Rechtliches

Datenschutzerklärung

Stand: 19. Oktober 2026 · Fassung 2.2

1. Datenschutz auf einen Blick

Die folgenden Hinweise geben einen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder mit uns in Kontakt treten. Im Anschluss beschreiben wir die einzelnen Verarbeitungen — Dienste und Werkzeuge jeweils in einheitlicher Form mit Anbieter, Zweck, verarbeiteten Daten, Rechtsgrundlage, Drittlandbezug und Auftragsverarbeitung.

Diese Datenschutzerklärung erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO. Die Informationen werden in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache bereitgestellt (Art. 12 Abs. 1 DSGVO).

2. Verantwortliche Stelle

Caroline Herrmann
Rechtsanwältin
Enzweilerweg 3a
66709 Weiskirchen
E-Mail: info@caroline-herrmann.com
Telefon: +49 160 206 3652

Für Anliegen zum Datenschutz erreichen Sie uns unter den vorstehenden Kontaktdaten. Einen Datenschutzbeauftragten haben wir nicht bestellt; hierzu besteht für unsere Kanzlei keine gesetzliche Verpflichtung (§ 38 BDSG, Art. 37 DSGVO — es sind nicht ständig mindestens 20 Personen mit automatisierter Verarbeitung beschäftigt).

3. Datenerfassung auf dieser Website

Über diese Website verarbeiten wir personenbezogene Daten in mehreren, voneinander getrennten Zusammenhängen, die sich in Zweck und Rechtsgrundlage unterscheiden. Wir beschreiben sie nachfolgend gesondert.

3.1 Server-Logfiles

Beim Aufruf der Website erhebt und speichert der Provider automatisch Informationen in Server-Log-Dateien, die Ihr Browser übermittelt: Browsertyp und -version, Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage und IP-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Erkennung und Abwehr von Angriffen, der Sicherstellung von Verfügbarkeit und Stabilität, der Fehlerbehebung und Optimierung der technischen Infrastruktur sowie der Verhinderung von Missbrauch.

Empfänger: unser Webhosting-Dienstleister Kinsta Inc. als Auftragsverarbeiter (siehe Abschnitt 4.1). Speicherdauer: spätestens 7 Tage, soweit keine sicherheitsrelevante Auswertung erfolgt (Details: Abschnitt 10).

3.2 Anfrageformular für das Erstgespräch

Auf den Seiten „Erstgespräch“ und „Externe Rechtsabteilung“ können Sie über ein Formular in mehreren Schritten ein Erstgespräch anfragen. Dabei verarbeiten wir Ihre Kontaktangaben (Anrede, Vor- und Nachname, Mobilnummer, E-Mail-Adresse, Unternehmen, Website und Ihre Rolle im Unternehmen) sowie Ihre Angaben zur Ausgangslage: die Art des Unternehmens, wie die rechtlichen Themen bisher abgedeckt werden, die Zahl der Mitarbeitenden, das größte aktuelle Problem und die anstehenden Vorhaben, Ihre Ziele in sechs und in zwölf Monaten sowie Ihre Nachricht dazu, warum Sie mit mir arbeiten möchten und wie dringend es ist. Freiwillig können Sie zusätzlich den Jahresumsatz, den geplanten Investitionsrahmen für das erste Jahr und das monatliche Budget danach angeben, jeweils als Spanne in Euro.

Diese Angaben dienen ausschließlich der Vorbereitung und Bearbeitung Ihrer Anfrage und des Erstgesprächs. Eine automatisierte Bewertung, Priorisierung oder Ablehnung findet nicht statt (Abschnitt 12); die Sichtung erfolgt allein durch die Rechtsanwältin.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder vorvertraglichen Maßnahmen dient; im Übrigen Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie vor dem Absenden über die Checkbox erteilen. Den Zeitpunkt Ihrer Einwilligung speichern wir zum Nachweis (Art. 7 Abs. 1 DSGVO).

Empfänger: wir selbst sowie — als weisungsgebundene Auftragsverarbeiter — unser Webhosting-Dienstleister Kinsta Inc. (Speicherung des Datensatzes, Abschnitt 4.1) und Microsoft 365 für den E-Mail-Eingang sowie für die interne Kontakt- und Anfragenverwaltung (Abschnitt 5). Eine darüber hinausgehende Weitergabe an Dritte erfolgt nicht ohne Ihre Einwilligung. Die Angabe der Daten ist freiwillig; ohne Ihre Kontaktdaten können wir Ihre Anfrage jedoch nicht bearbeiten (Art. 13 Abs. 2 lit. e DSGVO).

