06.08.2013 · Fachbeitrag · Datenschutz

Streng vertraulich: Aktenarchivierung und -vernichtung in der Anwaltskanzlei

| Tagtäglich arbeiten Kanzleien mit sensiblen Personendaten im Sinne des Bundesdatenschutzgesetzes (BDSG). Sie sind für Einhaltung und Umsetzung des Datenschutzes verantwortlich und haftbar. Das muss weder kompliziert noch teuer sein und ist auch nicht nur etwas für große Kanzleien. Zudem können Maßnahmen für Datensicherheit und -schutz sogar ausgelagert werden. Der folgende Beitrag zeigt, worauf Sie achten müssen, wenn Sie Mandantenakten datengesichert archivieren oder vernichten wollen. |

1. Aktenarchivierung

Für die Lagerung von Akten bieten sich verschiedene Möglichkeiten an. Da der Anwalt und seine Mitarbeiter zur Bearbeitung aktueller Fälle ständig Zugriff auf die entsprechenden Akten haben müssen, müssen Ordner und Mappen in den eigenen Räumen gelagert werden. Bei Feuer oder Einbruch besteht aber die Gefahr, dass der Verlust der Mandantenakten zu einem enormen Schaden für die Kanzlei führt. Durch feuersichere Aktenschränke oder Tresorschränke kann Vorsorge getroffen werden, die den Schaden durch Feuer oder Einbruch begrenzt. Doch worauf müssen Sie bei deren Anschaffung achten?

In Europa gibt es im Hinblick auf Tresore unterschiedliche Sicherheitsstufen. Die Zertifizierungen durch ECB•S (C 01 für Einbruch und C 02 für Feuer)  sowie VDS (2450), die auf Basis der europäischen Norm EN 1143-1 erstellt worden sind, geben die Garantie auf definierten Einbruch- bzw. Feuerschutz in der jeweiligen Sicherheitsstufe. Tresore nach diesen Normen sind typgeprüft und es ist somit eine gleichbleibende Qualität gewährleistet, die auch regelmäßig einer Kontrolle unterliegt. Möbeltresore der Sicherheitsstufe S2 zählen zu den sicheren Produkten ihrer Klasse. Die Schließsysteme sind stabil genug, um mechanische oder thermische Aufbruchsversuche abzuwehren. Das wichtigste Merkmal der Möbeltresore der Sicherheitsstufe S2 ist ihr Schutz gegen Brände.

Es ist auch möglich, das physische Aktenarchiv digitalisieren zu lassen. Prüfen Sie, ob die in Betracht kommenden Anbieter Folgendes gewährleisten:

Checkliste / Das müssen Sie bei der Angebotsprüfung beachten

Werden die Akten in einem verschlossenen und gesicherten Fahrzeug abgeholt und datengeschützt gescannt?

Kann der Anbieter auch geöste und gesiegelte Dokumente mit speziellem Scanner digitalisieren, sodass diese in ihrem Ursprungszustand verbleiben?

Ist das Ergebnis des Scan-Vorgangs für eine Langzeitarchivierung geeignet?

Kann Ihnen der Anbieter die digitalisierten Akten auf Ihrem Wunschmedium zur Verfügung stellen (CD, DVD oder in einem gesicherten Web-Archiv)?

Gehört zum Service auch die vorschriftsmäßige Aktenvernichtung, sobald die Fristen abgelaufen sind?

Eine weitere platzsparende Alternative bietet die externe Lagerung des internen Aktenarchivs. Zu diesem Zweck werden Akten in speziell dafür vorgesehene Archivkartonagen verpackt. Der Transport erfolgt anschließend durch verschlossene und gesicherte Fahrzeuge in das externe Archiv. Einige Anbieter ermöglichen es, über ein zugangsgesichertes Webportal nach Legitimation jederzeit den Bestand Ihrer Akten ‒ auch Einzelakten ‒ einzusehen und anzufordern.

Achtung | Die Lagerung und alle damit verbundenen Prozesse sollten  absolut datenschutzkonform sein.

