Cloud Computing in der Rechtsabteilung: Vorteile & Risiken

Cloud Computing bedeutet, dass Software, Speicher und Rechenleistung über eine Cloud-Infrastruktur bereitgestellt werden, statt ausschließlich auf eigenen Servern zu laufen. Für die Rechtsabteilung hat das zwei Seiten: Sie begleitet die Cloud-Projekte anderer Fachbereiche rechtlich, arbeitet aber auch selbst mit Cloud-Software.

Das Legal Department hat dabei eine besondere Verantwortung: Weil dort viele vertrauliche Informationen zusammenkommen, etwa zu Verträgen, Vorgängen und personenbezogenen Daten, gelten für die eigene Lösung besonders hohe Anforderungen an Datenschutz und Sicherheit.

Rechtsabteilungen setzen Cloud Computing dort ein, wo viele Dokumente, Fristen und Beteiligte zusammenkommen: etwa im Vertrags­management, in der Akten- und Vorgangsverwaltung (Matter Management) sowie in Datenräumen für den Austausch mit externen Kanzleien.

Cloud Computing beschreibt dabei das Betriebsmodell, auf dem diese Legal-Tech-Lösungen laufen. Unternehmen können zwischen verschiedenen Cloud-Modellen und dem Betrieb im eigenen Rechenzentrum wählen:

Davon zu unterscheiden ist die Frage, welche Leistung der Cloud-Anbieter bereitstellt. Bei Software as a Service (SaaS) stellt der Anbieter die vollständige Anwendung bereit und betreibt sie. Bei Infrastructure as a Service (IaaS) stellt er vor allem IT-Infrastruktur zur Verfügung, bei Platform as a Service (PaaS) eine Plattform für Entwicklung und Betrieb von Anwendungen. Für Rechtsabteilungen sind vor allem SaaS-Lösungen relevant. Diese können je nach Architektur und Anbieter in unterschiedlichen Cloud-Umgebungen betrieben werden.

Cloud-Software entfaltet ihren Nutzen besonders dort, wo viele Beteiligte mit denselben Dokumenten arbeiten, Informationen zentral verfügbar sein sollen und die eigene IT entlastet werden soll.

Ortsunabhängig mit Fachbereichen und Kanzleien zusammenarbeiten

In der Cloud arbeiten berechtigte Beteiligte auf demselben aktuellen Dokumentenstand mit Versionshistorie. Externe Anwälte und Kanzleien erhalten über einen Datenraum Zugriff auf genau die Unterlagen, die sie benötigen, gesteuert über Berechtigungen. Das erleichtert auch die Abstimmung mit Einkauf, Vertrieb oder HR – ein wichtiges Thema im Legal Operations Management.

Weniger IT-Betrieb, flexibel skalierbar

Serverbetrieb, Wartung und regelmäßige Updates liegen bei SaaS-Lösungen weitgehend beim Anbieter. Nutzerzahl und Speicher lassen sich je nach Vertragsmodell flexibel anpassen – etwa wenn ein Großprojekt ansteht oder das Team wächst. Weil keine eigene Infrastruktur für die Anwendung aufgebaut werden muss, kann die Einführung zudem schneller erfolgen.

Sicherheit und Verfügbarkeit auf Re­chen­zen­trums­ni­veau

Zentral gespeicherte Daten sind nicht an einzelne Endgeräte gebunden: Ein verlorener Laptop führt daher nicht automatisch zu einem Datenverlust. Professionelle Rechenzentren arbeiten mit Backups und Verfahren zur Not­fall­wie­der­her­stel­lung. Wie hoch das tatsächliche Schutzniveau ist, hängt allerdings vom Anbieter und der konkreten Ausgestaltung des Dienstes ab.

Grundlage für Automatisierung

Liegen Verträge und Akten auf einer gemeinsamen Datenbasis, schafft das die Grundlage für automatisierte Abläufe – beispielsweise zur Fristenüberwachung oder für Freigabeworkflows im Vertrags­management.

Im Mittelpunkt steht der Datenschutz: Er betrifft jede Rechtsabteilung, die personenbezogene Daten in der Cloud verarbeitet. Für Rechtsanwälte und Syn­di­kus­rechts­an­wäl­te kommen berufsrechtliche Anforderungen hinzu. Je nach Unternehmen und Branche können außerdem regulatorische Vorgaben wie DORA oder NIS2 relevant sein.

Datenschutz: Was die DSGVO verlangt

Verarbeitet ein Cloud-Anbieter personenbezogene Daten im Auftrag, ist ein Vertrag über Auf­trags­ver­ar­bei­tung nach Art. 28 DSGVO erforderlich. Er legt unter anderem Gegenstand, Dauer und Zweck der Verarbeitung fest, bindet den Anbieter an Weisungen und regelt Löschung oder Rückgabe der Daten. Die Verantwortung für die rechtmäßige Verarbeitung bleibt beim Unternehmen.