Widerruf: Sofern die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

3.3 Legal Readiness Check / KI-Risiko-Check (Selbsteinschätzung)

Soweit Sie unseren Legal Readiness Check oder den KI-Risiko-Check bzw. einen sonstigen Selbsteinschätzungs-Fragebogen nutzen, verarbeiten wir zusätzlich die von Ihnen ausgewählten Antworten (Multiple Choice), die daraus berechnete Dringlichkeits-Einordnung, Ihre freiwilligen Freitext-Angaben, Ihre Rolle im Unternehmen sowie den Namen Ihres Unternehmens — ausschließlich zur Vorbereitung und Bearbeitung Ihrer Anfrage.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bzw. Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt; die Einordnung dient allein Ihrer Orientierung und ersetzt keine rechtliche Prüfung (zur KI-gestützten Zusammenfassung bei Terminbesprechungen siehe Abschnitt 6.4). Entscheiden Sie sich zusätzlich für eine Checkliste, gilt das Double-Opt-in-Verfahren nach Abschnitt 3.4.

Speicherdauer: bis zum Abschluss der Anbahnung, sofern kein Mandat entsteht (Details: Abschnitt 10). Speicherung und Weitergabe im Übrigen wie in Abschnitt 3.2 beschrieben.

3.4 Checklisten-Anforderung und freiwillige Informationsmails

Wenn Sie eine kostenlose Checkliste anfordern, senden wir Ihnen zunächst eine E-Mail zur Bestätigung Ihrer E-Mail-Adresse. Nach Ihrer Bestätigung erhalten Sie die Checkliste einmalig als PDF. Allein durch die Checklisten-Anforderung werden Sie nicht für Informationsmails angemeldet.

Nur wenn Sie zusätzlich die separate, nicht vorausgewählte Checkbox für Informationsmails aktivieren, können wir Ihnen künftig gelegentlich E-Mails zu Wirtschaftsrecht, IT-Recht und KI-Compliance senden. Für diese zusätzliche Einwilligung erhalten Sie eine eigene Bestätigungs-E-Mail mit eigenem Link. Ohne diese zweite Bestätigung versenden wir keine Informationsmails. Die Checkliste erhalten Sie unabhängig davon nach ihrer eigenen Bestätigung.

Verarbeitete Daten: E-Mail-Adresse sowie — sofern angegeben — Name und Unternehmen; für die Checkliste Zeitpunkt von Anforderung und Bestätigung sowie die bei der Bestätigung verwendete IP-Adresse. Bei freiwilliger Wahl der Informationsmails speichern wir getrennt den Wortlaut der Einwilligung, den Zeitpunkt der Auswahl und Bestätigung, die Bestätigungs-IP-Adresse und einen möglichen Widerruf. Rechtsgrundlage: Ihre jeweilige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für werbliche E-Mails beachten wir außerdem § 7 Abs. 2 UWG.

Widerruf der Informationsmails: jederzeit mit Wirkung für die Zukunft über den Abmeldelink in jeder Informationsmail oder formlos an info@caroline-herrmann.com. Die Abmeldung berührt eine bereits angeforderte Checkliste nicht. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt (Art. 7 Abs. 3 DSGVO). Nach einem Widerruf bewahren wir den Nachweis der erteilten und widerrufenen Einwilligung längstens drei Jahre auf (regelmäßige Verjährung, § 195 BGB).

4. Hosting & Auslieferung der Website

4.1 Kinsta (Hosting)

Anbieter: Kinsta Inc., mit Sitz in den USA; das Hosting erfolgt auf Infrastruktur der Google Cloud Platform in einem Rechenzentrum innerhalb der EU (Frankfurt).
Zweck: sichere, stabile und performante Bereitstellung der Website sowie Abwehr technischer Störungen und Angriffe.
Verarbeitete Daten: Server-Logdaten (IP-Adresse, Browser/OS, Referrer, Zeitpunkt), in der Website-Datenbank gespeicherte Formular-/Anfragedaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, stabiler Betrieb).
Drittland: Die Inhalte der Website und die Formulardaten werden in der EU (Frankfurt) gespeichert. Zugriffsprotokolle einschließlich IP-Adressen wertet Kinsta zudem in den USA aus (siehe Unterauftragsverarbeiter); da Kinsta ein US-Unternehmen ist, ist außerdem ein Zugriff aus den USA möglich. Dort besteht kein dem europäischen Recht gleichwertiges Datenschutzniveau, insbesondere im Hinblick auf behördliche Zugriffsrechte (etwa nach FISA 702 und dem CLOUD Act). Für diese Übermittlung haben wir eine Übermittlungs-Folgenabschätzung (Transfer Impact Assessment) durchgeführt. Zur Absicherung dienen EU-Standardvertragsklauseln (Art. 46 DSGVO) sowie ergänzende technische und organisatorische Maßnahmen (Transportverschlüsselung, Zugriffsbeschränkungen, EU-Rechenzentrum); im Ergebnis verbleibt ein vertretbares Restrisiko.
Auftragsverarbeitung: Vertrag nach Art. 28 DSGVO.
Unterauftragsverarbeiter: Kinsta setzt insbesondere die Google Cloud Platform (Hosting im Rechenzentrum Frankfurt) und Cloudflare (Sicherheit und Auslieferung, siehe 4.2) ein. Zugriffsprotokolle der Website einschließlich IP-Adressen wertet Kinsta zur Analyse und Absicherung in einem Analysesystem in den USA aus; für DNS, Kundensupport und Kommunikation sowie für KI-gestützte Werkzeuge setzt Kinsta weitere Dienstleister ein, überwiegend mit Sitz in den USA. Diese Übermittlungen sind durch EU-Standardvertragsklauseln (Art. 46 DSGVO) und, soweit die Empfänger zertifiziert sind, durch das EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert. Die vollständige und jeweils aktuelle Liste ist unter kinsta.com/legal/subprocessors abrufbar (von uns zuletzt geprüft im Stand vom 23. September 2026).

