Datenschutzerklärung

1. Datenschutz auf einen Blick

Die folgenden Hinweise geben einen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder mit uns in Kontakt treten. Im Anschluss beschreiben wir die einzelnen Verarbeitungen — Dienste und Werkzeuge jeweils in einheitlicher Form mit Anbieter, Zweck, verarbeiteten Daten, Rechtsgrundlage, Drittlandbezug und Auftragsverarbeitung.

Diese Datenschutzerklärung erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO. Die Informationen werden in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache bereitgestellt (Art. 12 Abs. 1 DSGVO).

2. Verantwortliche Stelle

Caroline Herrmann
Rechtsanwältin
Enzweilerweg 3a
66709 Weiskirchen
E-Mail: info@caroline-herrmann.com
Telefon: +49 160 206 3652

Für Anliegen zum Datenschutz erreichen Sie uns unter den vorstehenden Kontaktdaten. Einen Datenschutzbeauftragten haben wir nicht bestellt; hierzu besteht für unsere Kanzlei keine gesetzliche Verpflichtung (§ 38 BDSG, Art. 37 DSGVO — es sind nicht ständig mindestens 20 Personen mit automatisierter Verarbeitung beschäftigt).

3. Datenerfassung auf dieser Website

Über diese Website verarbeiten wir personenbezogene Daten in mehreren, voneinander getrennten Zusammenhängen, die sich in Zweck und Rechtsgrundlage unterscheiden. Wir beschreiben sie nachfolgend gesondert.

3.1 Server-Logfiles

Beim Aufruf der Website erhebt und speichert der Provider automatisch Informationen in Server-Log-Dateien, die Ihr Browser übermittelt: Browsertyp und -version, Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage und IP-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Erkennung und Abwehr von Angriffen, der Sicherstellung von Verfügbarkeit und Stabilität, der Fehlerbehebung und Optimierung der technischen Infrastruktur sowie der Verhinderung von Missbrauch.

Empfänger: unser Webhosting-Dienstleister Kinsta Inc. als Auftragsverarbeiter (siehe Abschnitt 4.1). Speicherdauer: spätestens 7 Tage, soweit keine sicherheitsrelevante Auswertung erfolgt (Details: Abschnitt 10).

3.2 Kontakt- und Anfrageformular

Wenn Sie uns über das Formular eine Anfrage zukommen lassen, werden Ihre Angaben (Name, Unternehmen, E-Mail-Adresse und Telefonnummer) zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder vorvertraglichen Maßnahmen dient; im Übrigen Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie vor dem Absenden über die Checkbox erteilen. Den Zeitpunkt Ihrer Einwilligung speichern wir zum Nachweis (Art. 7 Abs. 1 DSGVO).

Empfänger: wir selbst sowie — als weisungsgebundene Auftragsverarbeiter — unser Webhosting-Dienstleister Kinsta Inc. (Speicherung des Datensatzes, Abschnitt 4.1) und Microsoft 365 für den E-Mail-Eingang (Abschnitt 5). Eine darüber hinausgehende Weitergabe an Dritte erfolgt nicht ohne Ihre Einwilligung. Die Angabe der Daten ist freiwillig; ohne Ihre Kontaktdaten können wir Ihre Anfrage jedoch nicht bearbeiten (Art. 13 Abs. 2 lit. e DSGVO).

Widerruf: Sofern die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

3.3 Risiko-Check / Selbsteinschätzung

Soweit Sie unseren Risiko-Check bzw. Selbsteinschätzungs-Fragebogen nutzen, verarbeiten wir zusätzlich die von Ihnen ausgewählten Antworten (Multiple Choice), die daraus berechnete Dringlichkeits-Einordnung, Ihre freiwilligen Freitext-Angaben sowie den Namen Ihres Unternehmens — ausschließlich zur Vorbereitung und Bearbeitung Ihrer Anfrage.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bzw. Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt; die Einordnung dient allein Ihrer Orientierung und ersetzt keine rechtliche Prüfung (zur KI-gestützten Zusammenfassung bei Terminbesprechungen siehe Abschnitt 6.4). Entscheiden Sie sich zusätzlich für eine Checkliste, gilt das Double-Opt-in-Verfahren nach Abschnitt 3.4.

Speicherdauer: bis zum Abschluss der Anbahnung, sofern kein Mandat entsteht (Details: Abschnitt 10). Speicherung und Weitergabe im Übrigen wie in Abschnitt 3.2 beschrieben.

