Datenschutzhinweise für Mandate

Mit diesen Hinweisen informieren wir Sie gemäß Art. 13 und 14 DSGVO darüber, wie wir Ihre personenbezogenen Daten im Rahmen eines Mandats- bzw. Beratungsverhältnisses verarbeiten. Die Informationen werden in präziser, transparenter und verständlicher Form bereitgestellt (Art. 12 Abs. 1 DSGVO). Für den Besuch dieser Website gilt die allgemeine Datenschutzerklärung.

Stand: 3. Oktober 2026 · Fassung 2.0

Datenschutzhinweise als PDF herunterladen

1. Verantwortliche Stelle

Caroline Herrmann
Rechtsanwältin
Enzweilerweg 3a
66709 Weiskirchen
E-Mail: info@caroline-herrmann.com
Telefon: +49 160 206 3652

Für Anliegen zum Datenschutz erreichen Sie uns unter den vorstehenden Kontaktdaten. Einen Datenschutzbeauftragten haben wir nicht bestellt; hierzu besteht keine gesetzliche Verpflichtung (§ 38 BDSG, Art. 37 DSGVO).

2. Zwecke und Rechtsgrundlagen

Wir verarbeiten Ihre personenbezogenen Daten zur Begründung, Durchführung und Beendigung des Mandatsverhältnisses sowie zur Erfüllung gesetzlicher Pflichten.

Zweck	Rechtsgrundlage (Art. 6 DSGVO)	Besondere Kategorien (Art. 9)
Mandatsbearbeitung (Korrespondenz, Schriftsätze, Fristen, Termine)	Art. 6 Abs. 1 lit. b (vorvertraglich/vertraglich)	Art. 9 Abs. 2 lit. f i. V. m. § 43a BRAO, § 203 StGB
Abrechnung und Honorarverwaltung	Art. 6 Abs. 1 lit. b und lit. c (steuerrechtliche Pflichten)	—
Zahlungsabwicklung per SEPA-Lastschrift (soweit vereinbart)	Art. 6 Abs. 1 lit. b	—
Nennung als Referenz (nur mit Einwilligung)	Art. 6 Abs. 1 lit. a	—
Prüfung von Interessenkollisionen	Art. 6 Abs. 1 lit. f (Berufspflicht)	—
Geltendmachung/Abwehr von Ansprüchen (Haftung, Honorar)	Art. 6 Abs. 1 lit. f und lit. c	Art. 9 Abs. 2 lit. f
Operative Rechtsarbeit als Interim Legal / Embedded Counsel (Arbeit in Mandanten-Systemen: E-Mail, Vertrags- und Ticketsysteme)	Art. 6 Abs. 1 lit. b und lit. f	Art. 9 Abs. 2 lit. f (soweit Personaldaten betroffen)
Identifizierung nach dem Geldwäschegesetz	Art. 6 Abs. 1 lit. c	Art. 9 Abs. 2 lit. f (soweit betroffen)

3. Kategorien personenbezogener Daten

Je nach Mandat verarbeiten wir insbesondere:

Stammdaten (Name, Anschrift, Kontaktdaten, ggf. Geburtsdatum und Legitimationsdaten); Mandatsdaten (Sachverhalt, Korrespondenz, Gerichts-/Behördenschriften, Verträge, Gutachten, Beweismittel); Abrechnungsdaten (Vergütungsvereinbarungen, Rechnungen, Zahlungsdaten, Steuernummern, bei Lastschrifteinzug Kontoinhaber, IBAN und die Daten des Lastschriftmandats); besondere Kategorien nach Art. 9 DSGVO (etwa Gesundheitsdaten oder Daten zu Straftaten), soweit für das Mandat erforderlich; sowie Daten Dritter (Gegner, Zeugen, Sachverständige, Behörden) auf Grundlage des berechtigten Interesses an der Rechtsverfolgung bzw. -verteidigung (Art. 6 Abs. 1 lit. f DSGVO).