4.2 Cloudflare (Content-Delivery & Sicherheit)

Anbieter: Cloudflare, Inc., USA; Cloudflare ist Bestandteil der Hosting-Infrastruktur unseres Webhosters Kinsta (Abschnitt 4.1).
Zweck: sichere und performante Auslieferung der Website sowie Abwehr automatisierter Angriffe (DDoS/Bots). Hierzu wird ein technisch notwendiges Sicherheits-Cookie gesetzt (__cf_bm, siehe Abschnitt 8.1).
Verarbeitete Daten: verbindungsbezogene Daten, insbesondere IP-Adresse und Anfrage-Metadaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Abwehr von Angriffen, Verfügbarkeit).
Drittland: Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert, sodass für die Übermittlung in die USA ein Angemessenheitsbeschluss besteht (Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO).
Auftragsverarbeitung: Cloudflare wird von Kinsta als Unterauftragsverarbeiter eingesetzt; Grundlage ist unser Vertrag mit Kinsta nach Art. 28 DSGVO, der Kinsta zur Weitergabe gleichwertiger Datenschutzpflichten an Cloudflare verpflichtet (Art. 28 Abs. 4 DSGVO).

5. Kommunikation und interne Anfragenverwaltung (Microsoft 365)

Anbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland.
Zweck: E-Mail-Kommunikation, Bearbeitung Ihrer Anfragen sowie Verwaltung unseres Informations-Verteilers.
Verarbeitete Daten: Inhaltsdaten (E-Mail-Text, Anhänge) und Metadaten (Absender, Empfänger, Betreff, Zeitstempel). Bei Mandatskommunikation können besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche/vertragliche Kommunikation) sowie Art. 6 Abs. 1 lit. f DSGVO (effiziente, sichere geschäftliche Kommunikation); für besondere Kategorien Art. 9 Abs. 2 lit. f DSGVO in Verbindung mit der anwaltlichen Verschwiegenheitspflicht (§ 43a BRAO, § 203 StGB).
Drittland: Microsoft verarbeitet Daten von Geschäftskunden grundsätzlich innerhalb der EU-Datengrenze („EU Data Boundary“). Soweit ausnahmsweise eine Übermittlung in die USA erfolgt, ist diese durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert, unter dem Microsoft zertifiziert ist; ein Zugriff durch US-Behörden kann nicht vollständig ausgeschlossen werden.
Auftragsverarbeitung: Microsoft Products and Services DPA (Art. 28 DSGVO).
Verschlüsselung: E-Mails werden transportverschlüsselt (TLS) übermittelt.
Speicherdauer: nach Maßgabe der gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB; § 50 BRAO bei Mandatsbezug) bzw. bis der Zweck entfällt.

Interne Anfragenverwaltung (Microsoft Lists auf SharePoint Online). Die über unsere Formulare (Abschnitte 3.2 bis 3.4) übermittelten Angaben werden zusätzlich automatisiert in eine interne Übersicht übernommen, damit Anfragen geordnet bearbeitet und nachverfolgt werden können und keine Anfrage verloren geht. Die Übernahme erfolgt über eine direkte, verschlüsselte Schnittstelle zu Microsoft 365 (Microsoft Graph); ein weiterer Dienstleister ist daran nicht beteiligt.
Verarbeitete Daten: Name, Unternehmen, Rolle, E-Mail-Adresse, Telefonnummer, Herkunft der Anfrage, Zeitpunkt Ihrer Einwilligung sowie die von Ihnen im jeweiligen Formular gemachten Angaben (etwa Unternehmensart, bisherige rechtliche Abdeckung, Mitarbeitende, Problem und anstehende Vorhaben, Ziele, Umsatz- und Budgetspannen) beziehungsweise das Ergebnis Ihrer Selbsteinschätzung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage vorvertraglichen Maßnahmen dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer geordneten, nachvollziehbaren Bearbeitung von Anfragen).
Empfänger, Drittland und Auftragsverarbeitung: wie vorstehend für Microsoft 365 beschrieben; es handelt sich um denselben Auftragsverarbeiter unter demselben Vertrag (Microsoft Products and Services DPA) und derselben EU-Datengrenze. Eine Weitergabe an weitere Dritte erfolgt nicht.
Keine automatisierte Entscheidung: Die Übernahme dient allein der Organisation. Eine automatisierte Bewertung, Priorisierung oder Ablehnung findet nicht statt (Abschnitt 12).
Speicherdauer: wie für die jeweilige Anfrage in Abschnitt 10 beschrieben; die interne Übersicht wird gemeinsam mit dem zugehörigen Vorgang gelöscht.

