News
Längere Speicherdauer für Daten bei Wahrnehmung der Aufgabe der internen Meldestelle durch Syndikusrechtsanwälte
Viele deutsche Unternehmen sind entweder schon jetzt oder spätestens ab Mitte Dezember 2023 dazu verpflichtet, eine interne Meldestelle für Hinweisgeber einzurichten. In einigen Fällen werden die Aufgaben der internen Meldestelle von Mitarbeitern aus der Rechtsabteilung wahrgenommen, die als Syndikusrechtsanwälte zugelassen sind. Geht bei einem solchen Unternehmen eine Hinweismeldung ein, so ist diese von den Syndikusrechtsanwälten der internen Meldestelle zu dokumentieren. In dieser Konstellation treffen Aufbewahrungs- und Löschpflichten aus dem Hinweisgeberschutzgesetz (HinSchG) einerseits und Aufbewahrungspflichten der Bundesrechtsanwaltsordnung (BRAO) andererseits aufeinander. Die Aufbewahrungspflicht für Handakten aus § 50 Abs. 1 BRAO beträgt 6 Jahre und damit also doppelt so lange, wie die Regelaufbewahrungsfrist aus § 11 Abs. 5 Satz 1 HinSchG.
Gerade im Bereich Hinweisgeberschutz kann es im Interesse eines Unternehmens sein, Hinweismeldungen und damit im Zusammenhang stehende Dokumente möglichst lange aufzubewahren. Beispielsweise zur Verteidigung gegen einen Vorwurf eines Mitarbeiters, eine Benachteiligung habe aufgrund einer von ihm erteilten Hinweismeldung stattgefunden. Aber auch fernab dessen wird es in der Natur der im Bereich Hinweisgeberschutz erfolgenden Datenverarbeitungen liegen, dass Unternehmen solche Daten lieber länger aufbewahren als zu früh zu löschen. Die Anwendung der BRAO-Vorschrift könnte Unternehmen in dem Zusammenhang die Möglichkeit bieten, eine Rechtsgrundlage für eine Speicherdauer von mehr als 3 Jahren zu haben.
Zunächst stellt sich allerdings die vorgelagerte Frage, ob § 50 Abs. 1 BRAO überhaupt auf Syndikusrechtsanwälte anwendbar ist, wenn diese die Aufgabe der internen Meldestelle im Unternehmen wahrnehmen. In diesem Newsbeitrag beantworten wir die eben benannte Vorfrage und gehen anschließend darauf ein, welche Aufbewahrungs- und Löschpflichten bei Wahrnehmung der Aufgabe der internen Meldestelle durch Syndikusrechtsanwälte zu beachten sind.
Anwendbarkeit des § 50 Abs. 1 BRAO auf Syndikusrechtsanwälte
Grundsätzlich enthält die BRAO Vorschriften, welche für Rechtsanwälte und für Syndikusrechtsanwälte gelten. Nach § 46 c Abs. 1 BRAO sind nämlich die Vorschriften für Rechtsanwälte auch auf Syndikusrechtsanwälte anwendbar, soweit nicht an einer Stelle geregelt wird, dass einzelne Vorschriften aus der BRAO ausnahmsweise nicht für Syndikusrechtsanwälte gelten. Die Ausnahmen, in denen die BRAO doch nicht auf Syndikusrechtsanwälte anwendbar ist, regelt der § 46 Abs. 3 BRAO. Diese Norm nimmt auch explizit auf § 50 BRAO Bezug. Das ist genau jene Vorschrift, welche die Regelung zur Aufbewahrung von Handakten enthält.