4. Herkunft der Daten

Wir verarbeiten in erster Linie Daten, die wir unmittelbar von Ihnen erhalten. Soweit für das Mandat erforderlich, verarbeiten wir zusätzlich Daten, die wir zulässigerweise von Dritten (etwa der Gegenseite, Gerichten und Behörden, Versicherungen oder weiteren Verfahrensbeteiligten) oder aus öffentlich zugänglichen Quellen (etwa Registern) erhalten (Art. 14 DSGVO).

5. Empfänger Ihrer Daten

Eine Weitergabe erfolgt nur, soweit dies zur Mandatsführung erforderlich oder gesetzlich vorgeschrieben ist bzw. Sie eingewilligt haben. Empfänger können sein: Gerichte, Behörden und Schiedsgerichte, die Gegenseite und deren Bevollmächtigte, weitere Verfahrensbeteiligte und Versicherungen.

Für die Rechnungsstellung und die steuerliche Bearbeitung übermitteln wir die erforderlichen Daten an unseren Steuerberater, der als Berufsgeheimnisträger einer eigenen Verschwiegenheitspflicht unterliegt und die Daten in eigener Verantwortung verarbeitet (kein Auftragsverarbeiter; Art. 6 Abs. 1 lit. c DSGVO).

Für den Zahlungsverkehr übermitteln wir die erforderlichen Zahlungsdaten an Kreditinstitute und Zahlungsdienstleister, insbesondere an unser kontoführendes Institut (Solaris SE, Berlin). Diese verarbeiten die Daten als eigenständig Verantwortliche; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Zahlungsabwicklung per SEPA-Lastschrift: Soweit mit Ihnen der Einzug der Vergütung per SEPA-Basislastschrift vereinbart ist, setzen wir den Zahlungsdienstleister GoCardless SAS, 7 rue de Madrid, 75008 Paris, Frankreich, ein. GoCardless verarbeitet hierfür Ihre Firma bzw. Ihren Namen, Ihre Anschrift und E-Mail-Adresse, Ihre Bankverbindung, die Daten des Lastschriftmandats sowie Betrag, Datum und Verwendungszweck der einzelnen Zahlungen und kündigt Ihnen jeden Einzug vorab per E-Mail an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. GoCardless verarbeitet diese Daten als eigenständig Verantwortlicher, insbesondere zur Ausführung der Zahlungen und zur Erfüllung eigener gesetzlicher Pflichten, und informiert hierüber in eigenen Datenschutzhinweisen. Im SEPA-Verfahren tritt die GoCardless Ltd, London, Vereinigtes Königreich, mit ihrer Gläubiger-Identifikationsnummer auf; für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Soweit GoCardless eigene Dienstleister in Drittländern einsetzt, etwa für Identitätsprüfungen in den USA, geschieht dies in der Verantwortung von GoCardless nach dessen Datenschutzhinweisen.

Referenznennung: Nur wenn Sie ausdrücklich und gesondert eingewilligt haben (§ 22 der Allgemeinen Mandatsbedingungen), nennen wir Ihr Unternehmen mit Firmenname und Logo und einer allgemeinen Beschreibung des Mandats als Referenz, insbesondere auf unserer Website, auf LinkedIn sowie in Präsentationen und Angebotsunterlagen. Empfänger sind damit die Öffentlichkeit und die Adressaten unserer Unterlagen. Personenbezogene Daten sind dabei nur betroffen, soweit der Firmenname eine natürliche Person erkennen lässt oder Zitate und Fotos im Einzelfall gesondert freigegeben werden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können (Art. 7 Abs. 3 DSGVO); Nennung und Logo entfernen wir dann innerhalb von 14 Tagen aus unseren digitalen Auftritten.

Beim AI Governance Audit führt ein externer KI-Architekt den technischen Prüfteil durch. Er ist rechtlich selbständig und datenschutzrechtlich eigenständig Verantwortlicher mit eigener Verschwiegenheitspflicht und handelt nicht als Auftragsverarbeiter der Kanzlei. Die rechtliche Bewertung und Verantwortung verbleibt ausschließlich bei der Kanzlei; ein etwaiger Zugriff auf personenbezogene Daten richtet sich nach einer gesonderten Audit- bzw. Verschwiegenheitsvereinbarung, wobei die technische Analyse soweit möglich ohne personenbezogene Echtdaten erfolgt.