6. Terminbuchung & Online-Besprechung (Microsoft Bookings und Teams)

6.1 Terminbuchung (Microsoft Bookings)

Für die Vereinbarung von Terminen nutzen wir Microsoft Bookings, einen Bestandteil von Microsoft 365 (siehe Abschnitt 5). Wenn Sie auf eine Schaltfläche zur Terminbuchung klicken, werden Sie auf eine externe Buchungsseite von Microsoft weitergeleitet; auf dieser Website wird dafür kein Code Dritter geladen und es werden keine Cookies gesetzt. Die auf der Buchungsseite angegebenen Daten (etwa Name, E-Mail-Adresse und Anliegen) sowie der Termin werden innerhalb unserer Microsoft-365-Umgebung (Exchange Online) verarbeitet und gespeichert. Geben Sie eine Mobilfunknummer an und werden Terminerinnerungen per SMS versendet, verwenden wir diese ausschließlich zur Erinnerung an den Termin; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Zustellung erfolgt über Microsoft 365 bzw. einen von Microsoft beauftragten Versanddienstleister.

6.2 Online-Besprechung (Microsoft Teams)

Das Gespräch führen wir als Online-Besprechung über Microsoft Teams (ebenfalls Bestandteil von Microsoft 365). Mit der Terminbestätigung erhalten Sie einen Teilnahme-Link. Während der Besprechung verarbeitet Microsoft die erforderlichen Daten, insbesondere Ihren Namen, Audio- und gegebenenfalls Videodaten sowie technische Verbindungsdaten. Microsoft verarbeitet diese Daten als Auftragsverarbeiter (Art. 28 DSGVO) und nutzt die Inhalte nicht zum Training eigener KI-Modelle (Microsoft Product Terms).

6.3 Aufzeichnung und Transkription (nur mit Einwilligung)

Mit Ihrer ausdrücklichen, vor Gesprächsbeginn erteilten Einwilligung zeichnen wir das Gespräch über Microsoft Teams auf und erstellen ein Transkript. Zweck ist allein die Dokumentation und Nachbereitung. Aufzeichnung und Transkript werden ausschließlich innerhalb unserer Microsoft-365-Umgebung (OneDrive/SharePoint, EU-Datengrenze) gespeichert; eine Weitergabe an Dritte außerhalb von Microsoft 365 erfolgt nicht. Ohne Ihre Einwilligung findet keine Aufzeichnung statt. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Aufzeichnung wird dann umgehend beendet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Speicherdauer: spätestens 120 Tage nach dem Termin, sofern kein Mandat entsteht; andernfalls gelten die Mandatsfristen (§ 50 BRAO).

Bei Mandatsgesprächen können dabei besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet werden; Rechtsgrundlage ist insoweit Art. 9 Abs. 2 lit. f DSGVO in Verbindung mit der anwaltlichen Verschwiegenheitspflicht.

6.4 KI-gestützte Zusammenfassung

Auf Grundlage der Aufzeichnung bzw. des Transkripts erstellen wir mit den KI-Funktionen von Microsoft 365 (Microsoft 365 Copilot bzw. „Intelligent Recap“ in Microsoft Teams) eine automatische Gesprächszusammenfassung zur Nachbereitung. Die Verarbeitung erfolgt innerhalb der Microsoft-365-Umgebung (EU-Datengrenze); Microsoft verwendet diese Inhalte nicht zum Training seiner KI-Modelle (Microsoft Product Terms).

Die KI-gestützte Zusammenfassung stellt keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO dar. Sie dient lediglich der Vorbereitung und Unterstützung der anwaltlichen Nachbereitung; die inhaltliche Verantwortung und die finale Entscheidung verbleiben ausschließlich bei der Rechtsanwältin. Das zugrunde liegende Sprachmodell erzeugt aus dem Transkript eine strukturierte Zusammenfassung (Themen, Aufgaben, Entscheidungen); diese kann unvollständig oder fehlerhaft sein und wird vor Verwendung anwaltlich geprüft. Rechtsgrundlage ist Ihre Einwilligung in die Aufzeichnung bzw. Transkription (Art. 6 Abs. 1 lit. a DSGVO), die sich auf die darauf gestützte Nachbereitung erstreckt, da der Zweck (Dokumentation/Nachbereitung) identisch ist.

6.5 Rechtsgrundlage im Übrigen

Rechtsgrundlage der Terminbuchung und Besprechung im Übrigen ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO. Ergänzend gelten die Angaben in Abschnitt 5.