2. Aktenvernichtung

Wollen Sie Ihre Akten selbst vernichten, ist die neue DIN-Norm 66399 zu  beachten. Sie eröffnet die Möglichkeit, Datenträger jederzeit direkt vor Ort durch den jeweils Verantwortlichen der Daten vernichten zu lassen. Um bei der Datenträgervernichtung dem Wirtschaftlichkeitsprinzip bzw. Angemessenheitsprinzip Rechnung zu tragen, ist es notwendig, die Daten in Schutzklassen einzuteilen. Dabei ist der Grad der Schutzbedürftigkeit ausschlaggebend für die Wahl der Sicherheitsstufe. Fallen Daten unterschiedlicher  Sicherheitsstufen an, wird eine Trennung in die verschiedenen Sicherheitsstufen empfohlen. Ist dies nicht möglich, muss die Vernichtung einheitlich gemäß der höheren Sicherheitsstufe erfolgen, um das Risiko unzureichender Vernichtung zu minimieren.

Checkliste / Die drei Schutzklassen zu vernichtender Daten

Bei der Schutzklasse 1 handelt es sich um einen normalen Schutzbedarf für interne Daten. Sie sind für größere Gruppen bestimmt und zugänglich. Unberechtigte Offenlegung hätte begrenzte negative Auswirkungen auf das Unternehmen. Der Schutz personenbezogener Daten muss gewährleistet sein. Beispiele für Informationen der Schutzklasse 1 sind nicht Knowhow-relevante Korrespondenz, personalisierte Werbung, Kataloge, Wurfsendungen und Notizen.

Schutzklasse 2 gilt für vertrauliche Daten mit hohem Schutzbedarf, die auf einen kleinen Personenkreis beschränkt sind. Die ungerechtfertigte Weitergabe hätte erhebliche Auswirkungen und könnte gegen vertragliche Pflichten oder Gesetze verstoßen. Der Schutz personenbezogener Daten muss hohen Anforderungen genügen. Beispiele sind Knowhow-relevante Korrespondenz wie Angebote, Anfragen, Memos, Aushänge und Personaldaten.

In der Schutzklasse 3 herrscht ein sehr hoher Schutzbedarf für besonders vertrauliche und geheime Daten mit Beschränkung auf einen kleinen, namentlich bekannten Kreis von Zugriffsberechtigten. Eine unberechtigte Weitergabe hätte ernsthafte, existenzbedrohende Auswirkungen und würde gegen Berufsgeheimnisse, Verträge und Gesetze verstoßen. Der Schutz personenbezogener Daten muss uneingeschränkt gewährleistet sein. Hierzu zählen Unterlagen der Geschäftsleitung, Finanzdaten und Verschlusssachen.

Möglich ist auch die externe Aktenvernichtung. Um Ihren Bedarf hierfür  abschätzen zu können, machen Sie am besten folgende Bestandsaufnahme und vergleichen Sie diese dann mit den Angeboten am Markt:

Fallen in Ihrer Kanzlei permanent Unterlagen zur Vernichtung an? Sollten entweder auf Abruf oder im vereinbarten Turnus abschließbare Behälter dauerhaft zur Verfügung gestellt und ausgetauscht werden?

Oder ist nur einmaliger bzw. seltener Bedarf (z.B. für die Entsorgung eines Archivs) gegeben? Kann der Anbieter für diese Fälle abschließbare Behälter in unterschiedlichen Größen für mehrere Tage zur Verfügung stellen?

Wollen Sie nur unregelmäßg kleinere Mengen entsorgen? Dann bieten sich eine Sofortbefüllung und die sofortige Mitnahme vor Ort an.

Bei der Auswahl eines kompetenten Dienstleisters, der die Kanzleiakten  datenschutzkonform vernichten soll, ist darauf zu achten, dass die Prozesse und Vernichtungsanlagen hermetisch gesichert sind, die Qualitätssicherung einer ständigen externen Überwachung unterliegt und die Prozess-Sicherheit nach DINEN ISO 9001 zertifiziert ist. Das bedeutet im Einzelnen, dass

Spezialbehälter mit höchsten Sicherheitsansprüchen bereitgestellt werden,

die Datenübernahme protokolliert wird,

der Transport in speziell gesicherten Fahrzeugen erfolgt,

das Betriebsgelände und der Vernichtungsbereich optisch, akustisch und elektronisch gesichert sind,

das Vernichtungsgut in hermetisch gesicherten Schleusen entladen wird

und die Vernichtung nach höchsten Sicherheitsstandards über das BDSG hinaus zertifiziert ist.

Aktenvernichtung ist Vertrauenssache. Am Markt finden sich viele Anbieter. Nach Information der Hans Soldan GmbH sollte die Vernichtung von Akten nach BDSG, DIN 32757-1 und DIN 66399 (Teil 1 und 2) mit hoher Sicherheitsstufe erfolgen und durch Zertifikat nachgewiesen werden.