Für den elektronischen Rechtsverkehr mit Gerichten, Behörden und anderen Berufsträgern nutzen wir das besondere elektronische Anwaltspostfach (beA) der Bundesrechtsanwaltskammer (§ 31a BRAO).

Interim Legal / Embedded Counsel: Bei einer operativen Einbindung arbeiten wir in den Systemen des Mandanten (z. B. E-Mail, Vertrags- und Ticketsysteme). Für die dort verarbeiteten personenbezogenen Daten bleibt der Mandant Verantwortlicher (Art. 4 Nr. 7 DSGVO); wir sind insoweit weder Empfänger im eigenen Verantwortungsbereich noch Auftragsverarbeiter. Eine Übermittlung dieser Daten in eigene Systeme oder an Dritte findet nicht statt; in unsere Handakte gelangt nur das anwaltlich Erforderliche (§ 50 BRAO).

6. Auftragsverarbeiter und eingesetzte Werkzeuge

Zur Mandatsbearbeitung setzen wir die nachstehenden Dienstleister ein. Soweit sie personenbezogene Daten in unserem Auftrag verarbeiten, geschieht dies auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO); soweit sie dabei Zugang zu Tatsachen erhalten, die der anwaltlichen Verschwiegenheit unterliegen, verpflichten wir sie hierzu (§ 43e BRAO, § 203 Abs. 3 und 4 StGB). Bei der Ende-zu-Ende-verschlüsselten Datensicherung (Apple iCloud) hat der Anbieter keinen Zugriff auf die Inhalte. Abweichungen sind in der Spalte „Besonderheit“ angegeben.

Dienstleister	Zweck	Standort / Drittland	Besonderheit
Microsoft 365 (Exchange, Teams, SharePoint, OneDrive, Bookings, Copilot, Copilot Cowork)	E-Mail, Besprechungen, Dokumentenablage, Termine, KI-gestützte Assistenz und Aufgabenbearbeitung (Microsoft 365 Copilot, Copilot Cowork)	EU-Datengrenze; USA nur ausnahmsweise (SCC, DPF)	kein Training auf Kundendaten; § 203 StGB zusätzlich über die German Data Secrecy Amendment abgesichert
Apple iCloud	verschlüsselte Datensicherung	Ende-zu-Ende-verschlüsselt (Advanced Data Protection)	Apple ohne Zugriff auf Inhalte; Auftragsverarbeitungsvertrag in Abschluss
Kinsta (Kinsta Inc., USA; Server in Frankfurt) mit Cloudflare	Hosting der Website einschließlich der Formulare, über die Sie uns Anfragen und Anliegen übermitteln	Speicherung in der EU (Frankfurt); US-Muttergesellschaft (SCC)	Auftragsverarbeitung
lexoffice (Haufe Service Center GmbH)	Rechnungsstellung, vorbereitende Buchhaltung, Versand von Rechnungen per E-Mail	Hosting in der EU (Frankfurt); E-Mail-Versand und einzelne Support-Dienste in den USA (SCC)	Auftragsverarbeitung; Verschwiegenheitsvereinbarung nach § 203 StGB
fynk (fynk GmbH, Österreich)	Vertragsmanagement, elektronische Signatur, KI-gestützte Erfassung von Vertragsdaten (fynk AI)	EWR (Hosting Deutschland/EWR); in Ausnahmefällen USA für Support und Fehlerprotokolle (SCC)	KI-Verarbeitung im EWR
Make (Celonis SE / Make.com)	automatisierte Übermittlung unterzeichneter Verträge aus fynk an unser Kanzleipostfach (Microsoft 365)	EU-Region; USA nur ausnahmsweise (SCC, DPF)	keine Speicherung der Vertragsinhalte; kein Training auf Kundendaten; Verschwiegenheit vertraglich abgesichert
juris (juris GmbH, Saarbrücken)	juristische Datenbank; bei fallbezogener Nutzung der juris KI-Suite auch KI-gestützte Recherche/Analyse	Deutschland (KI-Suite: EU-Server)	Datenbank: kein Auftragsverarbeiter; KI-Suite: Auftragsverarbeiter, kein Modelltraining
IT-Dienstleister: Daniel Herrmann, Enzweilerweg 3a, 66709 Weiskirchen	technische Wartung und Administration	Deutschland	weisungsgebunden, § 203 StGB