In § 46 Abs. 3 BRAO ist allerdings geregelt, dass nur § 50 Abs. 2 und 3 BRAO nicht auf Syndikusrechtsanwälte anwendbar sind. Das heißt im Umkehrschluss, dass § 50 Abs. 1 BRAO, der die Aufbewahrungspflicht von Handakten regelt, auf den Syndikusrechtsanwalt anwendbar sein muss. Der Gesetzgeber hat sich also sogar explizit damit auseinandergesetzt, welche Regelungen des § 50 BRAO nicht für Syndikusrechtsanwälte gelten sollen und welche nicht. Dabei ist der Gesetzgeber offensichtlich zum Entschluss gekommen, dass die Bestimmungen über das Führen von Handakten und deren Aufbewahrung auch auf Syndikusrechtsanwälte anwendbar sein sollen.
Im Ergebnis bedeutet dies, also dass § 50 Abs. 1 BRAO definitiv auch genauso für Syndikusrechtsanwälte gilt, wie es für „gewöhnliche“ Rechtsanwälte der Fall ist. Wenn ein Syndikusrechtsanwalt die Aufgabe der internen Meldestelle wahrnimmt, dann gilt für die dabei vorgenommenen Tätigkeiten also auch der § 50 Abs. 1 BRAO. Unter dieser Vorschrift sind Syndikusrechtsanwälte als Bestandteil der internen Meldestelle dazu verpflichtet, Handakten zu führen und diese für 6 Jahre ab Ende des Kalenderjahres aufzubewahren, in dem ein Auftrag beendet wurde.
Speicherdauer in HinSchG unter Beachtung der BRAO
Das HinSchG enthält die Regelvorgabe, dass die Dokumentation zu einer Hinweismeldung drei Jahre aufzubewahren und danach zu löschen ist. In vorherigen Entwürfen im Gesetzgebungsverfahren war lange 2 Jahre als starre Frist vorgesehen und es gab keinen Anhaltspunkt dafür, dass länger andauernde Aufbewahrungsfristen aus anderen Gesetzen vorrangig gelten sollten. Die Aufbewahrungsdauer wurde in der letzten Phase des Gesetzgebungsverfahrens verlängert und sieht in der aktuellen Fassung auch vor, dass andere Aufbewahrungspflichten aus anderen Gesetzen mit bedacht werden können. Fernab der Vorgaben aus § 11 Abs. 5 HinSchG ist für den Syndikusrechtsanwalt entscheidend, die einschlägigen Aufbewahrungs- und Löschpflichten aus den verschiedenen Regelwerken zu kennen, ihnen nachzukommen und die Dokumentation ordnungsgemäß zu führen. Dazu zählt auch der § 50 Abs. 1 BRAO.
Abweichend von der Regelfrist von 3 Jahren kann die Dokumentation nach § 11 Abs. 5 Satz 2 HinSchG länger aufbewahrt werden, um die Anforderungen nach dem HinSchG oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist. Man kann also auch zum Ergebnis kommen, dass für Pflichten aus dem HinSchG im Einzelfall eine Aufbewahrung für länger als 3 Jahre erlaubt sein kann. Daneben gibt es noch die Möglichkeit, sich auf längere Aufbewahrungsfristen in anderen Gesetzten zu berufen. In der Praxis ist der Begründungsaufwand für eine legitime Aufbewahrung über die 3 Jahre hinaus auf Basis der BRAO-Vorgaben deutlich geringer, als wenn ein Unternehmen argumentieren müsste, warum eine vom Gesetzgeber im Hinweisgeberschutzgesetz aufgestellte Frist keine Beachtung finden soll und stattdessen eine längere Aufbewahrungszeit schon allein unter dem HinSchG angemessen ist. Diese Abwägung dürfte leichter zu Gunsten des Unternehmens ausfallen, wenn die verlängerte Speicherdauer durch die Verpflichtung nach einem anderen Gesetz, hier der BRAO, begründet wird. Es wird demgegenüber schwieriger sein zum Ergebnis zu gelangen, dass für die Erfüllung einer Anforderung aus dem HinSchG selbst eine Aufbewahrung über 3 Jahre hinaus möglich ist. § 11 Abs. 5 Satz 2 HinSchG kann aber fernab des Berufsrechts auch beispielsweise einen Gleichlauf mit den von dem Unternehmen im Rahmen der DSGVO festgelegten Löschfristen ermöglichen
