IT-Compliance im Notariat: DSGVO, Berufsrecht und die Pflichten beim IT-Dienstleister

IT-Compliance im Notariat bedeutet, die IT eines Notariats so aufzustellen, dass sie drei Regelwerke gleichzeitig erfüllt: den Datenschutz nach DSGVO und Bundesdatenschutzgesetz, das notarielle Berufsrecht der Bundesnotarordnung samt der Dienstordnung für Notarinnen und Notare (DONot) und den strafbewehrten Schutz des Berufsgeheimnisses nach § 203 StGB. Diese Vorgaben gelten unabhängig von der Größe des Notariats — für die Einzelkanzlei genauso wie für das Notariat mit fünfzehn Mitarbeitenden.

Wichtig ist die Abgrenzung: IT-Compliance ist nicht dasselbe wie IT-Sicherheit. Compliance beantwortet die Frage, welche rechtlichen Vorgaben gelten. IT-Sicherheit ist das technische Wie — Firewall, Verschlüsselung, Backup, Zugriffsschutz. Die technischen Maßnahmen sind die Brücke, nicht das Thema dieses Beitrags. Wir betreuen über 100 Notariate bundesweit und übersetzen an genau dieser Schnittstelle die rechtlichen Vorgaben in nachweisbare IT-Abläufe.

Was IT-Compliance im Notariat umfasst

Die IT-Compliance im Notariat speist sich aus drei Rechtsquellen, die nebeneinander gelten und sich ergänzen. Wer nur an den Datenschutz denkt, übersieht das Berufsrecht — und umgekehrt.

Regelwerk	Was es für die IT regelt	Kernnormen
Datenschutz	Umgang mit personenbezogenen Daten, Rollen, Rechtsgrundlage, technische Maßnahmen	DSGVO, Bundesdatenschutzgesetz
Notarielles Berufsrecht	Verschwiegenheit, Einbindung von Dienstleistern, Speicherort der Akten	§ 18, § 26a, § 35 BNotO, DONot
Strafrecht	Schutz des anvertrauten Geheimnisses, auch beim Dienstleister	§ 203 StGB

Das notarielle Berufsrecht macht die IT-Compliance im Notariat strenger als in fast jeder anderen Branche. Ein Notariat verarbeitet keine gewöhnlichen Kundendaten, sondern Tatsachen, die dem Berufsgeheimnis unterliegen. Deshalb reicht es nicht, die DSGVO abzuarbeiten. Die Bundesnotarordnung setzt zusätzliche, eigene Anforderungen an den Umgang mit Daten und an die Zusammenarbeit mit jedem externen Dienstleister.

Von der IT-Sicherheit unterscheidet sich die Compliance in der Blickrichtung. Die IT-Sicherheit für Notariate beschreibt die technischen Schutzmaßnahmen. Die Compliance beschreibt die rechtlichen Pflichten, die diese Maßnahmen erst erforderlich machen. Beide greifen ineinander, aber sie beantworten verschiedene Fragen.

Verschwiegenheitspflicht und IT-Dienstleister

Der sensibelste Punkt der IT-Compliance im Notariat ist die Einbindung eines externen IT-Dienstleisters: Wer die IT eines Notariats betreut, kommt zwangsläufig mit Daten in Berührung, die dem Berufsgeheimnis unterliegen.

Die Verschwiegenheitspflicht nach § 18 BNotO

Grundlage ist § 18 Abs. 1 BNotO: „Der Notar ist zur Verschwiegenheit verpflichtet. Diese Pflicht bezieht sich auf alles, was ihm bei Ausübung seines Amtes bekannt geworden ist.“ Diese Verschwiegenheit reicht weit. Sie erfasst nicht nur den Inhalt der Urkunden, sondern jede Tatsache, die Notarinnen und Notaren im Amt bekannt wird — bis hin zur Frage, wer überhaupt Beteiligter eines Anliegens ist.

Der IT-Dienstleister als Berufsgeheimnisträger nach § 203 StGB

Das Strafrecht verstärkt diese Pflicht. Notarinnen und Notare sind in § 203 Abs. 1 StGB ausdrücklich als Berufsgeheimnisträger benannt, neben Rechtsanwälten, Steuerberatern und Ärzten. Wer ein fremdes Geheimnis unbefugt offenbart, das ihm in dieser Eigenschaft bekannt geworden ist, macht sich strafbar.