Unterauftragsverarbeiter. Die genannten Dienstleister setzen ihrerseits weitere Dienstleister ein (Unterauftragsverarbeiter, Art. 28 Abs. 2 und 4 DSGVO), etwa für Rechenzentren, Support oder die Zustellung von Nachrichten. Sie sind vertraglich an dieselben Datenschutzpflichten gebunden wie der jeweilige Dienstleister; soweit sie Zugang zu Mandatsinhalten erhalten können, sind sie in Textform zur Verschwiegenheit verpflichtet (§ 43e Abs. 3 Satz 2 Nr. 3 BRAO). Die folgende Übersicht nennt die Kategorien; die vollständigen und jeweils aktuellen Listen stellen die Dienstleister selbst bereit. Auf Anfrage nennen wir Ihnen die konkreten Empfänger (Art. 15 Abs. 1 lit. c DSGVO).

Dienstleister	Unterauftragsverarbeiter (Kategorien)	Standort	Aktuelle Liste
Microsoft 365	mit Microsoft verbundene Unternehmen sowie externe Dienstleister, insbesondere für Betrieb und Kundensupport	EU-Datengrenze; Support im Einzelfall auch außerhalb der EU (SCC, DPF)	Microsoft Online Services Subprocessor List im Microsoft Service Trust Portal
Apple iCloud	Rechenzentren und Infrastruktur	wegen der Ende-zu-Ende-Verschlüsselung ohne Zugriff auf Inhalte	wird mit dem Auftragsverarbeitungsvertrag vorgelegt; Ergänzung folgt
Kinsta	Google Cloud (Hosting, Frankfurt), Cloudflare (Sicherheit, Auslieferung), Dienste für DNS, Protokollanalyse, Support, E-Mail-Versand und KI-gestützte Werkzeuge	Hosting in der EU; Protokoll-, Support- und Werkzeugdienste auch in den USA (SCC, DPF)	kinsta.com/legal/subprocessors
lexoffice	Unternehmen der Haufe Group (Entwicklung, Support); Amazon Web Services (Hosting in Frankfurt, KI-gestützte Funktionen in Europa); The Rocket Science Group (E-Mail-Versand „Mandrill“, auch für Rechnungs-E-Mails); Intercom (Analyse und Kommunikation, teils KI-gestützt); UserVoice (Feedback); SorryApp (Statusmeldungen); B+S Banksysteme und BANKSapi (Banking-Schnittstellen); Klippa (Belegerkennung)	Hosting in der EU; E-Mail-Versand, Analyse, Kommunikation und Feedback in den USA (SCC, soweit zertifiziert DPF); Statusmeldungen im Vereinigten Königreich (Angemessenheitsbeschluss)	Anlage 1 zum Vertrag über Auftragsverarbeitung von Lexware Office
fynk	Amazon Web Services und Hetzner (Hosting, auch fynk AI), Google Cloud und eID Easy (elektronische Signatur), Microsoft Azure AI und Mistral AI (KI-Funktionen), Bird (SMS/WhatsApp), Intercom (Support), Pusher, Sentry (Fehlerprotokolle)	EWR; USA nur ausnahmsweise (Support, Fehlerprotokolle, WhatsApp)	fynk-Liste (Stand 22.07.2026)
Make	Unternehmen der Celonis-Gruppe (Support, überwiegend aus Tschechien); Amazon Web Services, MongoDB, Supabase und 84codes (Hosting, Datenbanken und Ausführung der Szenarien); Cloudflare (Sicherheit, Auslieferung); Freshdesk (Support-Tickets); Mixpanel und Rudderstack (Produktanalyse); Dienste zur Kundenkommunikation. KI-Funktionen von Make nutzen wir nicht.	Szenarien und Daten in der EU-Region (Irland), Cloudflare für EU-Kunden nur auf EU-Servern; Produktanalyse, Kundenkommunikation und Support im Einzelfall auch in den USA und weiteren Staaten außerhalb der EU (SCC, DPF)	Make-Bedingungen (Liste der Unterauftragsverarbeiter, Stand 12.12.2025)
juris KI-Suite	OpenAI (Sprachmodell)	EU-Server	bei juris
IT-Dienstleister	keine	—	—

