Kurz gefasst: Kunden stellen immer häufiger Fragen zur Sicherheit ihrer Daten. Fünf dieser Fragen kehren bei jeder sensiblen Akte wieder. Hier sind die fundierten Antworten, die rechtlichen Referenzen, auf die Sie sich beziehen sollten, sowie eine E-Mail-Vorlage, die Sie sofort verwenden können, um diese Fragen als Beweis für Ihre Seriosität zu nutzen.
Vor 2020 war ein Kunde, der fragte: „Wo befinden sich meine Daten?“, die Ausnahme. Heute ist dies bei anspruchsvollen Mandaten fast die Norm — bei Scheidungen mit Vermögenswerten, M&A-Due-Diligence, Strafanzeigen, komplexen Patientenakten oder internationaler Steuerberatung. Die Frage ist kein Zeichen von Misstrauen mehr. Es ist ein Zeichen für die Reife des Kunden. Eine fundierte Antwort darauf zu geben, wird zu einem Wettbewerbsvorteil.
Ich habe die fünf Fragen aufgelistet, die meine Nutzer von Client Vault am häufigsten erhalten. Für jede Frage finden Sie eine fundierte Antwort, den präzisen rechtlichen Verweis und einen praktischen Kasten. Am Ende finden Sie eine E-Mail-Vorlage, die Sie unverändert übernehmen können.
Frage 1: „Wo werden meine Daten gespeichert?“
Die ehrliche Antwort besteht aus drei Elementen. Erstens der physische Standort des Servers – bei welchem Hoster und in welchem Land. Zweitens die Gerichtsbarkeit des Softwareherstellers – dies bestimmt das Risiko durch den Cloud Act. Drittens die Dauer und der Mechanismus der Datenspeicherung.
Eine Kanzlei, die auf digitale Souveränität setzt, kann antworten: „Ihre Dokumente werden auf unserer eigenen Infrastruktur gespeichert, die bei [OVH/Scaleway/Infomaniak] in Frankreich gehostet wird. Kein Drittanbieter hat Zugriff darauf. Die Speicherung ist auf die Dauer der Aktenführung zuzüglich der gesetzlichen Aufbewahrungsfrist begrenzt, danach werden die Daten gelöscht.“ Das ist kurz, präzise und rechtssicher. Referenz: DSGVO Artikel 5.1.b (Zweckbindung) und 5.1.e (Speicherbegrenzung).
Frage 2: « Wer kann meine Dokumente lesen? »
Der Mandant möchte wissen, wer in Ihrer Kanzlei konkret Zugriff auf seine Unterlagen hat. Die Antwort muss das Prinzip benennen — der Zugriff ist auf die mit dem Dossier betrauten Mitarbeiter beschränkt — und den Mechanismus präzisieren — jeder Zugriff wird in einem Audit-Log protokolliert, von dem der Mandant einen Auszug anfordern kann.
Bei einem klassischen freigegebenen Drive ist diese Antwort schwer einzuhalten. Bei einem nach Dossiers konfigurierten Tresor geschieht dies automatisch. Referenz: DSGVO Artikel 32 (Sicherheit der Verarbeitung) und Artikel 5.1.f (Integrität und Vertraulichkeit).
Frage 3: « Was, wenn Sie gehackt werden? »
Der Mandant verlangt keine Garantie für absolute Einbruchsicherheit — er weiß, dass es diese nicht gibt. Er möchte drei Dinge wissen: Wie lange Sie benötigen, um einen Einbruch zu erkennen. Wie Sie ihn informieren werden. Wie viele Daten im Ernstfall exponiert wären.
