Das revidierte Bundesgesetz über den Datenschutz (revDSG, in der Westschweiz als nLPD bekannt) ist am 1. September 2023 in Kraft getreten. Für Juristinnen und Juristen bringt es Pflichten, die über die früheren Anforderungen hinausgehen. Digitale Werkzeuge in der Kanzlei einzusetzen, ohne diese Pflichten zu kennen, ist keine vertretbare Option mehr.
Dieser Beitrag konzentriert sich darauf, was Schweizer Anwältinnen und Anwälte beim Einsatz von KI-gestützter Software, Cloud-Speicher, Dokumentenmanagement-Plattformen und Kommunikationswerkzeugen wissen müssen.
Was sich gegenüber dem alten DSG geändert hat
Der bisherige Schweizer Datenschutzrahmen stammte aus dem Jahr 1992. Das revDSG bringt die Schweiz weitgehend in Einklang mit den Grundsätzen der DSGVO und wahrt zugleich Schweizer Eigenheiten. Die für die Anwaltschaft wichtigsten Änderungen sind:
- Obligatorische Datenschutz-Folgenabschätzung bei Bearbeitungen mit hohem Risiko
- Ausdrückliche Pflichten rund um automatisierte Einzelentscheidungen
- Strengere Regeln für Datenbekanntgaben ins Ausland
- Meldepflicht für Verletzungen der Datensicherheit an den EDÖB, so rasch als möglich, wenn die Verletzung voraussichtlich ein hohes Risiko für die betroffene Person mit sich bringt
- Neue Rechte der betroffenen Personen: Datenherausgabe und Erläuterung automatisierter Entscheidungen
Wie es speziell für Anwältinnen und Anwälte gilt
Das Anwaltsgeheimnis befreit nicht vom revDSG. Beide Pflichten bestehen nebeneinander: Sie müssen Mandantengeheimnisse nach den Standesregeln schützen und zugleich das Datenschutzrecht einhalten, wenn Sie Personendaten bearbeiten.
Der zentrale Berührungspunkt ist die Kanzleisoftware. Wenn Sie Mandantendossiers, Korrespondenz, Gerichtsakten oder Aktennotizen in einem digitalen System ablegen, bearbeiten Sie Personendaten. Stammt dieses System von einem Dritten, etwa einem SaaS-Anbieter, einem Cloud-Speicher oder einem Diktatdienst, so beauftragen Sie einen Auftragsbearbeiter.
Auftragsbearbeitungsverträge: was Sie brauchen
Beauftragt eine Anwältin oder ein Anwalt als Verantwortlicher einen Softwareanbieter als Auftragsbearbeiter, ist nach revDSG ein Auftragsbearbeitungsvertrag erforderlich. Er muss festhalten: Art und Zweck der Bearbeitung, die betroffenen Datenkategorien, die technischen und organisatorischen Sicherheitsmassnahmen, die Regelung zu Unterauftragsbearbeitern sowie die Löschpflichten.
Kann Ihr SaaS-Anbieter keinen konformen Vertrag vorlegen, oder speichert er Daten ohne angemessene Garantien ausserhalb der Schweiz, tragen Sie ein Haftungsrisiko nach revDSG.
Bekanntgabe ins Ausland und Hosting in der Schweiz
Eine der praktisch bedeutsamsten Fragen für Schweizer Kanzleien ist die Datenbekanntgabe ins Ausland. Das revDSG verlangt einen angemessenen Schutz, bevor Personendaten ins Ausland gelangen dürfen. Der Bundesrat führt eine Liste der Staaten mit angemessenem Schutzniveau.
In der Praxis heisst das: Juristische KI-Werkzeuge, die Schweizer Mandantendaten auf Servern in den USA oder in der EU bearbeiten, benötigen entweder einen Angemessenheitsbeschluss, Standardvertragsklauseln oder verbindliche unternehmensinterne Datenschutzvorschriften. Viele internationale SaaS-Anbieter haben die Schweizer Besonderheiten nicht ausreichend adressiert. Sich allein auf die DSGVO-Konformität zu berufen, genügt nicht.
Aus diesem Grund sind in der Schweiz gehostete Lösungen, bei denen Daten auf Schweizer Staatsgebiet bearbeitet und gespeichert werden, für Kanzleien der sauberere Weg zur Compliance.
Praktische Checkliste für Legal-Tech-Compliance
Bevor Sie ein digitales Werkzeug in Ihrer Kanzlei einführen, gehen Sie die folgenden Punkte durch:
- Hat der Anbieter einen revDSG-konformen Auftragsbearbeitungsvertrag vorgelegt?
- Wo werden die Daten bearbeitet und gespeichert: Schweiz, EU oder anderswo?
- Wurde für Bearbeitungen mit hohem Risiko eine Datenschutz-Folgenabschätzung durchgeführt, etwa bei KI-gestützter Dokumentenanalyse?
- Sind Unterauftragsbearbeiter offengelegt und vertraglich abgedeckt?
- Wie sieht der Meldeprozess des Anbieters bei Datenschutzverletzungen aus, und welche Fristen gelten?
- Können Mandantendaten auf Verlangen gelöscht oder exportiert werden?