Wie oben bereits dargelegt, sieht § 50 Abs. 1 BRAO auch für Syndikusrechtsanwälte eine Verpflichtung vor, Handakten zu führen. Der Rechtsanwalt hat die Handakten für die Dauer von sechs Jahren aufzubewahren. Wenn also die Normen über die Aufbewahrung von Handakten aus der BRAO auch auf Syndikusrechtsanwälte Anwendung finden, ermöglicht dies Unternehmen eine wesentlich längere Aufbewahrung der Dokumentation zu einer Hinweismeldung. Sofern Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 50 Abs. 1 BRAO die alleinige Rechtsgrundlage für die Speicherung von Hinweismeldungen und dazugehörigen Dokumentationen ist, kann ein Unternehmen zwar nicht ohne Weiteres die Daten auch für andere Zwecke verwenden. Gäbe es jedoch eine Situation, in der besondere überwiegende berechtigte Interessen an der Weiterverwertung an einer begrenzten Menge an Daten bestünden und diese Daten nur noch in der Handakte vorhanden wären, dann spricht grundsätzlich nichts dagegen, dass die Daten auf Basis von Art. 6 Abs. 1 lit. f DSGVO im Einzelfall weiterverwendet werden können.
Zusammenfassung der Ergebnisse und deren Folgen für die Praxis
Im Ergebnis ermöglicht die Aufbewahrungspflicht für Handakten, dass die Dokumentation über eine Hinweismeldung abweichend von der 3-Jahresfrist des HinSchG 6 Jahre aufbewahrt werden kann, wenn ein Syndikusrechtsanwalt die Aufgabe der internen Meldestelle wahrnimmt. Denn die Vorschrift über die Aufbewahrung von Handakten in der BRAO ist auch auf Syndikusrechtsanwälte anwendbar. Einerseits hat der Syndikusrechtsanwalt die Aufbewahrungspflichten aus dem HinSchG und der BRAO zu beachten, um Verpflichtungen aus diesen Gesetzen gerecht zu werden. Andererseits bietet die im Gegensatz zum HinSchG längere Aufbewahrungsfrist für Unternehmen, bei denen ein Syndikusrechtsanwalt die Aufgaben der internen Meldestelle wahrnimmt, die Möglichkeit, die Dokumentation zu einer Hinweismeldung für einen längeren Zeitraum aufzubewahren. Diese Möglichkeit können sich Unternehmen zunutze machen, die ein Interesse an einer langen Aufbewahrung von Informationen zu einer Hinweismeldung haben.
Wir danken unserem Wissenschaftlichen Mitarbeiter Marcel Martin für die Unterstützung bei der Erstellung dieses Newsbeitrags.
News
Neue Zweifel an der Wirksamkeit des EU-U.S. Data Privacy Framework
Der LIBE-Ausschuss vom Europäischen Parlament hat am 6. Februar 2025 die Kommission darauf hingewiesen, dass das unter dem EU-U.S. Data Privacy Framework („DPF“) geschaffene Privacy and Civil Liberties Board nur noch mit einer Person besetzt ist (siehe dazu auch den Artikel bei Bloomberg). Die anderen Board-Mitglieder wurden von der Exekutive in den USA abberufen. Der Ausschuss bittet die Kommission eine dokumentierte Prüfung zur Verfügung zu stellen, die sich mit den Auswirkungen dieser Änderung befasst. Das ist nachvollziehbar, weil eigentlich ein wirksamer und Art. 47 der Charta der Grundrechte der EU entsprechender Rechtsbehelf notwendig ist, um von einer Angemessenheit des Schutzniveaus auszugehen. Im folgenden Abschnitt beantworten wir Fragen, die sich Unternehmen aus der EU jetzt vermehrt stellen werden.
