Darf eine Kanzlei unverschlüsselt mit Mandanten mailen?

Stand: 14. Oktober 2026

Was § 2 Abs. 2 BORA regelt

Die Berufsordnung für Rechtsanwälte (BORA) verpflichtet Anwältinnen und Anwälte in § 2 Abs. 2, die zum Schutz des Mandatsgeheimnisses erforderlichen organisatorischen und technischen Maßnahmen zu ergreifen, die risikoadäquat und für den Anwaltsberuf zumutbar sind. Technische Maßnahmen sind nach der Vorschrift ausreichend, soweit sie im Anwendungsbereich des Datenschutzrechts dessen Anforderungen entsprechen; sonstige technische Maßnahmen müssen dem Stand der Technik entsprechen.

Für die E-Mail enthält dieselbe Vorschrift eine ausdrückliche Regel: Die Nutzung eines elektronischen oder sonstigen Kommunikationsweges, der mit Risiken für die Vertraulichkeit verbunden ist, ist jedenfalls dann erlaubt, wenn der Mandant zustimmt. Die Regel nennt die E-Mail nicht namentlich, erfasst sie aber ebenso wie andere Kanäle mit vergleichbaren Risiken. Grundlage ist die Verschwiegenheitspflicht aus § 43a Abs. 2 BRAO, die sich auf alles bezieht, was dem Anwalt in Ausübung seines Berufs bekannt geworden ist.

Wann eine Zustimmung des Mandanten vorliegt

§ 2 Abs. 2 BORA regelt auch, wann von einer Zustimmung auszugehen ist: wenn der Mandant den Kommunikationsweg vorschlägt oder beginnt und ihn fortsetzt, nachdem die Kanzlei zumindest pauschal und ohne technische Details auf die Risiken hingewiesen hat. Daraus ergeben sich drei praktische Folgen:

• Der Hinweis gehört an den Anfang. Schreibt ein Mandant zum ersten Mal per E-Mail, sollte die erste Antwort den pauschalen Risikohinweis enthalten. Erst die Fortsetzung danach trägt die unterstellte Zustimmung.
• Die Zustimmung gilt für den Kanal, nicht für jeden Inhalt. Ein Mandant, der Terminabsprachen per E-Mail erledigt, hat damit nicht zwingend akzeptiert, dass ihm Strafakten oder Gesundheitsunterlagen auf demselben Weg geschickt werden. Bei besonders sensiblen Inhalten empfiehlt es sich, gesondert nachzufragen.
• Die Zustimmung sollte dokumentiert sein. Kommt es später zum Streit, muss die Kanzlei belegen können, dass der Hinweis erteilt wurde. Ein Satz im Mandatsvertrag oder in der Vollmacht mit ausdrücklicher Zustimmung ist dafür eindeutiger als eine Kette von E-Mails.

Ein pauschaler Hinweis muss nach dem Wortlaut der Vorschrift keine technischen Details enthalten. Es genügt, verständlich zu sagen, dass unverschlüsselte E-Mails auf dem Weg und in Postfächern von Dritten gelesen oder verändert werden können und dass die Kanzlei auf Wunsch einen sichereren Weg anbietet. Wichtig ist, dass der Hinweis tatsächlich beim Mandanten ankommt, also nicht nur in einer Fußzeile steht, die niemand liest, sondern in der Nachricht selbst oder in den Mandatsunterlagen.

Umgekehrt gilt: Lehnt ein Mandant die E-Mail ab, muss die Kanzlei einen anderen Weg anbieten.

Was die Datenschutzaufsicht zusätzlich verlangt

§ 2 Abs. 5 BORA stellt klar, dass die Vorschriften zum Schutz personenbezogener Daten unberührt bleiben. Die berufsrechtliche Zustimmung beantwortet also nicht die Frage, ob der Versand datenschutzrechtlich zulässig ist. Dazu hat die Datenschutzkonferenz (DSK) eine Orientierungshilfe zur Übermittlung personenbezogener Daten per E-Mail veröffentlicht, die auf Art. 5 Abs. 1 lit. f, Art. 25 und Art. 32 DSGVO beruht.