3.4 Checklisten-Anforderung & E-Mail-Verteiler (Double-Opt-in)

Wenn Sie eine unserer kostenlosen Checklisten anfordern, verwenden wir das Double-Opt-in-Verfahren: Sie erhalten zunächst eine E-Mail mit der Bitte, Ihre Anmeldung über einen Bestätigungslink zu bestätigen. Erst nach Ihrer Bestätigung senden wir die Checkliste zu und nehmen Ihre E-Mail-Adresse in unseren Informations-Verteiler auf, über den wir Sie gelegentlich zu rechtlichen Themen (Wirtschaftsrecht, IT-Recht, KI-Compliance) informieren. Die Bestätigungs-E-Mail enthält keine werblichen Inhalte.

Verarbeitete Daten: E-Mail-Adresse sowie — sofern angegeben — Name und Unternehmen; zum Nachweis der Einwilligung der Zeitpunkt von Anforderung und Bestätigung sowie die bei der Bestätigung verwendete IP-Adresse. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG).

Widerruf: jederzeit mit Wirkung für die Zukunft über den Abmeldelink in jeder E-Mail oder formlos an info@caroline-herrmann.com; der Widerruf ist so einfach wie die Erteilung der Einwilligung (Art. 7 Abs. 3 DSGVO). Nach einem Widerruf bewahren wir Ihre E-Mail-Adresse nur noch zum Nachweis der erteilten und widerrufenen Einwilligung auf, längstens drei Jahre (regelmäßige Verjährung, § 195 BGB).

4. Hosting & Auslieferung der Website

4.1 Kinsta (Hosting)

Anbieter: Kinsta Inc., mit Sitz in den USA; das Hosting erfolgt auf Infrastruktur der Google Cloud Platform in einem Rechenzentrum innerhalb der EU (Frankfurt).
Zweck: sichere, stabile und performante Bereitstellung der Website sowie Abwehr technischer Störungen und Angriffe.
Verarbeitete Daten: Server-Logdaten (IP-Adresse, Browser/OS, Referrer, Zeitpunkt), in der Website-Datenbank gespeicherte Formular-/Anfragedaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, stabiler Betrieb).
Drittland: Da Kinsta ein US-Unternehmen ist, kann eine Verarbeitung in den bzw. ein Zugriff aus den USA nicht vollständig ausgeschlossen werden; dort besteht kein dem europäischen Recht gleichwertiges Datenschutzniveau, insbesondere im Hinblick auf behördliche Zugriffsrechte (etwa nach FISA 702 und dem CLOUD Act). Für diese Übermittlung haben wir eine Übermittlungs-Folgenabschätzung (Transfer Impact Assessment) durchgeführt. Zur Absicherung dienen EU-Standardvertragsklauseln (Art. 46 DSGVO) sowie ergänzende technische und organisatorische Maßnahmen (Transportverschlüsselung, Zugriffsbeschränkungen, EU-Rechenzentrum); im Ergebnis verbleibt ein vertretbares Restrisiko.
Auftragsverarbeitung: Vertrag nach Art. 28 DSGVO.
Unterauftragsverarbeiter: Kinsta setzt die Google Cloud Platform als Unterauftragsverarbeiter ein; eine Übersicht ist unter kinsta.com/legal/subprocessors abrufbar.

4.2 Cloudflare (Content-Delivery & Sicherheit)

Anbieter: Cloudflare, Inc., USA.
Zweck: sichere und performante Auslieferung der Website sowie Abwehr automatisierter Angriffe (DDoS/Bots). Hierzu wird ein technisch notwendiges Sicherheits-Cookie gesetzt (__cf_bm, siehe Abschnitt 8.1).
Verarbeitete Daten: verbindungsbezogene Daten, insbesondere IP-Adresse und Anfrage-Metadaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Abwehr von Angriffen, Verfügbarkeit).
Drittland: Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert, sodass für die Übermittlung in die USA ein Angemessenheitsbeschluss besteht (Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO).
Auftragsverarbeitung: Vertrag nach Art. 28 DSGVO.

