Kurz gefasst: Der Conseil National des Barreaux hat 2026 seine Empfehlung zur Digitalisierung von Mandantenakten aktualisiert. Artikel 66-5 des Gesetzes von 1971 bleibt das Fundament, jedoch kommen sieben praktische Verpflichtungen hinzu — von denen mehrere bereits bei der Audit-Prüfung durch die Anwaltskammer kontrolliert werden. Hier erfahren Sie, welche das sind und wie ein bei Ihnen installierter digitaler Tresor diese erfüllt, ohne Ihre Kanzlei an einen ausländischen Anbieter zu binden.
Ihr Audit durch die Anwaltskammer steht in sechs Monaten an. Sie wissen, dass Sie erklären müssen, wie Sie das Berufsgeheimnis bei Unterlagen schützen, die Ihnen Mandanten senden — per E-Mail, WhatsApp oder über das geteilte Laufwerk, das Sie letztes Jahr notgedrungen eingerichtet haben. Der Gedanke bereitet Ihnen Unbehagen. Sie liegen richtig: Der Prüfungsleitfaden der Kontrolleure ist nicht mehr mit dem von 2019 vergleichbar.
Seit der letzten Aktualisierung der CNB-Empfehlung zur Digitalisierung verfügen die Prüfer über eine klare Liste zu überprüfender Punkte. Die meisten leiten sich direkt aus Artikel 66-5 des Gesetzes vom 31. Dezember 1971 ab, der das Berufsgeheimnis als absolut, allgemein und zeitlich unbegrenzt definiert. Der Rest ergibt sich aus der DSGVO, dem RIN und der seit 2020 gesammelten Rechtsprechung zu Datenlecks. Ein Überblick.
Was Artikel 66-5 genau besagt
Artikel 66-5 schützt „alle zwischen dem Mandanten und seinem Anwalt sowie zwischen Anwälten ausgetauschten Korrespondenzen“, mit Ausnahme derjenigen, die als „offiziell“ gekennzeichnet sind. Der Text dehnt diesen Schutz auf „Gesprächsnotizen und allgemeiner auf alle Dokumente der Akte“ aus. Der Begriff Dokument ist bewusst weit gefasst: Er umfasst das PDF, das Ihnen Ihr Mandant geschickt hat, den Scan, den Sie in der Kanzlei angefertigt haben, die Notiz, die Sie nach dem Gespräch gemacht haben, sowie die Excel-Tabelle mit der Chronologie, die Sie zur Vorbereitung der Klageschrift erstellt haben.
Die Konsequenz ist eindeutig: Sobald eines dieser Objekte Ihren kontrollierten Bereich verlässt — Ihr Gmail-Postfach, ein mit Ihrem Praktikanten geteiltes Laufwerk oder ein WeTransfer-Datenaustausch — ist das Geheimnis nicht mehr formell geschützt. Der Kassationshof hat dies mehrfach bekräftigt: Die digitale Materialisierung hebt die Verpflichtung nicht auf, sie verlagert sie auf denjenigen, der das Werkzeug auswählt.
Die 7 praktischen Verpflichtungen, die der Auditor prüft
1. Die Rückverfolgbarkeit von Zugriffen
Der Auditor möchte nachvollziehen können, wer in der Kanzlei wann und von welchem Endgerät aus auf eine bestimmte Akte zugegriffen hat. Ein geteiltes Laufwerk, das lediglich das Öffnen einer Datei protokolliert, reicht hierfür nicht aus. Es ist ein Audit-Log erforderlich, dessen Integrität Sie nachweisen können — das bedeutet, dass niemand, auch Sie selbst nicht, diesen nachträglich ändern kann.
2. Die Trennung nach Akten
Eine strikte Trennung ist ausdrücklich gefordert. Die Unterlagen einer Akte dürfen für Mitarbeiter, die nicht an dieser arbeiten, nicht zugänglich sein. Auf einem nach Ordnern strukturierten Laufwerk kann standardmäßig jeder alles sehen. In einem digitalen Tresor, der das Prinzip der minimalen Rechtevergabe anwendet, ist der Zugriff explizit und aktenbezogen geregelt.