Microsoft 365 Copilot und Copilot Cowork. Wir nutzen Microsoft 365 Copilot zur Unterstützung bei Entwürfen, Zusammenfassungen, der Recherche in eigenen Dokumenten sowie bei E-Mails und Terminen. Copilot greift dabei über Microsoft Graph nur auf Inhalte unseres eigenen Microsoft-365-Tenants zu (Postfach, OneDrive/SharePoint, Teams) und beachtet die bestehenden Zugriffsrechte. Mit Copilot Cowork lassen wir vorgegebene Aufgaben mehrschrittig bis zu einem Ergebnis bearbeiten; jedes Ergebnis prüfen wir anwaltlich, bevor es verwendet wird. Als Sprachmodelle verwenden wir ausschließlich Modelle der GPT-Familie (derzeit GPT-5.5), die Microsoft in Azure AI Foundry innerhalb der EU-Datengrenze betreibt. Modelle anderer Anbieter, insbesondere von Anthropic, sind für unsere Umgebung im Microsoft-Admin-Center deaktiviert. Microsoft verarbeitet die Daten als Auftragsverarbeiter (Microsoft Products and Services Data Protection Addendum) im Rahmen der Enterprise Data Protection: Eingaben, Antworten und einbezogene Inhalte werden nicht zum Training der Modelle verwendet und verlassen die Microsoft-365-Dienstgrenze nicht; die menschliche Inhaltsprüfung zur Missbrauchserkennung ist abgewählt. Die Websuche von Copilot (Bing) liegt außerhalb dieser Auftragsverarbeitung; wir nutzen sie nicht mit Mandatsinhalten. Zur Verschwiegenheit ist Microsoft über die German Data Secrecy Amendment (§ 203 StGB) verpflichtet. Eine ausschließlich automatisierte Entscheidung findet nicht statt (Abschnitt 7).

Weitere juristische Fachanwendungen mit KI-Funktionen setzen wir bei Mandatsinhalten nur ein, wenn mit dem Anbieter ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) und eine Verschwiegenheitsvereinbarung nach § 43e BRAO besteht; vor einem solchen Einsatz ergänzen wir diese Hinweise.

Diese Aufstellung betrifft ausschließlich unsere eigenen Werkzeuge. Für Daten, die wir im Rahmen von Interim-Legal-Mandaten in den Systemen des Mandanten verarbeiten, sind wir keine Auftragsverarbeiter; insoweit besteht kein Auftragsverarbeitungsvertrag mit uns (siehe Abschnitt 5). Auch der beim AI Governance Audit eingebundene KI-Architekt ist eigenständig Verantwortlicher und kein Auftragsverarbeiter.

7. KI-gestützte Verarbeitung & automatisierte Entscheidungen

Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Die finale rechtliche Bewertung, Entscheidung und Verantwortung verbleibt ausschließlich bei der Rechtsanwältin (Human-in-the-Loop). Ein Profiling mit rechtlicher Wirkung erfolgt nicht.