5. Kommunikation per E-Mail (Microsoft 365)

Anbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland.
Zweck: E-Mail-Kommunikation, Bearbeitung Ihrer Anfragen sowie Verwaltung unseres Informations-Verteilers.
Verarbeitete Daten: Inhaltsdaten (E-Mail-Text, Anhänge) und Metadaten (Absender, Empfänger, Betreff, Zeitstempel). Bei Mandatskommunikation können besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche/vertragliche Kommunikation) sowie Art. 6 Abs. 1 lit. f DSGVO (effiziente, sichere geschäftliche Kommunikation); für besondere Kategorien Art. 9 Abs. 2 lit. f DSGVO in Verbindung mit der anwaltlichen Verschwiegenheitspflicht (§ 43a BRAO, § 203 StGB).
Drittland: Microsoft verarbeitet Daten von Geschäftskunden grundsätzlich innerhalb der EU-Datengrenze („EU Data Boundary“). Soweit ausnahmsweise eine Übermittlung in die USA erfolgt, ist diese durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert, unter dem Microsoft zertifiziert ist; ein Zugriff durch US-Behörden kann nicht vollständig ausgeschlossen werden.
Auftragsverarbeitung: Microsoft Products and Services DPA (Art. 28 DSGVO).
Verschlüsselung: E-Mails werden transportverschlüsselt (TLS) übermittelt.
Speicherdauer: nach Maßgabe der gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB; § 50 BRAO bei Mandatsbezug) bzw. bis der Zweck entfällt.

6. Terminbuchung & Online-Besprechung (Microsoft Bookings und Teams)

6.1 Terminbuchung (Microsoft Bookings)

Für die Vereinbarung von Terminen nutzen wir Microsoft Bookings, einen Bestandteil von Microsoft 365 (siehe Abschnitt 5). Wenn Sie auf eine Schaltfläche zur Terminbuchung klicken, werden Sie auf eine externe Buchungsseite von Microsoft weitergeleitet; auf dieser Website wird dafür kein Code Dritter geladen und es werden keine Cookies gesetzt. Die auf der Buchungsseite angegebenen Daten (etwa Name, E-Mail-Adresse und Anliegen) sowie der Termin werden innerhalb unserer Microsoft-365-Umgebung (Exchange Online) verarbeitet und gespeichert. Geben Sie eine Mobilfunknummer an und werden Terminerinnerungen per SMS versendet, verwenden wir diese ausschließlich zur Erinnerung an den Termin; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Zustellung erfolgt über Microsoft 365 bzw. einen von Microsoft beauftragten Versanddienstleister.

6.2 Online-Besprechung (Microsoft Teams)

Das Gespräch führen wir als Online-Besprechung über Microsoft Teams (ebenfalls Bestandteil von Microsoft 365). Mit der Terminbestätigung erhalten Sie einen Teilnahme-Link. Während der Besprechung verarbeitet Microsoft die erforderlichen Daten, insbesondere Ihren Namen, Audio- und gegebenenfalls Videodaten sowie technische Verbindungsdaten. Microsoft verarbeitet diese Daten als Auftragsverarbeiter (Art. 28 DSGVO) und nutzt die Inhalte nicht zum Training eigener KI-Modelle (Microsoft Product Terms).

6.3 Aufzeichnung und Transkription (nur mit Einwilligung)

Mit Ihrer ausdrücklichen, vor Gesprächsbeginn erteilten Einwilligung zeichnen wir das Gespräch über Microsoft Teams auf und erstellen ein Transkript. Zweck ist allein die Dokumentation und Nachbereitung. Aufzeichnung und Transkript werden ausschließlich innerhalb unserer Microsoft-365-Umgebung (OneDrive/SharePoint, EU-Datengrenze) gespeichert; eine Weitergabe an Dritte außerhalb von Microsoft 365 erfolgt nicht. Ohne Ihre Einwilligung findet keine Aufzeichnung statt. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Aufzeichnung wird dann umgehend beendet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Speicherdauer: spätestens 120 Tage nach dem Termin, sofern kein Mandat entsteht; andernfalls gelten die Mandatsfristen (§ 50 BRAO).

Bei Mandatsgesprächen können dabei besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet werden; Rechtsgrundlage ist insoweit Art. 9 Abs. 2 lit. f DSGVO in Verbindung mit der anwaltlichen Verschwiegenheitspflicht.