Art. 32 DSGVO verlangt zudem technische und organisatorische Maßnahmen, die dem jeweiligen Risiko angemessen sind, etwa Verschlüsselung, Zugriffsschutz und Verfahren zur Wiederherstellung. Werden personenbezogene Daten in ein Drittland übermittelt oder erfolgt von dort ein Zugriff, muss dafür eine geeignete da­ten­schutz­recht­li­che Grundlage bestehen.

Berufsgeheimnis: Was Rechtsanwälte beachten müssen

Für Rechtsanwälte und Syn­di­kus­rechts­an­wäl­te gelten beim Einsatz von Cloud-Diensten zusätzlich berufsrechtliche Anforderungen. § 203 StGB schützt Berufsgeheimnisse; § 43e BRAO regelt, unter welchen Voraussetzungen externe Dienstleister eingebunden werden dürfen.

• Auswahl: Der Dienstleister ist sorgfältig auszuwählen und darf nur den Zugang erhalten, der für die Leistung erforderlich ist.
• Vertrag: Der Dienstleister muss in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden.
• Ausland: Bei Dienstleistungen im Ausland muss ein vergleichbarer Schutz der Geheimnisse gewährleistet sein.
• Mandatsbezug: Soweit die Voraussetzungen des § 43e BRAO greifen, können je nach Konstellation zusätzliche Anforderungen bestehen.

Branchenregeln: DORA und NIS2

Für regulierte Finanzunternehmen gilt der Digital Operational Resilience Act (DORA). Er enthält konkrete Anforderungen an Verträge mit ICT-Drittdienstleistern, etwa zu Leis­tungs­be­schrei­bung, Datenstandorten, Zugriffs- und Prüfrechten sowie Kündigungs- und Ausstiegsregelungen. Zudem müssen Informationen zu diesen Vertragsbeziehungen in einem In­for­ma­ti­ons­re­gis­ter dokumentiert werden.

Für Unternehmen, die in den Anwendungsbereich der NIS2-Regelungen fallen, kommen weitere Anforderungen an das Risikomanagement hinzu. Dazu gehört auch die Sicherheit der Lieferkette und damit die Bewertung von Risiken, die durch Lieferanten und Dienstleister – einschließlich Cloud-Anbietern – entstehen können.

Die Auswahl gelingt am besten, wenn IT und Recht früh zusammenarbeiten. Die Rechtsabteilung sollte von Beginn an eingebunden sein, denn sie prüft unter anderem Auf­trags­ver­ar­bei­tung, Vertragsbedingungen und Haftungsfragen.

5.1 Daten und Anwendungen nach Schutzbedarf einordnen

Bevor Sie Anbieter vergleichen, klären Sie, welche Daten in der Anwendung verarbeitet werden: Mandanten- und Kundendaten, Vertragsdaten, Personaldaten oder Ge­schäfts­ge­heim­nis­se. Je sensibler die Daten, desto genauer sollten Schutzbedarf und Zu­griffs­an­for­de­run­gen definiert werden.

Aus dem Schutzbedarf ergibt sich das jeweils passende Betriebsmodell: Public Cloud, Private Cloud, hybride Lösungen oder On-Premises.

5.2 Datenschutz beim Anbieter prüfen

Diese Punkte sollten Sie vor dem Vertragsschluss gemeinsam mit dem Da­ten­schutz­be­auf­trag­ten prüfen:

• AVV im Detail: Sind Weisungsrechte, Kontrollrechte und Un­ter­stüt­zungs­pflich­ten bei Da­ten­schutz­vor­fäl­len geregelt?
• Un­ter­auf­trags­ver­ar­bei­ter: Liegt eine aktuelle Liste vor, und werden Änderungen transparent mitgeteilt?
• Serverstandort und Zugriffe: Wo werden Daten gespeichert und gesichert, und von wo aus greifen Support und Administration zu?
• Verschlüsselung: Sind Daten bei Übertragung und Speicherung verschlüsselt, und wer verwaltet die Schlüssel?
• Berechtigungen und Protokollierung: Gibt es ein Rollen- und Be­rech­ti­gungs­kon­zept, und werden insbesondere administrative Zugriffe protokolliert?
• Dritt­land­über­mitt­lung: Stellt der Anbieter die notwendigen Informationen bereit, um mögliche Drittlandtransfers rechtlich zu bewerten?

5.3 In­for­ma­ti­ons­si­cher­heit und Betrieb prüfen

Für die technische Seite helfen diese Kriterien beim Vergleich:

• Zertifizierungen: Nachweise wie ISO 27001 oder ein Testat nach dem BSI-Kriterienkatalog C5 können Orientierung geben. Wichtig ist, dass der Nachweis tatsächlich den genutzten Dienst und die relevante Betriebsumgebung umfasst.
• Revisionssichere Ablage: Versionierung, Nachvollziehbarkeit und unveränderbare Archivierung sollten den jeweils relevanten gesetzlichen und organisatorischen Anforderungen entsprechen.
• Schnittstellen: Die Lösung sollte sich an bestehende Systeme wie ERP, CRM oder Do­ku­men­ten­ma­nage­ment anbinden lassen.

