DSGVO-konforme Patentsoftware: Worauf Kanzleien achten müssen

DSGVO-konforme Patentsoftware: Worauf es wirklich ankommt

Patentanwaltskanzleien verarbeiten einige der sensibelsten Geschäftsinformationen überhaupt: unveröffentlichte Erfindungen, Wettbewerbsstrategien, Erfindervergütungsdaten und vertrauliche Mandantenkorrespondenz. Wer darauf KI-gestützte Tools aufsetzt, erhöht den Datenschutz-Einsatz enorm. Trotzdem übernehmen viele Kanzleien Patentsoftware, ohne die entscheidenden Fragen zum Verbleib ihrer Daten zu stellen. Das ist ein Fehler mit berufsrechtlichen, regulatorischen und wirtschaftlichen Konsequenzen.

Die doppelte Pflicht: Berufsgeheimnis trifft DSGVO

DSGVO-Konformität ist für jedes europäische Unternehmen Pflicht -- doch Patentkanzleien unterliegen einer noch strengeren Realität. Die anwaltliche Verschwiegenheitspflicht nach § 39a PatAnwO und die standesrechtlichen Vorgaben der Patentanwaltskammer gehen weiter als die DSGVO selbst. Ein Datenleck in einer Patentkanzlei löst nicht nur Bußgelder aus -- es kann die Neuheit einer Erfindung zerstören, die Anmeldestrategie eines Mandanten offenlegen und Geschäftsbeziehungen über Nacht beenden.

Die Wahl der Software ist deshalb keine reine IT-Entscheidung. Sie ist eine berufsrechtliche Verantwortung. Jedes Tool, das Mandantendaten berührt, muss sowohl die DSGVO-Anforderungen als auch die erhöhten Vertraulichkeitsstandards des Berufsstands erfüllen.

Wo die meisten Anbieter Schwächen zeigen

Die entscheidenden Fragen sind klar, doch viele Anbieter weichen ihnen aus. Erstens: Wo werden Daten tatsächlich verarbeitet? Server-Standort innerhalb der EU/des EWR ist die Mindestanforderung. Doch selbst EU-Server sind nicht sicher, wenn der Anbieter ein US-Unternehmen ist, das dem Cloud Act oder FISA Section 702 unterliegt -- diese Gesetze können die Herausgabe von Daten erzwingen, unabhängig vom physischen Standort der Server.

Zweitens: Was passiert mit Ihren Daten in KI-Pipelines? Viele KI-Anbieter nutzen Nutzeranfragen für das Modelltraining. Für eine Patentkanzlei ist das fatal: Die unveröffentlichte Erfindung Ihres Mandanten könnte Ergebnisse beeinflussen, die anderen Nutzern angezeigt werden. Fordern Sie eine klare, vertragliche Garantie, dass keine Mandantendaten für das Modelltraining verwendet werden und dass Anfragen isoliert verarbeitet und nach der Sitzung gelöscht werden.

Drittens: Gibt es einen ordentlichen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO? Das ist keine Formalität. Der AVV muss die technischen und organisatorischen Maßnahmen (TOMs) im Detail festlegen -- Verschlüsselung im Ruhezustand und bei der Übertragung, rollenbasierte Zugriffskontrolle, Audit-Protokollierung, automatisierte Löschung nach Aufbewahrungsfristen. Wenn Ihr Anbieter keinen umfassenden AVV auf Anfrage vorlegen kann, suchen Sie weiter.

Die On-Premise-Frage

Viele Kanzleien gehen davon aus, dass eine On-Premise-Installation per se sicherer ist. In der Praxis hängt das vollständig von den internen IT-Kapazitäten ab. Eine professionell betriebene EU-Cloud mit automatisiertem Patching, 24/7-Monitoring und dedizierten Security-Teams übertrifft häufig eine On-Premise-Installation, die vom IT-Generalisten einer kleineren Kanzlei betreut wird.

Der echte Vorteil von On-Premise liegt in der Kontrolle: Daten verlassen nie die eigene Infrastruktur, was auch der konservativsten Auslegung der anwaltlichen Verschwiegenheitspflicht genügt. Für Kanzleien, die besonders sensible Vorgänge bearbeiten -- etwa Erfindungsmeldungen großer Mandanten vor der Erstanmeldung -- rechtfertigt eine air-gapped On-Premise-Lösung den zusätzlichen Betriebsaufwand.

Der ideale Anbieter bietet beides. Die Cloud für den Tagesbetrieb, wo professionelles EU-Hosting mehr als ausreichend ist, und On-Premise für die Fälle, in denen maximale Kontrolle nicht verhandelbar ist.

Was Sie vor der Entscheidung wirklich prüfen sollten

Vergessen Sie generische Compliance-Checklisten. Konzentrieren Sie sich auf vier Punkte, die wirklich zählen: ausschließliche Datenverarbeitung in der EU ohne US-Muttergesellschaft in der Unternehmenskette, ein vertragliches Verbot der Datennutzung für KI-Training, ein detaillierter AVV mit auditierbaren TOMs und die Möglichkeit, Betroffenenrechte (Auskunft, Löschung, Datenübertragbarkeit) auszuüben, ohne ein Support-Ticket einreichen und zwei Wochen warten zu müssen.

Wer zusätzliche Absicherung will, achtet außerdem auf ISO 27001-Zertifizierung, regelmäßige Penetrationstests und eine On-Premise-Option. Aber die ersten vier Punkte sind nicht verhandelbar.

Fazit

DSGVO-Konformität bei Patentsoftware ist keine Abhakübung -- sie ist eine berufsrechtliche Kernpflicht. Kanzleien, die das ernst nehmen, vermeiden nicht nur Bußgelder: Sie verdienen das Vertrauen, das Mandanten dazu bringt, ihre wertvollsten Geheimnisse zu teilen. Kanzleien, die Datenschutz als Nebensache behandeln, tragen ein Risiko, das sie nicht vollständig überblicken.

WunderIP ist 100% DSGVO-konform mit europäischen Servern in Deutschland und optionaler air-gapped On-Premise-Installation über WunderLocal. Mehr zu unserem Sicherheitskonzept auf unserer Trust-Seite.

Dieser Artikel wurde am 12. Februar 2026 überarbeitet und neu strukturiert, um die Lesbarkeit zu verbessern. Der inhaltliche Gehalt bleibt unverändert.