Praxisorganisation

Dienstleister und Anwendungen mit Zugang zu Mandantendaten

Register mit Verschwiegenheitsverpflichtung, Vertrag zur Auftragsverarbeitung und den Unterlagen je Dienstleister oder Anwendung, Stand 03.10.2026

1Kurz erklärt

Wer Dienstleistern den Zugang zu Tatsachen eröffnet, die der Verschwiegenheit unterliegen, wählt sie sorgfältig aus (§ 50a Abs. 2 WPO), schließt den Vertrag in Textform und verpflichtet sie unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit (§ 50a Abs. 3 WPO). Verarbeitet der Dienstleister personenbezogene Daten im Auftrag, braucht es einen Vertrag zur Auftragsverarbeitung (Art. 28 Abs. 3 DSGVO). Das Register hält beides je Dienstleister fest.

Das Register pflegt die Organisations-Administration; alle Kanzlei-Mitglieder lesen es.

2Ablauf

3So gehen Sie vor

Öffnen. Praxisorganisation, dann Dienstleister.
Vorschläge übernehmen. Unter Vorschlagsliste kreuzen Sie an, was Ihre Praxis tatsächlich nutzt, und klicken Ausgewählte übernehmen. Die Einträge erscheinen als Vorschlag im Register.
Von Hand erfassen. Was nicht in der Liste steht, erfassen Sie unter Dienstleister von Hand erfassen mit Name, Zweck und Art.
Aus dem Vertrag eintragen. Beim Eintrag Prüfen und bestätigen öffnen: Vertragspartner, Sitz und Ort der Leistung, ob der Dienstleister Zugang zu verschwiegenheitspflichtigen Tatsachen hat und ob er personenbezogene Daten verarbeitet, und je Vertrag liegt vor, offen oder nicht erforderlich mit Datum. Speichern.
Bestätigen. Mit Bestätigen, in Nutzung seit und dem Datum wird der Eintrag aktiv. Ein Vorschlag, den Sie nicht nutzen, verschwindet mit Vorschlag entfernen.
Beenden. Endet die Nutzung, öffnen Sie Bearbeiten oder beenden und klicken Beenden, Enddatum. Der Eintrag bleibt mit Enddatum stehen.
Unterlagen ablegen. Unter jedem Eintrag steht Unterlagen. Mit Unterlage hinzufügen laden Sie den Vertrag zur Auftragsverarbeitung, die Verschwiegenheitsverpflichtung, den Vertrag oder die Nutzungsbedingungen, die technischen und organisatorischen Maßnahmen, Zertifikate oder die Liste der Unterauftragsverarbeiter hoch (höchstens 25 MB je Datei). Ein Vertrag zur Auftragsverarbeitung oder eine Verschwiegenheitsverpflichtung setzt einen offenen Vertragsstand des Eintrags auf liegt vor, mit dem Datum der Unterlage.
Jährlich durchsehen. Sobald mindestens ein Dienstleister aktiv ist, bestätigen Sie unter Jährliche Durchsicht, dass Sie Zweck, Ort und Verträge aller aktiven Einträge geprüft haben.

Ein bestätigter Dienstleister lässt sich nicht löschen, nur beenden, und eine Unterlage nur am Tag des Hochladens entfernen. So bleibt nachweisbar, wer wann Zugang hatte und auf welcher vertraglichen Grundlage. Jede Unterlage trägt eine Prüfsumme; die Praxisakte führt alle Unterlagen mit Prüfsumme auf.

4Was gilt, und wann nicht

Frage	Antwort	Grundlage
Muss der Dienstleister zur Verschwiegenheit verpflichtet werden?	Ja, wenn er Zugang zu verschwiegenheitspflichtigen Tatsachen erhält; nicht, wenn er hinsichtlich der Dienstleistung selbst gesetzlich zur Verschwiegenheit verpflichtet ist.	§ 50a Abs. 3 WPO, § 50a Abs. 7 Satz 2 WPO
Wie weit darf der Zugang gehen?	Nur soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist.	§ 50a Abs. 1 WPO
Dienstleistung im Ausland?	Nur, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist; für personenbezogene Daten zusätzlich die Regeln für Übermittlungen in Drittländer.	§ 50a Abs. 4 WPO, Art. 44 DSGVO
Zugang zu fremden Geheimnissen bei Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen?	Nur mit Einwilligung des Mandanten.	§ 50a Abs. 5 WPO
Form des Vertrags zur Auftragsverarbeitung?	Schriftlich, was auch in einem elektronischen Format erfolgen kann.	Art. 28 Abs. 9 DSGVO

5Gut zu wissen

Ein Register schreibt das Gesetz nicht vor. Es macht den Vertragsstand nachweisbar und dient zugleich der Pflicht zur Auftragsverarbeitung (siehe Was zählt wo).
Die Pflicht Dienstleister mit Zugang zu Mandantendaten ist erst erfüllt, wenn kein aktiver Eintrag einen offenen Vertrag hat und kein Vorschlag mehr unbestätigt ist.
Bei Anbietern mit Sitz außerhalb der EU nennt der Vorschlag die Prüfpunkte; übernehmen Sie Vertragspartner und Ort der Leistung immer aus Ihrem Vertrag.