Nach der Orientierungshilfe müssen alle Verantwortlichen beim Versand eine obligatorische Transportverschlüsselung sicherstellen. Besteht ein hohes Risiko für die betroffenen Personen, sind regelmäßig eine Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung erforderlich. Für Berufsgeheimnisträger enthält die Orientierungshilfe einen eigenen Abschnitt: Das Vorliegen eines Berufsgeheimnisses könne ein Indiz für ein hohes Risiko sein, und Berufsgeheimnisträger hätten die Höhe des Risikos besonders zu prüfen. Dass eine Offenbarung straf- oder berufsrechtlich nicht verboten ist, bedeutet nach der DSK nicht automatisch, dass sie datenschutzrechtlich zulässig ist.

In der Praxis scheitert die Ende-zu-Ende-Verschlüsselung per E-Mail häufig auf Seiten der Mandanten: Die Verfahren S/MIME und OpenPGP, die die DSK nennt, setzen voraus, dass der Empfänger ein Zertifikat oder einen Schlüssel besitzt und einrichtet. Privatpersonen haben das selten. Wo diese Voraussetzung fehlt, bleibt der Kanzlei bei hohem Risiko nur ein anderer Kanal, der die Verschlüsselung selbst mitbringt, etwa ein Portal, in dem sich der Mandant anmeldet. Die DSK sieht ausdrücklich vor, dass ein anderer Weg zu wählen ist, wenn die Anforderungen an die E-Mail nicht erfüllt werden können.

Die Orientierungshilfe betrachtet nur den Transportweg. Dass E-Mails danach dauerhaft in Postfächern liegen, auch beim Mandanten und dessen Anbieter, ist ein zusätzliches Risiko, das sie ausdrücklich nicht behandelt.

Welcher Kanal für welchen Inhalt

Aus Berufsrecht und Datenschutz lässt sich eine einfache Abstufung ableiten. Sie ersetzt nicht die Prüfung im Einzelfall, hilft aber, eine Kanzleiregel zu formulieren, an die sich alle halten können:

Messenger-Dienste fallen unter dieselbe Logik wie die E-Mail: § 2 Abs. 2 BORA spricht allgemein von elektronischen oder sonstigen Kommunikationswegen. Wer einen Messenger nutzt, braucht also ebenfalls die Zustimmung des Mandanten und muss die datenschutzrechtliche Prüfung, einschließlich der Frage nach dem Anbieter und dessen Serverstandort, gesondert führen.

Was eine Kanzleiregel enthalten sollte

In vielen Kanzleien entscheidet jede Person selbst, wie sie mit Mandanten kommuniziert. Das führt zu Lücken, die erst im Streitfall sichtbar werden. Eine kurze schriftliche Regel schafft Klarheit:

1. Welche Kanäle die Kanzlei anbietet und welcher der Standard für Mandatsinhalte ist.
2. Der Wortlaut des pauschalen Risikohinweises nach § 2 Abs. 2 BORA, damit er einheitlich verwendet wird.
3. Wo die Zustimmung des Mandanten dokumentiert wird.
4. Welche Inhalte nie unverschlüsselt per E-Mail verschickt werden, unabhängig von einer Zustimmung.
5. Wie mit Unterlagen umgegangen wird, die Mandanten unaufgefordert per E-Mail oder Messenger schicken.

Gleichzeitig sollten die Mitarbeitenden nach § 43a Abs. 2 BRAO in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen belehrt sein. Die Kommunikationsregel ist ein naheliegender Teil dieser Belehrung.

Wie kanzleifox die Mandantenkommunikation absichert

kanzleifox ist ein Mandantenportal von hubfox. Nachrichten und Dokumente werden je Akte ausgetauscht; der Mandant meldet sich mit seinem Aktenzeichen an und erteilt beim ersten Login eine versionierte Einwilligung, die die Kanzlei abrufen kann. Dokumente liegen mit AES-256-GCM verschlüsselt, sensible Dateien lassen sich im Browser Ende-zu-Ende verschlüsseln. E-Mail-Benachrichtigungen enthalten nie Akteninhalte, sondern nur den Hinweis auf eine neue Nachricht. Lesebestätigungen zeigen, wann der Mandant ein Dokument zuerst geöffnet hat.

Wenn Sie wissen möchten, ob kanzleifox zu Ihrer Kanzlei passt, schreiben Sie an kontakt@hubfox.de oder lesen Sie weiter auf der Startseite.

Häufige Fragen

Quellen

• Berufsordnung für Rechtsanwälte (BORA), Fassung vom 01.12.2025, BRAK
• § 43a BRAO Grundpflichten
• DSK: Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail (Stand 16.06.2021)
• Datenschutz-Grundverordnung, Textausgabe der BfDI (Info 1, Stand März 2026)

Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.