3. Der beweiskräftige Zeitstempel des Eingangs
Wenn ein Mandant ein Dokument einreicht, müssen Sie nachweisen können, zu welchem Zeitpunkt es eingegangen ist – nicht wann es versendet wurde. Der Zeitstempel einer Gmail-Nachricht ist anfechtbar, da er vom E-Mail-Server abhängt. Ein Dokument hingegen, das in einem Tresor abgelegt wird, der Ihnen gehört und das Empfangsdatum in seinem unveränderbaren Log festhält, besitzt einen deutlich höheren Beweiswert.
4. Verschlüsselte Speicherung im Ruhezustand
Nicht nur die Verschlüsselung während der Übertragung (TLS), sondern auch die Verschlüsselung der Datei, während sie auf dem Datenträger ruht. Die meisten handelsüblichen Drives verschlüsseln nicht clientseitig. Ein professioneller Datentresor muss mindestens auf Ordnerebene verschlüsseln, idealerweise mit einem Schlüssel, dessen Kontrolle bei Ihnen verbleibt.
5. Nachweis der Löschung bei Abschluss des Dossiers
Die DSGVO schreibt eine begrenzte Aufbewahrungsdauer vor. Bei Abschluss eines Dossiers müssen Sie nachweisen können, dass die Dokumente gelöscht – oder in einer Form archiviert wurden, die dem ursprünglichen Zweck entspricht. Ein Drive, das alles auf unbestimmte Zeit speichert, ist nicht konform.
6. Widerstand gegen ausländische Beschlagnahmungsanordnungen
Wenn Ihre Dokumente bei einem amerikanischen Anbieter liegen – etwa TaxDome, HoneyBook, SuiteDash, Notion –, sind sie durch Anfragen gemäß dem Cloud Act zugänglich, ohne dass Sie davon erfahren. Das französische Berufsgeheimnis schützt nicht vor einer amerikanischen Beschlagnahmungsanordnung. Für eine Strafrechtskanzlei oder bei sensiblen Angelegenheiten ist dies ein K.o.-Kriterium.
7. Tatsächliche Datenportabilität
Die DSGVO gewährt dem Kunden ein Recht auf Datenportabilität. Anwälte müssen auf Anfrage Dokumente eines Dossiers in einem lesbaren Format aushändigen können. Mehrere SaaS-Lösungen machen diesen Vorgang so langsam oder qualitativ minderwertig, dass er in der Praxis entmutigend wirkt. Ein bei Ihnen installierter Datentresor exportiert eine ZIP-Datei in Sekunden.
Warum ein bei Ihnen installierter Datentresor alle sieben Punkte auf einmal erfüllt
Die Logik ist einfach. Wenn der Datentresor auf Ihrem WordPress läuft, gehostet bei OVH, Scaleway oder Infomaniak, haben Sie die Kontrolle über den Code, den Server und den rechtlichen Zuständigkeitsbereich. Rückverfolgbarkeit, Trennung, Zeitstempelung und Verschlüsselung werden zu Parametern, die Sie selbst steuern. Die Widerstandsfähigkeit gegenüber ausländischen Zugriffen ist mechanisch gegeben: Kein Drittanbieter hat Zugriff.
Genau das ist das Versprechen von Client Vault Pro: ein WordPress-Plugin, das Sie installieren, dessen Eigentümer Sie bleiben und das die sieben Audit-Pflichten abdeckt, ohne dass Sie sich mit einem ausländischen SaaS-Anbieter auseinandersetzen müssen. Sie behalten die Kontrolle, Ihre Kunden bleiben geschützt.
Was Sie ab diesem Monat tun können
Sie müssen nicht auf das Audit warten, um Fortschritte zu machen. Drei Schritte, in dieser Reihenfolge. Erstens: Erstellen Sie eine ehrliche Bestandsaufnahme. Listen Sie auf, wo sich heute die Dokumente Ihrer letzten zehn Akten befinden. Sie werden wahrscheinlich überrascht sein. Zweitens: Identifizieren Sie Ihren am stärksten exponierten Schwachpunkt — meist sind das Dokumente, die per WhatsApp oder unverschlüsselter E-Mail empfangen wurden. Drittens: Wählen Sie für die nächste Akte, die Sie öffnen, einen souveränen Kanal. Nicht für alle, nur für die nächste. Sie werden den Unterschied bei der Rückverfolgbarkeit ab der ersten Woche sehen.
Am Tag des Audits möchten Sie in der Lage sein, die sieben Fragen ohne Zögern zu beantworten. Der beste Weg zur Vorbereitung ist, nicht bis zum letzten Tag zu warten.