6.4 KI-gestützte Zusammenfassung

Auf Grundlage der Aufzeichnung bzw. des Transkripts erstellen wir mit den KI-Funktionen von Microsoft 365 (Microsoft 365 Copilot bzw. „Intelligent Recap" in Microsoft Teams) eine automatische Gesprächszusammenfassung zur Nachbereitung. Die Verarbeitung erfolgt innerhalb der Microsoft-365-Umgebung (EU-Datengrenze); Microsoft verwendet diese Inhalte nicht zum Training seiner KI-Modelle (Microsoft Product Terms).

Die KI-gestützte Zusammenfassung stellt keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO dar. Sie dient lediglich der Vorbereitung und Unterstützung der anwaltlichen Nachbereitung; die inhaltliche Verantwortung und die finale Entscheidung verbleiben ausschließlich bei der Rechtsanwältin. Das zugrunde liegende Sprachmodell erzeugt aus dem Transkript eine strukturierte Zusammenfassung (Themen, Aufgaben, Entscheidungen); diese kann unvollständig oder fehlerhaft sein und wird vor Verwendung anwaltlich geprüft. Rechtsgrundlage ist Ihre Einwilligung in die Aufzeichnung bzw. Transkription (Art. 6 Abs. 1 lit. a DSGVO), die sich auf die darauf gestützte Nachbereitung erstreckt, da der Zweck (Dokumentation/Nachbereitung) identisch ist.

6.5 Rechtsgrundlage im Übrigen

Rechtsgrundlage der Terminbuchung und Besprechung im Übrigen ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO. Ergänzend gelten die Angaben in Abschnitt 5.

7. Datenverarbeitung im Rahmen des Mandats

Zur Anbahnung und Bearbeitung von Mandaten verarbeiten wir personenbezogene Daten unserer Mandanten sowie weiterer Verfahrensbeteiligter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO; soweit besondere Kategorien personenbezogener Daten betroffen sind, Art. 9 Abs. 2 lit. f DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen). Es gilt die anwaltliche Verschwiegenheitspflicht (§ 43a BRAO, § 203 StGB).

Soweit wir zur Mandatsbearbeitung externe Dienstleister einsetzen, geschieht dies auf Grundlage von Verträgen zur Auftragsverarbeitung (Art. 28 DSGVO); die Dienstleister sind nach § 203 Abs. 3 und 4 StGB zur Verschwiegenheit verpflichtet. Im Einzelnen setzen wir insbesondere ein: Microsoft 365 (Microsoft Ireland Operations Limited) für E-Mail (Exchange Online/Outlook), Dokumentenablage (OneDrive/SharePoint), Online-Besprechungen (Microsoft Teams), Office-Anwendungen sowie KI-gestützte Assistenz (Microsoft 365 Copilot), wobei die Verarbeitung innerhalb der EU-Datengrenze erfolgt und durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert ist und die Verschwiegenheit für Microsoft zusätzlich über die German Data Secrecy Amendment zum Microsoft Customer Agreement (§ 203 Abs. 3 und 4 StGB) vertraglich gesichert ist; Apple iCloud (Apple Distribution International Limited) zur verschlüsselten Datensicherung mit Ende-zu-Ende-Verschlüsselung (Advanced Data Protection), bei der Apple keinen Zugriff auf die Inhalte hat; lexoffice (Lexware Office; Anbieter: Haufe Service Center GmbH, Freiburg, Deutschland) für Rechnungsstellung und vorbereitende Buchhaltung; fynk (fynk GmbH, Österreich) für Vertragsmanagement und elektronische Signatur; Make (Make.com; Anbieter: Celonis SE, München, Deutschland) als Automatisierungsdienst, der bei vollständiger Unterzeichnung eines Vertrags in fynk eine interne Benachrichtigung innerhalb unserer Microsoft-365-Umgebung auslöst und dabei nur Vertrags-Eckdaten (Vertrags- und Parteibezeichnung) vorübergehend in der EU-Region verarbeitet, ohne dauerhafte Speicherung von Mandatsdaten; das besondere elektronische Anwaltspostfach (beA) der Bundesrechtsanwaltskammer für die sichere elektronische Kommunikation mit Gerichten, Behörden und anderen Berufsträgern; sowie juris (juris GmbH, Saarbrücken) für die juristische Recherche, wobei die juris KI-Suite bei fallbezogener Nutzung als Auftragsverarbeiter tätig wird (Verarbeitung auf EU-Servern, Unterauftragsverarbeiter OpenAI nach Art. 28 DSGVO, kein Modelltraining) und der KI-Partner vertraglich zur Wahrung des § 203 StGB verpflichtet ist, und Libra by Wolters Kluwer (Libra Technology GmbH, Berlin; Teil von Wolters Kluwer Legal & Regulatory) als KI-gestützter juristischer Arbeitsbereich, der in Deutschland bzw. der EU betrieben wird und Mandatsinhalte nicht zum Training von KI-Modellen verwendet. Für die technische Wartung und Administration unserer Systeme setzen wir zudem einen weisungsgebundenen, zur Verschwiegenheit verpflichteten IT-Dienstleister ein (Auftragsverarbeitung nach Art. 28 DSGVO; § 203 StGB).