Für die IT ist entscheidend, was seit der Reform von 2017 gilt. Nach § 203 Abs. 3 StGB darf ein Berufsgeheimnisträger fremde Geheimnisse gegenüber Personen offenbaren, die an seiner beruflichen Tätigkeit mitwirken — soweit dies für die Inanspruchnahme dieser Tätigkeit erforderlich ist. Ein IT-Dienstleister ist eine solche mitwirkende Person; erst dadurch ist die Weitergabe geschützter Kenntnisse an ihn als Dritten überhaupt zulässig — und nur, soweit sie erforderlich ist. Die Kehrseite steht in § 203 Abs. 4 StGB: Die mitwirkende Person macht sich selbst strafbar, wenn sie ein so bekannt gewordenes Geheimnis unbefugt offenbart. Der IT-Dienstleister trägt also eine eigene strafrechtliche, nicht nur vertragliche Verantwortung.

Die notwendige Zusatzvereinbarung nach § 26a BNotO

Das Berufsrecht zieht daraus eine klare Konsequenz. § 26a BNotO regelt, unter welchen Bedingungen Notarinnen und Notare einem Dienstleister Zugang zu geschützten Tatsachen eröffnen dürfen. Für allgemeine Dienstleistungen wie die IT-Betreuung ist nach § 26a Abs. 1 BNotO keine Einwilligung der Beteiligten nötig — der Zugang muss aber für die Inanspruchnahme der Dienstleistung erforderlich sein. Im Gegenzug verlangt das Gesetz eine sorgfältige Auswahl des Dienstleisters und eine in Textform fixierte Vereinbarung.

Diese Zusatzvereinbarung ist keine Formsache, sondern die zentrale Compliance-Pflicht bei der Zusammenarbeit mit dem Systemhaus. § 26a Abs. 3 BNotO schreibt vor, was der Vertrag in Textform enthalten muss.

Pflichtinhalt der Zusatzvereinbarung	Grundlage
Verpflichtung des Dienstleisters zur Verschwiegenheit — unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung	§ 26a Abs. 3 BNotO
Begrenzung des Zugangs auf das für die Vertragserfüllung Erforderliche	§ 26a Abs. 3 BNotO
Regelung, ob und welche weiteren Personen herangezogen werden dürfen — auch diese in Textform zur Verschwiegenheit verpflichtet	§ 26a Abs. 3 BNotO

Auch jede Weitergabe der Daten an Dritte unterliegt derselben Verschwiegenheitsverpflichtung. Nach § 26a Abs. 2 BNotO muss die Zusammenarbeit sogar beendet werden, wenn die Einhaltung dieser Vorgaben nicht mehr gewährleistet ist. Eine reine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO genügt hier nicht — sie deckt den Datenschutz ab, aber nicht die berufsrechtliche Verschwiegenheit und die Belehrung über die strafrechtlichen Folgen. Beide Ebenen gehören in den Vertrag. Wie das bei großen Anbietern aussieht, zeigt die „Zusatzvereinbarung für Berufsgeheimnisträger“, die für den Einsatz von Microsoft 365 nötig ist — wir haben sie im Beitrag zur Cloud im Notariat im Detail beschrieben.

AVV, § 26a-Vereinbarung oder Verschwiegenheitsverpflichtung? Drei Instrumente, die oft verwechselt werden

Rund um die Verschwiegenheit im Notariat kursieren drei Instrumente, die ständig durcheinandergeraten. Sie haben unterschiedliche Adressaten und unterschiedliche Rechtsgrundlagen — und keines ersetzt das andere.

Instrument	Für wen	Rechtsgrundlage	Was es sichert
Auftragsverarbeitungsvertrag (AVV)	externer Auftragsverarbeiter	Art. 28 DSGVO	den Datenschutz: Weisungsbindung, technische und organisatorische Maßnahmen
§ 26a-Zusatzvereinbarung	externer Dienstleister mit Zugang zu Geheimnissen	§ 26a BNotO	das Berufsgeheimnis: Verschwiegenheit unter Belehrung über die strafrechtlichen Folgen
Verschwiegenheitsverpflichtung der Mitarbeiter	eigene Angestellte des Notariats	§ 26 BNotO (Verpflichtungsgesetz)	die interne Verschwiegenheit: förmliche Verpflichtung bei der Einstellung

