Beschlagnahmte Anwaltsdaten in der Cloud: Sichtung und Versiegelung

§ 112 StPO knüpft an die geschützte berufliche Kommunikation an. Die Vorschrift ist im Zusammenhang mit § 157 Abs 1 Z 2 bis 5 StPO zu lesen. Diese Bestimmungen erfassen Personen, die wegen ihrer beruflichen Verschwiegenheitspflicht zur Aussageverweigerung berechtigt sind. Dazu gehören Rechtsanwälte und Verteidiger im Umfang ihrer beruflichen Tätigkeit. Für den konkreten Datenbestand muss daher feststehen, wer die Information anvertraut hat, in welcher beruflichen Beziehung sie entstanden ist und welchen Inhalt sie hat.

§ 9 RAO verpflichtet Rechtsanwälte zur Verschwiegenheit über die ihnen anvertrauten oder in ihrer beruflichen Eigenschaft bekannt gewordenen Angelegenheiten. Die Pflicht schützt die Vertrauensbeziehung zum Mandanten. Sie erfasst typischerweise die Beratung, die Verteidigungsstrategie, übermittelte Unterlagen und die Kommunikation über ein Mandat. Eine Datei wird dadurch nicht automatisch geschützt, dass sie in einem Kanzleikonto liegt. Der Mandatsbezug muss erkennbar sein.

Die Prüfung beginnt deshalb mit der Herkunft und Funktion der Daten. Eine private Notiz ohne Mandatsbezug ist anders einzuordnen als eine E-Mail des Mandanten mit Unterlagen zur Verteidigung. Bei gemischten Konten kommt es auf eine nachvollziehbare Trennung an.

Die technische Speicherung bei einem Cloud-Anbieter verändert die berufliche Beziehung zwischen Rechtsanwalt und Mandant nicht automatisch. Für die rechtliche Prüfung zählen die Daten selbst, ihr Entstehungszusammenhang und der Zweck der Kommunikation. Eine Behörde muss daher zwischen geschützten Mandatsdaten und anderen Daten unterscheiden, auch wenn beide im selben Online-Konto liegen.

Bei einer direkten Anforderung an den Anbieter sind zusätzlich die genaue Verfahrensgrundlage, der Adressat der Anordnung und die bezeichnete Datenkategorie zu prüfen. Gespeicherte Inhalte, Verkehrsdaten und reine Kontostammdaten können unterschiedlichen Regeln folgen. Eine Herausgabeanordnung darf nicht durch eine weite technische Beschreibung den Schutzbereich des Berufsgeheimnisses umgehen.

Für die Praxis ist die Kontostruktur wichtig. Kanzleiordner, private Bereiche, gemeinsame Projektordner und automatische Sicherungskopien können unterschiedliche Daten enthalten. Die Verteidigung sollte eine sachliche Zuordnung vorlegen, statt pauschal jede Datei als geschützt zu bezeichnen.

Werden geschützte Daten bei einer Durchsuchung oder Sicherstellung gefunden, muss der Einwand gegen die Sicherstellung sofort an der Maßnahme ansetzen. Die betroffene Person sollte die berufliche Verschwiegenheit ausdrücklich nennen und verlangen, dass die betroffenen Dateien oder Datensätze bezeichnet werden. Das Protokoll sollte erkennen lassen, wann der Einwand erhoben wurde und welche Reaktion erfolgte.

Die Versiegelung hält den Datenbestand für die gerichtliche Entscheidung geschlossen. Bis zur Entscheidung über die Zulässigkeit darf die Behörde den versiegelten Inhalt nicht einfach öffnen oder für die Ermittlungen verwenden. Dieser Schutz ist praktisch nur wirksam, wenn der Bestand unverändert bleibt. Eine eigene Sortierung, Löschung oder nachträgliche Bearbeitung kann die spätere Zuordnung erschweren.

Bei großen Konten ist eine technische Kopie häufig unvermeidbar. Dann sollte dokumentiert werden, wer sie erstellt hat, nach welcher Methode der Datenbestand abgegrenzt wurde und ob Metadaten erhalten blieben. Eine nachvollziehbare Beweiskette hilft bei der Frage, ob die Behörde über den geschützten Kern hinausgegriffen hat.

Über die Zulässigkeit der Sicherstellung geschützter Gegenstände entscheidet das Gericht. Für die Prüfung braucht es eine klare Beschreibung des Mandats, der Kommunikationspartner, des Zeitraums und der betroffenen Daten. Eine pauschale Behauptung, alle Kanzleidaten seien geheim, ersetzt diese Zuordnung nicht. Umgekehrt darf eine technische Sammelbezeichnung den konkreten Mandatsbezug nicht unsichtbar machen.

Die rechtliche Reaktion richtet sich nach der konkreten Maßnahme und ihrem Stadium. Zu prüfen sind insbesondere das Sicherstellungsprotokoll, die Anordnung, eine allfällige gerichtliche Entscheidung und der Zeitpunkt ihrer Zustellung. Gegen gerichtliche Entscheidungen können die vorgesehenen Rechtsmittel in Betracht kommen. Eine anwaltliche Prüfung sollte die Datenfrage und die verfahrensrechtliche Fristfrage gemeinsam erfassen.

Wenn die Behörde bereits Einsicht genommen hat, sollte der Umfang der Sichtung möglichst genau festgestellt werden. Dazu gehören verwendete Suchbegriffe, geöffnete Ordner, exportierte Dateien und anwesende Personen, soweit diese Informationen verfügbar sind. Das schafft eine Grundlage für weitere Anträge und für die Beurteilung einer späteren Verwertung.

Die erste Dokumentation soll den ursprünglichen Zustand bewahren. Speichern Sie die Anordnung, das Protokoll, Nachrichten des Cloud-Anbieters und jede Bestätigung über die Sicherstellung. Notieren Sie Zeit, handelnde Behörde, betroffene Konten und die Frage, ob bereits eine Sichtung begonnen hat.

Ordnen Sie die Kommunikation in einer geschützten Übersicht nach Mandat, Kommunikationspartner, Zeitraum und Dokumenttyp. Die Übersicht muss den Inhalt nicht vervielfältigen. Sie soll erklären, warum ein Datensatz dem Berufsgeheimnis unterliegt. Bei einem gemischten Konto ist eine solche Abgrenzung besonders wertvoll.

Technische Maßnahmen bleiben auf die Sicherung des Zustands beschränkt. Löschen Sie keine Nachrichten, verschieben Sie keine Dateien und ändern Sie keine Zugriffsrechte, wenn dadurch die Untersuchung oder die spätere Beweissicherung beeinflusst werden könnte. Lassen Sie die technische Dokumentation von einer fachkundigen Person erstellen und halten Sie Änderungen nachvollziehbar fest.