7. Datenverarbeitung im Rahmen des Mandats

Zur Anbahnung und Bearbeitung von Mandaten verarbeiten wir personenbezogene Daten unserer Mandanten sowie weiterer Beteiligter auf Grundlage von Art. 6 Abs. 1 lit. b und lit. c DSGVO, für besondere Kategorien personenbezogener Daten auf Grundlage von Art. 9 Abs. 2 lit. f DSGVO. Es gilt die anwaltliche Verschwiegenheitspflicht (§ 43a BRAO, § 203 StGB).

Welche Dienstleister und Werkzeuge wir im Mandat einsetzen, an wen Daten übermittelt werden, wie lange wir sie aufbewahren und welche Rechte Ihnen zustehen, beschreiben die Datenschutzhinweise für Mandate. Mandanten erhalten sie zusammen mit der Mandatsvereinbarung.

Referenzen und Empfehlungen: Mandanten nennen wir auf dieser Website mit Firmenname und Logo nur mit deren ausdrücklicher Einwilligung. Empfehlungen und Bewertungen mit dem Namen einer Person veröffentlichen wir nur, wenn die Person sie selbst öffentlich abgegeben oder der Veröffentlichung im Einzelfall zugestimmt hat. Rechtsgrundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); ein Widerruf ist jederzeit formlos an info@caroline-herrmann.com möglich.

8. Cookies, Analyse & Tracking

8.1 Technisch notwendige Cookies

Im Einsatz ist insbesondere das Sicherheits-Cookie __cf_bm unseres Content-Delivery-Netzwerks Cloudflare (siehe Abschnitt 4.2). Es ist unbedingt erforderlich, um die Website vor automatisierten Angriffen (DDoS, Bots) zu schützen und Sicherheit und Verfügbarkeit zu gewährleisten, hat eine Laufzeit von etwa 30 Minuten und dient nicht der Analyse oder Nachverfolgung Ihres Nutzungsverhaltens. Da dieses Cookie für die Bereitstellung des ausdrücklich gewünschten Dienstes unbedingt erforderlich ist, ist hierfür eine Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich.

8.2 Microsoft Clarity (Webanalyse)

Anbieter: Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA.
Zweck: Reichweiten-/Nutzungsanalyse (Heatmaps, Sitzungswiedergaben) zur Verbesserung von Verständlichkeit und Bedienbarkeit der Website, insbesondere der Online-Selbsteinschätzungs-Fragebögen (Abschnitt 3.3).
Verarbeitete Daten: Nutzungsdaten (Maus-/Klick-/Scrollverhalten, Seitenaufbau), Geräte-/Verbindungsdaten (gekürzte IP-Adresse, Browsertyp, Betriebssystem, Referrer, Zeitpunkt). Eingaben in Formularfelder werden durch eine strikte Maskierung standardmäßig unkenntlich gemacht und nicht aufgezeichnet.
Rechtsgrundlage: Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Cookies und vergleichbare Technologien werden erst gesetzt und der Dienst wird erst geladen, nachdem Sie über unseren Cookie-Hinweis ausdrücklich eingewilligt haben.
Empfänger und Rollen: Microsoft Corporation (USA). Microsoft verarbeitet die über Clarity erhobenen Daten nach den Clarity-Nutzungsbedingungen nicht als Auftragsverarbeiter, sondern als eigenständig Verantwortlicher. Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Microsoft sind wir mit Microsoft gemeinsam verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung ist Microsoft allein verantwortlich. Ihre Rechte können Sie uns gegenüber geltend machen; Anliegen, die die Verarbeitung durch Microsoft betreffen, leiten wir an Microsoft weiter. Microsoft nutzt die Daten nach eigenen Angaben auch für eigene Zwecke, insbesondere zur Verbesserung eigener Produkte, zur Bildung von Nutzungsprofilen für Werbezwecke und zur Entwicklung und zum Training von KI-Modellen. Einzelheiten enthält die Datenschutzerklärung von Microsoft.
Drittland: Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO).
Speicherdauer: Clarity-Daten längstens 13 Monate; für die Verarbeitung zu eigenen Zwecken gelten die Löschfristen von Microsoft. Bei Widerruf erfolgt keine weitere Erhebung.
Widerruf: jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen (auch über den Link „Cookie-Einstellungen“ im Seitenfuß).

8.3 Google Analytics 4 (Webanalyse)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“).
Zweck: Reichweiten- und Nutzungsanalyse (aufgerufene Seiten, Verweildauer, Herkunftskanäle – einschließlich Zugriffen aus Suchmaschinen und KI-Assistenten) zur Verbesserung unseres Informationsangebots.
Verarbeitete Daten: Nutzungsdaten (aufgerufene Seiten, Verweildauer, Interaktionen – einschließlich abgeschickter Formulare sowie Klicks auf Schaltflächen und Kontakt-Links, jeweils als pseudonymes Ereignis –, Herkunft des Zugriffs), Geräte-/Verbindungsdaten (Browsertyp, Betriebssystem, ungefährer Standort auf Stadt-Ebene). IP-Adressen werden bei Nutzern in der EU auf Servern in der EU erhoben und vor der Protokollierung gekürzt bzw. verworfen; vollständige IP-Adressen werden nicht gespeichert. Werbefunktionen, Google Signals und personalisierte Werbung sind deaktiviert.
Rechtsgrundlage: Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Cookies werden erst gesetzt und der Dienst wird erst geladen, nachdem Sie über unseren Cookie-Hinweis ausdrücklich eingewilligt haben.
Empfänger: Google Ireland Limited als Auftragsverarbeiter; eine Übermittlung an die Google LLC (USA) ist nicht ausgeschlossen.
Drittland: Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO).
Auftragsverarbeitung: Vertrag nach Art. 28 DSGVO (Google-Datenverarbeitungsbedingungen). Speicherdauer: Ereignisdaten längstens 2 Monate; bei Widerruf erfolgt keine weitere Erhebung.
Widerruf: jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen (auch über den Cookie-Button unten rechts oder den Link im Seitenfuß).