Für die Rechnungsstellung und die steuerliche Bearbeitung übermitteln wir die erforderlichen Daten an unseren Steuerberater, der als Berufsgeheimnisträger einer eigenen Verschwiegenheitspflicht unterliegt und die Daten in eigener Verantwortung verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten).

Beim AI Governance Audit wird der technische Prüfteil durch einen externen, zur Verschwiegenheit verpflichteten Kooperationspartner (KI-Architekt) durchgeführt; die rechtliche Einordnung erbringt ausschließlich die Kanzlei. Soweit hierfür personenbezogene Daten übermittelt werden, geschieht dies auf Grundlage einer Verschwiegenheits- bzw. Auftragsverarbeitungsvereinbarung.

Betroffenenrechte im Mandatsverhältnis: Ihnen stehen die Rechte aus Art. 15 bis 22 DSGVO zu. Bei Mandatsdaten können diese Rechte aufgrund der anwaltlichen Verschwiegenheitspflicht (§ 43a BRAO, § 203 StGB) und gesetzlicher Aufbewahrungspflichten (§ 50 BRAO, § 147 AO) eingeschränkt sein.

Keine ausschließlich automatisierte Entscheidungsfindung: Im Mandatsverhältnis findet keine ausschließlich automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Eingesetzte KI-gestützte Werkzeuge (etwa Microsoft 365 Copilot, Libra by Wolters Kluwer, juris KI-Suite) dienen der Recherche- und Bearbeitungsunterstützung; die rechtliche Bewertung und Entscheidung erfolgt ausschließlich durch die Rechtsanwältin.

Mandatsbezogene Daten bewahren wir nach Maßgabe der gesetzlichen Fristen auf (insbesondere § 50 BRAO, § 147 AO). Weitergehende Informationen zur Verarbeitung im Mandatsverhältnis erhalten Mandanten gesondert bei Mandatsbeginn (siehe auch unsere Datenschutzhinweise für Mandate).

8. Cookies, Analyse & Tracking

8.1 Technisch notwendige Cookies

Im Einsatz ist insbesondere das Sicherheits-Cookie __cf_bm unseres Content-Delivery-Netzwerks Cloudflare (siehe Abschnitt 4.2). Es ist unbedingt erforderlich, um die Website vor automatisierten Angriffen (DDoS, Bots) zu schützen und Sicherheit und Verfügbarkeit zu gewährleisten, hat eine Laufzeit von etwa 30 Minuten und dient nicht der Analyse oder Nachverfolgung Ihres Nutzungsverhaltens. Da dieses Cookie für die Bereitstellung des ausdrücklich gewünschten Dienstes unbedingt erforderlich ist, ist hierfür eine Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich.

8.2 Microsoft Clarity (Webanalyse)

Anbieter: Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA.
Zweck: Reichweiten-/Nutzungsanalyse (Heatmaps, Sitzungswiedergaben) zur Verbesserung von Verständlichkeit und Bedienbarkeit der Website, insbesondere des Online-Risiko-Checks.
Verarbeitete Daten: Nutzungsdaten (Maus-/Klick-/Scrollverhalten, Seitenaufbau), Geräte-/Verbindungsdaten (gekürzte IP-Adresse, Browsertyp, Betriebssystem, Referrer, Zeitpunkt). Eingaben in Formularfelder werden durch eine strikte Maskierung standardmäßig unkenntlich gemacht und nicht aufgezeichnet.
Rechtsgrundlage: Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Cookies und vergleichbare Technologien werden erst gesetzt und der Dienst wird erst geladen, nachdem Sie über unseren Cookie-Hinweis ausdrücklich eingewilligt haben.
Empfänger: Microsoft Corporation (USA) als Auftragsverarbeiter.
Drittland: Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO).
Auftragsverarbeitung: Vertrag nach Art. 28 DSGVO. Speicherdauer: längstens 13 Monate; bei Widerruf erfolgt keine weitere Erhebung.
Widerruf: jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen (auch über den Link „Cookie-Einstellungen" im Seitenfuß).

