Datenschutzhinweise für Mandate

Mit diesen Hinweisen informieren wir Sie gemäß Art. 13 und 14 DSGVO darüber, wie wir Ihre personenbezogenen Daten im Rahmen eines Mandats- bzw. Beratungsverhältnisses verarbeiten. Die Informationen werden in präziser, transparenter und verständlicher Form bereitgestellt (Art. 12 Abs. 1 DSGVO). Die allgemeine Datenschutzerklärung für den Besuch dieser Website finden Sie hier.

Datenschutzhinweise als PDF herunterladen

1. Verantwortliche Stelle

Caroline Herrmann
Rechtsanwältin
Enzweilerweg 3a
66709 Weiskirchen
E-Mail: info@caroline-herrmann.com
Telefon: +49 160 206 3652

Für Anliegen zum Datenschutz erreichen Sie uns unter den vorstehenden Kontaktdaten. Einen Datenschutzbeauftragten haben wir nicht bestellt; hierzu besteht keine gesetzliche Verpflichtung (§ 38 BDSG, Art. 37 DSGVO).

2. Zwecke und Rechtsgrundlagen

Wir verarbeiten Ihre personenbezogenen Daten zur Begründung, Durchführung und Beendigung des Mandatsverhältnisses sowie zur Erfüllung gesetzlicher Pflichten.

Zweck	Rechtsgrundlage (Art. 6 DSGVO)	Besondere Kategorien (Art. 9)
Mandatsbearbeitung (Korrespondenz, Schriftsätze, Fristen, Termine)	Art. 6 Abs. 1 lit. b (vorvertraglich/vertraglich)	Art. 9 Abs. 2 lit. f i. V. m. § 43a BRAO, § 203 StGB
Abrechnung und Honorarverwaltung	Art. 6 Abs. 1 lit. b und lit. c (steuerrechtliche Pflichten)	—
Prüfung von Interessenkollisionen	Art. 6 Abs. 1 lit. f (Berufspflicht)	—
Geltendmachung/Abwehr von Ansprüchen (Haftung, Honorar)	Art. 6 Abs. 1 lit. f und lit. c	Art. 9 Abs. 2 lit. f
Operative Rechtsarbeit als Interim Legal / Embedded Counsel (Arbeit in Mandanten-Systemen: E-Mail, Vertrags- und Ticketsysteme)	Art. 6 Abs. 1 lit. b und lit. f	Art. 9 Abs. 2 lit. f (soweit Personaldaten betroffen)
Identifizierung nach dem Geldwäschegesetz	Art. 6 Abs. 1 lit. c	Art. 9 Abs. 2 lit. f (soweit betroffen)

3. Kategorien personenbezogener Daten

Je nach Mandat verarbeiten wir insbesondere:

Stammdaten (Name, Anschrift, Kontaktdaten, ggf. Geburtsdatum und Legitimationsdaten); Mandatsdaten (Sachverhalt, Korrespondenz, Gerichts-/Behördenschriften, Verträge, Gutachten, Beweismittel); Abrechnungsdaten (Honorarvereinbarungen, Rechnungen, Zahlungsdaten, Steuernummern); besondere Kategorien nach Art. 9 DSGVO (etwa Gesundheitsdaten oder Daten zu Straftaten), soweit für das Mandat erforderlich; sowie Daten Dritter (Gegner, Zeugen, Sachverständige, Behörden) auf Grundlage des berechtigten Interesses an der Rechtsverfolgung bzw. -verteidigung (Art. 6 Abs. 1 lit. f DSGVO).

4. Herkunft der Daten

Wir verarbeiten in erster Linie Daten, die wir unmittelbar von Ihnen erhalten. Soweit für das Mandat erforderlich, verarbeiten wir zusätzlich Daten, die wir zulässigerweise von Dritten (etwa der Gegenseite, Gerichten und Behörden, Versicherungen oder weiteren Verfahrensbeteiligten) oder aus öffentlich zugänglichen Quellen (etwa Registern) erhalten (Art. 14 DSGVO).

