Wer auf dem Computer Texte schreibt, macht das bislang mit einem Programm, das auf dem Gerät installiert ist. Das verfasste Dokument wird dann auf dem Computer abgespeichert. Ist die Rede von einer Cloud – Englisch für Wolke – ist der Ablauf anders: Das Programm befindet sich in der Regel auf einem externen Speicherplatz. Man erstellt das Dokument über das Internet und speichert die Datei dort ab.
Die Rede ist auch von «Software as a Service» (SaaS). Bei solchen Angeboten bezahlt der Kunde, um Computerprogramme zu benutzen und die Daten extern speichern zu können. Nutzen einer solchen Cloud: Der Verwender kann via Internet von überall her auf die Dateien zugreifen und sie bearbeiten. Zudem muss er keine eigene Software erwerben und installieren. Er braucht nur einen Computer mit Internetverbindung. Für die Wartung der Computerprogramme und des Speichers ist der Dienstleister zuständig. Die Übertragung der Daten über das Internet erfolgt verschlüsselt, die Daten werden verschlüsselt abgespeichert. Nur wer über den notwendigen Schlüssel (zum Beispiel ein Passwort) verfügt, kann auf die Daten zugreifen und sie bearbeiten.
Die Berner Weblaw AG hat eine speziell auf Anwaltskanzleien zugeschnittene juristische Arbeitsumgebung in einer Schweizer Cloud aufgebaut. Die Computerprogramme lassen sich auf der Plattform «Lawdesk» nutzen. Die Preise richten sich nach der Grösse einer Kanzlei. Bei 3 bis 14 Nutzern zum Beispiel kostet Lawdesk je Anschluss 2340 Franken pro Jahr. Enthalten sind Microsoft Office, ein Datenarchiv, Datensicherung, eine Video- und Telefonkonferenzlösung sowie Diktiersoftware mit Transkription. Zudem erhält der Kunde Zugriff auf juristische Inhalte wie die Weblaw-Bibliothek und die Internetzeitschrift «Jusletter». Zusätzliche Kanzleisoftware wie M-Files, Octojur und Vertrec kosten extra.
Angebote ab jährlich 1200 Franken pro Benutzer
Solche Clouddienste erbringen auch viele andere Unternehmen. Der Schweizerische Anwaltsverband (SAV) stellte Ende 2019 ein Muster-Servicepaket zusammen, um die Preise einigermassen vergleichen zu können, und holte Offerten von 14 Firmen ein. Das Servicepaket sollte enthalten: Microsoft Office, den Betrieb einer Exchange-Mail-Adresse (mit Zugriff auf Mails unabhängig von Ort und Gerät, ohne dass diese heruntergeladen werden) sowie Branchensoftware mit Dokumentenverwaltung, Leistungserfassung, Fakturierung, Debitorenverwaltung, Adressverwaltung, Fristenverwaltung, Finanzbuchhaltung und beweissichere Archivierung der Daten.
Laut dieser Umfrage müssen Anwälte für ein Cloudsystem mit Kosten von mindestens rund 1200 Franken pro Benutzer und Jahr rechnen (siehe Tabelle Seite 18). Kanzleisoftware ist dabei in der Regel nicht inbegriffen. Meta10 mit Sitz in Baar ZG zum Beispiel offeriert Anwaltskanzleien eine Cloudlösung ab 1176 Franken pro Jahr und Nutzer («Small Business Secure Cloud» bis 15 Nutzer). Die Kanzlei kann wählen, welche Software sie verwenden will, und zahlt dafür entsprechende Lizenzgebühren. Erhältlich sind branchenübliche Programme wie Plato, Vertec oder Winjur. Hat eine Kanzlei bereits eine Branchensoftware erworben, kann diese in der Regel gegen eine Gebühr in die Cloud übernommen werden.
Fürs Einrichten des Services ist mit zusätzlichen Kosten zu rechnen. Diese variieren stark und betragen zwischen einigen Hundert bis über 20 000 Franken (siehe Tabelle). Supportleistungen stellen die Dienstleister meist zu einem Stundenansatz zwischen 150 und 230 Franken in Rechnung. SAV-Mitglieder finden Details und Preise zu den verschiedenen Angeboten auf www.sav-fsa.ch -> Informationen zu den Cloudanbietern.
Anwaltskanzleien müssen das Berufsgeheimnis gemäss Artikel 321 StGB wahren, auch wenn sie eine externe Cloud benützen. Das Problem: Die Dienstleister von SaaS-Angeboten verschlüsseln die Daten zwar. Technisch haben sie aber Zugang dazu. Der Schweizerische Anwaltsverband (SAV) hat im Herbst 2018 das «Center for Information Technology, Society and Law» der Universität Zürich damit beauftragt, unter anderem diese Problematik in einem Gutachten zu klären.
Einwilligung der Klienten empfehlenswert
Das Gutachten kommt zum Schluss, dass Anwälte dem SaaS-Anbieter als Hilfsperson im Sinne von Artikel 321 Ziffer 1 Absatz 1 Strafgesetzbuch geschützte Informationen zugänglich machen dürfen. Sie müssen jedoch gemäss Artikel 13 Absatz 2 des Anwaltsgesetzes dafür sorgen, dass dieser das Berufsgeheimnis wahrt: «Wie bei anderen Hilfspersonen muss der Anwalt oder die Anwältin auch den Cloudprovider vertraglich zur Einhaltung des Berufsgeheimnisses verpflichten.» Anwälte dürfen Hilfspersonen einsetzen, ohne dass der Mandant einwilligt. Trotzdem empfehlen die Gutachter «im Sinn einer zusätzlichen Absicherung», im Mandatsvertrag die Einwilligung des Klienten einzuholen, Clouddienste nutzen zu dürfen.