Der häufigste Fehler: Man schließt mit dem IT-Dienstleister nur einen AVV ab und hält den Datenschutz damit für erledigt. Der AVV lässt aber die berufsrechtliche Verschwiegenheit offen — dafür braucht es zusätzlich die § 26a-Zusatzvereinbarung. In der Praxis werden AVV und § 26a-Vereinbarung oft in einem Dokument zusammengeführt. Die Verpflichtung der eigenen Mitarbeiter steht davon getrennt: Nach § 26 BNotO hat der Notar die von ihm beschäftigten Personen bei der Einstellung nach dem Verpflichtungsgesetz förmlich zu verpflichten — mit besonderem Hinweis auf die Verschwiegenheitspflicht des § 18 BNotO.

Datenschutz im Notariat: Rollen, Rechtsgrundlage und Daten

Neben dem Berufsrecht gilt die DSGVO uneingeschränkt. Der Datenschutz im Notariat definiert, wer für die personenbezogenen Daten verantwortlich ist, auf welcher Rechtsgrundlage Notare verarbeiten und welche technischen Maßnahmen sie dafür brauchen. Er schützt die Rechte der Beteiligten, deren Daten das Notariat verarbeitet.

Notarinnen und Notare als Verantwortliche

Datenschutzrechtlich sind Notarinnen und Notare Verantwortliche im Sinne der DSGVO. Das Notariat entscheidet über Zweck und Mittel der Verarbeitung personenbezogener Daten und trägt damit die volle datenschutzrechtliche Verantwortlichkeit — auch dann, wenn ein externes Systemhaus die Technik betreut. Der IT-Dienstleister handelt in diesem Rahmen als Auftragsverarbeiter oder, im berufsrechtlichen Sinne, als mitwirkende Person. Die Verantwortung für die Rechtmäßigkeit und für die Rechte der betroffenen Personen bleibt beim Notariat.

Als Organ der vorsorgenden Rechtspflege stützt ein Notariat seine Datenverarbeitung nicht auf eine Einwilligung der Beteiligten, anders als ein gewöhnliches Unternehmen. Die Rechtsgrundlage ergibt sich regelmäßig aus einer rechtlichen Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO und aus der Wahrnehmung öffentlicher Gewalt nach Art. 6 Abs. 1 lit. e DSGVO. Die Beurkundung ist eine gesetzliche Aufgabe der vorsorgenden Rechtspflege, keine freiwillige Dienstleistung — und die Verarbeitung der Daten folgt aus dieser Aufgabe.

Welche Daten ein Notariat verarbeitet

Ein Notariat verarbeitet in großem Umfang personenbezogene Daten der Beteiligten. Dazu gehören Name, Geburtsdatum und Geburtsort, die Angaben aus dem Personalausweis, Grundstücks- und Registerdaten, Bankdaten für den Vollzug sowie Angaben zu Vermögen und Familienstand. In bestimmten Fällen kommen besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO hinzu — etwa Gesundheitsdaten in einer Vorsorgevollmacht oder Betreuungsverfügung. Gerade diese Daten machen die hohen Anforderungen an den Datenschutz im Notariat verständlich.

Daraus folgt eine praktische Pflicht: Nach Art. 30 DSGVO muss das Notariat ein Verzeichnis von Verarbeitungstätigkeiten führen. Die bekannte Ausnahme für Stellen mit weniger als 250 Mitarbeitern hilft dem Notariat nicht weiter, denn sie greift nach Art. 30 Abs. 5 DSGVO nicht, wenn die Verarbeitung ein Risiko für die Rechte der Beteiligten birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien betrifft. Beides trifft auf ein Notariat zu. Das Verzeichnis ist damit Pflicht, nicht Kür.

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

An dieser Stelle trifft die Compliance auf die IT-Sicherheit. Art. 32 Abs. 1 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, um für die personenbezogenen Daten ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Das Gesetz nennt dafür vier Bausteine:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten
• Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer
• Wiederherstellbarkeit der Daten nach einem physischen oder technischen Zwischenfall
• Regelmäßige Überprüfung der Wirksamkeit dieser Maßnahmen

Diese vier Punkte sind die Nahtstelle zwischen Recht und Technik. Verschlüsselung, ein belastbares Backup und ein Berechtigungskonzept sind keine reine IT-Frage — sie erfüllen eine gesetzliche Pflicht. Wie diese Maßnahmen im Notariat konkret aussehen, zeigt unser Überblick zur IT-Sicherheit.