5. Empfänger Ihrer Daten

Eine Weitergabe erfolgt nur, soweit dies zur Mandatsführung erforderlich oder gesetzlich vorgeschrieben ist bzw. Sie eingewilligt haben. Empfänger können sein: Gerichte, Behörden und Schiedsgerichte, die Gegenseite und deren Bevollmächtigte, weitere Verfahrensbeteiligte und Versicherungen.

Für die Rechnungsstellung und die steuerliche Bearbeitung übermitteln wir die erforderlichen Daten an unseren Steuerberater, der als Berufsgeheimnisträger einer eigenen Verschwiegenheitspflicht unterliegt und die Daten in eigener Verantwortung verarbeitet (kein Auftragsverarbeiter; Art. 6 Abs. 1 lit. c DSGVO).

Beim AI Governance Audit führt ein externer KI-Architekt den technischen Prüfteil durch. Er ist rechtlich selbständig und datenschutzrechtlich eigenständig Verantwortlicher mit eigener Verschwiegenheitspflicht und handelt nicht als Auftragsverarbeiter der Kanzlei. Die rechtliche Bewertung und Verantwortung verbleibt ausschließlich bei der Kanzlei; ein etwaiger Zugriff auf personenbezogene Daten richtet sich nach einer gesonderten Audit- bzw. Verschwiegenheitsvereinbarung, wobei die technische Analyse soweit möglich ohne personenbezogene Echtdaten erfolgt.

Für den elektronischen Rechtsverkehr mit Gerichten, Behörden und anderen Berufsträgern nutzen wir das besondere elektronische Anwaltspostfach (beA) der Bundesrechtsanwaltskammer (§ 31a BRAO).

Interim Legal / Embedded Counsel: Bei einer operativen Einbindung arbeiten wir in den Systemen des Mandanten (z. B. E-Mail, Vertrags- und Ticketsysteme). Für die dort verarbeiteten personenbezogenen Daten bleibt der Mandant Verantwortlicher (Art. 4 Nr. 7 DSGVO); wir sind insoweit weder Empfänger im eigenen Verantwortungsbereich noch Auftragsverarbeiter. Eine Übermittlung dieser Daten in eigene Systeme oder an Dritte findet nicht statt; in unsere Handakte gelangt nur das anwaltlich Erforderliche (§ 50 BRAO).

6. Auftragsverarbeiter und eingesetzte Werkzeuge

Soweit wir zur Mandatsbearbeitung externe Dienstleister einsetzen, geschieht dies auf Grundlage von Verträgen zur Auftragsverarbeitung (Art. 28 DSGVO); die Dienstleister sind nach § 203 Abs. 3 und 4 StGB zur Verschwiegenheit verpflichtet.

Dienstleister	Zweck	Standort / Drittland	Besonderheit
Microsoft 365 (Exchange, Teams, SharePoint, OneDrive, Bookings, Copilot)	E-Mail, Besprechungen, Dokumentenablage, Termine, KI-gestützte Assistenz (Microsoft 365 Copilot)	EU-Datengrenze; USA nur ausnahmsweise (SCC, DPF)	kein Training auf Kundendaten; § 203 StGB zusätzlich über die German Data Secrecy Amendment abgesichert
Apple iCloud	verschlüsselte Datensicherung	Ende-zu-Ende-verschlüsselt (Advanced Data Protection)	Apple ohne Zugriff auf Inhalte
lexoffice (Haufe Service Center GmbH)	Rechnungsstellung, vorbereitende Buchhaltung	Deutschland	—
fynk (fynk GmbH, Österreich)	Vertragsmanagement, elektronische Signatur	EU (Hosting Deutschland/EWR)	—
Make (Celonis SE / Make.com)	automatisierte Übergabe von Vertrags- und Rechnungsdaten zwischen fynk und lexoffice	EU-Region; USA nur ausnahmsweise (SCC, DPF)	kein Training auf Kundendaten
juris (juris GmbH, Saarbrücken)	juristische Datenbank; bei fallbezogener Nutzung der juris KI-Suite auch KI-gestützte Recherche/Analyse	Deutschland (KI-Suite: EU-Server)	Datenbank: kein Auftragsverarbeiter; KI-Suite: Auftragsverarbeiter, Unterauftragsverarbeiter OpenAI, kein Modelltraining
Libra by Wolters Kluwer (Libra Technology GmbH)	KI-gestützter juristischer Arbeitsbereich (Recherche, Entwurf, Prüfung)	Deutschland/EWR	Teil von Wolters Kluwer Legal & Regulatory; kein Modelltraining auf Mandatsinhalten
IT-Dienstleister: Daniel Herrmann, Enzweilerweg 3a, 66709 Weiskirchen	technische Wartung und Administration	Deutschland	weisungsgebunden, § 203 StGB