System	Zweck	Logik / Tragweite	Menschliche Kontrolle
Microsoft 365 Copilot / Copilot Cowork (Assistenz und mehrstufige Aufgabenausführung in Outlook, Word, Teams u. a.)	Entwürfe, Zusammenfassungen, Recherche sowie eigenständige, mehrschrittige Bearbeitung vorgegebener Aufgaben (Cowork) in kanzleieigenen Inhalten; Grounding auf Inhalte des Microsoft-365-Tenants	ausschließlich Sprachmodelle der GPT-Familie (derzeit GPT-5.5), von Microsoft in Azure AI Foundry innerhalb der EU-Datengrenze betrieben; Modelle anderer Anbieter (insbesondere Anthropic) sind für unsere Umgebung deaktiviert; keine Websuche mit Mandatsinhalten; Ausgaben bzw. Ergebnisse können unvollständig oder fehlerhaft sein	anwaltliche Prüfung vor Verwendung; kein Training auf Kundendaten
Intelligent Recap (Microsoft Teams)	Gesprächszusammenfassung aus Aufzeichnung/Transkript (nur mit Einwilligung)	Sprachmodell; erzeugt eine strukturierte Zusammenfassung, die unvollständig oder fehlerhaft sein kann	anwaltliche Prüfung vor Verwendung
juris KI-Suite (juris GmbH)	KI-gestützte Recherche/Analyse im juris-Datenraum bei fallbezogenen Eingaben	Sprachmodell; Verarbeitung auf EU-Servern, Unterauftragsverarbeiter OpenAI, kein Modelltraining	anwaltliche Validierung; § 203 StGB vertraglich abgesichert
fynk AI (fynk GmbH)	Erfassung von Vertragsdaten wie Parteien, Laufzeiten und Fristen	Sprachmodell zur Extraktion; Ergebnisse können fehlerhaft sein	Fristen und Eckdaten werden anwaltlich geprüft

Sollten künftig Verfahren mit automatisierter Entscheidungsfindung eingeführt werden, informieren wir Sie vorab über die involvierte Logik, die Tragweite und die angestrebten Auswirkungen (Art. 13 Abs. 2 lit. f DSGVO).

Datenminimierung beim KI-Einsatz: Soweit es nach der Sensibilität der Daten und dem Zweck der Bearbeitung angezeigt ist, werden personenbezogene Daten — insbesondere Daten von Endkunden oder Beschäftigten des Mandanten — vor dem Einsatz KI-gestützter Werkzeuge pseudonymisiert oder auf das Erforderliche reduziert. Eine Verwendung der Mandatsinhalte zum Training der eingesetzten Modelle findet nicht statt.

8. Kommunikation per E-Mail, Microsoft Teams & Terminbuchung

E-Mail (Microsoft 365): Verarbeitet werden Inhalts- und Metadaten Ihrer Nachrichten; bei Mandatskommunikation können besondere Kategorien (Art. 9 DSGVO) betroffen sein. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO, für Art.-9-Daten Art. 9 Abs. 2 lit. f DSGVO in Verbindung mit der anwaltlichen Verschwiegenheitspflicht. E-Mails werden transportverschlüsselt (TLS) übermittelt. Verarbeitung innerhalb der EU-Datengrenze; ausnahmsweise USA-Übermittlung über SCC und EU-US Data Privacy Framework abgesichert.

Terminbuchung (Microsoft Bookings): Beim Klick auf eine Buchungs-Schaltfläche werden Sie auf eine externe Buchungsseite von Microsoft weitergeleitet (kein Drittcode auf dieser Website). Verarbeitet werden Name, E-Mail-Adresse, Anliegen, Termin und — sofern für SMS-Erinnerungen angegeben — die Mobilfunknummer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Ihre Einwilligung.

Online-Besprechung (Microsoft Teams): Verarbeitet werden Name, Audio-, ggf. Videodaten und technische Verbindungsdaten. Microsoft handelt als Auftragsverarbeiter und nutzt die Inhalte nicht zum Training eigener KI-Modelle.

Aufzeichnung, Transkription & KI-Zusammenfassung — nur mit Einwilligung: Mit Ihrer ausdrücklichen, vor Gesprächsbeginn erteilten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) zeichnen wir das Gespräch auf, erstellen ein Transkript und eine KI-gestützte Zusammenfassung (Intelligent Recap / Copilot). Speicherung ausschließlich innerhalb der Microsoft-365-Umgebung (OneDrive/SharePoint, EU-Datengrenze); Aufzeichnung und Transkript werden spätestens nach 120 Tagen gelöscht, sofern kein Mandat zustande kommt. Ohne Einwilligung findet keine Aufzeichnung statt; der Widerruf ist jederzeit mit Wirkung für die Zukunft und so einfach wie die Erteilung möglich (Art. 7 Abs. 3 DSGVO). Es handelt sich nicht um eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO (siehe Abschnitt 7).