Betroffenenrechte, Aufbewahrung und Löschung im Notariat

Auch im Notariat haben die Beteiligten die Rechte der betroffenen Personen aus der DSGVO — auf Auskunft, Berichtigung, Löschung und Widerspruch. Anders als in einem gewöhnlichen Unternehmen sind diese Rechte aber durch die Amtspflichten geformt. Die Verschwiegenheit, die Unveränderlichkeit der Urkunde und die gesetzlichen Aufbewahrungsfristen setzen ihnen enge Grenzen.

Recht der betroffenen Person	DSGVO	Im Notariat
Auskunft	Art. 15	besteht, begrenzt durch die Verschwiegenheit (§ 29 Abs. 1 BDSG) und die Rechte Dritter (Art. 15 Abs. 4 DSGVO)
Berichtigung	Art. 16	an einer errichteten Urkunde regelmäßig ausgeschlossen — die Urkunde bleibt unverändert
Löschung	Art. 17	entfällt, soweit eine Aufbewahrungspflicht besteht (Art. 17 Abs. 3)
Widerspruch	Art. 21	selten durchgreifend, weil die Amtstätigkeit auf öffentlicher Gewalt beruht

Besonders wichtig ist das Recht auf Löschung. Nach Art. 17 Abs. 3 DSGVO entfällt die Löschpflicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung öffentlicher Gewalt erforderlich ist. Genau das ist im Notariat der Regelfall: Urkunden und Verzeichnisse unterliegen langen, gesetzlich vorgeschriebenen Aufbewahrungsfristen. Die konkreten Fristen regelt § 50 NotAktVV; sie reichen je nach Dokument bis zu 100 Jahre. Ein Löschverlangen der betroffenen Person hebt diese Fristen nicht auf.

Für die IT-Compliance folgt daraus eine klare Regel. Ein Löschkonzept im Notariat darf die Daten nicht nach pauschalen Fristen löschen, sondern muss die berufsrechtlichen Aufbewahrungsfristen abbilden. Wer personenbezogene Daten zu früh löscht, verletzt die Aufbewahrungspflicht; wer sie ohne Rechtsgrundlage zu lange vorhält, verletzt den Datenschutz. Ein tragfähiges Löschkonzept unterscheidet deshalb sauber zwischen Urkunden, Verzeichnissen und Nebenakte — jede Kategorie hat ihre eigene Aufbewahrungsfrist.

Datenschutzbeauftragter im Notariat: ab wann Pflicht?

Eine der häufigsten Fragen zum Datenschutz im Notariat lautet, ob ein Notariat einen Datenschutzbeauftragten benennen muss. Die Antwort ergibt sich aus zwei Normen, die nebeneinander gelten.

Nach § 38 Abs. 1 BDSG muss eine nichtöffentliche Stelle einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Die meisten Notare und Notarinnen führen kleinere Notariate und liegen unter dieser Schwelle. Für sie besteht aus der 20-Personen-Schwelle des BDSG allein keine Benennungspflicht. Unabhängig von der Kopfzahl kann eine Benennungspflicht aber bestehen, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist (§ 38 Abs. 1 Satz 2 BDSG) — das ist im Einzelfall zu prüfen.

Hinzu kommt Art. 37 DSGVO. Nach dessen Absatz 1 lit. b und c ist ein Datenschutzbeauftragter unter anderem dann verpflichtend, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonderer Kategorien von Daten. Beides ist die Ausnahme, nicht der Regelfall eines Notariats — die Kerntätigkeit ist die Beurkundung, nicht die Überwachung. Ein typisches kleineres Notariat muss deshalb meist keinen Datenschutzbeauftragten benennen.

Zwei Dinge bleiben festzuhalten. Erstens ist eine freiwillige Benennung jederzeit möglich und in sensiblen Konstellationen sinnvoll. Zweitens — und das ist der entscheidende Punkt — gelten die materiellen Datenschutzpflichten zum Schutz der Rechte der Beteiligten unabhängig davon. Ob ein Datenschutzbeauftragter bestellt ist oder nicht: Das Verzeichnis nach Art. 30, die technischen Maßnahmen nach Art. 32 und die Rechenschaftspflicht bleiben bestehen.