Diese Aufstellung betrifft ausschließlich unsere eigenen Werkzeuge. Für Daten, die wir im Rahmen von Interim-Legal-Mandaten in den Systemen des Mandanten verarbeiten, sind wir keine Auftragsverarbeiter; insoweit besteht kein Auftragsverarbeitungsvertrag mit uns (siehe Abschnitt 5). Auch der beim AI Governance Audit eingebundene KI-Architekt ist eigenständig Verantwortlicher und kein Auftragsverarbeiter.

7. KI-gestützte Verarbeitung & automatisierte Entscheidungen

Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Die finale rechtliche Bewertung, Entscheidung und Verantwortung verbleibt ausschließlich bei der Rechtsanwältin (Human-in-the-Loop). Ein Profiling mit rechtlicher Wirkung erfolgt nicht.

System	Zweck	Logik / Tragweite	Menschliche Kontrolle
Microsoft 365 Copilot / Copilot Cowork (Assistenz und mehrstufige Aufgabenausführung in Outlook, Word, Teams u. a.)	Entwürfe, Zusammenfassungen, Recherche sowie eigenständige, mehrschrittige Bearbeitung vorgegebener Aufgaben (Cowork) in kanzleieigenen Inhalten; Grounding auf Inhalte des Microsoft-365-Tenants	Sprachmodell; Ausgaben bzw. Ergebnisse können unvollständig oder fehlerhaft sein	anwaltliche Prüfung vor Verwendung; kein Training auf Kundendaten
Intelligent Recap (Microsoft Teams)	Gesprächszusammenfassung aus Aufzeichnung/Transkript (nur mit Einwilligung)	Sprachmodell; erzeugt eine strukturierte Zusammenfassung, die unvollständig oder fehlerhaft sein kann	anwaltliche Prüfung vor Verwendung
juris KI-Suite (juris GmbH)	KI-gestützte Recherche/Analyse im juris-Datenraum bei fallbezogenen Eingaben	Sprachmodell; Verarbeitung auf EU-Servern, Unterauftragsverarbeiter OpenAI, kein Modelltraining	anwaltliche Validierung; § 203 StGB vertraglich abgesichert
Libra by Wolters Kluwer (Libra Technology GmbH)	Recherche, Vertrags-/Dokumentenanalyse	Sprachmodell zur Extraktion und Zusammenfassung; Ergebnisse dienen der Entscheidungsvorbereitung	anwaltliche Validierung zwingend; kein Modelltraining auf Mandatsinhalten

Sollten künftig Verfahren mit automatisierter Entscheidungsfindung eingeführt werden, informieren wir Sie vorab über die involvierte Logik, die Tragweite und die angestrebten Auswirkungen (Art. 13 Abs. 2 lit. f DSGVO).

Datenminimierung beim KI-Einsatz: Soweit es nach der Sensibilität der Daten und dem Zweck der Bearbeitung angezeigt ist, werden personenbezogene Daten — insbesondere Daten von Endkunden oder Beschäftigten des Mandanten — vor dem Einsatz KI-gestützter Werkzeuge pseudonymisiert oder auf das Erforderliche reduziert. Eine Verwendung der Mandatsinhalte zum Training der eingesetzten Modelle findet nicht statt.

8. Kommunikation per E-Mail, Microsoft Teams & Terminbuchung

E-Mail (Microsoft 365): Verarbeitet werden Inhalts- und Metadaten Ihrer Nachrichten; bei Mandatskommunikation können besondere Kategorien (Art. 9 DSGVO) betroffen sein. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO, für Art.-9-Daten Art. 9 Abs. 2 lit. f DSGVO in Verbindung mit der anwaltlichen Verschwiegenheitspflicht. E-Mails werden transportverschlüsselt (TLS) übermittelt. Verarbeitung innerhalb der EU-Datengrenze; ausnahmsweise USA-Übermittlung über SCC und EU-US Data Privacy Framework abgesichert.