Die Antwort ist dreigeteilt. Erstens: Ihre Installation wird überwacht — entweder durch Ihren WordPress-Dienstleister oder einen von Ihnen benannten Monitoring-Service. Zweitens: Im Falle einer Verletzung, die ein Risiko für den Mandanten darstellen könnte, benachrichtigen Sie die CNIL innerhalb von 72 Stunden sowie den betroffenen Mandanten unverzüglich. Drittens: Die Verschlüsselung im Ruhezustand (at rest) begrenzt die Auswirkungen eines Einbruchs auf einen Teilbereich des Dossiers — nicht auf das gesamte Volumen. Referenz: DSGVO Artikel 33 (Meldung an die Aufsichtsbehörde) und Artikel 34 (Benachrichtigung der betroffenen Person).
Frage 4: « Kann ich alle meine Daten zurückerhalten, wenn das Dossier abgeschlossen ist? »
Das ist das Recht auf Datenübertragbarkeit. Der Kunde kann dies jederzeit verlangen, nicht nur bei Vertragsbeendigung. Ihre Pflicht: Sie müssen die bereitgestellten Dokumente in einem strukturierten, gängigen und maschinenlesbaren Format zurückgeben. Konkret: eine ZIP-Datei mit den Originaldateien und einem Index.
Viele SaaS-Anbieter machen diesen Vorgang so langsam oder qualitativ minderwertig — durch proprietäre Formate, Screenshots oder verlorene Metadaten —, dass sie faktisch gegen geltendes Recht verstoßen. Ein bei Ihnen installiertes Vault exportiert in Sekundenschnelle ein sauberes ZIP-Archiv. Referenz: DSGVO Artikel 20 (Recht auf Datenübertragbarkeit).
Frage 5: „Können meine Daten ins Ausland gelangen?“
Dies ist die heikelste Frage, da sie weniger von Ihrer Absicht als vielmehr von der Architektur Ihrer Tools abhängt. Wenn Sie TaxDome, Notion, HoneyBook, Dropbox oder ein anderes US-amerikanisches SaaS nutzen, lautet die ehrliche Antwort: „Ja, jederzeit durch eine Anforderung gemäß CLOUD Act, ohne dass ich dies verhindern kann“. Wenn Sie eine souveräne Installation nutzen, die in Frankreich gehostet wird, lautet die ehrliche Antwort: „Nein, aufgrund der technischen Konzeption“.
Dieser Unterschied ist kein Marketing. Es ist eine überprüfbare rechtliche Tatsache. Für einen Kunden, bei dem strategische oder strafrechtliche Risiken bestehen, ist dies oft der ausschlaggebende Punkt, sich für Sie zu entscheiden und nicht für einen Konkurrenten, der keine Kontrolle hat. Referenz: Schrems II-Urteil (16. Juli 2020) und US CLOUD Act (März 2018).
E-Mail-Vorlage für Kunden, die diese Fragen stellen
« Hallo [Prénom],
Sie haben mich nach der Sicherheit Ihrer Daten gefragt. Ich danke Ihnen für diese Frage – genau diese Art von Wachsamkeit empfehle ich allen meinen Kunden. Hier sind die sachlichen Fakten, auf die Sie sich stützen können. Ihre Dokumente werden in meiner Client Vault-Installation gespeichert, die bei [OVH] in Frankreich gehostet wird. Kein Drittanbieter hat Zugriff darauf. Die interne Einsichtnahme ist auf [Maître X] und mich beschränkt, und jeder Zugriff wird protokolliert. Im Falle eines Zwischenfalls würden Sie unverzüglich und die CNIL innerhalb von 72 Stunden benachrichtigt werden. Bei Abschluss des Dossiers werde ich Ihnen auf Wunsch alle Dokumente in einer verwertbaren ZIP-Datei aushändigen. Keine ausländische Anordnung kann konstruktionsbedingt auf Ihre Daten zugreifen. Wenn Sie weitere technische Details wünschen, steht Ihnen meine Tür offen. Beste Grüße, [Signature] »
Diese E-Mail ist in zwei Minuten personalisiert. Sie verwandelt eine potenziell unangenehme Frage in einen Beweis für Ihre Seriosität. Und sie beruhigt genau die Kunden, die Sie am besten bezahlen.