9. Übermittlung in Drittländer

Soweit einzelne Dienstleister Daten außerhalb der EU/des EWR — insbesondere in den USA — verarbeiten, ist dies durch geeignete Garantien abgesichert: Für nach dem EU-US Data Privacy Framework zertifizierte Empfänger besteht ein Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO); ergänzend bzw. für nicht zertifizierte Empfänger gelten EU-Standardvertragsklauseln (Art. 46 DSGVO). Microsoft 365 ist nach dem EU-US DPF zertifiziert und verarbeitet Daten von Geschäftskunden grundsätzlich innerhalb der EU-Datengrenze. Bei Apple iCloud verhindert die Ende-zu-Ende-Verschlüsselung (Advanced Data Protection) einen Zugriff durch Apple. Über das Website-Hosting bei Kinsta (Server in Frankfurt, US-Muttergesellschaft) laufen die Anfragen und Anliegen, die Sie uns über die Formulare der Website übermitteln; für einen möglichen Zugriff aus den USA haben wir eine Übermittlungs-Folgenabschätzung (Transfer Impact Assessment) durchgeführt (Einzelheiten in der allgemeinen Datenschutzerklärung). Bei fynk und Make erfolgt eine Verarbeitung in den USA nur ausnahmsweise (Support, Fehlerprotokolle bzw. einzelne Unterauftragsverarbeiter); bei Make kann Support im Einzelfall auch durch Gesellschaften der Celonis-Gruppe außerhalb der EU erfolgen. Grundlage sind EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework. Versenden wir über lexoffice E-Mails, etwa Rechnungen, läuft der Versand über den Dienst „Mandrill“ der The Rocket Science Group in den USA; Name, E-Mail-Adresse und der Inhalt der Nachricht einschließlich der Rechnung werden dabei übermittelt. Auch die Analyse- und Feedbackdienste von lexoffice sitzen in den USA; abgesichert ist dies durch EU-Standardvertragsklauseln (Art. 46 DSGVO) und, soweit der Empfänger zertifiziert ist, das EU-US Data Privacy Framework. Für die Zahlungsabwicklung tritt die GoCardless Ltd im Vereinigten Königreich auf; hierfür besteht ein Angemessenheitsbeschluss (Art. 45 DSGVO). Die übrigen Dienstleister verarbeiten innerhalb der EU/des EWR.

10. Speicherdauer

Datenkategorie	Speicherdauer	Grundlage
Mandatsakte (Handakte, Korrespondenz, Schriftsätze)	i. d. R. 6 Jahre nach Mandatsende	§ 50 BRAO; Art. 6 Abs. 1 lit. c
Rechnungen und Buchungsbelege	8 Jahre	§ 147 Abs. 3 AO, § 257 Abs. 4 HGB
Bücher und Jahresabschlüsse	10 Jahre	§ 147 Abs. 3 AO, § 257 Abs. 4 HGB
Zahlungsdaten bei GoCardless	nach den Löschfristen von GoCardless als eigenständig Verantwortlichem	Datenschutzhinweise GoCardless
Referenzangaben (Firmenname, Logo, Kurzbeschreibung)	bis zum Widerruf; Nachweis der Einwilligung bis drei Jahre danach	Art. 6 Abs. 1 lit. a, Art. 7 Abs. 1 DSGVO; § 195 BGB
Mandatsbezogene E-Mails	entsprechend der Mandatsakte (6 Jahre; soweit Buchungsbelege 8 Jahre)	§ 50 BRAO, § 147 AO
Anbahnung ohne Mandat	bis zum Abschluss der Korrespondenz, danach zeitnahe Löschung	Art. 5 Abs. 1 lit. e DSGVO
Aufzeichnungen, Transkripte, KI-Zusammenfassungen	spätestens 120 Tage nach dem Termin (sofern kein Mandat); sonst Mandatsfristen	Einwilligung; § 50 BRAO
Daten in Mandanten-Systemen (Interim Legal)	verbleiben beim Mandanten; keine Übernahme in unsere Systeme (außer Handakte/Abschlussbericht)	Verantwortung des Mandanten; § 50 BRAO (Handakte)
Daten nach dem Geldwäschegesetz	5 Jahre nach Beendigung der Geschäftsbeziehung	§ 8 GwG