Terminbuchung (Microsoft Bookings): Beim Klick auf eine Buchungs-Schaltfläche werden Sie auf eine externe Buchungsseite von Microsoft weitergeleitet (kein Drittcode auf dieser Website). Verarbeitet werden Name, E-Mail-Adresse, Anliegen, Termin und — sofern für SMS-Erinnerungen angegeben — die Mobilfunknummer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Ihre Einwilligung.

Online-Besprechung (Microsoft Teams): Verarbeitet werden Name, Audio-, ggf. Videodaten und technische Verbindungsdaten. Microsoft handelt als Auftragsverarbeiter und nutzt die Inhalte nicht zum Training eigener KI-Modelle.

Aufzeichnung, Transkription & KI-Zusammenfassung — nur mit Einwilligung: Mit Ihrer ausdrücklichen, vor Gesprächsbeginn erteilten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) zeichnen wir das Gespräch auf, erstellen ein Transkript und eine KI-gestützte Zusammenfassung (Intelligent Recap / Copilot). Speicherung ausschließlich innerhalb der Microsoft-365-Umgebung (OneDrive/SharePoint, EU-Datengrenze); Aufzeichnung und Transkript werden spätestens nach 120 Tagen gelöscht, sofern kein Mandat zustande kommt. Ohne Einwilligung findet keine Aufzeichnung statt; der Widerruf ist jederzeit mit Wirkung für die Zukunft und so einfach wie die Erteilung möglich (Art. 7 Abs. 3 DSGVO). Es handelt sich nicht um eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO (siehe Abschnitt 7).

9. Übermittlung in Drittländer

Soweit einzelne Dienstleister Daten außerhalb der EU/des EWR — insbesondere in den USA — verarbeiten, ist dies durch geeignete Garantien abgesichert: Für nach dem EU-US Data Privacy Framework zertifizierte Empfänger besteht ein Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO); ergänzend bzw. für nicht zertifizierte Empfänger gelten EU-Standardvertragsklauseln (Art. 46 DSGVO). Microsoft 365 ist nach dem EU-US DPF zertifiziert und verarbeitet Daten von Geschäftskunden grundsätzlich innerhalb der EU-Datengrenze. Bei Apple iCloud verhindert die Ende-zu-Ende-Verschlüsselung (Advanced Data Protection) einen Zugriff durch Apple. Das Website-Hosting bei Kinsta (USA) betrifft keine Mandatsdaten; hierfür haben wir eine Übermittlungs-Folgenabschätzung (Transfer Impact Assessment) durchgeführt (Einzelheiten in der allgemeinen Datenschutzerklärung). Die übrigen Dienstleister verarbeiten innerhalb der EU/des EWR.

10. Speicherdauer

Datenkategorie	Speicherdauer	Grundlage
Mandatsakte (Handakte, Korrespondenz, Schriftsätze)	i. d. R. 6 Jahre nach Mandatsende	§ 50 BRAO; Art. 6 Abs. 1 lit. c
Steuerlich relevante Unterlagen (Rechnungen, Belege)	bis zu 10 Jahre	§ 147 AO, § 257 HGB
Mandatsbezogene E-Mails	entsprechend der Mandatsakte (6/10 Jahre)	§ 50 BRAO, § 147 AO
Anbahnung ohne Mandat	bis zum Abschluss der Korrespondenz, danach zeitnahe Löschung	Art. 5 Abs. 1 lit. e DSGVO
Aufzeichnungen, Transkripte, KI-Zusammenfassungen	spätestens 120 Tage nach dem Termin (sofern kein Mandat); sonst Mandatsfristen	Einwilligung; § 50 BRAO
Daten in Mandanten-Systemen (Interim Legal)	verbleiben beim Mandanten; keine Übernahme in unsere Systeme (außer Handakte/Abschlussbericht)	Verantwortung des Mandanten; § 50 BRAO (Handakte)
Daten nach dem Geldwäschegesetz	5 Jahre nach Beendigung der Geschäftsbeziehung	§ 8 GwG

