Dürfen Mandantenunterlagen per E-Mail verschickt werden?

Zuletzt aktualisiert: 4. August 2026

Die kurze Antwort lautet: manchmal, unter Bedingungen, und bei Berufsgeheimnisträgern seltener als gedacht. Die lange Antwort beginnt damit, was mit einer E-Mail auf dem Weg wirklich geschieht.

Was auf dem Weg passiert

Eine E-Mail geht nicht direkt von Ihnen zum Empfänger. Sie geht an Ihren Postausgangsserver, von dort an den eingehenden Server des Empfängers, oft über weitere Stationen. Auf jedem dieser Server liegt die Nachricht samt Anhang vollständig lesbar, mindestens für die Dauer der Weiterleitung, in der Praxis oft für Jahre.

Dass moderne Server untereinander TLS sprechen, ist gut und ändert am Kernpunkt nichts. TLS schützt die Strecke zwischen zwei Stationen. An jeder Station wird entschlüsselt, verarbeitet und neu verschlüsselt. Wer den Server kontrolliert, sieht den Inhalt. Das ist der Unterschied zwischen Transportverschlüsselung und Ende-zu-Ende-Verschlüsselung, und es ist der einzige Unterschied, auf den es hier ankommt.

Hinzu kommt, dass TLS im E-Mail-Verkehr nicht erzwungen ist. Kann der Gegenserver kein TLS, wird üblicherweise trotzdem zugestellt, nur eben im Klartext. Ihr System meldet Ihnen das nicht.

Was die DSGVO verlangt

Art. 32 DSGVO fordert Maßnahmen, die dem Risiko angemessen sind, und nennt ausdrücklich den Stand der Technik als Maßstab. Es gibt also kein Verbot der E-Mail, sondern eine Abwägung. Diese Abwägung fällt unterschiedlich aus, je nachdem, worum es geht.

Eine Terminbestätigung ist etwas anderes als eine Lohnabrechnung mit Krankenkassenzugehörigkeit oder ein Schriftsatz in einem Familienrechtsverfahren. Bei Daten nach Art. 9 DSGVO, also Gesundheitsdaten und ähnlich sensiblen Kategorien, verschiebt sich die Abwägung deutlich, und die Aufsichtsbehörden haben in ihren Orientierungshilfen zum E-Mail-Versand wiederholt festgehalten, dass für Daten mit hohem Risiko eine Ende-zu-Ende-Verschlüsselung erforderlich sein kann.

Bei Steuerberatern, Rechtsanwälten und Wirtschaftsprüfern kommt hinzu, dass praktisch jede Mandantenunterlage dem Berufsgeheimnis unterliegt. Die Frage ist damit nicht nur eine des Datenschutzes, sondern auch eine des Strafrechts. Dazu mehr unter § 203 StGB und externe Dienstleister.

Was in der Praxis versucht wird, und was davon trägt

Passwortgeschütztes ZIP-Archiv

Verbreitet und besser als nichts, aber mit zwei Schwächen. Erstens wird das Passwort fast immer über denselben Kanal geschickt, oft in der nächsten E-Mail. Damit liegt der Schlüssel neben dem Schloss. Zweitens sind ältere ZIP-Verschlüsselungsverfahren mit heutiger Rechenleistung angreifbar. Nur AES-256 in aktuellen Programmen ist wirklich belastbar, und Sie wissen selten, was das Programm des Mandanten davon kann.

Wenn Sie diesen Weg gehen, dann mit AES-256 und mit dem Passwort über einen anderen Kanal, also telefonisch oder per SMS. In dem Moment, in dem Sie ohnehin anrufen, ist der Aufwandsvorteil der E-Mail allerdings weg.

Passwortgeschütztes PDF

Schützt vor dem zufälligen Blick, nicht vor jemandem, der es darauf anlegt. Die Passwortverfahren in PDF sind auf Bequemlichkeit ausgelegt, und für ältere Versionen gibt es fertige Werkzeuge zum Öffnen. Für Berufsgeheimnisse ist das keine tragfähige Grundlage.

S/MIME oder PGP

Technisch die richtige Antwort und in der Kanzlei praktisch nicht durchsetzbar. Beide Verfahren verlangen, dass auch der Mandant Zertifikate oder Schlüssel verwaltet. Das gelingt bei einer Handvoll größerer Mandanten und bei keinem einzigen Privatmandanten.

Übergabe über einen Link statt als Anhang

Die Unterlagen gehen nicht durch das E-Mail-System, die E-Mail enthält nur den Verweis. Damit verlässt der eigentliche Inhalt nie den gesicherten Weg, und es gibt eine Frist, nach der er verschwindet. Voraussetzung ist, dass der Link nicht erraten werden kann, dass er abläuft und dass der Anbieter die Inhalte nicht lesen kann.

Eine brauchbare Faustregel

• Organisatorisches ohne personenbezogene Inhalte: E-Mail ist in Ordnung.
• Unterlagen mit personenbezogenen Daten, aber ohne besondere Kategorien: E-Mail nur mit zusätzlicher Verschlüsselung des Inhalts, Schlüssel über einen anderen Kanal.
• Alles, was dem Berufsgeheimnis unterliegt, und alles nach Art. 9 DSGVO: nicht als Anhang. Ein Verfahren wählen, bei dem der Inhalt das E-Mail-System nie betritt.
• In jedem Fall: den gewählten Weg im Verzeichnis der Verarbeitungstätigkeiten festhalten. Die Entscheidung muss nachvollziehbar sein, nicht perfekt.

Und der Mandant, der trotzdem alles per Mail schickt?

Passiert und lässt sich nicht verhindern. Für den eingehenden Weg gilt: Sie sind für die Entscheidung des Mandanten, Ihnen etwas unverschlüsselt zu schicken, nicht verantwortlich. Verantwortlich sind Sie dafür, was danach damit geschieht. Es gehört also aus dem Postfach heraus in die Akte, und die Mail wird gelöscht.

Der wirksamste Hebel ist, den bequemeren Weg anzubieten. Wenn der Link in der Anfrage direkt neben der Bitte um die Unterlagen steht und ein Klick genügt, nutzen ihn die meisten Mandanten, ohne dass es einer Erklärung bedarf.

Dieser Text ist eine fachliche Einordnung und keine Rechtsberatung. Für die Bewertung Ihres konkreten Falls ist Ihre Kammer oder ein Berufsrechtler die richtige Adresse.