8.3 Google Analytics 4 (Webanalyse)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“).
Zweck: Reichweiten- und Nutzungsanalyse (aufgerufene Seiten, Verweildauer, Herkunftskanäle – einschließlich Zugriffen aus Suchmaschinen und KI-Assistenten) zur Verbesserung unseres Informationsangebots.
Verarbeitete Daten: Nutzungsdaten (aufgerufene Seiten, Verweildauer, Interaktionen – einschließlich abgeschickter Formulare sowie Klicks auf Schaltflächen und Kontakt-Links, jeweils als pseudonymes Ereignis –, Herkunft des Zugriffs), Geräte-/Verbindungsdaten (Browsertyp, Betriebssystem, ungefährer Standort auf Stadt-Ebene). IP-Adressen werden bei Nutzern in der EU auf Servern in der EU erhoben und vor der Protokollierung gekürzt bzw. verworfen; vollständige IP-Adressen werden nicht gespeichert. Werbefunktionen, Google Signals und personalisierte Werbung sind deaktiviert.
Rechtsgrundlage: Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Cookies werden erst gesetzt und der Dienst wird erst geladen, nachdem Sie über unseren Cookie-Hinweis ausdrücklich eingewilligt haben.
Empfänger: Google Ireland Limited als Auftragsverarbeiter; eine Übermittlung an die Google LLC (USA) ist nicht ausgeschlossen.
Drittland: Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO).
Auftragsverarbeitung: Vertrag nach Art. 28 DSGVO (Google-Datenverarbeitungsbedingungen). Speicherdauer: Ereignisdaten längstens 2 Monate; bei Widerruf erfolgt keine weitere Erhebung.
Widerruf: jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen (auch über den Cookie-Button unten rechts oder den Link im Seitenfuß).

8.4 Widerruf Ihrer Einwilligung / Cookie-Einstellungen

Ihre Einwilligung in nicht notwendige Cookies und Webanalyse können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Öffnen Sie dazu die Cookie-Einstellungen (auch über den Link „Cookie-Einstellungen" im Seitenfuß erreichbar) und treffen Sie Ihre Auswahl neu. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

8.5 Google-Bewertungen (Google Places API)

Auf unserer Startseite zeigen wir unsere Google-Bewertung an (Sternebewertung und Anzahl der Bewertungen). Diese Angaben rufen wir serverseitig über die Google Places API ab und speichern sie auf unserem Server zwischen. Dabei besteht keine Verbindung Ihres Browsers zu Google, es werden keine Cookies gesetzt und es werden keine personenbezogenen Daten von Ihnen an Google übermittelt. Erst wenn Sie den Bewertungs-Link aktiv anklicken, werden Sie zu Google weitergeleitet; ab diesem Zeitpunkt gelten die Datenschutzbestimmungen von Google.
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
Rechtsgrundlage: berechtigtes Interesse an der Darstellung von Kundenbewertungen zur Vertrauensbildung (Art. 6 Abs. 1 lit. f DSGVO).

8.6 Reichweite in Suchmaschinen (Google Search Console, Bing Webmaster Tools)

Wir nutzen die Google Search Console (Google Ireland Limited) und die Bing Webmaster Tools (Microsoft Corporation), um die Sichtbarkeit unserer Website in den Suchergebnissen auszuwerten (z. B. Suchanfragen, Impressionen, Klicks, Position). Diese Dienste setzen keine Cookies auf dieser Website und laden keine Skripte in Ihrem Browser. Die ausgewerteten Daten stammen aus der jeweiligen Suchmaschine selbst und werden uns nur in aggregierter, nicht auf Sie persönlich beziehbarer Form bereitgestellt.
Rechtsgrundlage: berechtigtes Interesse an der Analyse und Verbesserung unserer Auffindbarkeit in Suchmaschinen (Art. 6 Abs. 1 lit. f DSGVO).

9. Schriftarten (lokal gehostet)

Diese Seite nutzt zur einheitlichen Darstellung Schriftarten (Webfonts), die lokal auf unserem Server eingebunden sind. Es findet keine Verbindung zu externen Font-Servern (wie z. B. Google Fonts) statt; es werden insoweit keine personenbezogenen Daten an Dritte übermittelt.