Bundesgerichtsentscheid zeigt heikle Punkte auf
Auch das Bundesgericht hat sich schon damit befasst, ob die Nutzung von Cloud-Diensten mit den anwaltschaftlichen Berufspflichten vereinbar ist. Es qualifizierte in BGE 145 II 229 einen Fachmann, der für die Fernspeicherung und den Schutz der Computerdaten des Anwalts verantwortlich war, als Hilfsperson. Es erachtete es bezüglich der Wahrung des Berufsgeheimnisses jedoch als unsorgfältig und deshalb unzulässig, wenn der Anwalt es Hilfspersonen erlaubt, die Haftung soweit gesetzlich zulässig wegzubedingen. Genau das sehen viele Cloudunternehmen in ihren Allgemeinen Geschäftsbedingungen vor. Ein Anwalt dürfe es zudem nicht akzeptieren, dass die Hilfsperson ihr übertragene Aufgaben von einem Dritten ausführen lässt. Auch das ist bei Cloudanbietern oft der Fall.
Laut Wolfang Straub, Berner Fürsprecher und Lehrbeauftragter für Informatikrecht an der Uni Bern, schliesst das Bundesgericht den Beizug eines Subunternehmers nicht generell aus. «Der Subunternehmer muss aber in die Geheimhaltungspflichten eingebunden werden und die Anwaltskanzlei muss ihm gegenüber ein Weisungsrecht haben», so Straub.
Nutzen Anwälte SaaS-Angebote, müssen sie das Datenschutzgesetz beachten. Sie bearbeiten und speichern die Daten ihrer Klienten in der Regel mit deren Einwilligung. Insoweit dürfen die Clouddienstleister das laut Gutachten ebenfalls. Anwälte sollten mit diesen jedoch vereinbaren, dass sie die Daten nur zur Vertragserfüllung bearbeiten. Wer Daten bearbeitet und speichert, muss zudem um deren Sicherheit bemüht sein. Gibt der Dienstleister an, dass er die Anforderungen von datenschutzrechtlichen Zertifikaten wie «GoodPriv@cy» oder «ePrivacy» erfüllt, dürfe sich der Anwalt darauf verlassen.
Problematisch sind Daten auf Servern im Ausland. Laut Artikel 6 Absatz 1 des Datenschutzgesetzes ist das unzulässig, «wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet». Laut dem Eidgenössischen Datenschützer besteht in den USA kein ausreichender Schutz.
Anwälte sollten sich Garantien für die Einhaltung des Datenschutzes geben lassen oder einen Anbieter wählen, der die Daten nur in der Schweiz speichert. Letzteres, weil sonst ein rechtmässiger Zugriff ausländischer Staaten auf die Daten möglich ist. So können zum Beispiel die US-Behörden gestützt auf den sogenannten «Cloud Act» auf Daten zugreifen, wenn sie sich im Besitz oder unter der Kontrolle eines amerikanischen Cloudanbieters befinden.
Der SAV stellt Musterverträge zur Verfügung (www.sav-fsa.ch γ Service γ Anwältin/Anwalt in der Cloud γ Musterverträge für Kanzleien und Cloudanbieter). Darin ist etwa geregelt, dass der Cloudanbieter die Leistungen selbst erbringen muss und Subunternehmer nur beiziehen darf, wenn der Kunde schriftlich zustimmt.
Der SAV verfasste zudem eine Wegleitung, worauf bei der Auswahl zu achten ist, was der Vertrag regeln sollte, wie der Dienstleister zu überwachen ist und wie man Klienten informieren sollte (www.sav-fsa.ch).
Zugriff auf kanzleieigenen Server von unterwegs
Doch gehören sensible Daten überhaupt in eine externe Cloud? Volker Birk vom Hackerverein Chaos Computer Club Schweiz verneint das: «Sensible Daten gehören auf lokale Rechner in der Kanzlei, so, wie die Akten in die Kanzlei gehören.» Laurent Metzger, Professor für Informatik an der Hochschule für Technik in Rapperswil, ist anderer Ansicht. Cloudlösungen seien sicher, da die Anbieter grossen Aufwand betreiben würden, um die neusten Sicherheitsstandards einzuhalten.
Ein mobiles Büro ist auch auf andere Weise möglich: Die Daten speichert man lokal in der Kanzlei und greift von überall her darauf zu. Das Einrichten einer solchen Lösung ist jedoch teurer: Achermann ICT-Services zum Beispiel verlangt dafür rund 25 000 bis 35 000 Franken (bei zehn Benutzern). Dazu kommen die Kosten für die Anschaffung des Servers und mindestens 7200 Franken pro Jahr für die Wartung. Virtualtec rechnet bei einer Kanzlei mit fünf Anwendern mit ungefähren Anschaffungskosten von rund 15 500 Franken, bei zehn Nutzern von 19 500 Franken plus 9500 Franken für die Inbetriebnahme. Sollen Daten übernommen werden, rechnet Virtualtec das mit 180 oder 210 Franken pro Stunde ab. Die Wartung kostet mindestens 2868 Franken pro Jahr.
Im Gegenzug sinken die laufenden Kosten pro Benutzer. Sie betragen bei Virtualtec dann noch 360 Franken pro Jahr. Wer eine solche Lösung in Betracht zieht, sollte mehrere Offerten einholen. Von «selbst gebastelten» Cloudsystemen rät Informatikprofessor Metzger ab: Es bestehe sonst die Gefahr, dass die Sicherheitsvorkehrungen veralten und die lokale Cloud bei einem Hackerangriff verschlüsselt wird. Unbekannte könnten dann hohe Summen verlangen, um diese zu entsperren.
