In einer Unfallakte stehen Name, Anschrift, Fahrzeugdaten, Angaben zum Unfallhergang, Fotos, gelegentlich Angaben zu Verletzungen und eine Bankverbindung. Das ist ein erheblicher Bestand personenbezogener Daten, und die Verantwortung dafür liegt beim Büro, nicht beim Softwareanbieter.
WER WOFÜR VERANTWORTLICH IST
Das Büro ist Verantwortlicher im Sinne der Datenschutzgrundverordnung. Es entscheidet, welche Daten es zu welchem Zweck verarbeitet. Der Softwareanbieter ist Auftragsverarbeiter: Er stellt die Verarbeitung technisch bereit und handelt dabei nach den Weisungen des Büros.
Diese Konstellation verlangt einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Er ist Bestandteil der Lizenz und regelt unter anderem Zweck und Umfang der Verarbeitung, technische und organisatorische Maßnahmen, den Einsatz weiterer Dienstleister, Löschung und Rückgabe sowie die Pflichten bei Datenschutzvorfällen.
Ohne diesen Vertrag darf ein Büro eine solche Software nicht einsetzen. Das gilt unabhängig vom Anbieter und ist der erste Punkt, den eine Kanzlei oder ein Datenschutzbeauftragter prüft.
SERVERSTANDORT
Die Verarbeitung findet auf Servern in Deutschland statt. Das erspart die Prüfung von Drittlandübermittlungen, die andernfalls zusätzlich zu dokumentieren und zu rechtfertigen wäre.
DER SONDERFALL KI-ZUGANG
Eine Ausnahme ist ausdrücklich zu nennen. Wird die KI-Ersteinschätzung aus Kapitel 12 genutzt, werden Daten an den KI-Dienst übermittelt, dessen Zugang das Büro selbst gestellt hat. Diese Verarbeitung liegt damit in der Verantwortung des Büros und gehört in dessen Verzeichnis von Verarbeitungstätigkeiten und in die Datenschutzhinweise. Der Vertrag zur Auftragsverarbeitung stellt das klar.
Wer die Funktion nicht nutzt, hat diesen Punkt nicht.
VERSCHWIEGENHEIT BEI KANZLEIEN
Für Anwaltskanzleien kommt die berufsrechtliche Verschwiegenheit hinzu, die über den Datenschutz hinausgeht und strafbewehrt ist. Die technische Antwort darauf ist die Rollentrennung aus Kapitel 17 und die Vertraulichkeitsmarkierung aus Kapitel 15. Die vertragliche Antwort steht im Auftragsverarbeitungsvertrag.
WAS DAS FÜR DEN GESCHÄDIGTEN BEDEUTET
Seine Daten liegen in Deutschland, werden zweckgebunden verarbeitet und sind nicht für jeden Beteiligten vollständig einsehbar. Er kann seine Rechte nach der Datenschutzgrundverordnung gegenüber dem Büro geltend machen, das seinen Fall bearbeitet.
WAS DAS FÜR DICH ALS SACHVERSTÄNDIGEN BEDEUTET
Du bekommst die Unterlagen, die du für deine eigene Dokumentation brauchst, statt sie selbst erarbeiten zu müssen. Verantwortlich bleibst du trotzdem. Der Vertrag nimmt dir die Pflichten nicht ab, er erfüllt eine davon.