10. Speicherdauer-Übersicht

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Maßgebliche Kriterien sind der Verarbeitungszweck, das Bestehen eines Mandats- oder vorvertraglichen Verhältnisses, ein etwaiger Widerruf erteilter Einwilligungen sowie gesetzliche Aufbewahrungs- und Verjährungsfristen.

Daten / Kontext	Speicherdauer	Grundlage / Kriterium
Anfragen über das Kontaktformular	ohne Mandat: bis zum Abschluss der Korrespondenz und anschließende zeitnahe Löschung; mit Mandat: gesetzliche Fristen (6/10 Jahre)	Art. 5 Abs. 1 lit. e DSGVO; § 50 BRAO, § 147 AO
Risiko-Check / Selbsteinschätzung	bis zum Abschluss der Anbahnung bzw. Versand der Checkliste, sofern kein Mandat entsteht	Art. 5 Abs. 1 lit. e DSGVO; Einwilligung
Checklisten-Anforderung / E-Mail-Verteiler	bis zum Widerruf; danach Nachweis der widerrufenen Einwilligung längstens 3 Jahre	Art. 6 Abs. 1 lit. a DSGVO; § 195 BGB
Termin- und Kontaktdaten (Bookings/Teams)	spätestens 90 Tage nach dem Termin, sofern kein Mandat entsteht	Art. 5 Abs. 1 lit. e DSGVO
Aufzeichnungen, Transkripte, KI-Zusammenfassungen	spätestens 120 Tage nach dem Termin (sofern kein Mandat); sonst Mandatsfristen	Einwilligung; § 50 BRAO
Server-Logfiles	spätestens 7 Tage, soweit keine sicherheitsrelevante Auswertung erfolgt	Art. 6 Abs. 1 lit. f DSGVO
Webanalyse (Microsoft Clarity)	längstens 13 Monate; bei Widerruf keine weitere Erhebung	Einwilligung; § 25 TDDDG
Webanalyse (Google Analytics 4)	Ereignisdaten längstens 2 Monate; Cookies längstens 2 Jahre; bei Widerruf keine weitere Erhebung	Einwilligung; § 25 TDDDG
Mandatsbezogene Daten / Handakte	i. d. R. 6 Jahre nach Mandatsende; steuer-/handelsrechtlich bis 10 Jahre	§ 50 BRAO; § 147 AO, § 257 HGB

11. Ihre Rechte

Sie haben jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung (Art. 15) sowie ein Recht auf Berichtigung (Art. 16) und Löschung (Art. 17). Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen (Art. 18) sowie das Recht auf Datenübertragbarkeit (Art. 20).

Soweit die Verarbeitung auf Ihrer Einwilligung beruht, haben Sie das Recht, diese jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht (Art. 21 DSGVO): Werden Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO). Richtet sich eine Verarbeitung gegen Direktwerbung, haben Sie ein jederzeitiges Widerspruchsrecht ohne Angabe von Gründen (Art. 21 Abs. 2 DSGVO).

Ausübung Ihrer Rechte: Sie können Ihre Rechte formlos gegenüber der verantwortlichen Stelle (Abschnitt 2) geltend machen. Wir bearbeiten Ihr Anliegen unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Bei Mandatsdaten können Betroffenenrechte aufgrund der anwaltlichen Verschwiegenheitspflicht (§ 43a BRAO, § 203 StGB) und gesetzlicher Aufbewahrungspflichten (§ 50 BRAO) eingeschränkt sein.

Ihnen steht zudem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist das Unabhängige Datenschutzzentrum Saarland — Die Landesbeauftragte für Datenschutz und Informationsfreiheit, Dudweilerstraße 30, 66111 Saarbrücken, www.datenschutz.saarland.de.