11. Geldwäschegesetz (GwG)

Soweit wir an Geschäften im Sinne des § 2 Abs. 1 Nr. 10 GwG mitwirken, sind wir gesetzlich verpflichtet, Sie bzw. die für Sie handelnden und die wirtschaftlich berechtigten Personen zu identifizieren. Verarbeitet werden insbesondere Identifikationsdaten (Name, Geburtsdatum, Anschrift, Staatsangehörigkeit, Ausweisdaten), Angaben zu wirtschaftlich Berechtigten (§ 3 GwG) sowie zum Zweck der Geschäftsbeziehung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem GwG; für besondere Kategorien Art. 9 Abs. 2 lit. f DSGVO. Eine Übermittlung an die Zentralstelle für Finanztransaktionsuntersuchungen (FIU) erfolgt nur im Fall einer Verdachtsmeldung (§ 43 GwG). Die Aufbewahrung beträgt fünf Jahre nach Beendigung der Geschäftsbeziehung (§ 8 GwG). In diesem Rahmen können Betroffenenrechte gesetzlich eingeschränkt sein.

12. Pflicht zur Bereitstellung der Daten

Die Bereitstellung der für das Mandat erforderlichen Daten ist für die Begründung und Durchführung des Mandats notwendig (Art. 13 Abs. 2 lit. e DSGVO); ohne diese Daten können wir das Mandat nicht oder nicht ordnungsgemäß bearbeiten. Für die GwG-Identifizierung besteht eine gesetzliche Bereitstellungspflicht; ohne Identifikation dürfen wir die Geschäftsbeziehung nicht eingehen (§ 10 GwG).

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Einschränkungen bei Mandatsdaten: Diese Rechte können durch die anwaltliche Verschwiegenheitspflicht (§ 43a BRAO, § 2 BORA, § 203 StGB), durch gesetzliche Aufbewahrungspflichten (§ 50 BRAO, § 147 AO, § 8 GwG) sowie nach § 29 BDSG (Schutz von Berufsgeheimnissen) eingeschränkt sein.

Interim Legal: Soweit personenbezogene Daten im Rahmen eines Interim-Legal-Mandats in den Systemen des Mandanten verarbeitet werden, ist für die Ausübung der Betroffenenrechte der Mandant als Verantwortlicher zuständig; an uns gerichtete Anliegen leiten wir unverzüglich an ihn weiter.

Ausübung: Sie können Ihre Rechte formlos unter den in Abschnitt 1 genannten Kontaktdaten geltend machen. Wir bearbeiten Ihr Anliegen unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Beschwerderecht: Ihnen steht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist das Unabhängige Datenschutzzentrum Saarland — Die Landesbeauftragte für Datenschutz und Informationsfreiheit, Dudweilerstraße 30, 66111 Saarbrücken, www.datenschutz.saarland.de.

14. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere Transport- und Geräteverschlüsselung (TLS, FileVault), Ende-zu-Ende-Verschlüsselung der Datensicherung (iCloud Advanced Data Protection), Mehr-Faktor-Authentifizierung, Zugriff nach dem Need-to-know-Prinzip sowie Auftragsverarbeitungsverträge mit allen Dienstleistern. Über alle Verarbeitungstätigkeiten führen wir ein Verzeichnis nach Art. 30 DSGVO. Für den KI-gestützten Einsatz bei Mandatsdaten haben wir vorsorglich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt.

Interim Legal: Der Zugriff auf Systeme des Mandanten erfolgt ausschließlich über eine gesicherte Umgebung. Die konkrete Ausgestaltung wird je Mandat festgelegt — je nach Vereinbarung über vom Mandanten gestellte oder verwaltete Geräte oder über Geräte der Kanzlei mit Geräteverschlüsselung, Mehr-Faktor-Authentifizierung und, soweit erforderlich, Geräteverwaltung bzw. Container-Trennung. Mandanten-Daten werden nicht über das erforderliche Maß hinaus lokal auf privaten Geräten gespeichert.

Stand dieser Datenschutzhinweise: 18. Juli 2026 · Fassung 1.3.