichen Merkmale geprüft.

Quellen und rechtliche Grundlagen

1. Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu), Anwendungsleitfaden zum Schutz personenbezogener Daten bei der beruflichen Tätigkeit von Rechtsanwälten (Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi), KVKK-Veröffentlichungen Nr. 115, Juli 2026, Ankara. Vollständiger amtlicher Text.
2. Behörde für den Schutz personenbezogener Daten, Anwendungsleitfaden veröffentlicht (Uygulama Rehberi Yayımlandı) Amtliche Mitteilung.
3. Gesetz Nr. 6698 über den Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu), Art. 3–13, 16, 18, 28. Informationssystem für Rechtsvorschriften (Mevzuat Bilgi Sistemi).
4. Rechtsanwaltsgesetz Nr. 1136 (Avukatlık Kanunu), insbesondere Art. 2, 34, 36, 39, 44, 45, 56 und 171. Informationssystem für Rechtsvorschriften.
5. KVKK, Beschluss des Rates vom 14. Januar 2020, Nr. 2020/26. Amtliche Zusammenfassung des Beschlusses.
6. KVKK, Beschluss des Rates vom 2. April 2018, Nr. 2018/32 (Ausnahme von der Registerpflicht). Amtlicher Beschluss.
7. KVKK, Beschluss des Rates vom 22. März 2023, Nr. 2023/437 (Rolle der Anwaltsgesellschaft). Amtlicher Beschluss.
8. KVKK, Beschluss des Rates vom 9. Februar 2021, Nr. 2021/115 (bankbezogener Vorgang). Amtliche Zusammenfassung des Beschlusses.
9. KVKK, Beschluss des Rates vom 16. September 2021, Nr. 2021/925 (Daten zur Gewerkschaftszugehörigkeit). Amtliche Zusammenfassung des Beschlusses.
10. KVKK, Grundsatzbeschluss vom 18. Oktober 2019, Nr. 2019/308 (rechtswidrige Datenabfrageprogramme). Amtlicher Beschluss.
11. KVKK, Beschluss des Rates vom 31. Januar 2018, Nr. 2018/10 (Sicherheit besonderer Kategorien von Daten). Amtlicher Beschluss.
12. KVKK, Beschluss des Rates vom 24. Januar 2019, Nr. 2019/10, und Mitteilung zur Meldung von Verletzungen. Amtliche Information.
13. KVKK, Grundsatzbeschluss vom 18. Februar 2026, Nr. 2026/347 (Trennung von Information und ausdrücklicher Einwilligung). Amtliche Mitteilung.