8.4 Meta Pixel (Marketing)

Anbieter: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“).
Zweck: Messung der Wirksamkeit unserer Werbeanzeigen auf Meta-Plattformen (Facebook, Instagram) sowie Bildung von Zielgruppen für interessenbasierte Werbung (z. B. erneute Ansprache von Website-Besuchern, sog. Retargeting).
Verarbeitete Daten: Nutzungsdaten (aufgerufene Seiten, ausgelöste Ereignisse wie das Absenden eines Formulars – ohne Formularinhalte), Geräte-/Verbindungsdaten (IP-Adresse, Browsertyp, Referrer, Zeitpunkt) sowie Cookie-Kennungen (_fbp). Sind Sie in Ihrem Browser mit einem Meta-Konto angemeldet, kann Meta die erhobenen Daten Ihrem Konto zuordnen und für eigene Zwecke nach Maßgabe der Meta-Datenschutzrichtlinie verarbeiten.
Rechtsgrundlage: Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Der Pixel wird erst geladen und Cookies werden erst gesetzt, nachdem Sie über unseren Cookie-Hinweis ausdrücklich in die Kategorie „Marketing“ eingewilligt haben.
Gemeinsame Verantwortlichkeit: Für die Erhebung der Ereignisdaten auf dieser Website und deren Übermittlung an Meta besteht eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) auf Grundlage des Controller-Addendums von Meta. Für die anschließende Verarbeitung ist Meta allein verantwortlich.
Drittland: Eine Übermittlung an die Meta Platforms, Inc. (USA) ist möglich. Meta ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO).
Speicherdauer: Das Cookie _fbp hat eine Laufzeit von 3 Monaten; bei Widerruf erfolgt keine weitere Erhebung.
Widerruf: jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen (auch über den Link „Cookie-Einstellungen“ im Seitenfuß). Einstellungen zu interessenbasierter Werbung können Sie zusätzlich in Ihrem Meta-Konto treffen.

8.5 Widerruf Ihrer Einwilligung / Cookie-Einstellungen

Ihre Einwilligung in nicht notwendige Cookies und Webanalyse können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Öffnen Sie dazu die Cookie-Einstellungen (auch über den Link „Cookie-Einstellungen“ im Seitenfuß erreichbar) und treffen Sie Ihre Auswahl neu. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

8.6 Google-Bewertungen (Google Places API)

Auf unserer Startseite zeigen wir unsere Google-Bewertung an (Sternebewertung und Anzahl der Bewertungen). Diese Angaben rufen wir serverseitig über die Google Places API ab und speichern sie auf unserem Server zwischen. Dabei besteht keine Verbindung Ihres Browsers zu Google, es werden keine Cookies gesetzt und es werden keine personenbezogenen Daten von Ihnen an Google übermittelt. Erst wenn Sie den Bewertungs-Link aktiv anklicken, werden Sie zu Google weitergeleitet; ab diesem Zeitpunkt gelten die Datenschutzbestimmungen von Google.
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
Rechtsgrundlage: berechtigtes Interesse an der Darstellung von Kundenbewertungen zur Vertrauensbildung (Art. 6 Abs. 1 lit. f DSGVO).

8.7 Reichweite in Suchmaschinen (Google Search Console, Bing Webmaster Tools)

Wir nutzen die Google Search Console (Google Ireland Limited) und die Bing Webmaster Tools (Microsoft Corporation), um die Sichtbarkeit unserer Website in den Suchergebnissen auszuwerten (z. B. Suchanfragen, Impressionen, Klicks, Position). Diese Dienste setzen keine Cookies auf dieser Website und laden keine Skripte in Ihrem Browser. Die ausgewerteten Daten stammen aus der jeweiligen Suchmaschine selbst und werden uns nur in aggregierter, nicht auf Sie persönlich beziehbarer Form bereitgestellt.
Rechtsgrundlage: berechtigtes Interesse an der Analyse und Verbesserung unserer Auffindbarkeit in Suchmaschinen (Art. 6 Abs. 1 lit. f DSGVO).