5.4 Vertrag und Ausstieg absichern

Cloud-Verträge beruhen häufig auf Standardbedingungen mit begrenztem Ver­hand­lungs­spiel­raum. Umso genauer lohnt sich der Blick in die Service Level Agreements (SLAs): Sie regeln etwa Verfügbarkeit, Reaktionszeiten und Datensicherung. Prüfen Sie außerdem Laufzeiten, Kündigungsrechte und Haftungsregelungen des Anbieters.

Ebenso wichtig ist die Exit-Fähigkeit, also die Frage, wie sich die Lösung wieder wechseln lässt. Das sollte bereits bei der Einführung geklärt werden. Der Vertrag sollte festlegen, welche Daten der Anbieter nach Vertragsende in welchem Format und innerhalb welcher Frist zurückgibt – einschließlich relevanter Metadaten und Versionen. Offene, weiterverwendbare Formate erleichtern den Wechsel; die Löschung beim Anbieter sollte nachvollziehbar bestätigt werden.

Die Rechtsabteilung kennt die Kriterien, an denen sich Cloud-Projekte im Unternehmen messen lassen müssen. Dieselben Maßstäbe sollten auch für die eigenen Lösungen gelten: Datenschutz, In­for­ma­ti­ons­si­cher­heit, klare Vertragsbedingungen und ein geregelter Ausstieg.

Sind diese Voraussetzungen erfüllt, kann Cloud Computing eine verlässliche Grundlage für digitale Legal-Prozesse schaffen. Besonders sinnvoll ist es, zusammengehörige Aufgaben nicht in einzelnen Insellösungen abzubilden, sondern auf einer gemeinsamen Plattform zu verbinden.

Mit der otris legal SUITE lassen sich Vertrags­management, Matter Management, Beteiligungsmanagement und weitere Legal-Prozesse auf einer gemeinsamen technologischen Basis abbilden. Die Lösung kann wahlweise als SaaS in deutschen Rechenzentren oder On-Premises betrieben werden.

Wer haftet, wenn beim Cloud-Anbieter Daten verloren gehen oder abfließen?
Kommt es bei einem Cloud-Anbieter zu einem Datenschutzverstoß, können sowohl das Unternehmen als Verantwortlicher als auch der Auftragsverarbeiter haftungsrechtlich betroffen sein. Nach Art. 82 DSGVO hängt eine Haftung unter anderem davon ab, ob ein Verstoß vorliegt und ein Schaden entstanden ist.

Gegenüber dem Unternehmen können zusätzlich die vertraglich vereinbarten Haftungsregelungen des Cloud-Anbieters eine Rolle spielen. Deshalb sollten Haf­tungs­be­gren­zun­gen, Reaktionspflichten bei Si­cher­heits­vor­fäl­len und Regelungen zur Datensicherung bereits vor Vertragsschluss geprüft werden.

Was ändert der EU Data Act beim Wechsel des Cloud-Anbieters?
Der EU Data Act stärkt die Rechte von Kunden beim Wechsel zwischen Cloud-Anbietern. Seit September 2025 gelten dafür unter anderem Vorgaben zu Kündigung, Wechselprozess und Da­ten­über­trag­bar­keit.
Zu den wichtigen Anforderungen gehören:

• begrenzte Fristen für die Einleitung des Wechsels,
• Vorgaben für die technische Übergangsphase,
• die Bereitstellung exportierbarer Daten in einem strukturierten,
• maschinenlesbaren Format,
• schrittweise Einschränkungen beziehungsweise der Wegfall von Wechselentgelten.

Für Unternehmen bedeutet das: Die Exit-Fähigkeit sollte bereits bei Auswahl und Vertragsgestaltung einer Cloud-Lösung berücksichtigt werden.

Dürfen Rechtsabteilungen Cloud-Dienste von US-Anbietern nutzen?
Grundsätzlich können auch Cloud-Dienste von US-Anbietern genutzt werden. Entscheidend ist jedoch, unter welchen rechtlichen und technischen Bedingungen personenbezogene und vertrauliche Daten verarbeitet werden.
Für zertifizierte US-Unternehmen kann das EU-US Data Privacy Framework eine Grundlage für Datenübermittlungen bieten. Unabhängig davon sollten Unternehmen den konkreten Anbieter, mögliche Zugriffe aus Drittländern, Un­ter­auf­trags­ver­ar­bei­ter, Verschlüsselung und vertragliche Schutzmaßnahmen prüfen.
Für Rechtsanwälte und Syn­di­kus­rechts­an­wäl­te kommen zusätzlich die berufsrechtlichen Anforderungen an den Schutz vertraulicher Informationen hinzu.