Neue Vorgaben zur Barrierefreiheit auf Websites und in Apps: Ein Überblick zu den Vorschriften des BFSG
Philip Schweers hat in der aktuellen Ausgabe 09/2025 des "Betriebs-Beraters" die nach dem 28. Juni 2025 geltenden Anforderungen des Barrierefreiheitsstärkungsgesetz für Websites und Apps zusammengefasst.
Der Beitrag beschreibt ausführlich für welche Websites und Apps das BFSG gilt, welche Anforderungen bei dessen Umsetzung beachtet werden müssen und welche Konsequenzen bei Verstößen drohen.
Barrierefreiheitsstärkungsgesetz (Teil 4) – Folgen von Verstößen gegen das BFSG
Ab dem 29. Juni 2025 gelten die Vorgaben des Barrierefreiheitsstärkungsgesetzes (BFSG). Um Sie rechtzeitig auf das BFSG vorzubereiten, befassen wir uns in unserer Beitragsreihe mit dessen Anforderungen. In Teil 1 haben wir uns einen kurzen Gesamtüberblick zum BFSG verschafft. In Teil 2 und Teil 3 haben wir uns angesehen, ob und welche Anforderungen aus dem BFSG für ihre Websites und Apps gelten. In Teil 4 befassen wir uns damit, was passiert, wenn ein Dienstleister, (z.B. der Anbieter eines Onlineshops) gegen die Vorgaben des BFSG verstößt und wie dieser sich gegen mögliche Rechtsfolgen wehren kann.
Barrierefreiheitsstärkungsgesetz (Teil 3) – Was bedeutet Barrierefreiheit für meine Website oder App?
Nachdem wir uns in Teil 2 unserer Beitragsreihe zum Barrierefreiheitsstärkungsgesetz (BFSG) damit befasst haben für welche Apps und Websites das BFSG gilt, stellen wir Ihnen in Teil 3 vor, welche konkreten Anforderungen an die Barrierefreiheit gelten.
LG Nürnberg-Fürth: Zugangsdaten, Passwörter und Datenbank mit öffentlich verfügbaren Informationen als Geschäftsgeheimnisse
Im Bereich Geschäftsgeheimnisschutz ist es besonders relevant, dass Inhaber eines Geschäftsgeheimnisses diese mit angemessenen Maßnahmen geheim halten. Damit eine Information überhaupt ein Geschäftsgeheimnis i.S.v. § 2 Nr. 1 GeschGehG sein kann, dürfen die relevanten Informationen u.a. weder allgemein bekannt noch ohne Weiteres zugänglich sein. Das LG Nürnberg-Fürth hat am 27.12.2024 (Az. 19 O 556/24) entschieden, dass sowohl eine Datenbank mit öffentlich verfügbaren Daten als auch die Zugangsdaten und Passwörter für den Zugriff auf diese Datenbank als Geschäftsgeheimnisse gelten. Es wurde außerdem entschieden, dass dem Kläger ein Auskunftsanspruch aus § 8 Abs. 1 GeschGehG zustand und die dabei zur Mitteilung von Namen und Anschriften der an der Verletzung des Geschäftsgeheimnisses beteiligten Personen erforderliche Rechtsgrundlage aus der DSGVO vorlag.
Fachbeitrag: Berechtigte Interessen als Rechtsgrundlage für das Training von KI-Modellen
Alexander Weiss & Dr. Carlo Piltz haben im aktuellen Heft 12/2024 der Zeitschrift DATENSCHUTZ-BERATER die praxisrelevante Frage untersucht, ob und wann die Rechtsgrundlage des Art. 6 Abs. 1 f) DSGVO (Interessenabwägung) für die Verwendung personenbezogener Daten zum Zweck des Trainings von KI-Modellen genutzt werden kann.