9. Schriftarten (lokal gehostet)

Diese Seite nutzt zur einheitlichen Darstellung Schriftarten (Webfonts), die lokal auf unserem Server eingebunden sind. Es findet keine Verbindung zu externen Font-Servern (wie z. B. Google Fonts) statt; es werden insoweit keine personenbezogenen Daten an Dritte übermittelt.

10. Speicherdauer-Übersicht

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Maßgebliche Kriterien sind der Verarbeitungszweck, das Bestehen eines Mandats- oder vorvertraglichen Verhältnisses, ein etwaiger Widerruf erteilter Einwilligungen sowie gesetzliche Aufbewahrungs- und Verjährungsfristen.

Daten / Kontext	Speicherdauer	Grundlage / Kriterium
Anfragen über das Anfrageformular (Erstgespräch)	ohne Mandat: bis zum Abschluss der Korrespondenz und anschließende zeitnahe Löschung; mit Mandat: gesetzliche Fristen (6 Jahre Handakte, 8 Jahre Buchungsbelege)	Art. 5 Abs. 1 lit. e DSGVO; § 50 BRAO, § 147 AO
Legal Readiness Check / KI-Risiko-Check (Selbsteinschätzung)	bis zum Abschluss der Anbahnung bzw. Versand der Checkliste, sofern kein Mandat entsteht	Art. 5 Abs. 1 lit. e DSGVO; Einwilligung
Checklisten-Anforderung	bis zum Abschluss der Anforderung; danach nur soweit ein Nachweis der Einwilligung erforderlich ist	Art. 6 Abs. 1 lit. a DSGVO; Art. 5 Abs. 1 lit. e DSGVO
Freiwillige Informationsmails	bis zum Widerruf; danach Nachweis der widerrufenen Einwilligung längstens 3 Jahre	Art. 6 Abs. 1 lit. a DSGVO; § 195 BGB
Termin- und Kontaktdaten (Bookings/Teams)	spätestens 90 Tage nach dem Termin, sofern kein Mandat entsteht	Art. 5 Abs. 1 lit. e DSGVO
Aufzeichnungen, Transkripte, KI-Zusammenfassungen	spätestens 120 Tage nach dem Termin (sofern kein Mandat); sonst Mandatsfristen	Einwilligung; § 50 BRAO
Server-Logfiles	spätestens 7 Tage, soweit keine sicherheitsrelevante Auswertung erfolgt	Art. 6 Abs. 1 lit. f DSGVO
Webanalyse (Microsoft Clarity)	längstens 13 Monate; bei Widerruf keine weitere Erhebung	Einwilligung; § 25 TDDDG
Webanalyse (Google Analytics 4)	Ereignisdaten längstens 2 Monate; Cookies längstens 2 Jahre; bei Widerruf keine weitere Erhebung	Einwilligung; § 25 TDDDG
Marketing (Meta Pixel)	Cookie `_fbp` längstens 3 Monate; bei Widerruf keine weitere Erhebung	Einwilligung; § 25 TDDDG
Mandatsbezogene Daten / Handakte	i. d. R. 6 Jahre nach Mandatsende; steuer-/handelsrechtlich bis 10 Jahre	§ 50 BRAO; § 147 AO, § 257 HGB

11. Ihre Rechte

Sie haben jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung (Art. 15) sowie ein Recht auf Berichtigung (Art. 16) und Löschung (Art. 17). Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen (Art. 18) sowie das Recht auf Datenübertragbarkeit (Art. 20).

Soweit die Verarbeitung auf Ihrer Einwilligung beruht, haben Sie das Recht, diese jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht (Art. 21 DSGVO): Werden Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO). Richtet sich eine Verarbeitung gegen Direktwerbung, haben Sie ein jederzeitiges Widerspruchsrecht ohne Angabe von Gründen (Art. 21 Abs. 2 DSGVO).

Ausübung Ihrer Rechte: Sie können Ihre Rechte formlos gegenüber der verantwortlichen Stelle (Abschnitt 2) geltend machen. Wir bearbeiten Ihr Anliegen unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Bei Mandatsdaten können Betroffenenrechte aufgrund der anwaltlichen Verschwiegenheitspflicht (§ 43a BRAO, § 203 StGB) und gesetzlicher Aufbewahrungspflichten (§ 50 BRAO) eingeschränkt sein.

Ihnen steht zudem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist das Unabhängige Datenschutzzentrum Saarland — Die Landesbeauftragte für Datenschutz und Informationsfreiheit, Dudweilerstraße 30, 66111 Saarbrücken, www.datenschutz.saarland.de.