12. Automatisierte Entscheidungsfindung & Profiling

Wir setzen keine ausschließlich automatisierten Entscheidungsfindungen im Sinne des Art. 22 DSGVO ein, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

Die KI-gestützte Zusammenfassung (Intelligent Recap / Copilot, Abschnitt 6.4) dient ausschließlich der Vorbereitung anwaltlicher Tätigkeit; die finale Verantwortung liegt bei der Rechtsanwältin. Der Risiko-Check (Abschnitt 3.3) trifft keine automatisierte Entscheidung; das Ergebnis dient Ihrer Orientierung. Im Mandat unterstützen KI-Werkzeuge (Libra, juris, Copilot) Recherche und Bearbeitung; die rechtliche Bewertung erfolgt ausschließlich durch die Rechtsanwältin. Sollten künftig Verfahren mit automatisierter Entscheidungsfindung eingeführt werden, informieren wir Sie vorab über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen (Art. 13 Abs. 2 lit. f DSGVO).

13. SSL-/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am Schloss-Symbol in Ihrer Browserzeile und daran, dass die Adresszeile mit „https://“ beginnt. Bei aktiver Verschlüsselung können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

14. Unsere Auftritte in sozialen Netzwerken

Wir unterhalten öffentlich zugängliche Profile in sozialen Netzwerken, um über unsere Kanzlei und rechtliche Themen zu informieren und mit Interessenten und Mandanten in Kontakt zu treten. Konkret sind das:

• LinkedIn (LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland)
• Facebook (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland)
• Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland)

Keine Datenübermittlung durch diese Website: Auf dieser Website verlinken wir lediglich auf unsere Profile. Social-Media-Plugins, Pixel oder vergleichbare Einbindungen setzen wir nicht ein. Beim bloßen Besuch dieser Website werden daher keine Daten an die genannten Anbieter übermittelt. Eine Verarbeitung durch den jeweiligen Anbieter beginnt erst, wenn Sie einem Link zu einem unserer Profile folgen.

Verarbeitung durch die Anbieter: Wenn Sie eines unserer Profile aufrufen, verarbeitet der jeweilige Anbieter Ihre Daten in eigener Verantwortung nach seiner Datenschutzerklärung. Das gilt insbesondere für Nutzungsdaten, Cookies und die Bildung von Nutzungsprofilen, auch zu eigenen Zwecken des Anbieters (etwa Marktforschung und Werbung), und unabhängig davon, ob Sie dort ein eigenes Konto besitzen. Dabei können Daten in die USA übermittelt werden; Meta Platforms, Inc. und LinkedIn Corporation sind unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO), ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO). Einzelheiten: Datenschutzerklärung von Meta (Facebook und Instagram) und Datenschutzerklärung von LinkedIn.

Gemeinsame Verantwortlichkeit für Seiten-Statistiken: Für die Verarbeitung von Statistikdaten unserer Auftritte (sogenannte Insights: aggregierte Angaben etwa zu Reichweite und Interaktionen) sind wir mit dem jeweiligen Anbieter gemeinsam verantwortlich (Art. 26 DSGVO). Die Kernpflichten sind in Vereinbarungen mit den Anbietern geregelt: für Facebook und Instagram in der Meta-Vereinbarung über gemeinsame Verantwortlichkeit (Insights), für LinkedIn im LinkedIn Page Insights Joint Controller Addendum. Die Insights erhalten wir ausschließlich in aggregierter Form ohne Zuordnung zu einzelnen Personen.

Unsere Verarbeitung: Wir selbst verarbeiten Ihre Daten im Rahmen der Auftritte nur, wenn Sie mit uns interagieren (etwa Kommentare, Direktnachrichten, Kontaktaufnahmen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Außendarstellung und Kommunikation) bzw. Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf ein Mandat zielt. Direktnachrichten behandeln wir wie Anfragen per E-Mail (Abschnitte 3.2 und 5); für die Anbahnung von Mandaten empfehlen wir die dort genannten Kanäle, da die Kommunikation innerhalb sozialer Netzwerke nicht unserer Kontrolle unterliegt.

Ihre Rechte: Ihre Betroffenenrechte (Abschnitt 11) können Sie sowohl uns gegenüber als auch gegenüber dem jeweiligen Anbieter geltend machen. Da die Anbieter den weit überwiegenden Teil der Verarbeitung allein steuern und nur sie vollständigen Zugriff auf die Daten haben, empfehlen wir, Auskunfts- und Löschungsanliegen direkt an den Anbieter zu richten; wir unterstützen Sie im Rahmen unserer Möglichkeiten und leiten Anfragen weiter.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Rechtslage oder unsere Verarbeitungstätigkeiten ändern. Für Ihren Besuch gilt jeweils die hier veröffentlichte aktuelle Fassung.

Stand dieser Datenschutzerklärung: 17. Juli 2026.