11. Geldwäschegesetz (GwG)

Soweit wir an Geschäften im Sinne des § 2 Abs. 1 Nr. 10 GwG mitwirken, sind wir gesetzlich verpflichtet, Sie bzw. die für Sie handelnden und die wirtschaftlich berechtigten Personen zu identifizieren. Verarbeitet werden insbesondere Identifikationsdaten (Name, Geburtsdatum, Anschrift, Staatsangehörigkeit, Ausweisdaten), Angaben zu wirtschaftlich Berechtigten (§ 3 GwG) sowie zum Zweck der Geschäftsbeziehung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem GwG; für besondere Kategorien Art. 9 Abs. 2 lit. f DSGVO. Eine Übermittlung an die Zentralstelle für Finanztransaktionsuntersuchungen (FIU) erfolgt nur im Fall einer Verdachtsmeldung (§ 43 GwG). Die Aufbewahrung beträgt fünf Jahre nach Beendigung der Geschäftsbeziehung (§ 8 GwG). In diesem Rahmen können Betroffenenrechte gesetzlich eingeschränkt sein.

12. Pflicht zur Bereitstellung der Daten

Die Bereitstellung der für das Mandat erforderlichen Daten ist für die Begründung und Durchführung des Mandats notwendig (Art. 13 Abs. 2 lit. e DSGVO); ohne diese Daten können wir das Mandat nicht oder nicht ordnungsgemäß bearbeiten. Für die GwG-Identifizierung besteht eine gesetzliche Bereitstellungspflicht; ohne Identifikation dürfen wir die Geschäftsbeziehung nicht eingehen (§ 10 GwG).

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Einschränkungen bei Mandatsdaten: Diese Rechte können durch die anwaltliche Verschwiegenheitspflicht (§ 43a BRAO, § 2 BORA, § 203 StGB), durch gesetzliche Aufbewahrungspflichten (§ 50 BRAO, § 147 AO, § 8 GwG) sowie nach § 29 BDSG (Schutz von Berufsgeheimnissen) eingeschränkt sein.

Interim Legal: Soweit personenbezogene Daten im Rahmen eines Interim-Legal-Mandats in den Systemen des Mandanten verarbeitet werden, ist für die Ausübung der Betroffenenrechte der Mandant als Verantwortlicher zuständig; an uns gerichtete Anliegen leiten wir unverzüglich an ihn weiter.

Ausübung: Sie können Ihre Rechte formlos unter den in Abschnitt 1 genannten Kontaktdaten geltend machen. Wir bearbeiten Ihr Anliegen unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Beschwerderecht: Ihnen steht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist das Unabhängige Datenschutzzentrum Saarland — Die Landesbeauftragte für Datenschutz und Informationsfreiheit, Dudweilerstraße 30, 66111 Saarbrücken, www.datenschutz.saarland.de.

14. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere Transport- und Geräteverschlüsselung (TLS, FileVault), Ende-zu-Ende-Verschlüsselung der Datensicherung (iCloud Advanced Data Protection), Mehr-Faktor-Authentifizierung, eine Passwortverwaltung mit Ende-zu-Ende-Verschlüsselung, Zugriff nach dem Need-to-know-Prinzip sowie Auftragsverarbeitungsverträge mit allen Dienstleistern, die in unserem Auftrag personenbezogene Daten verarbeiten. Über alle Verarbeitungstätigkeiten führen wir ein Verzeichnis nach Art. 30 DSGVO. Für den KI-gestützten Einsatz bei Mandatsdaten haben wir vorsorglich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt.

Interim Legal: Der Zugriff auf Systeme des Mandanten erfolgt ausschließlich über eine gesicherte Umgebung. Die konkrete Ausgestaltung wird je Mandat festgelegt — je nach Vereinbarung über vom Mandanten gestellte oder verwaltete Geräte oder über Geräte der Kanzlei mit Geräteverschlüsselung, Mehr-Faktor-Authentifizierung und, soweit erforderlich, Geräteverwaltung bzw. Container-Trennung. Mandanten-Daten werden nicht über das erforderliche Maß hinaus lokal auf privaten Geräten gespeichert.

Stand dieser Datenschutzhinweise: 3. Oktober 2026 · Fassung 2.0.