12. Automatisierte Entscheidungsfindung & Profiling

Wir setzen keine ausschließlich automatisierten Entscheidungsfindungen im Sinne des Art. 22 DSGVO ein, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

Die KI-gestützte Zusammenfassung (Intelligent Recap / Copilot, Abschnitt 6.4) dient ausschließlich der Vorbereitung anwaltlicher Tätigkeit; die finale Verantwortung liegt bei der Rechtsanwältin. Der Legal Readiness Check und der KI-Risiko-Check (Abschnitt 3.3) treffen keine automatisierte Entscheidung; das Ergebnis dient Ihrer Orientierung. Auch die Angaben im Anfrageformular für das Erstgespräch (Abschnitt 3.2) werden ausschließlich manuell ausgewertet. Im Mandat unterstützen KI-Werkzeuge (Copilot, juris, fynk AI) Recherche und Bearbeitung; die rechtliche Bewertung erfolgt ausschließlich durch die Rechtsanwältin. Für die Erstellung von Marketinginhalten (etwa Beiträge, Website-Texte und Entwürfe für soziale Netzwerke) nutzen wir zudem das KI-Werkzeug Claude der Anthropic Ireland, Limited, Dublin, Irland; dabei geben wir keine Mandats-, Anfrage- oder Kontaktdaten und keine personenbezogenen Daten von Website-Besuchern ein. Sollten künftig Verfahren mit automatisierter Entscheidungsfindung eingeführt werden, informieren wir Sie vorab über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen (Art. 13 Abs. 2 lit. f DSGVO).

13. SSL-/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am Schloss-Symbol in Ihrer Browserzeile und daran, dass die Adresszeile mit „https://“ beginnt. Bei aktiver Verschlüsselung können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

Wir unterhalten öffentlich zugängliche Profile in sozialen Netzwerken, um über unsere Kanzlei und rechtliche Themen zu informieren und mit Interessenten und Mandanten in Kontakt zu treten. Konkret sind das:

LinkedIn (LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland)
Facebook (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland)
Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland)

Datenübermittlung durch diese Website: Auf dieser Website verlinken wir auf unsere Profile. Social-Media-Plugins setzen wir nicht ein. Den Meta Pixel laden wir nur, wenn Sie in die Kategorie „Marketing“ eingewilligt haben (Abschnitt 8.4). Ohne diese Einwilligung werden beim Besuch dieser Website keine Daten an die genannten Anbieter übermittelt; eine Verarbeitung durch den jeweiligen Anbieter beginnt dann erst, wenn Sie einem Link zu einem unserer Profile folgen.

Verarbeitung durch die Anbieter: Wenn Sie eines unserer Profile aufrufen, verarbeitet der jeweilige Anbieter Ihre Daten in eigener Verantwortung nach seiner Datenschutzerklärung. Das gilt insbesondere für Nutzungsdaten, Cookies und die Bildung von Nutzungsprofilen, auch zu eigenen Zwecken des Anbieters (etwa Marktforschung und Werbung), und unabhängig davon, ob Sie dort ein eigenes Konto besitzen. Dabei können Daten in die USA übermittelt werden; Meta Platforms, Inc. und LinkedIn Corporation sind unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO), ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO). Einzelheiten: Datenschutzerklärung von Meta (Facebook und Instagram) und Datenschutzerklärung von LinkedIn.

Gemeinsame Verantwortlichkeit für Seiten-Statistiken: Für die Verarbeitung von Statistikdaten unserer Auftritte (sogenannte Insights: aggregierte Angaben etwa zu Reichweite und Interaktionen) sind wir mit dem jeweiligen Anbieter gemeinsam verantwortlich (Art. 26 DSGVO). Die Kernpflichten sind in Vereinbarungen mit den Anbietern geregelt: für Facebook und Instagram in der Meta-Vereinbarung über gemeinsame Verantwortlichkeit (Insights), für LinkedIn im LinkedIn Page Insights Joint Controller Addendum. Die Insights erhalten wir ausschließlich in aggregierter Form ohne Zuordnung zu einzelnen Personen.

Unsere Verarbeitung: Wir selbst verarbeiten Ihre Daten im Rahmen der Auftritte nur, wenn Sie mit uns interagieren (etwa Kommentare, Direktnachrichten, Kontaktaufnahmen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Außendarstellung und Kommunikation) bzw. Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf ein Mandat zielt. Direktnachrichten behandeln wir wie Anfragen per E-Mail (Abschnitte 3.2 und 5); für die Anbahnung von Mandaten empfehlen wir die dort genannten Kanäle, da die Kommunikation innerhalb sozialer Netzwerke nicht unserer Kontrolle unterliegt.

Ihre Rechte: Ihre Betroffenenrechte (Abschnitt 11) können Sie sowohl uns gegenüber als auch gegenüber dem jeweiligen Anbieter geltend machen. Da die Anbieter den weit überwiegenden Teil der Verarbeitung allein steuern und nur sie vollständigen Zugriff auf die Daten haben, empfehlen wir, Auskunfts- und Löschungsanliegen direkt an den Anbieter zu richten; wir unterstützen Sie im Rahmen unserer Möglichkeiten und leiten Anfragen weiter.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Rechtslage oder unsere Verarbeitungstätigkeiten ändern. Für Ihren Besuch gilt jeweils die hier veröffentlichte aktuelle Fassung.

Stand dieser Datenschutzerklärung: 19. Oktober 2026 · Fassung 2.2.