Aufsicht und Prüfungen im Notariat

Die Einhaltung dieser Vorgaben wird kontrolliert. Nach § 93 BNotO obliegt den Aufsichtsbehörden die regelmäßige Prüfung und Überwachung der Amtsführung der Notare. Bei einem neu bestellten Notar findet die erste Prüfung innerhalb der ersten zwei Jahre statt; zusätzliche Zwischenprüfungen und Stichproben sind ohne besonderen Anlass zulässig. Diese Geschäftsprüfung umfasst in der Praxis auch, wie das Notariat mit Akten, Daten und der eingesetzten IT umgeht.

Neben der berufsrechtlichen Dienstaufsicht steht die datenschutzrechtliche Aufsicht durch die zuständige Datenschutzaufsichtsbehörde. Für das Notariat heißt das: Es muss jederzeit nachweisen können, dass es die DSGVO-Pflichten erfüllt. Genau dafür sind das Verzeichnis der Verarbeitungstätigkeiten, die dokumentierten technischen Maßnahmen und die Zusatzvereinbarung mit dem IT-Dienstleister da. Compliance ist ohne diesen Nachweis nicht belegbar — und ein Nachweis, den niemand dokumentiert hat, existiert im Ernstfall nicht.

Typische Compliance-Lücken aus der Praxis

Hier sind ein paar typische Lücken, die entstehen können, wenn im Alltag niemand die rechtliche und die technische Seite zusammenführt.

• Keine Zusatzvereinbarung mit dem IT-Dienstleister. Der bisherige Betreuer hat vollen Zugriff, aber kein Vertrag regelt Verschwiegenheit, Belehrung, die Weitergabe an Dritte und Zugangsbegrenzung nach § 26a BNotO.
• Akten in einer beliebigen Cloud. Die führende elektronische Akte gehört nach § 35 BNotO in die Geschäftsstelle, nicht dauerhaft in einen frei gewählten Cloud-Speicher.
• Kein Verzeichnis von Verarbeitungstätigkeiten. Die Pflicht nach Art. 30 DSGVO wird übersehen, weil die 250-Mitarbeiter-Ausnahme falsch verstanden wird.
• Technische Maßnahmen nicht dokumentiert. Verschlüsselung und Backup sind vorhanden, aber nirgends als Erfüllung von Art. 32 DSGVO festgehalten.
• Unverschlüsselte E-Mail an Beteiligte. Sensible Dokumente gehen offen heraus, obwohl der E-Mail-Datenschutz eine gesicherte Übermittlung verlangt.
• Mitarbeiter nicht förmlich verpflichtet. Die Verschwiegenheit endet nicht beim Notar — auch das Team muss nachweisbar verpflichtet sein.
• Kein Löschkonzept. Es fehlt eine Regel, die die berufsrechtlichen Aufbewahrungsfristen abbildet — pauschales Löschen nach DSGVO-Fristen verletzt die Aufbewahrungspflicht.

Wer diese Lücken schließt, hat den Kern der IT-Compliance im Notariat erledigt. Für die sichere Kommunikation mit Gerichten und Behörden über das besondere elektronische Notarpostfach beN lohnt der Blick in unseren Beitrag zum elektronischen Rechtsverkehr.

Häufige Fragen zur IT-Compliance im Notariat

IT-Compliance im Notariat mit HTH aufsetzen

IT-Compliance im Notariat verbindet Datenschutz, Berufsrecht und IT-Sicherheit. Genau an dieser Schnittstelle arbeiten wir: HTH betreut über 100 Notariate bundesweit und bringt die rechtlichen Vorgaben mit der eingesetzten Technik in Einklang — von der Zusatzvereinbarung über das Berechtigungskonzept bis zur dokumentierten Erfüllung von Art. 32 DSGVO. Wir kennen die Anbindung an TriNotar und den elektronischen Rechtsverkehr aus der täglichen Praxis.

Einen Überblick über alle IT-Leistungen für Notariate finden Sie auf unserer Seite für Notare sowie unter IT-Lösungen für Notariate und Kanzleien. Wenn Sie die IT-Compliance in Ihrem Notariat prüfen oder sauber aufsetzen möchten, sprechen Sie kurz mit uns.